Dispositif d'alerte interne : obligation et protection du lanceur d'alerte

Un signalement arrive un matin par le canal interne : un salarié décrit un détournement présumé. Que faut-il faire, dans quels délais, et comment protéger à la fois l'auteur et la personne mise en cause ? Beaucoup de dirigeants découvrent l'obligation au moment où elle se concrétise. Or, à partir d'un certain effectif, le dispositif d'alerte interne est obligatoire, encadré et assorti de protections fortes pour le lanceur d'alerte.

Réponse rapide. Toute personne morale de droit privé ou public d'au moins 50 salariés doit établir une procédure interne de recueil et de traitement des signalements (loi Waserman du 21 mars 2022, applicable depuis le 1er septembre 2022, dont les modalités sont précisées par le décret n° 2022-1284 du 3 octobre 2022). L'entité doit accuser réception du signalement dans un délai de 7 jours ouvrés, puis informer le lanceur d'alerte des mesures envisagées ou prises dans un délai raisonnable n'excédant pas 3 mois. Le lanceur d'alerte bénéficie d'une irresponsabilité civile et pénale et d'une protection contre les représailles. Il peut aussi saisir directement un canal externe (autorité compétente, Défenseur des droits) ou, sous conditions, procéder à une divulgation publique.

L'obligation d'un dispositif d'alerte interne repose sur deux textes :

• Loi Sapin 2 (loi n° 2016-1691 du 9 décembre 2016, article 8) : première obligation d'une procédure interne de recueil des signalements pour les entités de 50 salariés ou plus.
• Loi Waserman (loi n° 2022-401 du 21 mars 2022) : transpose la directive (UE) 2019/1937 du 23 octobre 2019 et renforce la protection du lanceur d'alerte. Applicable depuis le 1er septembre 2022.

Le seuil de 50 salariés s'apprécie à la clôture de deux exercices consécutifs, selon les modalités du Code de la sécurité sociale. Une fois ce seuil atteint, la mise en place du dispositif devient obligatoire. Le sujet prolonge celui de la loi Sapin 2 et de la conformité anti-corruption.

Le lanceur d'alerte est une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur :

• un crime ou un délit ;
• une menace ou un préjudice pour l'intérêt général ;
• une violation du droit (loi, règlement, engagement international).

La loi Waserman a assoupli la condition de connaissance « personnelle » des faits : dans le cadre professionnel, le lanceur peut signaler des informations dont il a eu connaissance dans l'exercice de ses fonctions. L'exigence de désintéressement financier est conservée.

Depuis la loi Waserman, le lanceur d'alerte dispose de trois canaux, sans hiérarchie : il peut choisir l'un ou l'autre.

1. Le signalement interne#

C'est le canal que l'entreprise doit mettre en place. La procédure doit être :

• accessible : clairement communiquée à tous les salariés et agents ;
• confidentielle : l'identité du lanceur et celle des personnes visées sont protégées ;
• efficace : un accusé de réception est remis dans un délai de 7 jours ouvrés, et le lanceur est informé des mesures envisagées ou prises dans un délai raisonnable n'excédant pas 3 mois ;
• impartiale : examinée sans conflit d'intérêts, par une personne ou un service désigné.

Le décret n° 2022-1284 du 3 octobre 2022 admet que le signalement soit recueilli par un tiers de confiance (par exemple un prestataire externe).

2. Le signalement externe#

Le lanceur peut saisir directement une autorité sans passer par le canal interne :

• autorités administratives ou judiciaires (procureur de la République, inspection du travail) ;
• Défenseur des droits, qui oriente et accompagne le lanceur d'alerte ;
• autorités sectorielles (AMF, CNIL, ACPR, etc.).

3. La divulgation publique#

En dernier ressort, le lanceur peut divulguer publiquement l'information lorsque, notamment, le signalement n'a pas été traité, qu'un risque de représailles existe, ou qu'il y a un danger grave et imminent pour l'intérêt général. La divulgation doit rester loyale et proportionnée.

La mise en place suppose une consultation préalable du comité social et économique (CSE), ou des salariés à défaut de CSE.

Pour les entités de moins de 250 salariés, la procédure peut être commune à plusieurs entités d'un même groupe, ce qui réduit les coûts et les redondances. L'information du CSE s'articule avec la BDESE.

Irresponsabilité civile et pénale#

L'article 122-9 du Code pénal écarte la responsabilité pénale du lanceur d'alerte qui signale ou divulgue une information dans les conditions prévues par la loi, dès lors qu'il a agi de bonne foi. Cette protection couvre, dans le même cadre, des actions civiles telles que la diffamation.

Interdiction des représailles#

La loi interdit toute mesure de rétorsion liée au signalement, notamment :

• licenciement ou rupture du contrat ;
• rétrogradation ou modification défavorable des conditions de travail ;
• réduction de rémunération, retrait d'avantages ;
• discrimination, harcèlement.

Toute mesure prise en raison du signalement est réputée nulle, et le lanceur peut la contester devant le conseil de prud'hommes ou les autorités compétentes.

Aménagement de la charge de la preuve#

Lorsqu'une mesure défavorable intervient après un signalement, il revient à l'employeur de démontrer qu'elle repose sur des motifs étrangers à l'alerte. Cet aménagement allège la charge du lanceur d'alerte.

Accompagnement du Défenseur des droits#

Le Défenseur des droits peut recevoir le signalement, orienter le lanceur vers l'autorité compétente, jouer un rôle d'interlocuteur de confiance et intervenir en cas de représailles.

Groupe de moins de 250 salariés#

Un groupe peut mutualiser son dispositif entre plusieurs sociétés (maison mère et filiales), tant que la procédure reste accessible et la confidentialité préservée.

Associations et organismes sans but lucratif#

Les associations et fondations de 50 salariés ou plus sont soumises aux mêmes obligations. À défaut de CSE, la consultation porte sur les instances compétentes.

Articulation avec le CSE, le DPO et le RGPD#

Le dispositif est distinct du CSE et du délégué à la protection des données, mais doit s'articuler avec eux : le CSE est consulté avant la mise en place, le délégué à la protection des données veille au traitement des données du signalement, et l'inscription au registre des traitements RGPD s'impose.

• Distinction des trois canaux. Trop d'entreprises proposent un canal interne sans préciser que le lanceur peut saisir directement un canal externe. Clarifiez cette liberté dans votre communication.
• Confidentialité réelle. Un simple formulaire partagé avec la direction n'offre pas la confidentialité requise. Envisagez un tiers de confiance (plateforme sécurisée, conseil externe).
• Traçabilité et délais. Le respect des délais (accusé de réception sous 7 jours ouvrés, retour sur le traitement sous 3 mois) exige une organisation rigoureuse. Un signalement oublié expose l'entreprise.
• Communication insuffisante. Intégrez le dispositif au règlement intérieur, aux documents d'accueil et aux formations, en lien avec le registre unique du personnel.
• Confusion avec la dénonciation abusive. Le lanceur de bonne foi est protégé ; un signalement de mauvaise foi ou manifestement faux peut, lui, engager la responsabilité de son auteur. Préservez aussi les droits de la personne mise en cause.

Une PME industrielle nous a consultés après avoir reçu, par son canal interne, un signalement portant sur un détournement présumé. Le signalement avait été confié à un cadre sans formation, qui n'avait pas documenté la réception, et son traitement s'était étiré sur plusieurs mois. Lors d'une tentative de licenciement du lanceur pour d'autres motifs, le juge a relevé l'absence de traçabilité et a requalifié la mesure en représailles. Une procédure claire et un tiers de confiance auraient évité cette difficulté.

Conseil Hayot Expertise. Avant de formaliser votre dispositif, faites évaluer votre exposition par un conseil juridique (secteur, sensibilité des données, taille du groupe) et appuyez-vous sur un accompagnement en droit social. Envisagez un tiers de confiance pour gérer les signalements, formez vos référents au traitement impartial et confidentiel, intégrez le dispositif au règlement intérieur, et documentez chaque signalement, chaque étape et chaque délai. Cette rigueur est votre meilleure protection juridique.

• Obligation à partir de 50 salariés, seuil apprécié à la clôture de deux exercices consécutifs.
• Trois canaux : signalement interne (obligatoire), signalement externe (autorités, Défenseur des droits), divulgation publique (dernier recours).
• Délais clés : accusé de réception sous 7 jours ouvrés, retour sur les mesures sous 3 mois maximum.
• Le lanceur d'alerte est protégé contre les représailles, irresponsable s'il agit de bonne foi, et bénéficie d'un aménagement de la charge de la preuve.
• Consultation du CSE (ou des salariés) obligatoire avant la mise en place.
• Pour les groupes de moins de 250 salariés, une procédure commune est possible.
• L'obstruction et les représailles entraînent des sanctions pénales et civiles.

Sources officielles#

• Légifrance — Loi n° 2022-401 du 21 mars 2022 (loi Waserman)
• Légifrance — Décret n° 2022-1284 du 3 octobre 2022
• Légifrance — Loi n° 2016-1691 du 9 décembre 2016 (loi Sapin 2)
• Service-Public — Lanceurs d'alerte : procédure interne de signalement
• Défenseur des droits — Orienter et protéger les lanceurs d'alerte
• Légifrance — Code pénal, article 122-9