Depuis le 1er septembre 2022, les nouvelles règles relatives à la protection des lanceurs d’alertes et au recueil et traitement des signalements internes et externes issues des lois Waserman sont applicables au sein des entreprises d’au moins 50 salariés.
Le décret d’application précisant les modalités pratiques de mise en œuvre des dispositions légales vient d’être publié au Journal Officiel le 4 octobre dernier, un mois après l’entrée en vigueur du nouveau cadre juridique.
Il était donc particulièrement attendu par les employeurs du secteur public et privés afin de leur permettre d’adapter les dispositifs d’alertes en vigueur.
Pour mémoire, la réforme portée par le député Sylvain Waserman a modernisé en profondeur le dispositif d’alerte professionnelle issu de la loi Sapin II du 9 décembre 2016 en:
- élargissant le champ d’application du statut du lanceur d’alerte et renforçant sa protection ;
- supprimant la hiérarchie des canaux de signalement qui s’imposait au lanceur d’alerte de sorte que le lanceur d’alerte peut désormais choisir entre un signalement interne et un signalement externe ;
- complétant l’obligation faite aux entreprises d’au moins 50 salariés de mettre en place en place une procédure de signalement interne en deux étapes : recueil ET traitement des alertes.
Ce décret d’application précise les nouvelles modalités de cette procédure de signalement et abroge l’ancien décret d’application de la loi Sapin II du 19 avril 2017.
Procédure de signalement interne dans les entreprises d’au moins 50 salariés : les nouvelles règles précisées
Appréciation du seuil d’effectif de 50 salariés – L’obligation de mettre en place un dispositif d’alerte conforme à ces nouvelles règles concernent les employeurs d’au moins 50 salariés. Ce seuil s’apprécie à la clôture de 2 exercices consécutifs selon les modalités prévues au Code de de la sécurité sociale.
Libre choix du support de l’alerte – Sans changement, l’employeur choisit le support qui lui semble le plus adapté.
Ainsi, la procédure peut être fixée par une simple note de service ou d’un accord collectif conclu selon les règles de droit commun.
Le comité social et économique devra néanmoins être consulté au préalable.
Publicité du dispositif mis en place – L’employeur diffuse la procédure de signalement par tout moyen assurant une publicité suffisante (ex. : affichage ou publication par voie électronique ou sur le site intranet de l’entreprise).
Il doit la rendre accessible de manière permanente aux personnes susceptibles de lancer une alerte (salariés, anciens salariés, actionnaires, etc.).
Il doit également mettre à disposition des informations claires et facilement accessibles concernant les procédures de signalement externe.
Concernant la procédure de recueil des signalements (première étape)
Canal de réception des alertes écrites ou orales – La procédure de signalement interne doit instaurer un canal de réception des alertes, étant précisé qu’elles peuvent être aussi bien écrites qu’orales.
Le canal de signalement doit également permettre au lanceur d’alerte de transmettre tout élément, quel que soit sa forme ou son support, de nature à étayer son alerte.
Le lanceur d’alerte doit désormais être informé par écrit de la réception de son alerte dans un délai de 7 jours ouvrés à compter de cette réception.
Vérification des conditions de l’exercice du droit d’alerte – Sauf si le signalement est anonyme, l’employeur doit vérifier que toutes les conditions de l’exercice du droit d’alerte sont remplies : qualité du lanceur d’alerte, objet de l’alerte, bonne foi du lanceur d’alerte, absence de contrepartie directe à l’alerte, etc. Des compléments d’information peuvent être sollicités auprès du lanceur d’alerte en ce sens.
Le cas échéant, l’employeur doit indiquer au lanceur d’alerte les raisons pour lesquelles il estime que son signalement ne respecte pas les conditions requises, ainsi que les suites données à son signalement.
La procédure doit aussi préciser les suites données aux signalements anonymes.
Cas des entreprises appartenant à un Groupe – Lorsque l’employeur estime que l’alerte concerne une entreprise appartenant au même groupe, il peut inviter le lanceur d’alerte à l’adresser également à cette dernière.
Concernant la procédure de traitement des signalements (seconde étape)
Lorsque toutes les conditions de l’exercice du droit d’alerte sont remplies, l’employeur doit assurer le traitement de l’alerte.
Le décret encadre le traitement du signalement et précise les obligations d’information et de suivi à la charge de l’entreprise.
Si les allégations semblent avérées, l’employeur doit désormais informer le lanceur d’alerte du traitement de son alerte dans un délai de 3 mois maximum à compter de l’accusé de réception du signalement (ou, à défaut d’accusé de réception, 3 mois à l’issue d’une période de 7 jours ouvrés suivant le signalement). À cet effet, l’employeur lui communique par écrit des informations sur les mesures envisagées ou prises pour évaluer l’exactitude des allégations et, le cas échéant, remédier à l’objet du signalement, ainsi que sur les motifs de ces dernières.
Si les allégations sont inexactes ou infondées, ou lorsque le signalement est devenu sans objet, l’employeur doit clôturer le dossier et en informer par écrit le lanceur d’alerte.
Mutualisation des procédures pour les seules entreprises de moins de 250 salariés
La possibilité de mettre en place des procédures de recueil des signalements communes à plusieurs entreprises est désormais limitée aux entreprises de moins de 250 salariés.
Le décret précise que ces entreprises peuvent prévoir une procédure commune de recueil et de traitement des alertes, « après décision concordante de leurs organes compétents ». Le canal de réception des signalements ainsi que l’évaluation de l’exactitude des allégations formulées font l’objet de « ressources partagées entre elles ».
Personnes chargées de gérer les alertes : gestion interne ou externalisée
La procédure de signalement interne doit préciser la ou les personnes ou le ou les services chargés de recueillir et traiter les alertes.
La réception des alertes puis leur traitement peuvent être gérés par des personnes ou services différents.
Elles doivent néanmoins disposer, par leur positionnement ou leur statut, de la compétence, de l’autorité et des moyens suffisants à l’exercice de leurs missions. La procédure prévoit les garanties permettant l’exercice impartial de ces missions.
Le canal de réception des alertes peut être géré pour le compte de l’employeur en externe par un tiers. L’obligation de traitement de l’alerte pèse cependant exclusivement sur l’employeur qui devra assurer le traitement du signalement dans les conditions susvisées.
Protection des données recueillies à l’occasion d’une alerte
La procédure interne de recueil et de traitement des signalements doit :
- garantir l’intégrité et la confidentialité des informations recueillies dans un signalement, notamment l’identité du lanceur d’alerte, des personnes visées par celle-ci et de tout tiers qui y est mentionné ;
- interdire l’accès à ces informations aux salariés qui ne sont pas chargés de recueillir ou de traiter les alertes ;
- prévoir la transmission sans délai aux personnes ou services chargés de recueillir ou de traiter les alertes des signalements reçus par d’autres personnes ou services.
Les informations recueillies ne peuvent être communiquées à des tiers que si cette communication est nécessaire pour traiter le signalement et dans le respect de la confidentialité des informations recueillies.
Listes des autorités compétentes en cas de signalement externe
La nouvelle réforme autorise désormais les lanceurs d’alerte à procéder à un signalement externe sans avoir nécessairement procédé à un signalement interne préalable.
Ce signalement doit être effectué auprès « d’autorités compétentes », notamment auprès du Défenseur des droits ou de l’autorité judiciaire.
L’annexe du décret du 3 octobre 2022 dresse la liste de ces « autorités compétentes » en fonction du domaine des faits rapportés.
A titre d’exemples, la DGT est désignée comme autorité compétente pour les alertes portant sur les relations individuelles et collectives du travail, conditions de travail et la DGEFP pour les alertes portant sur l’emploi et la formation professionnelle.
La CNIL est quant à elle visée pour les alertes relatives à la protection de la vie privée et des données personnelles, à la sécurité des réseaux et de systèmes d’information.
Source : Décret n°2022-1284 du 3 octobre 2022
