Sources :
– Loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique ;
– Décret n° 2017-564 du 19 avril 2017 relatif aux procédures de recueil des signalements émis par les lanceurs d’alerte au sein des personnes morales de droit public ou de droit privé ou des administrations de l’Etat ;
– Circulaire n° CRIM/2018-01/G3-31.01.2018 du 31 janvier 2018 relative à la présentation et la mise en œuvre des dispositions pénales prévues par la loi n°2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique
La loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite « Sapin II » (ci-après la « Loi ») a créé le statut de lanceur d’alerte.
Ce texte impose notamment[1] aux entreprises d’au moins 50 salariés[2] de créer et de mettre en œuvre une procédure d’alerte pour l’ensemble de ses salariés et ses éventuels collaborateurs extérieurs et occasionnels.
Pour définir les « modalités suivant lesquelles sont établies les procédures de recueil des signalements que doivent établir » ces entreprises avant le 1er janvier 2018 : le décret n° 2017-564 du 19 avril 2017 (ci-après le « Décret »).
Retour sur les contours de cette obligation légale, volet majeur des programmes de compliance 2018.
I – Le lanceur d’alerte
I – 1. Définition du lanceur d’alerte et objet de l’alerte
L’article 6 de la Loi pose la définition du lanceur d’alerte et y détermine, de manière logique, l’objet de l’alerte :
« Un lanceur d’alerte est une personne physique qui révèle ou signale, de manière désintéressée et de bonne foi, un crime ou un délit, une violation grave et manifeste d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l’intérêt général, dont elle a eu personnellement connaissance (…) ».
On constate alors que la loi a entendu couvrir par ce dispositif d’alerte une très large notion de manquement à la probité
Toutefois, concernant les critères à remplir par le lanceur d’alerte, le texte est beaucoup plus précis de sorte que le salarié lanceur d’alerte doit (i) agir de manière désintéressée, ce qui « exclut les personnes qui n’agissent pas dans l’intérêt général mais pour leur propre compte ou qui cherchent à nuire »[3] [4], (ii) et donc être de bonne foi, et (iii) avoir eu personnellement connaissance des faits. Ce dernier point est intéressant puisqu’il interdit au lanceur d’alerte de procéder par déduction ou encore de servir d’intermédiaire à un autre salarié qui ne souhaiterait pas effectuer lui-même le signalement. Notons néanmoins que cette définition n’a fait l’objet d’aucune codification en droit interne.
Sous réserve du respect de ces conditions, le lanceur d’alerte pourra bénéficier de la protection offerte par la Loi.
I – 2. La protection du lanceur d’alerte
Le risque externe – Le signalement effectué par le salarié peut toutefois se heurter à la violation de certaines obligations relatives au secret.
Afin de parer cette problématique, l’article 7 de la Loi a alors introduit dans le cadre d’un contrôle de proportionnalité une nouvelle cause d’irresponsabilité pénale à travers la création de l’article 122-9 du Code pénal qui prévoit que « n’est pas pénalement responsable la personne qui porte atteinte à un secret protégé par la loi, dès lors que cette divulgation est nécessaire et proportionnée à la sauvegarde des intérêts en cause, qu’elle intervient dans le respect des procédures de signalement définies par la loi et que la personne répond aux critères de définition du lanceur d’alerte ».
En revanche, l’article 6 de la Loi limite le champ d’application de cette cause d’irresponsabilité en excluant catégoriquement toute atteinte au secret relatif à la défense nationale, au secret médical et au secret des relations avocat-client.
Le risque en interne – La mise en œuvre de cette procédure d’alerte par le salarié peut en outre être source d’un ou plusieurs préjudices pour ce dernier en au sein même de son entreprise. Afin de se prémunir de ce risque, le législateur a entendu, dans la mise en œuvre de la procédure d’alerte, « garantir la stricte confidentialité de l’auteur du signalement, des faits objets du signalement et des personnes visées, y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement du signalement »[5]. La procédure de recueil de signalement assure également en ce sens au salarié lanceur d’alerte de « détruire les éléments du dossier de signalement de nature à permettre l’identification de l’auteur du signalement et celle des personnes visées par celui-ci lorsqu’aucune suite n’y a été donnée, ainsi que le délai qui ne peut excéder deux mois à compter de la clôture de l’ensemble des opérations de recevabilité ou de vérification. L’auteur du signalement et les personnes visées par celui-ci sont informés de cette clôture »[6].
Ainsi, afin d’éviter toutes représailles, le législateur a sanction la violation de l’interdiction de divulguer les éléments confidentiels de nature à identifier le lanceur d’alerte ou la personne mise en cause par un signalement d’une sanction pénale : deux ans d’emprisonnement et de 30 000 € d’amende[7].
De la sorte, le lanceur d’alerte est assuré d’être protégé des sanctions, mises à l’écart, reclassement, discrimination ou licenciement sauf pour l’employeur à justifier l’une de ces mesures par des éléments distincts du signalement.
II – Le dispositif d’alerte
II – 1. Le « contact » du lanceur d’alerte
L’article 8 de la Loi prévoit que « le signalement d’une alerte est porté à la connaissance du supérieur hiérarchique, direct ou indirect, de l’employeur ou d’un référent désigné par celui-ci ».
Dans l’hypothèse où un référent est nommé, celui-ci peut être aussi bien interne qu’extérieur à l’entreprise ; il peut être une personne physique ou, quelle que soit sa dénomination, toute entité de droit public ou de droit privé, dotée ou non de la personnalité morale[8].
Le Décret impose toutefois que le référent dispose grâce à son positionnement de la compétence, de l’autorité et des moyens suffisants à l’exercice de de la mission qui lui est ainsi dévolue.
Son identité doit être connue de l’ensemble des salariés de l’entreprise.
Dès lors qu’un salarié utilise le dispositif d’alerte, le référent doit « informer sans délai l’auteur du signalement de la réception de son signalement, ainsi que du délai raisonnable et prévisible nécessaire à l’examen de sa recevabilité et des modalités suivant lesquelles il est informé des suites données à son signalement »[9].
En pratique, sauf si l’entreprise est dotée d’une Direction Conformité bénéficiant déjà de dispositifs de traitements internes, le référent peut recourir à l’utilisation de plateformes digitales sécurisée afin de recueillit et traiter les alertes.
II – 2. Le mécanisme de l’alerte
L’article 8 de la Loi prévoit un système d’alerte gradué :
1) Le signalement d’une alerte est porté à la connaissance du supérieur hiérarchique, de l’employeur ou le cas échéant du référent désigné ;
2) En l’absence de diligences de la personne destinataire de l’alerte précitée dans un délai raisonnable de la recevabilité du signalement, celui-ci est adressé à l’autorité judiciaire, à l’autorité administrative ou aux ordres professionnels ;
3) En dernier ressort, à défaut de traitement par l’un des organismes précités dans un délai de trois mois, le signalement peut être rendu public.
Il convient de relever qu’en cas de danger grave et imminent ou en présence d’un risque de dommages irréversibles, le signalement peut être porté directement à la connaissance des organismes précités et rendu public.
Afin de garantir la pleine efficacité du dispositif d’alerte, il incombe à l’employeur de veiller à la communication auprès de tous ses salariés / collaborateurs permanents ou occasionnels sur son existence et son fonctionnement. Cette communication peut être effectuée par tout moyen (affichage, publication, mailing, etc.).
Afin de renforcer l’efficacité de ce dispositif, la Loi prévoit de nouveau des sanctions pénales : faire obstacle, de quelque façon que ce soit, à la transmission d’un signalement, est puni d’une peine d’un an d’emprisonnement et de 15 000 euros d’amende[10].
II – 3. Les modalités de la procédure d’alerte
Conformément à l’article 5 du Décret, la procédure d’alerte doit préciser les modalités selon lesquelles l’auteur du signalement :
1) adresse son signalement au supérieur hiérarchique, à l’employeur ou au référent désigné ;
2) fournit les faits, informations ou documents quel que soit leur forme ou leur support de nature à étayer son signalement lorsqu’il dispose de tels éléments ;
3) fournit les éléments permettant le cas échéant un échange avec le destinataire du signalement.
Comme exposé précédemment, la procédure doit préciser les dispositions prises par l’entreprise :
1) pour informer sans délai l’auteur du signalement de la réception de son signalement, ainsi que du délai raisonnable et prévisible nécessaire à l’examen de sa recevabilité et des modalités suivant lesquelles il est informé des suites données à son signalement ;
2) pour garantir la stricte confidentialité de l’auteur du signalement, des faits objets du signalement et des personnes visées, y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement du signalement ;
3) pour détruire les éléments du dossier de signalement de nature à permettre l’identification de l’auteur du signalement et celle des personnes visées par celui-ci lorsqu’aucune suite n’y a été donnée, ainsi que le délai qui ne peut excéder 2 mois à compter de la clôture de l’ensemble des opérations de recevabilité ou de vérification : l’auteur du signalement et les personnes visées par celui-ci sont informés de cette clôture.
La procédure doit enfin mentionner, le cas échéant, l’existence d’un traitement automatisé des signalements mis en œuvre après autorisation de la Cnil.
En pratique, le choix de l’instrument juridique contenant cette procédure d’alerte est laissé à l’entreprise. Ce support durable peut être le règlement intérieur de l’entreprise, une politique interne, son code de conduite ou encore une charte rédigée spécifiquement en ce sens et dont la violation pourrait entraîner des sanctions disciplinaires.
*****
En conclusion, certes la Loi n’a pas prévu de sanction stricto sensu en cas d’absence de procédure d’alerte au sein de l’entreprise. Cependant, par ce comportement, l’entreprise s’expose à un risque notamment réputationnel dès lors que, en l’absence de contact interne, on ne peut pas exclure que le lanceur passe directement au grade 3 du signalement et rende ainsi public le contenu de l’alerte. L’employeur ne pourra alors que tirer les conséquences d’un risque faussement minimisé générant ainsi de « potentiels WikiLeaks » qui auraient pu être maîtrisés…
Victoria GODEFROOD-BERRA
Vivaldi-Avocats
[1] Si la procédure d’alerte concerne également d’autres acteurs notamment publics, seul le cas des personnes morales de droit privé sera traité dans cet article (cf. article 8 de la loi Sapin II et article 1 du Décret n° 2017-564 du 19 avril 2017)
[2] « Pour les personnes morales de droit privé et pour les personnes morales de droit public employant des personnels dans les conditions du droit privé, le seuil de cinquante salariés prévu au III de l’article 8 de la loi du 9 décembre 2016 susvisée est déterminé selon les modalités prévues aux articles L. 1111-2 et L. 1111-3 et au premier alinéa de l’article L. 2322-2 du code du travail » (cf. article 3 du Décret n° 2017-564 du 19 avril 2017)
[3] Circulaire n° CRIM/2018-01/G3-31.01.2018 du 31 janvier 2018
[4] Notons que cette définition « exclut également les personnes morales (les ONG et associations ne peuvent donc pas bénéficier de la protection accordée aux lanceurs d’alerte) » (cf. Circulaire n° CRIM/2018-01/G3-31.01.2018 du 31 janvier 2018).
[5] Article 5 du Décret n° 2017-564 du 19 avril 2017
[6] Ibid
[7] Circulaire n° CRIM/2018-01/G3-31.01.2018 du 31 janvier 2018
[8] Article 4 du Décret n° 2017-564 du 19 avril 2017
[9] Article 5 du Décret n° 2017-564 du 19 avril 2017
[10] Circulaire n° CRIM/2018-01/G3-31.01.2018 du 31 janvier 2018
