Conséquences de la non-mise en œuvre de la politique de dénonciation

Les délais de transposition de la Directive sur les lanceurs d'alerte sont depuis longtemps dépassés. Les entreprises employant au moins 50 salariés devaient être en conformité avant le 17 décembre 2023. Les sociétés financières, organismes publics et sociétés cotées étaient déjà concernés deux ans auparavant. Deux régimes de sanction s'appliquent désormais en parallèle. La Cour de justice de l'Union européenne sanctionne les États membres qui ont tardé à transposer la directive. Les procureurs nationaux et les tribunaux du travail appliquent les sanctions pénales, administratives et civiles que les lois résultantes contiennent réellement, tant aux personnes physiques qu'aux organisations.

Cinq États membres ont déjà payé pour leur retard

Le 6 mars 2025, la Cour de justice de l'Union européenne a statué contre cinq États membres qui avaient pris trop de temps, ou qui dans certains cas n'avaient même pas commencé, à transposer la Directive 2019/1937. L'Allemagne a reçu une amende forfaitaire de 34 millions d'euros. La République tchèque a été condamnée à 2,3 millions d'euros, la Hongrie à 1,75 million d'euros, le Luxembourg à 375 000 euros. L'Estonie doit verser 500 000 euros plus une pénalité quotidienne de 1 500 euros qui continue de s'accumuler jusqu'à ce que le pays se mette en conformité.

Ce sont des sanctions sur les trésors publics nationaux payées par les contribuables, ordonnées par la même cour qui a entendu les plaintes en manquement de la Commission européenne. La facture est arrivée parce que les États concernés n'avaient pas notifié à la Commission les mesures de transposition, les avaient notifiées tardivement, ou de manière incomplète. Dans toute l'Union européenne, le délai entre la date limite et la conformité totale se mesure encore en mois, et la Commission a signalé son intention de continuer à surveiller les transpositions tardives jusqu'à ce que chaque État membre soit en règle.

En lisant ensemble les jugements, un principe est difficile à ignorer.

« Un État membre ne peut pas invoquer les dispositions, pratiques ou situations qui prévalent dans son ordre juridique interne pour justifier l'inobservation des obligations qui lui incombent en vertu du droit de l'Union. »
Cour de justice de l'Union européenne, 6 mars 2025

Les pénalités s'appliquent aux personnes nommées, non « à l'entreprise »

Les transpositions nationales varient dans les détails, mais le schéma de conception se répète dans la plupart de l'Union européenne. Les représailles contre un lanceur d'alerte sont traitées comme une infraction pénale des personnes physiques, non de la personne morale. La divulgation de l'identité d'un lanceur d'alerte est une infraction distincte. Le dépôt d'un rapport délibérément faux entraîne sa propre pénalité pénale, sur le principe que la protection accordée aux lanceurs d'alerte agissant de bonne foi doit être assortie de sanctions contre ceux qui agissent de mauvaise foi.

L'omission de mettre en place un canal de signalement interne suit une trajectoire différente. Dans la plupart des juridictions, c'est une matière administrative ou quasi-administrative, avec des amendes visant les personnes responsables plutôt que l'entité. Le libellé de la directive parle de personnes physiques responsables du manquement, et la plupart des États membres ont suivi ce libellé. Il en résulte que les responsables de la conformité, les directeurs des ressources humaines et les membres du conseil d'administration nommés figurent comme défendeurs. L'entreprise elle-même n'est pas le défendeur.

L'inversion de la charge de la preuve change la donne

La disposition qui retient le plus l'attention des conseils en conformité est enfouie dans le chapitre de l'application de la directive. Une fois qu'un lanceur d'alerte démontre avoir subi un préjudice après avoir effectué un signalement, la directive présume que le préjudice était une représaille. L'employeur doit alors prouver que l'action aurait eu lieu de toute façon. Cette inversion s'applique au licenciement, à la rétrogradation, aux évaluations de performance, à la formation refusée, à la promotion bloquée et à tout traitement négatif lié au signalement.

Associez cela à l'étendue personnelle large de la directive et le fardeau devient plus lourd. La protection s'étend aux salariés, aux prestataires, aux fournisseurs, aux candidats rejetés en raison d'un signalement antérieur, aux anciens salariés, aux bénévoles et aux stagiaires. Une défense selon laquelle « nous n'avons jamais eu de contrat avec cette personne » survit rarement aux propres définitions de la directive.

La Commission européenne énonce la norme clairement.

« La directive permet aux personnes travaillant dans des organisations du secteur public ou privé ou pour de telles organisations de signaler les violations du droit de l'Union de manière confidentielle, sans craindre des représailles. »
Commission européenne, Protection des lanceurs d'alerte

Un classeur sur une étagère ne compte pas

Plusieurs États membres ont été plus loin que le minimum établi par la directive. Leurs lois ne sanctionnent pas seulement l'absence d'un canal interne, elles sanctionnent aussi son existence en violation importante des exigences légales. Une boîte de réception non lue ne faisant l'objet d'aucune surveillance. Un formulaire Web qui renvoie les plaintes au responsable signalé. Une procédure diffusée une seule fois à l'intégration et jamais mentionnée à nouveau. Chacune de ces situations peut dépasser la limite.

L'effet pratique est que le déploiement d'un système n'est plus le point final du travail. Les auditeurs s'attendent à voir les journaux d'accès, les délais de réponse, le suivi des représailles et une séparation claire entre le responsable signalé et le canal examinant le signalement. La mise en œuvre du canal lui-même est la partie facile. Le maintenir utilisable, confidentiel et visiblement actif est ce qui vous évite une poursuite.

La directive, les transpositions nationales et les affaires qui parviennent maintenant aux tribunaux nationaux et aux conseils de prud'hommes pointent tous vers la même exposition. Les amendes maximales varient selon la juridiction, mais les destinataires sont les mêmes : le directeur qui a approuvé la procédure, le responsable qui a agi suite à un signalement, l'agent des ressources humaines qui a géré le dossier. Certaines lois incluent également les fournisseurs et les parties contractantes.

La directive a acquis un corpus de jurisprudence pour accompagner son cadre réglementaire : des jugements de la CJUE contre les États membres, des condamnations pénales contre des responsables individuels, des ordres de dommages-intérêts civils contre les employeurs. Pour les organisations dans son champ d'application, la question de ce qui se passe si elles l'ignorent a un dossier public de réponses.