La transposition de la directive lanceurs d'alerte a pris plus de temps que prévu

Les retards de transposition de la directive européenne sur les lanceurs d'alerte ont frôlé les trois ans. L'échéance était fixée au 17 décembre 2021. Deux des 27 États membres l'ont respectée : le Danemark et la Suède. La Pologne a clôturé la liste le 25 septembre 2024, avec 1 013 jours de retard. Les dates proviennent de notre rapport 2026 sur la directive européenne sur les lanceurs d'alerte, qui compare les 27 lois nationales. Voici la chronologie complète.

Quelle était l'échéance de transposition de la directive ?

La directive 2019/1937 laissait aux États membres jusqu'au 17 décembre 2021 pour adopter une loi nationale. Les entreprises privées de taille moyenne, de 50 à 249 salariés, ont bénéficié d'un délai supplémentaire, jusqu'au 17 décembre 2023. Seuls le Danemark et la Suède ont tenu la première date. Personne n'a été en avance. La Commission européenne a ouvert des procédures d'infraction contre la plupart des 25 États qui l'ont manquée.

Une directive lie les gouvernements, pas les entreprises. Un salarié n'est protégé qu'une fois la loi nationale adoptée. Nous expliquons ce mécanisme dans pourquoi l'UE a créé la directive sur les lanceurs d'alerte.

« 2 États membres sur 27 ont transposé dans les délais, le Danemark et la Suède, tous deux le 17 décembre 2021. Personne n'a été en avance. »
WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 4

Quels pays ont transposé la directive en retard, et de combien ?

Tous les États membres, sauf le Danemark et la Suède, ont manqué l'échéance. Malte s'en est approchée au plus près, avec sept jours de retard. Chypre et la Lettonie ont suivi, à 49 jours. À l'autre extrémité, l'Estonie a mis 989 jours et la Pologne 1 013. L'État membre moyen a accusé 380 jours de retard, soit plus d'un an.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 6. La Belgique est datée d'après sa loi visant le secteur privé ; ses huit textes s'échelonnent du 1er septembre 2022 au 18 janvier 2024.

Le Danemark et la Suède ont donné l'impression que c'était facile. Les deux lois sont entrées en vigueur le jour même de l'échéance. Leurs législations sont traitées dans les articles sur la loi danoise et suédoise relatives aux lanceurs d'alerte. Le tableau ci-dessous indique la date et le retard de chaque pays.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 6.

La Pologne a clôturé la liste, avec 1 013 jours de retard

« 1 013 jours, c'est le retard de la Pologne, le plus long de l'UE. L'État membre moyen a accusé plus d'un an de retard. »
WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 4

La loi polonaise est entrée en vigueur le 25 septembre 2024, près de trois ans après l'échéance. À cette date, le délai supplémentaire prévu par la directive pour les entreprises de taille moyenne avait déjà expiré. La loi polonaise est donc arrivée sans la moindre période transitoire. Tous les employeurs assujettis ont été pris de court d'un coup. L'histoire complète de cette loi figure dans notre article sur la loi polonaise sur les lanceurs d'alerte.

L'Estonie a été le deuxième pire cas, avec 989 jours. Elle a ensuite reporté une nouvelle fois l'obligation pour les entreprises privées de taille moyenne, au 1er janvier 2025. Une entreprise estonienne de 100 salariés a vu son obligation de canal arriver plus d'un an après sa jumelle finlandaise, de l'autre côté du golfe.

Comment chaque État a-t-il transposé, nouvelle loi ou modification ?

Vingt des 27 États membres ont rédigé une nouvelle loi dédiée aux lanceurs d'alerte. Six ont modifié une loi antérieure à la directive : la France, l'Irlande, la Lituanie, Malte, les Pays-Bas et la Slovaquie. La Belgique fait cavalier seul. Elle a utilisé huit textes distincts, des lois fédérales ainsi que des décrets et arrêtés régionaux.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 6.

« La Belgique a eu besoin de huit lois, décrets et arrêtés distincts pour transposer une seule directive. »
WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 4

La voie de la modification explique certaines dates surprenantes. Malte n'a eu que sept jours de retard parce qu'elle s'est contentée de modifier sa loi de 2013. La France a intégré la directive dans sa loi Sapin II de 2016. La loi de base de la Slovaquie est en vigueur depuis le 1er mars 2019, si bien que son obligation à partir de 50 salariés est plus ancienne que la directive. L'Irlande a modifié son Protected Disclosures Act 2014. Les Pays-Bas ont reconstruit leur loi de 2016. Là où l'ancienne structure a subsisté, certaines parties de la directive ne sont arrivées qu'à moitié abouties. Notre rapport signale chacun de ces cas en vue d'un examen juridique.

L'ensemble belge s'étale du 1er septembre 2022 au 18 janvier 2024. La loi visant le secteur privé est entrée en vigueur le 15 février 2023. Une entreprise qui y opère doit lire côte à côte les règles fédérales et régionales. L'article sur la loi belge sur les lanceurs d'alerte décortique ce dispositif à plusieurs niveaux.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 6.

Qu'a signifié le retard de transposition pour les entreprises ?

Une directive sans loi nationale laisse les entreprises dans le flou. Jusqu'à la date propre à chaque État, il n'existait aucune loi nationale à suivre. La directive ne s'adressait qu'aux gouvernements. Dans les États tardifs, le délai supplémentaire accordé aux entreprises de taille moyenne a expiré avant même qu'une loi nationale n'existe pour en profiter.

La voie la plus sûre consistait à mettre en place le canal tôt. Le socle de la directive était public dès 2019 : un canal interne, un accusé de réception sous sept jours, un retour d'information sous trois mois. Les entreprises qui l'ont installé avant l'arrivée de leur loi nationale ont eu peu de choses à changer par la suite. Ce que la directive exige, article par article, figure dans notre article explicatif sur la directive européenne sur les lanceurs d'alerte.

27 lois en vigueur, 27 recueils de règles différents

Les 27 lois sont désormais en vigueur, si bien que le chapitre des retards est clos. Ce que ces années de retard ont produit est loin d'être uniforme. Les lois nationales diffèrent sur les amendes, l'anonymat, la conservation des données et l'identité de l'autorité qui contrôle la conformité. Une entreprise qui a attendu l'arrivée de sa propre loi a maintenant 27 recueils de règles à lire. Le rapport de transposition 2026 les met côte à côte, 33 points de données par pays, chaque date de départ étant placée à côté des règles qui l'accompagnaient. Vérifiez les lignes de vos pays avant de bâtir une politique unique pour tous.