Loi belge sur les lanceurs d'alerte, la loi du 28 novembre 2022
La loi du 28 novembre 2022 protège les lanceurs d'alerte du secteur privé en Belgique. Elle transpose la directive européenne 2019/1937 et elle est en vigueur depuis le 15 février 2023. Une seconde loi, du 8 décembre 2022, couvre le secteur public fédéral. Cet article porte sur le texte qui concerne les entreprises. Voici qui est protégé, quelles entreprises doivent agir et quelles sanctions s'appliquent.
Faits essentiels
- L'obligation vise les entreprises privées d'au moins 50 travailleurs. Pour celles de 50 à 249 travailleurs, elle s'applique depuis le 17 décembre 2023.
- Le champ va des marchés publics à la protection des données, et la Belgique y a ajouté la fraude fiscale et la fraude sociale.
- Il existe trois voies de signalement. Le canal externe passe par le Médiateur fédéral, qui joue le rôle de coordinateur pour le secteur privé.
- Les représailles sont interdites et la charge de la preuve pèse sur l'employeur. L'indemnité va de 18 à 26 semaines de salaire.
- Entraver une alerte ou exercer des représailles est puni de six mois à trois ans de prison et de 600 à 6 000 € d'amende.
Qu'est-ce que la loi belge sur les lanceurs d'alerte ?
La Belgique a transposé la directive par deux lois. La loi du 28 novembre 2022 vise le secteur privé. La loi du 8 décembre 2022 vise le secteur public fédéral. Les deux reprennent les mêmes principes : des canaux de signalement, un suivi encadré et une protection contre les représailles. Une entreprise privée relève de la première.
Le texte est d'ordre public. On ne peut pas y renoncer par contrat, par règlement de travail ni par convention collective. Toute clause qui prive le lanceur d'alerte de ses droits est nulle. La loi pose donc un socle minimal que l'entreprise ne peut pas réduire.
Qui est protégé par la loi ?
La protection dépasse le seul salarié. Au sens de l'article 6, est protégée toute personne qui obtient des informations sur une violation dans un cadre professionnel. Nous expliquons la notion dans notre article sur qui est un lanceur d'alerte. La loi cite notamment :
- les travailleurs, les anciens salariés et les candidats à un emploi ;
- les indépendants, les actionnaires et les membres des organes de direction ou de surveillance ;
- les bénévoles et stagiaires, rémunérés ou non ;
- les personnes qui travaillent sous la direction de sous-traitants et de fournisseurs.
L'entourage du lanceur d'alerte est couvert aussi. La protection s'étend aux facilitateurs, aux collègues et aux proches exposés à des représailles, ainsi qu'aux entreprises liées au lanceur d'alerte. La bonne foi reste la condition de fond. Le lanceur d'alerte devait avoir des motifs raisonnables de croire, au moment des faits, que les informations étaient vraies.
Quelles violations peut-on signaler ?
La loi couvre une large liste de domaines. Vous pouvez signaler une violation du droit belge ou européen dans l'un de ces domaines :
- les marchés publics ;
- les services, produits et marchés financiers, et la lutte contre le blanchiment ;
- la sécurité et la conformité des produits ;
- la sécurité des transports ;
- la protection de l'environnement ;
- la radioprotection et la sûreté nucléaire ;
- la sécurité des aliments, et la santé et le bien-être des animaux ;
- la santé publique ;
- la protection des consommateurs ;
- la vie privée et les données à caractère personnel, et la sécurité des réseaux.
La Belgique y a ajouté deux domaines. La loi couvre aussi les signalements portant sur la fraude fiscale et la fraude sociale. Elle vise en outre les atteintes aux intérêts financiers de l'Union et les violations du marché intérieur, y compris en matière de concurrence et d'aides d'État.
Certains secrets restent hors du régime. La loi ne s'applique pas aux informations classifiées, au secret médical, au secret professionnel de l'avocat ni au secret des délibérations judiciaires. Pour le reste, le signalement est protégé dès lors que les conditions de la loi sont réunies.
Quelles entreprises doivent mettre en place un canal interne ?
L'obligation commence à 50 travailleurs. Toute entité juridique du secteur privé qui compte au moins 50 travailleurs doit établir un canal de signalement interne. Les entreprises de moins de 50 travailleurs en sont dispensées, sauf dans les secteurs financiers réglementés, qui sont concernés quel que soit leur effectif.
« Les entités juridiques du secteur privé établissent des canaux et des procédures pour le signalement interne et pour le suivi, après consultation des partenaires sociaux. [...] le paragraphe 1er ne s'applique pas aux entités juridiques du secteur privé qui comptent moins de cinquante travailleurs. »
Article 11 de la loi du 28 novembre 2022
Les délais d'application ont été échelonnés. Les entreprises de plus de 250 travailleurs étaient tenues d'agir dès le 15 février 2023. Celles de 50 à 249 travailleurs ont eu jusqu'au 17 décembre 2023. Un point pratique : les entreprises de moins de 250 travailleurs ne sont pas obligées d'accepter les signalements anonymes en interne, alors que le Médiateur fédéral et les autorités compétentes, eux, doivent les accepter. Et si une personne signale de façon anonyme, est identifiée par la suite, puis subit des représailles, la protection s'applique quand même. Depuis une modification entrée en vigueur le 31 mars 2024, le seuil de cinquante se calcule sur la moyenne annuelle des travailleurs occupés.
Comment mettre en place le canal de signalement interne ?
L'entreprise consulte d'abord les partenaires sociaux. La loi impose cette consultation avant d'établir le canal et ses procédures. Celui-ci doit garantir la confidentialité du lanceur d'alerte, des personnes visées et des tiers cités. Il accepte les signalements écrits et oraux, et une rencontre en personne sur demande. Il peut être géré en interne ou confié à un prestataire extérieur.
« un accusé de réception du signalement adressé à l'auteur de signalement dans un délai de sept jours [...] un délai raisonnable pour fournir un retour d'informations, n'excédant pas trois mois. »
Article 12 de la loi du 28 novembre 2022
La loi impose donc deux délais clairs. Vous accusez réception dans les sept jours. Vous désignez un gestionnaire de signalement impartial, qui garde le contact avec le lanceur d'alerte. Vous donnez un retour d'informations dans un délai maximal de trois mois.
Deux autres obligations accompagnent le canal. Vous traitez les données personnelles conformément au RGPD et vous écartez tout ce qui n'est pas pertinent pour le signalement. Vous tenez aussi un registre des signalements reçus. Une entreprise de moins de 250 travailleurs peut partager ces ressources avec d'autres, par exemple au sein d'un groupe.
Wemoral est un logiciel de signalement confidentiel conforme à la loi du 28 novembre 2022. Il reçoit les alertes, envoie l'accusé de réception dans les sept jours et permet au gestionnaire de signalement de répondre au lanceur d'alerte dans le délai de trois mois, sans rien développer en interne. Il est livré avec un modèle de politique et un guide pour mettre en place le canal de signalement.
Quelles sont les trois voies de signalement ?
La loi ouvre trois voies pour une même alerte :
| Voie | À qui | Quand |
|---|---|---|
| Canal interne | Au gestionnaire de signalement de l'entreprise | Quand la violation peut être traitée en interne sans risque de représailles |
| Canal externe | Au Médiateur fédéral, coordinateur pour le secteur privé, ou à l'autorité compétente | Directement, ou après un signalement interne resté sans suite |
| Divulgation publique | Au public, par exemple aux médias | En cas de danger imminent pour l'intérêt public, de risque de représailles ou d'inaction après un signalement externe |
Le canal externe est centralisé. La Belgique a confié cette mission au Médiateur fédéral, qui reçoit les signalements externes, vérifie leur recevabilité et les transmet à l'autorité compétente. L'autorité accuse réception dans les sept jours. Elle donne ensuite un retour d'informations dans un délai de trois mois, ou de six mois dans les cas dûment justifiés.
« Les Médiateurs fédéraux, visés par la loi du 22 mars 1995 instaurant des médiateurs fédéraux, sont chargés de la coordination pour les signalements externes dans le secteur privé. »
Article 18 de la loi du 28 novembre 2022
Un institut accompagne le lanceur d'alerte. L'Institut fédéral pour la protection et la promotion des droits humains sert de point d'information central. Il met en œuvre les mesures de soutien : conseils indépendants et gratuits, aide juridique, soutien psychologique et, le cas échéant, une aide financière pendant les procédures.
Comment le lanceur d'alerte est-il protégé contre les représailles ?
La loi interdit quinze formes de représailles. Elle vise notamment le licenciement, la suspension, la rétrogradation, le refus de promotion, la baisse de salaire, l'évaluation négative, l'intimidation, le harcèlement, la mise à l'écart, la mise sur liste noire et l'atteinte à la réputation. La menace et la tentative de représailles sont elles aussi interdites.
La charge de la preuve est renversée. Si le lanceur d'alerte établit qu'il a signalé et qu'il a subi un préjudice, ce préjudice est présumé être une représaille. C'est alors à l'employeur de démontrer que sa décision repose sur des motifs étrangers au signalement.
« Toute personne [...] qui est victime de représailles en violation de l'article 23 est en droit de demander des dommages et intérêts [...]. Cette indemnisation est fixée entre 18 et 26 semaines de salaire. »
Article 27 de la loi du 28 novembre 2022
Une voie de protection rapide existe. Le lanceur d'alerte qui s'estime menacé peut saisir le Médiateur fédéral d'une plainte motivée. L'employeur dispose de quatre semaines pour démontrer que la mesure n'est pas liée au signalement. Le coordinateur rend ensuite une recommandation. Le lanceur d'alerte garde par ailleurs l'accès au tribunal du travail.
Un signalement de bonne foi n'engage aucune responsabilité. Le lanceur d'alerte ne peut être poursuivi pour son signalement, ni pour avoir levé une clause de confidentialité afin de le faire. La protection vaut pour les actions en diffamation, en violation du droit d'auteur, en violation du secret, en matière de protection des données et de secrets d'affaires. Il n'est pas non plus responsable d'avoir obtenu les informations qu'il signale, tant que cette obtention ne constitue pas une infraction en soi.
La personne visée par un signalement est protégée aussi. Son identité reste confidentielle pendant l'enquête, et les droits de la défense s'appliquent. La loi protège le lanceur d'alerte sans abandonner les droits de la personne mise en cause.
Quelles sanctions la loi prévoit-elle ?
La loi distingue les manquements de l'entreprise et les atteintes au lanceur d'alerte :
| Manquement | Sanction |
|---|---|
| Ne pas établir le canal interne ou ne pas tenir le registre des signalements | Sanction de niveau 4 du Code pénal social |
| Entraver une alerte, exercer des représailles, intenter une procédure abusive ou violer la confidentialité | Six mois à trois ans de prison et 600 à 6 000 € d'amende |
| Signaler sciemment de fausses informations | Poursuites au titre des articles 443 à 450 du Code pénal, et dommages et intérêts |
La sanction de niveau 4 est la plus lourde du Code pénal social. Elle peut atteindre une amende pénale ou une amende administrative calculée par travailleur concerné, ce qui pèse vite pour une entreprise de taille moyenne.
La loi belge s'applique pleinement depuis le 17 décembre 2023. Une entreprise de plus de 50 travailleurs devrait donc déjà disposer d'un canal interne. Si ce n'est pas le cas, le risque grandit à chaque signalement reçu hors cadre. Pour situer la Belgique parmi ses voisins, consultez notre liste des lois sur les lanceurs d'alerte par pays.
Conseiller juridique en droit des affaires et propriété intellectuelle. Écrit sur la législation, la Directive de l'UE et les procédures de signalement.