Loi bulgare sur les lanceurs d'alerte "ЗЗЛПСПОИН"

La Bulgarie a confié son dispositif de signalement à un service que l'on n'attendait pas. La Commission pour la protection des données personnelles gère le canal de signalement de l'État. La loi sur la protection des personnes qui signalent ou divulguent publiquement des informations sur des violations (ЗЗЛПСПОИН) interdit les signalements anonymes et écarte tout fait remontant à plus de deux ans. Une entreprise qui néglige le canal interne s'expose à une amende pouvant aller jusqu'à 20 000 leva. Voici comment ces règles fonctionnent.

Qui et quoi la loi protège-t-elle ?

La loi couvre un champ très large. Un signalement peut viser une violation du droit de l'Union. Cela englobe les marchés publics, les services financiers et la sécurité des produits. Cela englobe aussi la sécurité des transports, l'environnement, la santé publique et la protection des données. Mais la Bulgarie est allée plus loin que ce que demande la directive. La loi couvre toute infraction pénale de droit commun dont un travailleur a connaissance dans le cadre de son travail. Elle couvre également les règles bulgares sur le travail, la fonction publique et les dettes publiques. Un travailleur peut donc signaler un vol ou la dissimulation d'un problème de sécurité, et pas seulement une violation du droit de l'Union.

« La présente loi s'applique aux signalements ou à la divulgation publique d'informations concernant ... une infraction pénale de nature générale dont une personne visée à l'article 5 a eu connaissance dans le cadre de l'exercice de son travail. »
Article 3(1) de la loi sur la protection des personnes qui signalent des violations

La protection s'étend à une longue liste de personnes. Elle couvre les salariés et les fonctionnaires. Les travailleurs indépendants, les sous-traitants et les fournisseurs en font partie. Les bénévoles et les stagiaires aussi. Le bouclier s'étend aux dirigeants de société, aux actionnaires et au propriétaire unique d'une entreprise. Il s'applique même au candidat à un emploi qui a eu connaissance d'une violation pendant son recrutement, et au travailleur dont le contrat a déjà pris fin. Les personnes qui aident le lanceur d'alerte et ses proches sont également protégés, car ils peuvent subir des représailles pour le signalement d'autrui.

Certaines matières restent en dehors de la loi. Elle ne touche pas aux informations classifiées, ni aux marchés de défense visés par les traités de l'Union. Le secret professionnel de l'avocat est exclu, de sorte que les avocats tenus au secret demeurent couverts. Le secret médical est exclu lui aussi. Il en va de même des délibérations des tribunaux et des règles de la procédure pénale.

Quels employeurs doivent mettre en place un canal ?

L'obligation pèse sur tout employeur du secteur public. Elle pèse aussi sur les entreprises privées de 50 travailleurs ou plus. Dans certains domaines, la taille importe peu. Une entreprise du secteur financier ou de la lutte contre le blanchiment de capitaux doit mettre en place un canal quel que soit son effectif. Il en va de même pour les autres domaines couverts par des actes de l'Union énumérés. Les petites communes bénéficient d'un allègement. Une municipalité de moins de 10 000 habitants peut mutualiser ses ressources avec d'autres. Tout comme une entreprise de moins de 50 salariés.

L'obligation est entrée en vigueur par étapes. La loi a pris effet le 4 mai 2023, trois mois après sa publication. Les organismes publics et les grandes entreprises privées devaient être prêts à cette date. Les entreprises privées de 50 à 249 salariés ont disposé de plus de temps. Leur échéance était le 17 décembre 2023. Ces entreprises de taille intermédiaire peuvent elles aussi mutualiser un canal. Elles peuvent désigner une personne ou une unité unique pour traiter les signalements de tout le groupe.

Tout employeur soumis à l'obligation doit publier la marche à suivre pour signaler. Les modalités figurent sur son site internet et dans ses locaux. Et il doit revoir ses propres règles de signalement au moins une fois tous les trois ans.

Comment mettre en place le canal de signalement interne ?

D'abord, désignez un salarié chargé de recevoir et d'évaluer les signalements. Ce peut être la personne qui s'occupe déjà de la protection des données. Cela fonctionne tant qu'il n'y a pas de conflit d'intérêts. Elle seule peut lire les signalements entrants. Elle doit protéger le nom de chaque auteur de signalement. Elle doit en écarter quiconque n'a pas besoin d'y avoir accès. Le personnel doit pouvoir signaler par écrit, par téléphone ou en personne. L'auteur du signalement remplit un formulaire type, établi par la commission de protection des données.

« Les salariés chargés d'examiner les signalements ... accusent réception dans un délai de 7 jours, veillent à ce que l'identité de l'auteur du signalement soit dûment protégée, et fournissent un retour sur les suites données dans un délai n'excédant pas trois mois. »
Article 16 de la loi sur la protection des personnes qui signalent des violations

Le compte à rebours commence alors. La personne en charge doit accuser réception dans un délai de 7 jours. Elle doit donner un retour à l'auteur du signalement dans un délai de trois mois. Chaque employeur tient un registre non public des signalements. Le registre indique qui a reçu le signalement et quand. Il indique la violation alléguée et les suites qui y ont été données. Si les faits se confirment, la personne en charge propose une mesure corrective. Si une infraction apparaît, le dossier part directement au procureur.

WeMoral remet à la personne désignée une boîte de réception scellée. Personne d'autre ne peut l'ouvrir. Il tient aussi le registre non public exigé par l'article 18, chaque entrée étant horodatée. C'est un logiciel de signalement auto-hébergé conforme à ce que la ЗЗЛПСПОИН exige du canal interne. Une entreprise privée peut confier ce travail à un prestataire externe, et WeMoral occupe cette place. Lorsque la commission transmet un dossier, ou que le Médiateur audite le fichier, c'est ce registre horodaté qui fait référence. Vous pouvez ouvrir le canal interne en une journée.

Que se passe-t-il lorsque vous signalez à l'État ?

La voie externe passe par un seul organisme. La Bulgarie a désigné sa Commission pour la protection des données personnelles comme autorité centrale pour les signalements externes. Le même régulateur qui veille sur les données personnelles reçoit désormais les signalements des lanceurs d'alerte. Il ne tranche pas lui-même la plupart des affaires. Il transmet chaque signalement au régulateur sectoriel compétent dans un délai de 7 jours. Et il tient le nom de l'auteur du signalement à l'écart de cette transmission.

« L'autorité centrale pour le signalement externe et pour la protection des personnes bénéficiant d'une protection au titre de la présente loi est la Commission pour la protection des données personnelles. »
Article 19 de la loi sur la protection des personnes qui signalent des violations

La liste des organismes destinataires est longue. Un signalement financier va à la Commission de surveillance financière. Un signalement alimentaire va à l'Agence bulgare de sécurité des aliments. Un signalement en matière de concurrence va au régulateur de la concurrence. Au total, la commission peut orienter les signalements vers 14 autorités désignées. Elle doit fournir un retour à l'auteur du signalement dans un délai de trois mois. Une affaire complexe peut porter ce délai à six mois. Vous pouvez consulter les règles du canal sur le site de la commission.

Le canal constitue une unité distincte au sein de la commission. Les signalements sont répartis au hasard entre des agents formés. Ces agents ne peuvent transmettre les détails d'un signalement à personne. Cette interdiction s'étend même aux autres membres de la commission.

Un contrôle supplémentaire vient s'ajouter par-dessus. Le Médiateur de la République audite le travail de la commission sur les signalements. Le Médiateur vérifie si les délais ont été respectés, si les registres sont conformes à la loi, et si les auteurs de signalements ont été protégés. Il examine aussi les plaintes contre la commission et rend compte chaque année au Parlement. Ainsi, l'organisme qui gère le canal est lui-même surveillé.

Aucun signalement anonyme, et un délai de deux ans

La Bulgarie a fait deux choix que la directive laissait ouverts. Elle n'ouvrira pas de procédure sur un signalement anonyme. Et elle n'agira pas sur une violation commise il y a plus de deux ans. Le formulaire type demande les nom et adresse complets de l'auteur du signalement. Il demande son téléphone et sa signature. Le système est donc bâti autour de signalements nominatifs.

« Aucune procédure n'est ouverte sur : 1. les signalements anonymes ; 2. les signalements portant sur des violations commises il y a plus de deux ans. »
Article 9 de la loi sur la protection des personnes qui signalent des violations

Il existe une soupape de sécurité. Supposons qu'une personne ait signalé de façon anonyme. Supposons qu'elle ait été identifiée par la suite, puis qu'elle ait subi des représailles. La loi la protège tout de même. Il lui suffit d'avoir eu de bonnes raisons de croire que le signalement était véridique. Le délai de deux ans et la règle d'absence d'anonymat resserrent donc la porte d'entrée. Mais ils ne privent pas de protection celui qui est démasqué et puni.

Comment les lanceurs d'alerte sont-ils protégés contre les représailles ?

Les représailles sont purement et simplement interdites. La loi en énumère 15 formes. Elles vont du licenciement et de la rétrogradation à la baisse de salaire. Elles incluent une mutation imposée et une mauvaise référence. Une mise sur liste noire, la résiliation d'un contrat et le retrait d'une licence figurent sur la liste. Tout comme l'obligation de passer un examen médical. Les menaces et les tentatives comptent aussi.

« Toute forme de représailles à l'encontre des personnes visées à l'article 5, ayant le caractère de rétorsion et les plaçant dans une situation défavorable, ainsi que les menaces ou tentatives de tels actes, sont interdites. »
Article 33 de la loi sur la protection des personnes qui signalent des violations

La loi fait également pencher la balance en faveur de l'auteur du signalement. Le lanceur d'alerte frappé par des représailles peut réclamer des dommages et intérêts. Le préjudice est présumé intentionnel jusqu'à ce que l'autre partie prouve le contraire. Et dans une affaire de représailles, la charge de la preuve incombe à l'employeur. Il doit prouver que sa mesure reposait sur un motif licite. Il doit démontrer que le signalement n'en était pas la cause.

Le soutien accompagne la protection. La commission fournit des conseils gratuits. Le Bureau national d'aide juridictionnelle assure l'aide juridictionnelle. Cela couvre les affaires pénales, civiles et administratives. Un médiateur peut intervenir dans les litiges transfrontaliers. L'auteur du signalement est aussi dégagé de toute responsabilité pour s'être procuré l'information. Et la divulgation protégée d'un secret d'affaires est réputée licite.

L'auteur d'un signalement visé par une action en justice dispose d'un droit de plus. Il peut demander au tribunal de classer l'affaire. Il lui suffit d'avoir eu de bonnes raisons de croire que le signalement était nécessaire pour révéler une violation.

Quelles sont les amendes ?

Les sanctions sont exprimées en leva, la monnaie nationale. Le lev est arrimé à l'euro au taux de 1,95583. Le président de la commission de protection des données émet les avis de sanction. Les sommes sont versées au budget de l'État. Les montants ci-dessous augmentent en cas de récidive.

La conception bulgare lui est propre. La plupart des pays ont créé un service entièrement nouveau. D'autres se sont appuyés sur un régulateur du travail. La Bulgarie a confié la tâche à son gardien des données. Puis elle a chargé un Médiateur de surveiller le surveillant. Sur le papier, l'ajustement est élégant. La commission sait déjà garder les noms secrets. La question ouverte est plus délicate. Le fait d'acheminer un signalement par une seule commission, puis vers 14 ministères, protège-t-il l'expéditeur aussi bien que la loi le promet ? Pour voir comment la Bulgarie se situe par rapport au reste du bloc, notre liste des lois sur les lanceurs d'alerte par pays les présente côte à côte.