Loi espagnole sur les lanceurs d'alerte, la Ley 2/2023

La Ley 2/2023, du 20 février est la loi espagnole sur les lanceurs d'alerte. Elle protège les personnes qui signalent des infractions et contribue à la lutte contre la corruption. Elle transpose la directive européenne 2019/1937 en droit espagnol. La loi est en vigueur depuis le 13 mars 2023. Elle fixe des obligations claires pour les entreprises et les organismes publics. Nous expliquons ci-dessous qui elle vise, ce que vous devez préparer et quelles sont les sanctions.

Qui doit se conformer à la Ley 2/2023 ?

Dans le secteur privé, l'obligation commence à 50 personnes. Toute entreprise de 50 salariés ou plus doit disposer d'un système de signalement interne. Les sociétés des secteurs réglementés, comme la finance, sont concernées quelle que soit leur taille.

Dans le secteur public, l'obligation vise tout le monde. Elle s'étend à l'administration centrale, aux régions et à tous les organismes locaux. La directive européenne permettait aux communes de moins de 10 000 habitants de s'en exempter, mais l'Espagne a écarté cette dérogation. Elle vise aussi les partis politiques, les syndicats, les organisations patronales et leurs fondations lorsqu'ils gèrent des fonds publics.

Les petites structures et les petites communes ont disposé de plus de temps. La règle générale donnait 3 mois à compter de l'entrée en vigueur de la loi pour mettre en place le système. Les entreprises privées de moins de 250 salariés et les communes de moins de 10 000 habitants pouvaient attendre jusqu'au 1er décembre 2023. Les entreprises de 50 à 249 salariés peuvent aussi partager des outils et du personnel pour traiter les signalements.

Comment mettre en place le système de signalement interne ?

Le canal interne est le premier interlocuteur. La loi vous demande de l'utiliser en priorité lorsque l'infraction peut être réglée au sein de l'entreprise et qu'il n'y a pas de risque de représailles. Il doit être ouvert aux salariés, aux travailleurs indépendants, aux stagiaires et aux autres personnes liées à l'entreprise.

Le système doit respecter plusieurs règles :

• permettre les signalements par écrit, oralement, ou les deux ;
• accepter et traiter les signalements anonymes ;
• préserver la confidentialité du lanceur d'alerte et de tout tiers nommé ;
• désigner un responsable du système qui agit de manière autonome et à l'abri des pressions ;
• tenir un registre des signalements, qui reste confidentiel pendant un maximum de 10 ans ;
• traiter les données conformément au RGPD et aux règles espagnoles de protection des données.

Le responsable du système joue un rôle clé. L'organe de direction de l'entité le désigne. Sa nomination et sa révocation doivent être communiquées à l'Autorité indépendante de protection des lanceurs d'alerte (A.A.I.) dans un délai de 10 jours ouvrables. Il exerce sa mission sans recevoir d'ordres d'autres organismes.

La loi fixe des délais stricts. Vous devez accuser réception du signalement sous 7 jours calendaires. Vous devez répondre au lanceur d'alerte dans un délai de 3 mois. Les cas difficiles peuvent bénéficier de 3 mois supplémentaires.

La procédure n'est pas la même chose que l'outil. Le canal définit le processus. Mais le système complet doit être fiable, protéger les données et contrôler qui peut y accéder. Wemoral, en tant que système de signalement, répond à ces besoins. Il vous permet de le déployer sans construire un outil de toutes pièces. Si vous partez de zéro, nous vous aidons avec un modèle de politique de signalement et un guide pour mettre en place le système.

Quelles infractions peut-on signaler ?

La loi couvre un large éventail de sujets. Par le biais du système interne ou du canal externe, vous pouvez signaler :

• les infractions au droit de l'Union européenne au titre de la directive 2019/1937, comme celles qui portent atteinte au marché unique ou aux finances de l'UE ;
• les infractions pénales ou administratives graves ou très graves au droit espagnol ;
• surtout, celles qui causent un préjudice financier au Trésor public ou à la Sécurité sociale.

Certaines matières sont exclues. La loi ne couvre pas les informations classifiées, le secret professionnel des médecins et des avocats, le secret des délibérations judiciaires, ni la santé et la sécurité au travail. D'autres secteurs dotés de leurs propres règles sont également exclus.

Qui peut être lanceur d'alerte ?

Pas seulement le salarié inscrit sur la fiche de paie. Un lanceur d'alerte est toute personne qui signale ou rend publique une infraction dont elle a eu connaissance dans le cadre de son travail. Nous l'expliquons en détail dans notre article sur qui est un lanceur d'alerte. Au sens de la loi, il peut s'agir :

• de l'agent public ou du salarié rémunéré ;
• du travailleur indépendant ;
• de l'associé et des membres de l'organe de direction ou de gestion ;
• de toute personne travaillant pour des prestataires, sous-traitants et fournisseurs ;
• du bénévole, du stagiaire et de l'apprenti ;
• du candidat à un emploi ayant obtenu l'information au cours du processus de recrutement ;
• de l'ancien salarié, même après la fin du contrat.

La protection s'étend aussi aux représentants des travailleurs et aux proches susceptibles d'en être punis, comme la famille ou les collègues.

Comment le lanceur d'alerte est-il protégé ?

L'objectif principal de la loi est la protection contre les représailles. La protection commence dès le signalement ou la divulgation publique. Il y a une condition. Le lanceur d'alerte devait avoir des motifs raisonnables de croire que l'information était vraie au moment des faits, et qu'elle relevait du champ de la loi.

Interdiction des représailles

La liste des représailles n'est pas limitative. Elle comprend le licenciement, la suspension ou le non-renouvellement du contrat, la rétrogradation, le blocage des promotions, une modification importante des conditions de travail, l'atteinte à la réputation ou aux intérêts financiers, la coercition, les menaces, le harcèlement, la mise à l'écart, l'inscription sur des listes noires ou le refus de formation. L'interdiction couvre aussi la menace ou la tentative de commettre l'un de ces actes.

Les actes de représailles sont nuls dès l'origine. La loi les prive d'effet. Ils peuvent donner lieu à des mesures de réparation, à des sanctions disciplinaires et, le cas échéant, à l'indemnisation du préjudice causé.

Renversement de la charge de la preuve

Le lanceur d'alerte n'a pas à prouver les représailles. Dès lors qu'il démontre avoir signalé dans les règles et avoir subi un préjudice, ce préjudice est présumé constituer des représailles. C'est à la partie adverse de prouver le contraire.

« Dès lors que le lanceur d'alerte a raisonnablement démontré qu'il a effectué un signalement ou une divulgation publique conformément à la présente loi et qu'il a subi un préjudice, ce préjudice est présumé être survenu en représailles du signalement. En pareil cas, il appartient à la personne ayant pris la mesure préjudiciable de prouver que cette mesure reposait sur des motifs dûment justifiés et sans rapport avec le signalement. »
Article 38.4 de la Ley 2/2023, du 20 février

Voies de signalement

La loi prévoit trois voies pour signaler une même infraction :

L'A.A.I. gère le canal externe. C'est une autorité de contrôle de niveau national qui agit de manière autonome. Elle accuse réception d'un signalement sous 5 jours ouvrables. Elle décide de le prendre en charge dans un délai de 10 jours ouvrables. Elle clôt l'affaire dans un délai de 3 mois. La divulgation publique n'est protégée que dans trois cas : les canaux précédents n'ont pas agi à temps, il existe un danger manifeste et imminent pour le public, ou le canal externe serait inefficace.

Quelles sanctions la loi prévoit-elle ?

Les sanctions sont sévères. Elles dépendent de la gravité de l'infraction. Elles dépendent aussi du fait que le responsable soit une personne physique ou une entreprise.

Les représailles et l'absence de canal constituent des infractions très graves. Il en va de même pour la divulgation de l'identité du lanceur d'alerte, ou même sa tentative. Dans ces cas, l'A.A.I. peut ajouter un avertissement public, une interdiction de subventions pour une durée maximale de 4 ans et une interdiction de marchés publics pour une durée maximale de 3 ans.

Les sanctions les plus lourdes sont rendues publiques. Les amendes de 600 001 € ou plus infligées aux entreprises peuvent paraître au Journal officiel de l'État une fois devenues définitives. Les infractions très graves se prescrivent au bout de 3 ans, les graves au bout de 2 ans et les mineures au bout de 6 mois.

La Ley 2/2023 est déjà pleinement en vigueur. Les organismes qu'elle vise devraient donc avoir leur canal de signalement interne prêt à l'emploi. Pour voir comment elle s'articule avec le reste de l'Europe, parcourez notre liste des lois sur les lanceurs d'alerte par pays. Plus vite vous mettez en place le système, plus le risque d'amendes diminue.