Loi estonienne sur les lanceurs d'alerte "TÕRTKS"

La loi estonienne sur les lanceurs d'alerte fut l'une des dernières à voir le jour dans l'UE. Le pays a manqué l'échéance de décembre 2021. La Commission européenne l'a traduite devant la Cour de justice. Le Parlement n'a adopté la TÕRTKS que le 15 mai 2024, et elle est entrée en vigueur le 1er septembre 2024.

Qu'est-ce que la TÕRTKS, et pourquoi a-t-elle pris autant de temps ?

La TÕRTKS est la version estonienne de la directive européenne sur les lanceurs d'alerte. Son nom complet est la loi sur la protection des personnes signalant des violations du droit de l'Union européenne liées au travail. Elle fixe les règles applicables au signalement d'une violation du droit de l'UE constatée au travail, et elle interdit de sanctionner l'auteur du signalement pour cela.

« L'objet de la présente loi est d'assurer la protection d'une personne qui signale une violation du droit de l'Union européenne dont elle a eu connaissance dans le cadre de son activité professionnelle. »
Article 1er, paragraphe 2, de la TÕRTKS

Le retard a marqué cette loi. L'Estonie fut l'un des derniers pays du bloc à agir. La Commission l'avait déjà traduite en justice au moment où le projet de loi a été adopté. Une modification ultérieure, en vigueur depuis le 18 mai 2025, a élargi le champ d'application aux violations des sanctions de l'UE.

Le déploiement s'est fait en deux temps. Les organismes publics et les grands employeurs privés étaient liés à compter du 1er septembre 2024. Les entreprises privées de 50 à 249 salariés avaient jusqu'au 1er janvier 2025 pour ouvrir un canal. Les deux échéances sont passées : tout employeur concerné devrait donc déjà en disposer.

Qui est protégé, et quelles violations sont concernées ?

Les personnes que la loi protège

La protection va bien au-delà des seuls salariés. La loi énumère dix catégories d'auteurs de signalement : la couverture ne s'arrête donc pas au personnel sous contrat. Elle inclut :

• les salariés et les agents publics ;
• les travailleurs indépendants ;
• les membres des organes de direction et de surveillance, ainsi que les actionnaires de la société ;
• les bénévoles et les stagiaires ;
• les candidats à l'embauche en pourparlers pour un poste, et les anciens salariés dont le contrat a pris fin ;
• les personnes travaillant pour un sous-traitant ou un fournisseur de l'organisation.

La protection contre les représailles s'étend également aux personnes liées à l'auteur du signalement, comme un collègue ou un proche. Elle couvre aussi toute entité qui traite un signalement pour le compte de l'employeur.

Les violations qui entrent dans le champ d'application

La loi suit le droit de l'UE, et non tout type de manquement. Elle s'applique aux violations des règles de l'Union européenne dans 13 domaines :

• les marchés publics ;
• les services financiers et la lutte contre le blanchiment de capitaux ;
• la sécurité des produits et des transports ;
• l'environnement, ainsi que la sûreté nucléaire et radiologique ;
• l'alimentation, les aliments pour animaux et le bien-être animal ;
• la santé publique et les droits des consommateurs ;
• la vie privée et la sécurité des réseaux ;
• les intérêts financiers de l'UE et le marché unique, y compris l'évasion de l'impôt sur les sociétés.

La modification de 2025 a ajouté à cette liste les violations des mesures restrictives de l'UE.

« Constitue une violation au sens de la présente loi un acte ou une omission qui est illicite ou qui va à l'encontre de l'objet d'une norme juridique. »
Article 4, paragraphe 1, de la TÕRTKS

Certains domaines en sont exclus. La loi s'efface devant la sécurité nationale et les secrets d'État, la procédure pénale, ainsi que le secret professionnel des avocats, des médecins et du clergé. Les décisions de justice elles-mêmes en restent hors champ. Dans ces cas, les règles de confidentialité propres au secteur l'emportent.

Comment signaler une violation ?

La loi ouvre quatre voies. L'auteur d'un signalement peut choisir le canal interne, son propre supérieur hiérarchique, un canal externe auprès d'une autorité compétente ou, dans des cas déterminés, la divulgation publique. Il n'est pas tenu d'emprunter d'abord le canal interne.

« Un canal de signalement externe peut être choisi pour signaler une violation, même sans recourir d'abord à un canal interne. »
Article 4, paragraphe 4, de la TÕRTKS

De nombreux employeurs doivent mettre en place un canal interne. Cette obligation vise tous les organismes publics et les entités soumises à la supervision financière. Les collectivités locales doivent en disposer si elles comptent 50 salariés ou plus, tout comme les municipalités de 10 000 habitants ou plus. Il en va de même pour toute personne morale comptant 50 salariés ou plus. Le canal doit recevoir les signalements par écrit, oralement, ou les deux, et en préserver la confidentialité. Les entreprises comptant jusqu'à 249 salariés peuvent partager un même canal.

Le compte à rebours démarre immédiatement. L'employeur doit accuser réception d'un signalement dans un délai de 7 jours. S'il n'est pas l'organe compétent pour agir, il transmet le signalement dans les 5 jours ouvrables. Il fournit un retour à l'auteur du signalement dans un délai de 3 mois, et il conserve le signalement pendant 3 ans.

WeMoral chiffre chaque signalement et ne le montre qu'à la personne que vous désignez. En tant que logiciel de signalement conforme au RGPD, il répond à ce que la TÕRTKS attend du canal interne et traite les données selon le RGPD auquel la loi renvoie. Révélez le nom d'un auteur de signalement et l'Office de la police et des gardes-frontières peut vous infliger une amende allant jusqu'à 100 000 euros, d'où l'utilité du journal horodaté de WeMoral. Vous pouvez mettre en service le canal interne vous-même ou confier le canal à WeMoral, le tiers que la loi autorise. Une entreprise de 249 salariés au plus peut partager une seule installation. Dans tous les cas, l'identité de l'auteur du signalement reste protégée dès le jour de la mise en service.

Qui gère le canal externe ?

L'Estonie a choisi de ne pas créer un organe de contrôle unique. La loi s'appuie sur les autorités de régulation déjà en place. L'autorité compétente pour un signalement est l'organisme étatique ou local qui supervise déjà ce domaine. Ainsi, une violation en matière de protection des données est adressée à l'Inspection de la protection des données, tandis qu'une violation financière est adressée à l'Autorité de supervision financière.

Cet organisme gère le canal externe pour son secteur. Il doit recevoir les signalements par message vocal, lors d'une réunion en personne et par écrit, et il publie ses propres règles de traitement. Pour un signalement externe, il peut disposer de jusqu'à 6 mois pour fournir un retour dans une affaire complexe, au lieu des trois mois habituels.

La divulgation publique est le dernier recours. L'auteur d'un signalement conserve la protection de la loi lors d'une divulgation publique uniquement dans des cas limités :

• le canal externe n'a pas agi dans les délais ;
• la violation représente une menace urgente pour l'intérêt public ; ou
• il existe un motif raisonnable de craindre des représailles ou une dissimulation.

La protection ne dépend pas du fait de nommer d'abord l'auteur du manquement dans la presse.

Comment les lanceurs d'alerte sont-ils protégés contre les représailles ?

Les représailles sont purement et simplement interdites. La loi proscrit tout acte lié au travail, ou toute abstention, qui découle d'un signalement et porte préjudice à son auteur sans motif valable. L'interdiction vise aussi la tentative et la menace de représailles, et pas seulement l'acte lui-même.

La charge de la preuve repose sur l'employeur. L'auteur d'un signalement n'a pas à prouver qu'il a été sanctionné pour avoir parlé. Dès lors qu'il établit avoir signalé puis subi un préjudice, la loi présume que les deux sont liés. L'employeur doit alors prouver que la mesure reposait sur un motif valable et sans rapport avec le signalement.

« Lorsque des représailles sont exercées à l'encontre d'une personne qui signale une violation et que cette personne prouve qu'elle a signalé la violation, les représailles sont réputées avoir été exercées en raison du signalement, à moins que la personne qui les a exercées ne prouve qu'elles étaient justifiées. »
Article 16, paragraphe 2, de la TÕRTKS

La confidentialité traverse toute la loi. Le responsable du traitement ne peut révéler l'identité de l'auteur du signalement qu'avec son consentement écrit. L'auteur du signalement est également dégagé de toute responsabilité pour avoir partagé l'information. Cela vaut tant qu'il avait un motif raisonnable de croire que c'était nécessaire pour révéler la violation. Divulguer un secret d'affaires de cette manière est également considéré comme licite, et la même protection s'étend à la manière dont l'auteur a obtenu l'information.

Quelles sont les sanctions ?

La loi traite quatre actes comme des infractions. Les amendes pour une personne physique sont exprimées en unités d'amende, une unité valant 4 €, de sorte que le plafond de 300 unités correspond à 1 200 €. Les organisations s'exposent à un plafond fixe de 100 000 €.

L'Office de la police et des gardes-frontières applique les amendes. C'est l'organe extrajudiciaire compétent pour ces infractions, même si le Service de sécurité intérieure intervient lorsqu'il en constate une dans le cadre de ses propres activités. L'entrave à un signalement et les représailles contre un auteur de signalement sont punissables même à l'état de tentative, et pas seulement lorsque l'acte est consommé.

La loi estonienne est pleinement en vigueur pour tout employeur concerné, grand ou petit. Le pays ayant réparti l'application entre ses autorités de régulation sectorielles, la première chose à savoir est laquelle supervise votre domaine. Cette autorité de régulation est l'autorité externe vers laquelle votre personnel peut se tourner. Pour voir comment les règles estoniennes s'articulent avec le reste du bloc, consultez notre liste des lois sur les lanceurs d'alerte par pays. Un canal interne fonctionnel garde un signalement, et le problème qu'il soulève, d'abord à l'intérieur de l'entreprise.