Loi finlandaise sur les lanceurs d'alerte "ilmoittajansuojelulaki"

La loi finlandaise sur les lanceurs d'alerte est la loi sur la protection des personnes qui signalent des violations du droit de l'Union et du droit national. En finnois, on l'appelle ilmoittajansuojelulaki (1171/2022). Elle est entrée en vigueur le 1er janvier 2023. Elle transpose la directive européenne sur les lanceurs d'alerte en droit finlandais. Ci-dessous, nous voyons qui doit agir, le canal que vous devez mettre en place, les délais à respecter et les sanctions encourues.

Pourquoi la Finlande a-t-elle adopté sa loi si tard ?

La Finlande a largement dépassé l'échéance européenne. La directive laissait aux États membres jusqu'au 17 décembre 2021 pour agir. Le parlement finlandais a adopté la loi le 20 décembre 2022. Elle est entrée en vigueur le 1er janvier 2023. Les salariés et les employeurs finlandais ont donc attendu une année entière de plus que ce que Bruxelles avait prévu.

La loi transpose la directive européenne sur les lanceurs d'alerte en droit national. Elle va aussi au-delà des seules matières européennes. Elle couvre les violations dans des domaines précis. Parmi eux figurent les marchés publics, les services financiers, le blanchiment d'argent ainsi que la sécurité des produits et des transports. Elle vise également l'environnement, la sécurité alimentaire, la santé publique, les droits des consommateurs et la protection des données personnelles. La loi s'étend aussi à l'usage abusif des fonds de l'Union, aux aides d'État, aux règles de concurrence et à la fraude fiscale des entreprises.

Quels employeurs doivent mettre en place un canal de signalement interne ?

L'obligation dépend de l'effectif. Tout employeur comptant 50 salariés ou plus doit faire fonctionner un canal de signalement interne. Le personnel l'utilise pour signaler les violations couvertes par la loi. La règle englobe les organismes publics, les comtés de services de bien-être, les communes, les paroisses, la plupart des entreprises et les fondations.

« Les organisations dans lesquelles le nombre de personnes liées par une relation de travail ou de service public est régulièrement d'au moins 50 doivent mettre en place un canal de signalement interne pour le signalement des violations et pour les mesures prises sur la base d'un signalement. »
Article 10(1) de la loi sur la protection des personnes signalant des violations (1171/2022)

Les dates d'entrée en application sont arrivées en deux vagues. Les organismes publics et les grandes entreprises disposaient de trois mois à compter de l'entrée en vigueur de la loi. Ils devaient donc être prêts au printemps 2023. Les petites entreprises privées, celles de 50 à 249 salariés, ont eu jusqu'au 17 décembre 2023. Un groupe doit agir quelle que soit sa taille. Un fonds de pension complémentaire a besoin d'un canal même s'il ne compte que quelques salariés.

Les petites structures ne sont pas obligées de faire cavalier seul. Les entreprises privées comptant jusqu'à 249 salariés peuvent partager les personnes et les outils qui traitent les signalements. Les groupes d'entreprises peuvent faire fonctionner un canal commun. Les communes, les paroisses et les organismes publics rattachés peuvent s'associer de la même façon.

Comment fonctionne le canal interne ?

L'employeur désigne une personne ou un service impartial pour traiter les signalements. Seules ces personnes désignées peuvent les consulter. Le canal doit recevoir les signalements par écrit ou oralement. Sur demande, il doit permettre au lanceur d'alerte de signaler lors d'une rencontre en personne. Deux délais encadrent le travail. Vous accusez réception sous 7 jours. Vous indiquez au lanceur d'alerte la suite donnée sous 3 mois.

« L'organisation qui a mis en place le canal doit adresser à la personne ayant effectué le signalement un accusé de réception dans les sept jours suivant la réception du signalement. »
Article 15(2) de la loi sur la protection des personnes signalant des violations (1171/2022)

Les signalements anonymes relèvent d'un choix, non d'une obligation. Un employeur peut décider de les accepter. La loi ne l'y oblige pas. Vous pouvez aussi confier l'ensemble du canal à un prestataire externe. Vous restez toutefois responsable des obligations prévues par la loi.

WeMoral est un logiciel de signalement conforme à la ilmoittajansuojelulaki. La loi vous autorise à externaliser le canal auprès d'un prestataire externe. WeMoral joue ce rôle dès le premier jour. Il chiffre chaque signalement et masque le nom du lanceur d'alerte à toute personne extérieure au gestionnaire désigné. L'outil consigne aussi l'accusé de réception sous 7 jours et le retour sous 3 mois fixés par la loi. Vous l'utilisez sans aucune ligne de code à écrire, en suivant son guide pour mettre en place le canal de signalement.

Signaler d'abord en interne, puis au Chancelier de la Justice

La Finlande privilégie le signalement interne. Pour conserver votre protection, vous signalez normalement au sein de votre propre employeur avant de vous adresser à l'extérieur. Vous ne pouvez passer directement aux autorités que dans des cas précis. Parmi eux : l'absence de canal interne, l'absence de suite donnée à votre signalement, ou une crainte réelle de représailles.

« Comme condition de la protection, le signalement d'une violation constatée dans les activités d'une organisation doit être effectué en priorité auprès du canal de signalement interne de cette organisation, sauf si le signalement direct à une autorité compétente est prévu séparément. »
Article 7 de la loi sur la protection des personnes signalant des violations (1171/2022)

La Finlande n'a pas dispersé la voie externe entre des dizaines de régulateurs. Elle a construit un canal central unique. Le Bureau du Chancelier de la Justice (Oikeuskanslerinvirasto) le gère. Ce bureau n'enquête pas lui-même sur les signalements. Il transmet chacun d'eux à l'autorité qui surveille le domaine concerné. Le canal central n'accepte pas les signalements anonymes.

La voie externe est elle aussi soumise à des délais fixes. Le bureau central accuse réception d'un signalement sous 7 jours. L'autorité compétente donne ensuite un retour sous 3 mois. Ce délai peut s'étendre à 6 mois dans les cas difficiles. L'autorité peut classer une affaire manifestement mineure, ou qui ne fait que répéter un signalement antérieur sans élément nouveau.

Qui la loi protège-t-elle ?

La loi protège toute personne qui a connaissance d'une violation dans le cadre de son travail. Cela va bien au-delà du personnel ordinaire. Vous pouvez en lire davantage dans notre article sur qui est considéré comme lanceur d'alerte. La loi énumère les personnes qu'elle couvre :

• les salariés et les fonctionnaires ;
• les travailleurs indépendants ;
• les actionnaires ;
• les membres du conseil d'administration et les dirigeants ;
• les bénévoles et les stagiaires ;
• les personnes encore en cours de négociation d'embauche, et celles dont l'emploi a déjà pris fin.

La protection s'étend aussi aux personnes de l'entourage du lanceur d'alerte. Elle couvre les facilitateurs qui aident au signalement. Elle vise les tiers liés au lanceur d'alerte qui pourraient subir des représailles, comme des collègues ou des proches. Les entreprises que le lanceur d'alerte possède ou pour lesquelles il travaille sont également couvertes. Un même critère s'applique à l'ensemble. Le lanceur d'alerte devait avoir des motifs raisonnables de croire que l'information était vraie et qu'elle relevait de la loi.

Qu'est-ce qui protège un lanceur d'alerte contre les représailles ?

Le cœur de la loi, c'est l'interdiction des représailles. Un employeur ne peut pas sanctionner un salarié pour un signalement effectué dans les règles. Un licenciement, une rétrogradation, des conditions de travail dégradées, un licenciement économique ou tout autre préjudice lié au signalement sont interdits. L'interdiction protège aussi le cercle élargi que la loi couvre.

La loi renforce cette interdiction par deux mécanismes supplémentaires. Un lanceur d'alerte qui signale conformément à la loi ne viole aucune obligation de secret. Il ne porte aucune responsabilité pour le signalement. La loi déplace aussi la charge de la preuve. Si le salarié démontre un préjudice survenu après un signalement, c'est à l'employeur de prouver qu'il ne s'agissait pas de représailles. Toute clause contractuelle qui supprime ces droits est nulle.

« Lorsque, dans une affaire concernant une violation de l'interdiction des représailles, il peut être présumé, au vu des éléments présentés, que des représailles ont eu lieu, l'autre partie doit, pour renverser la présomption, démontrer que l'interdiction n'a pas été enfreinte. »
Article 25 de la loi sur la protection des personnes signalant des violations (1171/2022)

Quelles sont les sanctions, et la lacune laissée par la Finlande ?

Les sanctions finlandaises sont légères. Elles visent davantage le lanceur d'alerte que l'employeur. La loi ne prévoit aucune amende administrative pour une entreprise qui n'ouvre jamais de canal. Les sanctions qu'elle comporte se répartissent ainsi :

« Une personne effectuant un signalement, visée à l'article 5, qui, dans un signalement au titre de l'article 2, signale ou divulgue intentionnellement des informations fausses est, sauf si l'acte est mineur ou si une peine plus sévère est prévue ailleurs, condamnée à une amende pour violation de la loi sur la protection des personnes signalant des violations. »
Article 36(1) de la loi sur la protection des personnes signalant des violations (1171/2022)

Un lanceur d'alerte victime de représailles n'est pas laissé sans recours. La loi ouvre un droit à des dommages-intérêts pour les pertes financières. Elle ouvre un droit distinct à une indemnisation proportionnée au préjudice. Mais l'absence d'amende pour l'employeur est une véritable lacune. Beaucoup d'autres lois menacent une entreprise qui ignore l'obligation de canal. La Finlande a choisi de ne pas le faire.

Données et confidentialité

La loi protège le nom du lanceur d'alerte et plafonne la durée de conservation des données. Seuls les gestionnaires désignés peuvent traiter les données d'un signalement. L'employeur doit supprimer les signalements cinq ans après leur réception. Il ne peut les conserver plus longtemps que pour un droit ou une obligation légale. Les données sans lien clair avec un signalement disparaissent plus tôt.

La confidentialité est une obligation légale stricte. Toute personne qui apprend le nom du lanceur d'alerte en traitant un signalement doit le garder secret. Le divulguer est une infraction au titre du Code pénal. La même obligation s'impose au bureau du Chancelier de la Justice et aux autorités qui reçoivent un signalement.

La Finlande a transposé la directive tardivement et a construit un système au cadre souple. Elle sanctionne d'une amende le lanceur d'alerte qui ment, mais ne prévoit aucune amende pour un employeur qui n'ouvre jamais de canal. La loi repose donc sur le courage du salarié et la rigueur du gestionnaire désigné, plus que sur la menace d'une sanction. Sa solidité dépend de la capacité de chaque signalement à atteindre la bonne personne et à rester secret, mois après mois. Pour voir où se situe la Finlande par rapport au reste de l'Europe, lisez notre liste des lois sur les lanceurs d'alerte par pays.