Loi française sur les lanceurs d'alerte, la loi Waserman

La loi n° 2022-401 du 21 mars 2022, dite loi Waserman, est le texte qui protège aujourd'hui les lanceurs d'alerte en France. Elle ne crée pas un régime à part. Elle réécrit en profondeur la loi Sapin II du 9 décembre 2016 et transpose la directive européenne 2019/1937. Le nouveau régime est en vigueur depuis le 1er septembre 2022. Il fixe des obligations précises aux entreprises et aux organismes publics. Voici qui est concerné, ce que vous devez préparer et les sanctions encourues.

Qui doit se conformer à la loi ?

Dans le secteur privé, l'obligation commence à 50 salariés. Toute personne morale de droit privé qui emploie au moins 50 salariés doit établir une procédure interne de recueil et de traitement des signalements. Les entreprises des secteurs réglementés, comme la banque et la finance, sont concernées au titre de la directive européenne quel que soit leur effectif.

Dans le secteur public, l'obligation est large. Elle vise les administrations de l'État et les personnes morales de droit public d'au moins 50 agents. Les communes de moins de 10 000 habitants et leurs établissements en sont dispensées. Elles peuvent toutefois confier le recueil des signalements au centre de gestion de la fonction publique territoriale, quel que soit leur effectif.

La mutualisation est permise pour les structures moyennes. Les entreprises de moins de 250 salariés peuvent partager leurs procédures de recueil et de traitement des signalements. Un groupe peut aussi mettre en place une procédure commune à plusieurs de ses sociétés. Le décret n° 2022-1284 du 3 octobre 2022 fixe le détail de ces règles.

Comment mettre en place le dispositif de signalement interne ?

Le canal interne reste le premier réflexe. La loi invite à l'utiliser lorsque la violation peut être traitée au sein de l'entité et qu'il n'y a pas de risque de représailles. La procédure se met en place après consultation des instances de dialogue social. À défaut de procédure, le signalement va au supérieur hiérarchique, à l'employeur ou à un référent qu'il désigne.

Le décret du 3 octobre 2022 encadre le dispositif. Il doit notamment :

• offrir des garanties d'indépendance et d'impartialité dans le traitement ;
• accueillir les signalements anonymes autant que ceux des personnes identifiées ;
• préserver la confidentialité du lanceur d'alerte, des personnes visées et des tiers cités ;
• traiter les données dans le respect du RGPD et ne les conserver que le temps nécessaire ;
• pouvoir être confié à un tiers, par exemple un prestataire spécialisé.

La loi fixe des délais clairs. Vous devez accuser réception du signalement dans un délai de 7 jours. Vous devez ensuite informer le lanceur d'alerte des mesures envisagées ou prises dans un délai maximal de 3 mois. Ce délai concerne le retour d'informations, pas la fin de l'enquête.

La procédure n'est pas l'outil. Le texte décrit le processus. Mais le dispositif complet doit rester fiable, sécuriser les données et maîtriser les accès. Wemoral, en tant que système de signalement, répond à ces exigences. Il vous évite de construire un outil de toutes pièces. Si vous partez de zéro, nous vous aidons avec un modèle de politique de signalement et un guide pour mettre en place le dispositif.

Quelles alertes peut-on lancer ?

Le champ de l'alerte est étendu. Le lanceur d'alerte peut signaler un crime ou un délit, une menace ou un préjudice pour l'intérêt général, ainsi qu'une violation, ou une tentative de dissimulation d'une violation, portant sur :

• un engagement international ratifié par la France, ou un acte d'une organisation internationale pris sur son fondement ;
• le droit de l'Union européenne ;
• la loi ou le règlement français.

Certains secrets restent hors du régime. La loi exclut les informations couvertes par le secret de la défense nationale, le secret médical, le secret des délibérations judiciaires, le secret de l'enquête ou de l'instruction, et le secret professionnel de l'avocat. Pour le reste, l'alerte est protégée dès lors que le lanceur agit de bonne foi et sans contrepartie financière directe.

Qui peut être lanceur d'alerte ?

Pas seulement le salarié inscrit sur la fiche de paie. Au sens de l'article 6, le lanceur d'alerte est une personne physique qui signale ou divulgue de bonne foi des informations dont elle a eu connaissance dans son cadre professionnel. Nous le détaillons dans notre article sur qui est un lanceur d'alerte. La voie interne est ouverte :

• aux membres du personnel, aux anciens salariés et aux candidats à un emploi ;
• aux actionnaires, associés et titulaires de droits de vote ;
• aux membres des organes d'administration, de direction ou de surveillance ;
• aux collaborateurs extérieurs et occasionnels ;
• aux cocontractants et sous-traitants de l'entité, ainsi qu'à leur personnel.

La protection déborde le cercle du lanceur d'alerte. L'article 6-1 l'étend aux facilitateurs, qui peuvent désormais être des personnes morales à but non lucratif comme une association ou un syndicat, aux personnes physiques en lien avec lui, et aux entités juridiques qu'il contrôle. Ses proches et ses collègues exposés à des représailles sont donc couverts.

Comment le lanceur d'alerte est-il protégé ?

La protection contre les représailles est le cœur de la loi. Elle commence dès le signalement ou la divulgation publique. Une condition s'applique. Le lanceur d'alerte devait avoir des motifs raisonnables de croire, au moment des faits, que les informations étaient vraies et qu'elles relevaient du champ de la loi.

Interdiction des représailles

La liste des représailles interdites est ouverte. Elle compte quinze mesures : licenciement, suspension ou mise à pied, rétrogradation, refus de promotion, transfert de fonctions, baisse de salaire, suspension de formation, évaluation négative, sanctions financières, intimidation, harcèlement, mise à l'écart, discrimination, non-renouvellement d'un contrat, atteinte à la réputation, mise sur liste noire, ou encore orientation abusive vers un traitement médical. L'interdiction couvre aussi la menace ou la tentative de recourir à l'une d'elles.

Tout acte de représailles est nul de plein droit. La loi le prive d'effet. La personne qui subit ces mesures peut en obtenir l'annulation et, le cas échéant, la réparation du préjudice.

Renversement de la charge de la preuve

Le lanceur d'alerte n'a pas à prouver les représailles. Dès qu'il présente des éléments laissant supposer qu'il a signalé dans les règles, c'est à l'employeur de démontrer que sa décision repose sur des motifs étrangers au signalement.

« Dès lors que le demandeur présente des éléments de fait qui permettent de supposer qu'il a signalé ou divulgué des informations dans les conditions prévues aux articles 6 et 8, il incombe à la partie défenderesse de prouver que sa décision est dûment justifiée. »
Article 10-1, III de la loi n° 2016-1691, dans sa rédaction issue de la loi du 21 mars 2022

Irresponsabilité civile et pénale

Le lanceur d'alerte de bonne foi ne répond pas de son alerte. Il n'est pas civilement responsable des dommages causés par son signalement s'il avait des motifs raisonnables de croire qu'il était nécessaire. Il bénéficie de l'irresponsabilité pénale prévue à l'article 122-9 du code pénal. Surtout, il ne peut plus être poursuivi pour avoir soustrait ou détourné des documents auxquels il a eu accès de façon licite, dès lors qu'il les signale ou les divulgue dans les conditions de la loi.

Les trois voies de signalement

La loi prévoit trois voies pour la même alerte :

Le décret du 3 octobre 2022 désigne les autorités externes. Il en fixe la liste par secteur, et l'on y trouve notamment l'Autorité des marchés financiers et l'Agence française anticorruption. Le Défenseur des droits joue un rôle pivot. Il oriente le lanceur d'alerte vers l'autorité la mieux à même de traiter son signalement et reçoit chaque année un compte rendu de leur action. Le libre choix entre canal interne et canal externe est la nouveauté forte de 2022 : la loi Sapin II imposait auparavant de signaler d'abord en interne.

Quelles sanctions et quels soutiens la loi prévoit-elle ?

Faire obstacle à une alerte est un délit. Toute personne qui entrave la transmission d'un signalement encourt un an d'emprisonnement et 15 000 € d'amende. Révéler l'identité du lanceur d'alerte expose à deux ans de prison et 30 000 € d'amende.

La loi vise aussi les procédures-bâillon. Lorsqu'une action en justice abusive ou dilatoire est dirigée contre un lanceur d'alerte pour le faire taire, le juge peut prononcer une amende civile portée à 60 000 €, sans préjudice des dommages et intérêts dus à la victime de cette procédure. Le juge peut en outre ordonner l'affichage ou la diffusion de sa décision.

Le lanceur d'alerte peut aussi recevoir un soutien. Le conseil des prud'hommes peut obliger l'employeur à abonder son compte personnel de formation. Les autorités externes peuvent mettre en place un soutien psychologique et accorder un secours financier temporaire lorsque la situation financière du lanceur d'alerte s'est gravement dégradée à cause de son signalement.

Le régime français est entré en vigueur le 1er septembre 2022. Les entreprises et les administrations concernées devraient donc déjà disposer d'un canal interne opérationnel. Si ce n'est pas votre cas, chaque mois qui passe accroît le risque. Pour situer la France parmi ses voisins, consultez notre liste des lois sur les lanceurs d'alerte par pays.