Loi luxembourgeoise sur les lanceurs d'alerte, la loi du 16 mai 2023

La loi du 16 mai 2023 protège au Luxembourg les personnes qui signalent une violation du droit de l'Union. Elle transpose la directive européenne 2019/1937, bien après l'échéance fixée par l'Union à décembre 2021. Sa marque propre tient en deux points. Elle crée un Office des signalements placé sous l'autorité du ministre de la Justice, et elle permet des amendes allant jusqu'à 250 000 euros.

Qui la loi du 16 mai 2023 protège ?

La loi protège l'auteur de signalement, dans le secteur privé comme dans le secteur public, qui obtient dans un contexte professionnel des informations sur une violation. Elle vise les salariés et les fonctionnaires, les indépendants, les actionnaires, les membres des organes de direction ou de surveillance, ainsi que les bénévoles et les stagiaires, rémunérés ou non.

La protection ne s'arrête pas à l'auteur du signalement. Elle s'étend aux facilitateurs, aux collègues et aux proches qui risquent des représailles à cause du lien, et aux entités juridiques que l'auteur possède ou pour lesquelles il travaille. Elle couvre aussi les relations de travail déjà terminées, et celles qui n'ont pas encore commencé, par exemple lors d'un recrutement.

Une personne qui a signalé de manière anonyme, puis se trouve identifiée et visée par des représailles, reste protégée. La loi pose une condition simple. Il faut avoir eu des motifs raisonnables de croire à la véracité des faits au moment du signalement. Certains domaines restent toutefois hors champ : la sécurité nationale, le secret médical, le secret entre l'avocat et son client, le secret du notaire et de l'huissier, le secret des délibérations judiciaires et les règles de procédure pénale.

Quelles entreprises doivent mettre en place un canal de signalement interne ?

Le seuil est de 50 travailleurs. Toute entité de droit privé ou public qui atteint ce nombre sur douze mois consécutifs doit établir un canal de signalement interne. Les entités de 50 à 249 travailleurs peuvent partager les ressources de réception et de suivi. Les communes de moins de dix mille habitants, et les entités de moins de cinquante travailleurs, en sont dispensées, mais restent libres d'en créer un.

La procédure interne suit des règles précises. Le canal doit être sécurisé et garantir la confidentialité de l'identité de l'auteur. L'entité accuse réception dans un délai de sept jours, désigne une personne ou un service impartial pour le suivi, et fournit un retour dans un délai de trois mois au plus. Le signalement peut être écrit ou oral. Pour les entités de 50 à 249 travailleurs, cette obligation s'applique depuis le 17 décembre 2023.

Une particularité luxembourgeoise tient à la langue. Le canal doit accepter les signalements dans l'une des trois langues administratives, le luxembourgeois, le français ou l'allemand, ou dans toute autre langue admise par l'entité.

"Les canaux [...] permettent d'effectuer des signalements par écrit ou oralement [...] dans une des trois langues administratives [...] ou dans toute autre langue admise par l'entité juridique."
Article 7, loi du 16 mai 2023

WeMoral reçoit les signalements dans les trois langues administratives, le luxembourgeois, le français et l'allemand, au même endroit. Chaque dossier arrive chiffré et reste scellé pour la personne impartiale que vous désignez, si bien qu'aucun collègue non autorisé ne peut l'ouvrir. L'outil garde une trace horodatée de chaque étape, la preuve utile le jour où l'Office des signalements demande comment tourne votre canal, ou lorsqu'une autorité pèse une amende pouvant atteindre 250 000 euros. C'est un logiciel de signalement multilingue, conforme à la loi du 16 mai 2023. Vous pouvez mettre un canal interne en service sans écrire une ligne de code.

L'Office des signalements, l'autorité luxembourgeoise des lanceurs d'alerte

La loi crée un Office des signalements, placé sous l'autorité du ministre de la Justice. C'est un point de contact central. L'office informe et aide toute personne qui souhaite signaler, en interne comme en externe. Il sensibilise le public à la protection des lanceurs d'alerte, élabore des recommandations et publie un rapport annuel.

"Il est créé un office des signalements, ci-après désigné l'« office ». Il est placé sous l'autorité du ministre ayant la Justice dans ses attributions."
Article 8, loi du 16 mai 2023

L'office est dirigé par un chargé de direction, nommé par le Grand-Duc pour un mandat de cinq ans renouvelable. Le poste exige la nationalité luxembourgeoise, un casier vierge, un diplôme de niveau master, la connaissance des trois langues administratives et au moins dix ans d'expérience. Son statut est indépendant. Il ne peut être membre du gouvernement, de la Chambre des députés ou du Parlement européen, ni détenir d'intérêts dans une entreprise relevant de l'office.

L'office n'a pas qu'un rôle de conseil. Pour plusieurs secteurs, il reçoit les dossiers transmis par les autorités compétentes et peut lui-même prononcer une amende administrative. Son rapport annuel publie des statistiques. On y trouve le nombre de signalements reçus, les enquêtes ouvertes et leur résultat, et le préjudice financier estimé puis recouvré.

Où signaler en dehors de l'entreprise ?

L'auteur d'un signalement n'est pas obligé de passer d'abord par l'entreprise. Il peut saisir directement une autorité externe, ou commencer en interne, à son choix. La loi laisse la voie libre.

La loi désigne vingt-deux autorités compétentes, chacune pour son domaine. Parmi elles :

• la Commission de surveillance du secteur financier (CSSF) ;
• le Commissariat aux assurances ;
• l'Autorité de la concurrence ;
• la Commission nationale pour la protection des données (CNPD) ;
• l'Inspection du travail et des mines (ITM).

Certaines de ces autorités peuvent infliger directement une amende. D'autres transmettent le dossier à l'Office des signalements, qui décide. Le canal externe doit rester confidentiel et conserver durablement les informations, avec un accusé de réception sous sept jours et un retour sous trois mois, porté à six mois dans les cas justifiés.

La divulgation publique reste un dernier recours protégé. Une personne qui rend les faits publics, par exemple à la presse, garde la protection de la loi si un signalement interne ou externe est resté sans suite. La même protection joue en cas de danger imminent, de risque de dissimulation des preuves ou de représailles.

Comment la loi protège les auteurs de signalement contre les représailles ?

Par une interdiction large. La loi interdit toute forme de représailles et en énumère quatorze, du licenciement et de la rétrogradation à la mise sur liste noire, en passant par l'atteinte à la réputation et l'orientation vers un traitement psychiatrique. La menace ou la simple tentative compte déjà comme une représaille. L'identité de l'auteur reste confidentielle.

"Toute mesure de représailles visée à l'article 25, points 1° à 6°, 9°, 12° et 13°, est nulle de plein droit."
Article 26, loi du 16 mai 2023

Le recours est rapide. Les mesures les plus graves, comme le licenciement, sont nulles de plein droit. L'auteur dispose de quinze jours pour demander au juge de constater la nullité et d'ordonner la cessation de la mesure. La charge de la preuve est renversée. Dès que l'auteur établit qu'il a signalé puis subi un préjudice, c'est à l'employeur de prouver que sa décision reposait sur d'autres motifs. L'auteur peut aussi demander réparation du dommage.

La loi accorde enfin une immunité. L'auteur n'encourt aucune responsabilité pour avoir divulgué les informations, ni pour les avoir obtenues, sauf si cette obtention constitue une infraction pénale autonome. Il peut invoquer son signalement pour faire écarter une action en diffamation, en violation du secret ou des règles de protection des données.

Quelles sont les sanctions prévues par la loi ?

Les amendes administratives vont de 1 500 à 250 000 euros. Elles frappent celui qui entrave un signalement, viole la confidentialité de l'auteur ou n'établit pas de canaux. Le maximum est doublé en cas de récidive dans les cinq ans.

"L'amende peut aller de 1 500 euros à 250 000 euros. Le maximum de l'amende peut être doublé en cas de récidive dans les 5 ans à partir de la dernière sanction devenue définitive."
Article 18, loi du 16 mai 2023

La loi ne protège pas seulement l'auteur. Elle sanctionne aussi l'abus. Un signalement sciemment faux expose son auteur à une peine de prison de huit jours à trois mois, à une amende de 1 500 à 50 000 euros et à une responsabilité civile envers l'entité lésée. La protection est forte, mais elle suppose la bonne foi.

Le Luxembourg est une place financière dense, où la CSSF surveille des milliers de fonds et de banques. La loi du 16 mai 2023 fait passer une grande partie des signalements par ces régulateurs sectoriels, tout en plaçant au centre un Office des signalements qui conseille les entreprises et tient les amendes. Le pays n'a pas seulement repris les trois canaux de la directive. Il a bâti un office d'État pour accompagner et pour sanctionner. Pour l'employeur, la tâche est claire. Désigner une personne impartiale, sceller chaque signalement et accepter les trois langues du pays. Pour situer le Luxembourg face au reste de l'Europe, lisez notre guide des lois sur les lanceurs d'alerte par pays.