Conformité à la directive européenne sur les lanceurs d'alerte

Qu'est-ce que la directive européenne sur la protection des lanceurs d'alerte ?

La directive européenne relative à la protection des lanceurs d'alerte (directive 2019/1937) est entrée en vigueur le 17 décembre 2019, établissant des normes minimales pour la protection des lanceurs d'alerte dans tous les États membres de l'UE.

La directive vise à améliorer la détection et la prévention des violations du droit de l'Union européenne en mettant en place des canaux sécurisés et confidentiels permettant aux salariés et autres travailleurs de signaler des fautes professionnelles sans craindre de représailles.

Si la directive fixait au 17 décembre 2021 la date limite de transposition pour que les États membres mettent en œuvre la législation nationale, la réalité s'est avérée contrastée. En 2025, les 27 États membres ont désormais tous transposé la directive dans leur droit national, même si la qualité de la mise en œuvre varie considérablement. Certains pays, comme le Danemark et le Portugal, ont étendu les protections au-delà des exigences minimales de la directive, tandis que d'autres ont essuyé des critiques de la Commission européenne pour une transposition incomplète.

Cette directive marque un tournant décisif dans la manière dont les organisations à travers l'Europe doivent aborder la question du lancement d'alerte. Contrairement aux lignes directrices ou aux recommandations de bonnes pratiques, la directive impose des obligations légales auxquelles les organisations doivent se conformer, sous peine de sanctions financières et de répercussions sur leur réputation en cas de non-respect.

Qui doit s'y conformer ?

La directive s'applique aux organisations des secteurs privé et public opérant au sein de l'Union européenne :

Exigences du secteur privé

• Entreprises comptant au moins 250 salariés: elles doivent mettre en place des canaux de signalement internes (date limite dépassée en décembre 2021)
• Entreprises comptant entre 50 et 249 salariés: elles doivent mettre en place des canaux de signalement internes (date limite dépassée en décembre 2023)
• Les organismes de services financiers, quelle que soit leur taille: ils doivent se conformer à la réglementation, quel que soit le nombre de leurs employés, en raison des risques liés au blanchiment d'argent et au financement du terrorisme
• Secteurs à haut risque: certains États membres ont étendu ces exigences aux petites organisations dans des secteurs tels que les soins de santé, la sécurité des transports et la protection de l'environnement

Exigences du secteur public

• Toutes les institutions du secteur public doivent mettre en place des canaux de signalement internes
• Les communes de 10 000 habitants ou plus doivent se conformer à cette obligation
• Certains États membres ont étendu ces exigences aux petites communes

Entreprises britanniques ayant des activités dans l'Union européenne

Bien que le Royaume-Uni ne soit plus tenu d'appliquer la directive depuis le Brexit, les organisations basées au Royaume-Uni qui ont des activités, des filiales ou des employés dans des États membres de l'UE doivent se conformer à la directive pour ces entités. Il en résulte une double obligation de conformité : la loi PIDA (Public Interest Disclosure Act 1998) pour les activités au Royaume-Uni et la directive européenne pour les entités situées en Europe.

Pour obtenir des conseils sur la manière de s'y retrouver dans ces deux cadres réglementaires, consultez notre document consacré aux obligations légales en matière de dénonciation au Royaume-Uni.

Exigences clés pour les organisations

La directive impose plusieurs obligations spécifiques auxquelles les organisations doivent se conformer :

Canaux de signalement internes

Les organisations doivent mettre en place des canaux de signalement internes sécurisés et confidentiels permettant de faire des signalements tant par écrit qu'oralement. Comment les solutions de signalement répondent-elles aux exigences du secteur public ? explore les besoins spécifiques des organismes publics pour se conformer à ces obligations.

Les canaux de signalement doivent être accessibles à :

• Salariés et travailleurs actuels
• Anciens employés
• Candidats à un emploi
• Bénévoles
• Entrepreneurs et fournisseurs
• Actionnaires (dans certains États membres)

Délais de réponse

Des délais stricts régissent la manière dont les organisations doivent traiter les signalements :

• Sept jours: délai maximal pour accuser réception d'un signalement auprès du lanceur d'alerte
• Trois mois: délai maximal pour rendre compte des mesures prises et des résultats de l'enquête

Ces délais s'appliquent à tous les États membres, même si certains pays ont fixé des délais encore plus courts.

Confidentialité et protection des données

Toutes les données à caractère personnel doivent être traitées dans le strict respect du règlement général sur la protection des données (RGPD). Cela implique notamment de protéger l'identité tant du lanceur d'alerte que de toute personne mentionnée dans les signalements. Les organisations doivent mettre en place, pour leurs systèmes d'alerte, des politiques de conservation des données appropriées qui concilient les exigences légales et les principes de minimisation des données.

Protection contre les représailles

La directive interdit toute forme de représailles à l'encontre des lanceurs d'alerte, notamment :

• Licenciement, suspension ou rétrogradation
• Refuser des possibilités de formation ou de promotion
• Évaluations de performance négatives
• Intimidation ou harcèlement
• Discrimination ou traitement défavorable

Il est important de noter que c'est à l'organisation qu'il incombe de prouver que toute mesure défavorable prise à l'encontre d'un lanceur d'alerte n'était pas motivée par sa dénonciation. Le document intitulé « Comment les entreprises peuvent-elles protéger les lanceurs d'alerte contre les représailles ? » fournit des conseils détaillés sur la mise en place de mesures de protection efficaces.

Personnel désigné

Les organisations doivent désigner une personne ou un service impartial(e) chargé(e) de :

• Recevoir et examiner les signalements
• Maintenir une communication bidirectionnelle confidentielle avec les lanceurs d'alerte
• Fournir un retour d'information dans les délais impartis
• Tenir des registres précis

Ce rôle peut être assumé par des responsables de la conformité, des conseillers juridiques, des responsables des ressources humaines ou des prestataires externes tels que Safecall. Forts de notre expérience de plus de 25 ans dans le traitement des cas de dénonciation à travers l'Europe, nous constatons que les organisations ont tout intérêt à s'assurer que les personnes chargées de recevoir les signalements possèdent une expertise professionnelle en matière d'enquête, leur permettant d'identifier les problèmes graves et d'assurer un suivi approprié.

Calendrier et mise en œuvre

Connaître le calendrier de mise en œuvre aide les organisations à évaluer leur niveau actuel de conformité :

• 16 décembre 2019: entrée en vigueur de la directive
• 17 décembre 2021: les États membres doivent transposer cette disposition dans leur législation nationale ; les organisations comptant plus de 250 salariés doivent s'y conformer
• 17 décembre 2023: les entreprises comptant entre 50 et 249 salariés doivent se conformer à cette obligation
• 2024-2025: la Commission européenne évalue la qualité de la mise en œuvre dans les États membres
• En cours: les autorités nationales compétentes veillent au respect de la réglementation et infligent des sanctions

Cette mise en œuvre progressive a compliqué la tâche des multinationales, car les dates de mise en œuvre et les exigences varient d'un État membre à l'autre, allant au-delà des normes minimales prévues par la directive.

Les organisations britanniques et la directive européenne

Les organisations britanniques doivent tenir compte de particularités qui leur sont propres. Bien que le Royaume-Uni dispose de son propre cadre en matière de dénonciation, régi par la loi PIDA et en vigueur depuis 1998, celui-ci ne répond pas aux exigences de la directive européenne pour les activités menées sur le territoire de l'Union européenne.

Parmi les principales différences entre les exigences britanniques et celles de l'UE, on peut citer :

Aspect	Royaume-Uni (PIDA)	directive européenne
Chaînes obligatoires	Aucune exigence générale	Obligatoire pour les entreprises de plus de 50 salariés
Personnes protégées	Salariés et travailleurs	Au sens large : comprend les bénévoles, les candidats à un emploi et les actionnaires
Délais de réponse	Aucune exigence particulière	Accusé de réception sous 7 jours, retour d'information sous 3 mois
Portée	Tout acte répréhensible portant atteinte à l'intérêt général	Violations spécifiques du droit de l'Union européenne

Les entreprises britanniques ayant des filiales dans l'Union européenne ne peuvent pas se contenter de se conformer à la loi PIDA. Chaque entité de l'Union européenne comptant au moins 50 salariés doit mettre en place son propre canal de signalement interne, bien que les entités comptant entre 50 et 249 salariés puissent partager des ressources au sein d'un même État membre. La Commission européenne a clairement indiqué que les filiales devaient avoir la possibilité de signaler les cas au niveau local plutôt que de passer uniquement par un système centralisé au niveau du groupe.

Sanctions en cas de non-conformité

Les sanctions varient considérablement d'un État membre à l'autre, car la directive confie la mise en œuvre aux autorités nationales :

• Portugal: amendes pouvant atteindre 44 891,81 € pour les organisations et 3 740,98 € pour les particuliers
• Allemagne: amendes administratives en cas de non-mise en place de canaux de signalement ou de violation de la confidentialité
• France: renforcement des exigences prévues par la loi anticorruption Sapin II, assorties de sanctions sévères en cas de non-respect
• Espagne: Conditions d'enregistrement auprès de l'Autorité indépendante pour la protection des lanceurs d'alerte

Au-delà des sanctions financières, les organisations s'exposent à :

• Mesures coercitives en matière de réglementation
• Atteinte à la réputation résultant de la divulgation publique d'un manquement
• Une vulnérabilité accrue face aux dénonciations externes (auprès des autorités ou des médias) en l'absence de canaux internes
• Actions civiles intentées par des lanceurs d'alerte victimes de représailles

« Comment les dispositifs d'alerte peuvent-ils contribuer à réduire la responsabilité civile des entreprises ? » examine les avantages, en matière de gestion des risques, liés à la mise en place de dispositifs d'alerte solides.

Mettre en place un programme efficace de dénonciation

La mise en conformité avec la directive ne se limite pas à la mise en œuvre de technologies. Les programmes efficaces intègrent plusieurs éléments :

Plusieurs canaux de signalement

Les organisations devraient proposer différents moyens de signalement :

• Systèmes de signalement en ligne accessibles 24 heures sur 24, 7 jours sur 7
• Lignes d'assistance téléphonique assurées par des professionnels qualifiés
• Rapports écrits transmis par courrier électronique sécurisé ou par la poste

Chez Safecall, tous les signalements téléphoniques sont traités par d'anciens agents de police britanniques, qui comptent chacun plus de 25 ans d'expérience dans le domaine des interrogatoires. Cette expertise permet de repérer immédiatement les situations préoccupantes et de poser les questions complémentaires nécessaires pour recueillir des informations complètes.

Une communication claire

Les employés et les parties prenantes doivent savoir que :

• Comment accéder aux canaux de signalement
• Ce qui peut être signalé
• Quelle protection bénéficieront-ils ?
• Comment les rapports seront traités
• Quels délais faut-il prévoir ?

Capacité d'enquête adéquate

La mise en place de canaux de signalement n'est qu'une première étape. Les organisations doivent être en mesure d'enquêter de manière approfondie et impartiale sur les signalements. Cela peut nécessiter des enquêtes internes menées par des professionnels expérimentés qui maîtrisent les exigences réglementaires et sont capables de faire preuve d'objectivité.

Intégration à la culture de conformité

Les dispositifs d'alerte fonctionnent mieux lorsqu'ils s'inscrivent dans le cadre d'un programme plus large de conformité et d'éthique. Cela comprend :

• Formation régulière pour les cadres et les employés
• Des règles claires en matière de comportement acceptable
• L'engagement de la direction en faveur d'une culture d'expression libre
• Application cohérente des normes

Quel est le rôle du lancement d'alerte dans la conformité d'entreprise ? explore comment un système de lancement d'alerte efficace contribue à la réalisation d'objectifs de gouvernance plus larges.

Considérations spécifiques aux secteurs réglementés

Certains secteurs sont soumis à des exigences supplémentaires. Qu'est-ce qui rend une solution de signalement adaptée aux secteurs réglementés ? aborde les besoins spécifiques des services financiers, du secteur de la santé et d'autres secteurs fortement réglementés.

Les organismes du secteur des services financiers, par exemple, doivent se conformer non seulement à la directive européenne, mais aussi aux exigences sectorielles imposées par des autorités de régulation telles que la Financial Conduct Authority au Royaume-Uni. Comment les systèmes d'alerte contribuent-ils au respect des exigences en matière de lutte contre la corruption ? Et comment les lignes d'alerte peuvent-elles soutenir les initiatives de lutte contre la fraude ? Découvrons ces obligations qui se recoupent.

Comment Safecall facilite la mise en conformité avec la directive européenne

Depuis 1999, Safecall aide les organisations à mettre en place et à gérer des dispositifs de signalement conformes à la réglementation dans toute l'Europe. Notre approche allie une technologie sécurisée à une expertise professionnelle :

Canaux de signalement conformes

Nos solutions d'alerte professionnelle répondent à toutes les exigences de la directive européenne :

• Des lignes d'assistance téléphonique disponibles 24 heures sur 24, 7 jours sur 7, gérées par d'anciens policiers britanniques
• Signalement en ligne sécurisé dans plus de 175 langues
• Logiciel de gestion des dossiers conforme au RGPD
• Accusé de réception automatique dans un délai de sept jours
• Communication bidirectionnelle confidentielle avec les lanceurs d'alerte

Traitement des dossiers par des experts

Chaque rapport reçu via Safecall fait l'objet d'un contrôle qualité par des responsables opérationnels expérimentés avant d'être transmis aux clients. Cela permet de garantir que les problèmes graves sont correctement consignés et que les clients reçoivent des informations complètes et exploitables.

Pour les cas complexes, les organisations peuvent faire appel à nos services d'enquête indépendants, menés par des professionnels possédant plusieurs décennies d'expérience dans ce domaine.

Assistance à la mise en œuvre

Notre équipe de gestion des comptes aide les organisations à s'y retrouver dans les complexités de la conformité multijuridictionnelle, en veillant à ce que les dispositifs fonctionnent efficacement dans les différents États membres tout en respectant les diverses exigences nationales.

Formation et élaboration des politiques

Nous proposons des programmes de formation destinés aux employés et aux cadres afin de favoriser une culture d'expression ouverte, ainsi que des conseils en matière d'élaboration de politiques et de stratégies de communication.

Prochaines étapes

Les organisations soumises à la directive européenne relative à la protection des lanceurs d'alerte devraient :

1. Évaluer l'état actuel de la conformité dans l'ensemble des entités de l'UE
2. Mettre en place ou améliorer les canaux de signalement afin de se conformer aux exigences de la directive
3. Mettre en place des procédures claires pour le traitement des signalements dans les délais impartis
4. Veiller à ce que les personnes chargées de recevoir et d'examiner les signalements disposent des compétences requises
5. Communiquer clairement les dispositions prises à l'ensemble des employés et des parties prenantes
6. Réviser et mettre à jour régulièrement les politiques à mesure que la législation nationale évolue

Pour obtenir des conseils d'experts sur la mise en conformité avec la directive européenne relative à la protection des lanceurs d'alerte, contactez Safecall au +44 (0)191 516 7720 ou consultez notre page consacrée à la législation relative à la directive européenne sur la protection des lanceurs d'alerte pour obtenir des ressources supplémentaires.