Mettre en place une procédure de lanceur d’alertes

Qui est soumis à l’obligation ?

Les obligations sont prévues par la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique.

Cette obligation s’applique aux entités suivantes :

• Les personnes de droit public ou d droit privé d’au moins cinquante salariés : toutes les entreprises de plus de 50 salariés, ce sont aussi celles qui sont soumises à l’obligation d’avoir un comité d’entreprise
• Les administrations de l’Etat : collège, lycée, hôpital
• Les communes de plus de 10 000 habitants
• Les départements : conseil départemental
• Les régions : conseil régional
• Les établissements publics de coopération intercommunale à fiscalité propre

Ces entités sont dans l’obligation de mettre en place une procédure adaptée pour leurs employés, prestataires.

Comment mettre en place une procédure de lanceurs d’alerte ?

• tous les autres types d’entité doivent être en mesure de traiter une alerte lorsqu’elle est envoyée, même s’ils n’ont pas mis en place de procédure adaptée
• Même les personnes qui ne sont ni employés, ni prestataires peuvent faire parvenir une alerte à une entreprise, une commune, un hôpital, une clinique, un lycée.
• L’alerte est portée à la connaissance d’un supérieur hiérarchique, direct ou indirect ou d’un référent qui a été désigné par l’entité. Dans le cadre de la mise en place d’un procédure, il est préférable de désigner une personne ou un groupe de personnes chargé de recevoir l’alerte (attention, il faut prévoir le cas où l’alerte met en cause le référent).
• La procédure mise en place doit garantir le strict respect de la confidentialité du lanceur d’alerte, mais pour autant conformément à l’ancienne autorisation unique de la CNIL, elle ne doit pas favoriser l’anonymat. La procédure mise en place doit donc permettre de recueillir l’identité du lanceur d’alerte tout en la conservant strictement confidentielle.
• La procédure doit aussi prévoir des échanges entre le lanceur d’alerte et l’entreprise. Ils seront nécessaires pour avoir tous les éléments nécessaires à qualifier l’alerte. Tout en veillant toujours à conserver la confidentialité du lanceur d’alerte, ce n’est pas si simple à réaliser.

Procédure de lanceurs d’alerte et RGPD

• Le règlement général de protection des données (RGPD) ajoute un peu de complexité à la protection des lanceurs d’alerte. En effet, souvent l’alerte va mettre en cause une personne physique de l’entité. 
• Un respect du RGPD sans analyse plus poussée amènerait à immédiatement informer la personne mise en cause des données détenues qui la concernent dans le traitement en lui donnant un droit d’accès et de rectification. 
• La personne mise en cause par l’alerte doit être informée dès que toutes les mesures nécessaires à la protection des preuves ont été réalisées.

Partager l’article

• Partager sur LinkedIn
• Partager sur Facebook
• Partager sur X
• Envoyer cette page par e-mail

Outils et ressources :

• Loi n° 2016-1691 du 9 décembre 2016, dite Loi Sapin 2 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique,
• LOI n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte,
• Décret n°2022-1284 du 3 octobre 2022 relatif aux procédures de recueil et de traitement des signalements émis par les lanceurs d’alerte et fixant la liste des autorités externes instituées par la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte,

Livres blancs

• Livre blanc : Mise en conformité des lois Sapin 2 et Waserman
• Livre blanc : Canal de signalement par email, pourquoi c’est une fausse bonne idée ?

Cyril Murie