La directive (UE) 2019/1937 relative à la protection des personnes qui signalent des violations du droit de l'Union entre en vigueur.
Les canaux de signalement internes sont obligatoires dans toute l'UE
Directive européenne relative à la protection des lanceurs d'alerte
Toute entreprise privée comptant au moins 50 salariés et exerçant ses activités dans l'UE doit mettre en place un canal de signalement interne confidentiel, accuser réception des signalements dans un délai de sept jours, mener une enquête et y répondre dans un délai de trois mois, et protéger les lanceurs d'alerte contre toute forme de représailles. Les sanctions en cas de non-respect peuvent atteindre 1 million d'euros dans certains États membres.
Prochaine échéance :
Cette obligation est déjà en vigueur. Pour les entreprises comptant au moins 250 salariés dans l’UE, la date limite de mise en conformité était fixée au 17 décembre 2021. Pour celles comptant entre 50 et 249 salariés, elle était fixée au 17 décembre 2023. Ces deux dates limites sont désormais dépassées. Le rapport de mise en œuvre de la Commission européenne de juillet 2024 a mis en évidence des lacunes généralisées en matière de conformité dans les États membres. Les organisations qui ne disposent pas d’un canal de signalement interne conforme enfreignent actuellement la législation nationale relative à la protection des lanceurs d’alerte.
Les législations nationales de transposition diffèrent en termes de champ d’application et d’approche en matière d’application : les entreprises opérant dans plusieurs États membres de l’UE peuvent être soumises à des obligations distinctes en vertu de la législation de chaque pays, et pas seulement aux dispositions de base de la directive. Un canal au niveau du groupe n’est pas automatiquement suffisant pour toutes les juridictions.
Calendrier de la réglementation
Ce qu’exige la directive européenne sur la protection des lanceurs d’alerte
La directive européenne relative à la protection des lanceurs d’alerte (directive UE 2019/1937) est entrée en vigueur le 16 décembre 2019, établissant des normes minimales dans tous les États membres de l’UE pour la protection des personnes qui signalent des violations du droit de l’Union.
Les entreprises privées comptant au moins 50 salariés et toutes les entités du secteur public, quelle que soit leur taille, doivent mettre en place un canal de signalement interne sécurisé, désigner une personne chargée de traiter les signalements, accuser réception dans un délai de sept jours et fournir un retour d’information détaillé sur les résultats de l’enquête dans un délai de trois mois. Les lanceurs d’alerte doivent être protégés contre toute forme de représailles, notamment le licenciement, la rétrogradation et l’inscription sur une liste noire.
Les infractions visées couvrent les marchés publics, les services financiers, la lutte contre le blanchiment d’argent, la protection des consommateurs, la protection de l’environnement, la sécurité alimentaire, la sécurité des transports, la santé publique et la protection des données. Chaque État membre a transposé la directive dans son droit national, avec la possibilité de fixer des exigences plus strictes que celles prévues par la directive.
Défis courants en matière de conformité concernant les lanceurs d’alerte
Les outils polyvalents ne peuvent pas répondre aux exigences techniques de la directive en matière de canaux de signalement
Les exigences relatives aux canaux de signalement internes vont au-delà d’une simple adresse e-mail partagée ou d’un portail RH général : un canal conforme doit protéger l’identité du lanceur d’alerte, prendre en charge les signalements écrits et oraux, permettre les signalements anonymes lorsque la législation nationale l’exige, et offrir un mécanisme de communication bidirectionnel. Les outils de communication polyvalents ne disposent généralement pas des contrôles d’accès et de l’architecture d’anonymat requis par ces obligations.
Chaque signalement est soumis à ses propres délais de sept jours et de trois mois
Les obligations d’accusé de réception dans les sept jours et de réponse dans les trois mois s’appliquent à chaque signalement individuel, et non pas sous forme de délai de réponse moyen. Un seul délai non respecté constitue un manquement avéré à la conformité, et le suivi manuel n’est pas fiable lorsque le volume de signalements augmente ou que les cas s’étendent sur plusieurs juridictions.
Les États membres ont transposé la directive avec des variations significatives en termes de champ d’application et de délais
La loi allemande sur la protection des lanceurs d’alerte (HinSchG), la loi française relative au renforcement de la protection des lanceurs d’alerte (loi Wasserman) et la loi espagnole n° 2/2023 sur la protection des personnes signalant des infractions à la loi ajoutent chacune des exigences allant au-delà des exigences minimales de la directive. Pour les entreprises opérant dans plusieurs États membres de l’UE, la conformité implique de respecter les exigences spécifiques de chaque législation nationale, et pas seulement les exigences minimales de la directive.
Les obligations du RGPD s’appliquent à chaque signalement d’alerte, en plus des exigences de la directive
Les signalements contiennent des données à caractère personnel sensibles concernant l’auteur du signalement et, généralement, une ou plusieurs personnes nommées dans le signalement. Le RGPD exige une base juridique documentée pour le traitement, des contrôles d’accès stricts concernant l’identité des auteurs de signalement, ainsi qu’une politique de conservation des données bien définie, conditions auxquelles les boîtes mail partagées et les systèmes RH généraux ne peuvent pas satisfaire.
Canaux de signalement et gestion des dossiers conformes à la législation européenne et nationale en matière de lanceurs d’alerte
La mise en place de canaux sécurisés, la gestion structurée des dossiers, le suivi automatisé des délais et une documentation prête pour les audits sont gérés sur une seule plateforme via le HUB osapiens dédié à la gestion des plaintes. Les données de conformité sont directement reliées aux workflows de diligence raisonnable CSDDD et de reporting CSRD, sans transfert de données séparé.
Accepter les signalements anonymes, sous pseudonyme et identifiés via un système de réception multicanal configurable
La plateforme osapiens HUB dédiée à la gestion des plaintes permet de signaler des incidents via une page publique, un chatbot assisté par IA et par e-mail. Elle est disponible dans plus de 40 langues et propose des fonctionnalités d’enregistrement vocal et de synthèse vocale pour les plaignants qui ne savent pas lire ou écrire couramment. Les plaignants anonymes suivent l'évolution de leur dossier grâce à un code de réclamation crypté qui dissocie leur identité du numéro de dossier interne ; ce même canal permet de respecter les obligations en matière de gestion des réclamations prévues par la CSDDD et la LkSG.
Acheminer automatiquement chaque signalement vers le responsable désigné et assurer son suivi en respectant les délais réglementaires
Chaque signalement est automatiquement analysé par une IA intégrée afin d’identifier la catégorie de risque, les pays concernés et les partenaires commerciaux cités, puis attribué au responsable désigné et suivi en fonction des délais réglementaires de sept jours et de trois mois. Des alertes d’escalade avertissent l’équipe de conformité avant l’expiration de tout délai, et la piste d’audit complète est disponible dans le « Reporting Cockpit » pour la publication des informations requises par la CSRD au titre des indicateurs sociaux ESRS pertinents, sans exportation de données distincte.
Appliquer des contrôles d’accès basés sur les rôles et générer des dossiers structurés pour l’examen réglementaire
Des contrôles d’accès basés sur les rôles limitent la visibilité de l’identité du déclarant au responsable désigné, et des politiques de conservation des données configurables s’alignent sur les exigences de limitation de stockage du RGPD. Chaque dossier génère un enregistrement structuré exportable au format CSV à des fins d’examen réglementaire, cette même documentation étant disponible dans le HUB osapiens dédié à la gestion des publications pour un reporting combiné financier et de développement durable.
Foire aux questions
La directive (UE) 2019/1937 s’applique à toutes les entreprises privées comptant au moins 50 salariés et exerçant leurs activités dans n’importe quel État membre de l’UE, quel que soit le lieu où se trouve leur siège social. Les sociétés mères non européennes disposant de filiales ou de succursales dans l’UE qui dépassent ce seuil d’effectifs sont également concernées. Toutes les entités du secteur public sont concernées, quelle que soit leur taille, et les organisations appartenant à des secteurs réglementés tels que les services financiers, la sécurité des transports et la sécurité alimentaire peuvent être soumises à des obligations supplémentaires, quel que soit leur effectif.
Un canal de signalement interne doit permettre à la fois les signalements écrits et oraux, garantir la confidentialité de l’identité du lanceur d’alerte à toutes les étapes du processus et offrir un mécanisme de communication bidirectionnel afin que les signalements puissent faire l’objet d’un accusé de réception et d’un suivi. Lorsque la législation nationale l’exige, ce canal doit également accepter les signalements anonymes.
Les organisations doivent désigner une personne ou une équipe spécifique chargée de traiter les signalements reçus ; une adresse e-mail commune à usage général ne répond pas aux exigences de confidentialité ou de contrôle d’accès énoncées dans la directive. Chaque signalement doit faire l’objet d’un accusé de réception dans un délai de sept jours, et le lanceur d’alerte doit recevoir un retour d’information concret sur les mesures prises dans les trois mois suivant le dépôt du signalement.
Les sanctions sont fixées par chaque État membre et varient considérablement.
La loi allemande sur la protection des lanceurs d’alerte (Hinweisgeberschutzgesetz, HinSchG) prévoit des amendes pouvant aller jusqu’à 20 000 € en cas de non-mise en place d’un canal de signalement et jusqu’à 50 000 € en cas de représailles à l’encontre d’un lanceur d’alerte.
La loi espagnole n° 2/2023 relative à la protection des personnes signalant des infractions à la loi prévoit des sanctions administratives pour les personnes morales allant de 100 000 € à 1 000 000 € en cas de manquements liés au canal de signalement, la fourchette la plus élevée étant réservée à l’absence totale de mise en place d’un système de signalement interne ; les infractions graves peuvent en outre donner lieu à un avertissement public et à une suspension temporaire des subventions, des avantages fiscaux ou des marchés publics.
La loi polonaise sur la protection des lanceurs d’alerte qualifie l’entrave à un signalement, les représailles et la divulgation de l’identité d’un lanceur d’alerte d’infractions pénales passibles d’une amende, d’une restriction de liberté ou d’une peine d’emprisonnement.
Dans tous les États membres, les organisations s’exposent également à une responsabilité civile si des lanceurs d’alerte déposent des plaintes pour représailles et peuvent faire l’objet d’une enquête réglementaire en cas de manquement à la conformité rendu public.
La directive européenne sur la diligence raisonnable en matière de durabilité des entreprises (CSDDD) et la loi allemande sur la diligence raisonnable dans la chaîne d’approvisionnement (LkSG) exigent toutes deux que les entreprises concernées mettent en place un mécanisme de traitement des plaintes, mais dont la portée est plus large que celle prévue par la directive sur les lanceurs d’alerte.
La directive sur la dénonciation exige un canal de signalement interne, lié au travail, destiné aux salariés et à d’autres personnes dans un contexte professionnel, tandis que la CSDDD et la LkSG exigent un canal accessible au public, ouvert à toute personne concernée, y compris les travailleurs de la chaîne d’approvisionnement et les parties externes telles que les ONG et les syndicats. Les exigences techniques sous-jacentes se recoupent néanmoins largement : réception confidentielle des signalements, gestion structurée des dossiers, suivi documenté et protection contre les représailles.
La plateforme osapiens HUB pour la gestion des plaintes couvre les deux aspects : une page de dépôt de plaintes accessible au public, ouverte aux salariés, aux travailleurs de la chaîne d’approvisionnement et aux parties externes, avec la possibilité d’un dépôt anonyme ou confidentiel, s’appuyant sur la même gestion structurée des dossiers et la même documentation d’audit exigées par chaque réglementation. Les organisations se conforment ainsi à la fois au canal lié au travail prévu par la directive sur le lancement d’alerte et au mécanisme public prévu par la CSDDD et la LkSG via un seul et même système, plutôt que de devoir mettre en place des canaux de signalement distincts pour chaque réglementation.
Oui. La directive (UE) 2019/1937 fixe des normes minimales, et les États membres ont été autorisés à aller au-delà lors de la transposition. L’Allemagne, la France et l’Espagne ont chacune ajouté des exigences qui dépassent le niveau de base de la directive, couvrant des catégories de signalements supplémentaires, des catégories plus larges de personnes protégées ou des délais d’enquête plus courts.
Pour les entreprises opérant dans plusieurs États membres de l’UE, la conformité implique de respecter les exigences spécifiques de chaque loi nationale de transposition. Ces variations ont une incidence sur les types d’infractions à signaler, les personnes éligibles à la protection et les sanctions applicables, ce qui rend la configuration spécifique à chaque juridiction une nécessité pratique pour les organisations internationales.
Les signalements des lanceurs d’alerte contiennent des données à caractère personnel concernant l’auteur du signalement et désignent généralement une ou plusieurs personnes comme faisant l’objet du signalement.
Le RGPD s’applique parallèlement à la directive : les organisations doivent disposer d’une base juridique documentée pour le traitement des données à caractère personnel liées aux signalements, mettre en œuvre des contrôles d’accès stricts afin que seules les personnes désignées puissent consulter l’identité des lanceurs d’alerte, et définir une politique de conservation des données qui satisfasse aux exigences en matière de limitation de la durée de conservation.
Un canal de signalement conforme au RGPD mais ne respectant pas les exigences d’anonymat ou de communication bidirectionnelle énoncées dans la directive reste non conforme, et inversement. Les deux ensembles d’obligations doivent être satisfaits par le même système technique.
La solution osapiens HUB pour la gestion des plaintes couvre la mise en place d’un canal sécurisé, la gestion structurée des dossiers et le suivi automatisé des délais sur une seule et même plateforme. Les données de conformité sont directement reliées à la gestion de la diligence raisonnable au titre de la CSDDD, aux exigences du mécanisme de traitement des réclamations de la LkSG et aux flux de travail de publication au titre de la CSRD, les dossiers étant mis en avant dans le « Reporting Cockpit » pour les déclarations CSRD et dans le module de gestion des publications pour la publication combinée d’informations financières et de développement durable, sans nécessiter de deuxième collecte de données. Les organisations gérant de multiples obligations réglementaires évitent ainsi la duplication des systèmes de saisie et les transferts manuels de données entre les différents outils.
