Hughes Hubbard & Reed LLP • A New York Limited Liability Partnership
One Battery Park Plaza • New York, New York 10004-1482 • +1 (212) 837-6000
Attorney advertising. Readers are advised that prior results do not guarantee a similar outcome. No aspect of this advertisement has been approved by the Supreme Court of New Jersey. For information regarding the selection process of awards, please visit https://www.hugheshubbard.com/legal-notices-methodologies.
“Transposition en droit français de la Directive européenne sur la protection des lanceurs d’alerte”
General Folder
Le 22 mars 2022, la France a publié au Journal Officiel sa loi visant à améliorer la protection des lanceurs d’alerte1(ci-après, la « Loi ») transposant la directive 2019/1937 de l’Union Européenne sur la protection des personnes qui signalent des violations du droit de l’Union du 23 octobre 20192(ci-après, la « Directive »). Ce faisant, la France rejoint la liste (de taille encore réduite) des Etats membres ayant finalisé leur processus de transposition et fait évoluer son régime de protection des lanceurs d’alerte qu’elle avait généralisé pour la première fois en 2016 (aux termes de la loi n° 2016-1691 dite « Loi Sapin II »3). Cette évolution emporte certaines implications pratiques que les entreprises doivent intégrer dans leur processus de gestion des alertes, notamment s’agissant du champ des personnes susceptibles de bénéficier de la protection des lanceurs d’alerte (I), de la teneur de la protection dont ils bénéficient (II), et de la refonte des processus de remontée et de traitement au sein des entreprises (III).
I. Le nouveau périmètre de la définition des lanceurs d’alerte
D’un point de vue personnel, la définition du lanceur d’alerte exige toujours que celui-ci soit une personne physique agissant de bonne foi. Trois évolutions sont toutefois à noter.
D’un point de vue matériel, les éléments ayant vocation à être dénoncés par un lanceur d’alerte ont été révisés par rapport à ce que la rédaction initiale de la Loi Sapin II prévoyait, afin de :
II. Renforcement de la protection des lanceurs d’alerte
La Loi renforce le dispositif de protection du lanceur d’alerte en :
III. Ouverture et articulation des canaux de remontée et de traitement au sein des entreprises
En ligne avec ce qui avait été fixé par la Loi Sapin II, le seuil de 50 salariés constitue toujours le critère permettant de déterminer si une entreprise doit ou non disposer de procédures de recueil (et désormais de traitement) des signalements. Les modifications suivantes sont toutefois à souligner.
En premier lieu, l’ouverture de ces canaux n’est plus limitée au personnel et aux collaborateurs extérieurs et occasionnels mais couvre désormais en outre : (i) les anciens salariés ; (ii) les candidats à l’emploi ; (iii) les actionnaires, associés et titulaires de droit de vote ; (iv) les membres de l’organe d’administration, de direction ou de surveillance ; et (v) les co-contractants et leurs sous-traitants et leur personnel respectif. Cela n’emportera toutefois pas grand changement au sein des entreprises, dont la pratique était déjà de traiter toute alerte sérieuse, indépendamment du statut de son auteur et/ou de la question de savoir s’il entrait dans le champ du dispositif d’alerte. Et pour cause, si la Loi Sapin II imposait aux entreprises de plus de 50 salariés de se doter d’un dispositif d’alertes ouvert aux membres de leur personnel et à leurs collaborateurs extérieurs et occasionnels, rien ne les empêchait en soit de traiter des alertes émanant d’autres catégories de personnes. D’autant que le fondement reposant sur la base légale en matière de traitement des données personnelles peut aisément être substitué par celui reposant sur l’intérêt légitime. D’autant également qu’il est plus commode pour les entreprises de fusionner les dispositifs d’alerte qu’elles sont tenues de mettre en place en vertu des différents textes applicables (comme par exemple la loi n° 2017-399 relative au devoir de vigilance4imposant un mécanisme d’alerte et de recueil des signalements ouvert à toutes parties prenantes). Les évolutions à anticiper aux termes de la Loi pourraient se situer au niveau :
En deuxième lieu, l’articulation des canaux de remontée n’impose plus au lanceur d’alerte d’agir en trois temps (i) d’abord au niveau de l’entreprise, puis (ii) au niveau des autorités (si l’entreprise n’a pas vérifié la recevabilité de son signalement dans un délai raisonnable) et enfin, en dernier recours (iii) au niveau du public.
Désormais, les premier (signalement interne auprès de l’entreprise) et deuxième (signalement auprès d’une autorité) niveaux sont mis au même plan, de sorte qu’un lanceur d’alerte peut indifféremment saisir en premier lieu l’entreprise concernée ou une autorité. Si le fait de permettre au lanceur d’alerte de choisir entre ces deux options ne supprime pas l’obligation pour l’entreprise de mettre en place une procédure de recueil appropriée, la Loi ne prévoit pas plus de sanction que la Loi Sapin II ne le faisait à l’encontre des entreprises qui n’auraient pas mis en place ce dispositif. Cela étant, la sanction en la matière doit être considérée comme la perte de chance pour l’entreprise elle-même de traiter les signalements la concernant en interne. Ces entreprises auront donc intérêt à mettre en place un système de recueil et de traitement des alertes le plus avenant et performant possible, pour inciter les lanceurs d’alertes à privilégier les signalements dits « internes ». Cet objectif pourrait être atteint, entre autres, par le biais de communications régulières et efficaces (i) en prévention, à destination de tout utilisateur potentiel du dispositif d’alerte interne (y compris auprès des parties prenantes externes) et (ii) au cours du traitement, à destination du lanceur d’alerte pour le tenir informé des avancées et lui montrer du sérieux consacré à son signalement (outre l’information qui lui est désormais due à l’issue du traitement de l’alerte).
Les limites au processus d’escalade du signalement ne concernent désormais plus que l’hypothèse d’une révélation au public. Celle-ci ne peut s’envisager que dans les trois cas de figure suivants :
Il convient ici de préciser que, sauf défaillance de l’autorité saisie à agir, la divulgation publique d’une alerte prive son auteur de la protection des lanceurs d’alerte dès lors qu’une telle divulgation « porte atteinte aux intérêts de la défense et de la sécurité nationales ». Cette précision ne remet pas en cause les dispositions excluant toute protection aux lanceurs d’alerte qui violeraient le secret de la défense nationale. En effet, la subtilité ici tient à la différence à faire entre (i) les « faits, informations et documents (…) dont la révélation ou la divulgation est interdite par les dispositions relatives au secret de la défense nationale » et (ii) les éléments dont la « divulgation publique porte atteinte aux intérêts de la défense et de la sécurité nationales ». Dans un cas, c’est la nature même des informations qui est protégée et c’est la base objective de leur classification qui en empêche la divulgation à quiconque. Dans l’autre cas, ce sont les effets pouvant être provoqués par une divulgation publique de toute information qui doivent être appréciés, étant précisé que cela sera par hypothèse plus subjectif.
L’articulation des canaux de remontée et de traitement au sein d’un groupe de sociétés reste à déterminer par décret. En effet, conformément aux termes de la Directive, la Loi prévoit que les entreprises « employant moins de deux cent cinquante salariés peuvent mettre en commun leurs procédures de recueil et de traitement des signalements, dans le respect des conditions prévues » par un décret en Conseil d’Etat. Une interprétation a contrario de cette disposition pourrait laisser entendre qu’au sein d’un groupe de sociétés, la mutualisation des moyens de recueil et de traitement des alertes ne peut s’appliquer aux filiales de plus de 250 salariés. Cette interprétation a bourgeonné aux motifs qu’elle permettrait la garantie d’une proximité entre le lanceur d’alerte et les personnes chargées de réceptionner et traiter son signalement et favoriserait ce faisant le climat de confiance nécessaire à développer une culture de l’alerte. Il faut toutefois mettre cette considération en perspective avec l’importance de pouvoir traiter les signalements de manière indépendante et efficiente, ce qui n’est pas toujours conciliable avec la proximité recherchée. D’un point de vue pratique, une interprétation a contrario pourrait constituer une profonde remise en cause de l’organisation de certains groupes, et notamment ceux qui ont pris le parti de centraliser la conduite des enquêtes internes (notamment pour les raisons sus-évoquées). Il faut donc saluer le recul du législateur français sur ce point et espérer que les termes du décret à venir permettront de concilier les différentes considérations en présence.
Entrée en vigueur
Compte tenu de la date d’entrée en vigueur de la Loi fixée au 1er septembre 2022, les entreprises doivent lancer sans attendre leurs processus de révision de leurs politiques et procédures de recueil et de traitement des signalements, ou à tout le moins entamer une réflexion sur les modifications à envisager dans leur organisation interne. Et ce, sans attendre la publication du décret devant préciser un certain nombre de points5, dans la mesure où aucun élément de calendrier n’a été donné le concernant.
Nicolas Tollet
Partner
Marie-Agnès Nicolas
Partner
Arnaldo Bernardi
Associate
Cynthia Teyssou Ramiro
Associate