Loi Sapin 2 : un socle commun pour les lanceurs d’alerte

Les lanceurs d’alerte avec la loi Sapin 2 voient leur protection renforcée pour faire face à la multiplication des affaires comme Panama Papers, Lukleaks ou encore WikiLeaks.

Dans ce contexte, la loi n°2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (1) instaure un régime protecteur du lanceur d’alerte et rend obligatoire la mise en place de systèmes d’alertes dans les administrations, organismes publics et entreprises privées, selon des dispositifs distincts, la taille de l’entité sous le contrôle de l’Agence Française Anticorruption (ci-après l’AFA) ainsi créée.

La loi Sapin 2 pose un socle commun aux lanceurs d’alerte et crée deux dispositifs : le 1er dispositif dit « général » et le second dispositif spécifique à la lutte anti-corruption. Cet article sera centré sur le premier dispositif de signalement d’alerte.

Qui est concerné par ce dispositif ?

Ce dispositif vise, d’une part, les organismes concernés et d’autre part, le lanceur d’alerte lui même.

Il vise toutes les personnes morales de droit privé ou de droit public, de plus de 50 employés .

L’article 8, III, de la loi Sapin 2 vise au titre du lanceur d’alerte les membres du personnel, les collaborateurs extérieurs et occasionnels. Les articles 6 à 15 de la loi Sapin 2 fixent un socle de dispositions communes applicables à toute personne physique qui révèlerait ou signalerait « un crime ou un délit, une violation grave et manifeste d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l’intérêt général, dont elle a eu personnellement connaissance ».

Le Conseil constitutionnel a précisé que le dispositif se limitait aux lanceurs d’alerte procédant à un signalement visant l’organisme qui les emploie ou l’organisme auquel ils apportent leur collaboration dans un cadre professionnel (2). « Le fait que le législateur ait retenu, à l’article 6, une définition plus générale du lanceur d’alerte, ne se limitant pas aux seules personnes employées par l’organisme faisant l’objet du signalement non plus qu’à ses collaborateurs, n’a pas pour effet de rendre les dispositions contestées inintelligibles. En effet, cette définition a vocation à s’appliquer non seulement aux cas prévus par l’article 8, mais aussi, le cas échéant, à d’autres procédures d’alerte instaurées par le législateur, en dehors du cadre professionnel ». Il est vrai que d’autres textes législatifs prévoient des procédures d’alerte en dehors du cadre professionnel, notamment la loi relative à l’indépendance de l’expertise en matière de santé et d’environnement et à la protection des lanceurs d’alerte (3).

Le Conseil d’État avait déjà relevé l’importance «d’étendre la possibilité de recourir aux dispositifs internes d’alerte à des personnes qui ont un rapport plus distant à la relation de travail » (4). Dans ce contexte, le collaborateur occasionnel peut être entendu comme une personne qui dans l’exercice de ses fonctions, disposent d’une connaissance approfondie du fonctionnement de cette dernière. Un stagiaire est par exemple un collaborateur occasionnel.

Le collaborateur extérieur peut être quant à lui entendu comme une personne bien qu’employés par une autre entité que celle auprès ou pour le compte de laquelle il exerce ses fonctions, dispose d’une connaissance approfondie du fonctionnement de cette dernière. A ce titre, est un collaborateur extérieur un consultant, un sous-traitant, un fournisseur ou encore un intérimaire. Par conséquent, la loi Sapin 2 ne s’applique pas aux lanceurs d’alertes externes.

Quel statut juridique et quelle protection ?

L’octroi du statut juridique de lanceur d’alerte est soumis aux conditions suivantes, à savoir

• avoir personnellement connaissance des faits ;
• être de bonne foi ;
• ne pas tirer profit ou de rémunération de l’alerte émise ;
• ne pas chercher à nuire.

Si le statut de lanceur d’alerte est reconnu, la personne concernée bénéficiera alors d’une protection particulière.

D’une part, l’article L.1132-3-3 du Code du travail, ainsi que l’article 6 ter de la loi n° 83-634 du 13 juillet 1983 pour les fonctionnaires, ont été modifiés par l’article 10 de loi Sapin 2 afin qu’aucune personne ne puisse être écartée d’une procédure de recrutement ou de l’accès à un stage ou à une période de formation professionnelle, aucun salarié ne puisse être sanctionné, licencié ou faire l’objet d’une mesure discriminatoire, direct ou indirecte…

D’autre part, l’article 122-9 du Code pénal, créé par l’article 7 de loi Sapin 2, confère une irresponsabilité pénale pour la divulgation de certains secrets protégés par la loi, sous trois conditions cumulatives :

• la divulgation du secret doit être nécessaire et proportionnée à la sauvegarde des intérêts en cause ;
• le lanceur d’alerte doit correspondre à la définition qu’en donne l’article 6 ;
• il doit avoir respecté les procédures de signalement prévues par la loi.

Par ailleurs, l’article 9 de la loi Sapin 2 garantit une stricte confidentialité des données concernant : les lanceurs d’alerte et les personnes visées par l’alerte.

Enfin, l’article 13 de la loi Sapin 2 prévoit que « toute personne qui fait obstacle, de quelque façon que ce soit à la transmission d’un signalement est punie d’un an d’emprisonnement et de 15 000 € d’amende ; lorsque le juge d’instruction ou la chambre de l’instruction sont saisis d’une plainte pour diffamation contre un lanceur d’alerte, le montant de l’amende civile qui peut être prononcée est portée à 30 000 € ».

Quel est l’objet de ce dispositif ?

L’objet de l’alerte est délimité par l’article 6 de la loi Sapin 2 « un crime ou un délit, une violation grave et manifeste d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l’intérêt général ». L’alerte peut donc concerner la fraude, le harcèlement et la concurrence.

L’article 6, I, 7° de la loi pour la confiance dans l’économie numérique (5) exclut expressément du régime de l’alerte « Les faits, informations ou documents, quel que soit leur forme ou leur support, couverts par le secret de la défense nationale, le secret médical ou le secret des relations entre un avocat et son client ». En revanche, le secret des affaires n’est pas visé expressément par cet article, les entreprises devront y prendre garde.

Comment signaler l’alerte ?

L’article 8 de la loi Sapin 2 rend obligatoire la mise en place d’une procédure graduée :

• le lanceur d’alerte doit avertir son supérieur hiérarchique, direct ou indirect, l’employeur ou un référent désigné par celui-ci ;
• en l’absence de diligences de la personne destinataire de l’alerte dans un délai raisonnable, il doit s’adresser à l’autorité judiciaire, à l’autorité administrative ou aux ordres professionnels ;
• à défaut de traitement dans un délai de trois mois par les organismes précités (autorité judiciaire, autorité administrative ou ordres professionnels), il peut rendre le signalement public.

En cas de danger grave et imminent ou en présence d’un risque de dommages irréversibles, il peut adresser son signalement directement à l’autorité judiciaire, à l’autorité administrative et aux ordres professionnels et être rendu public.

Toute personne peut également adresser son signalement au Défenseur des droits (6 et 7) afin d’être orientée vers l’organisme approprié de recueil de l’alerte. Recueil des signalements
Par ailleurs, le paragraphe III de l’article 8 de loi Sapin 2 impose aux organismes publics et privés concernés de mettre en place, dans les conditions fixées par décret en Conseil d’État, des procédures appropriées de recueil des signalements pour leur personnel et leurs collaborateurs extérieurs ou occasionnels.

Selon quelles modalités et dans le respect de quelles formalités préalables ?

Les modalités sont fixées par le décret du 19 avril 2017 (8) qui entrera vigueur le 1er janvier 2018.

Le décret précise que « chaque organisme détermine l’instrument juridique le mieux à même de répondre à l’obligation d’établir une procédure de recueil des signalements et l’adopte conformément aux dispositions législatives et réglementaires qui le régisse. Il en est de même des autorités publiques et administratives indépendantes ».

Le décret ajoute qu’un groupe peut mettre en place une procédure de recueil des signalements commune à toutes ses filiales.

Il offre la possibilité aux organismes d’externaliser le recueil des signalements en désignant un référent « extérieur » .

Le décret indique que le lanceur d’alerte devra être informé des dispositions prises par l’organisme notamment sur le traitement du signalement, la confidentialité, le délai de conversation du dossier et le traitement des données personnelles.

L’organisme doit prendre les mesures nécessaires :

• pour informer sans délai l’auteur du signalement de la réception de son signalement, ainsi que du délai raisonnable et prévisible nécessaire à l’examen de sa recevabilité et des modalités suivant lesquelles il est informé des suites données à son signalement ;
• pour garantir la stricte confidentialité de l’auteur du signalement, des faits objets du signalement et des personnes visées, y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement du signalement ;
• pour détruire les éléments du dossier de signalement de nature à permettre l’identification de l’auteur du signalement et celle des personnes visées par celui-ci lorsqu’aucune suite n’y a été donnée, ainsi que le délai qui ne peut excéder deux mois à compter de la clôture de l’ensemble des opérations de recevabilité ou de vérification. L’auteur du signalement et les personnes visées par celui-ci sont informés de cette clôture.
• la procédure doit mentionner l’existence d’un traitement automatisé des signalements mis en œuvre après autorisation de la Commission nationale de l’informatique et des libertés.

L’organisme peut prendre un engagement de conformité à la délibération n°2014-042 du 30 janvier 2014 modifiant l’autorisation unique n°2005-305 du 8 décembre 2005 n°AU-004 relative aux traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (9).

Cependant, l’autorisation unique AU-004 vise les employés. Or, le dispositif de la loi Sapin 2 a un champ plus large comprenant également les collaborateurs occasionnels et extérieurs.

La Cnil doit prochainement prendre position sur l’incompatibilité des dispositifs d’alerte créés par la loi Sapin 2, notamment celui prévu en son article 8, avec sa décision unique d’autorisation AU-004.

Il est recommandé d’anticiper le Règlement général sur la protection des données (RGPD) qui entrera en vigueur le 25 mai 2018, et s’assurer que les dispositifs anticorruption répondent aux nouvelles exigences, notamment en termes de sécurité, d’information des personnes , de flux transfrontières et s’agissant de l’analyse d’impact.

Enfin, l’article 6 du décret prévoit que « l’entreprise procède à la diffusion de la procédure de recueil des signalements qu’elle a établie par tout moyen, notamment par voie de notification, affichage ou publication, le cas échéant sur son site internet, dans des conditions propres à permettre à la rendre accessible aux membres de son personnel ou à ses agents, ainsi qu’à ses collaborateurs extérieurs ou occasionnels. Cette information peut être réalisée par voie électronique ».

Conclusion

La loi Sapin 2 laisse planer certaines interrogations, notamment sur l’articulation de ce dispositif avec celui de l’article 17 de la loi spécifique à lutte anti-corruption qui fera l’objet d’un prochain article.

Lexing Alain Bensoussan Avocats
Lexing Contentieux numérique

(1) Loi n°2016-1691 du 9-12-2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite « loi Sapin 2 ».
(2) Décision n°2016-741 DC du 8-12-2016 – loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique et communiqué de presse du 14 avril 2017 du Conseil constitutionnel.
(3) Loi n°2013-316 du 16 avril 2013 relative à l’indépendance de l’expertise en matière de santé et d’environnement et à la protection des lanceurs, a institué une Commission nationale de la déontologie et des alertes en matière de santé publique et d’environnement chargée de veiller aux règles déontologiques s’appliquant à l’expertise scientifique et technique et aux procédures d’enregistrement des alertes en matière de santé publique et d’environnement.
(4) Conseil d’état, « Le droit d’alerte : signaler, traiter, protéger », (Les études du Conseil d’état), La Documentation française, étude adoptée le 25-2-2016 par l’assemblée générale plénière du Conseil d’état p. 58
(5) Loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique.
(6) Défenseur des droits, site internet accessible à : http://www.defenseurdesdroits.fr/ .
(7) Loi organique n°2011-333 du 29 mars 2011 relative au Défenseur des droits (version consolidée).
(8) Décret n°2017-564 du 19 avril 2017 relatif aux procédures de recueil des signalements émis par les lanceurs d’alerte au sein des personnes morales de droit public ou de droit privé ou des administrations de l’Etat
(9) CNIL, autorisation unique n°AU-004 – Délibération n° 2005-305 du 8 décembre 2005 n°AU-004 relative aux traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (modifiée).
(10) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).