Il y a seulement quelques années, l’alerte professionnelle suscitait bien des réserves en France comme dans la plupart des autres pays européens.
Dénoncer des comportements même illégaux de collègues au travail était regardé comme de la dénonciation, et une dénonciation en outre risquée pour les lanceurs d’alerte ; licenciements et sanctions pénales n’étaient pas rares.
Les temps ont changé.
Fort peu nombreux sont ceux qui, officiellement, au moins osent contester l’utilité sociale d’une pratique dont l’intérêt public est maintenant reconnu dans la société.
Le journalisme d’investigation y a joué un rôle en mettant à jour des faits de corruption, faits pour lesquels l’appréhension en amont par l’entreprise sur la base d’une alerte lui aurait évité bien des mésaventures, entre le dommage réputationnel et les poursuites pénales y compris au niveau international.
En ce sens, le lanceur d’alerte est de plus en plus considéré en Europe comme un acteur essentiel de la gestion du risque dans l’entreprise.
Or, à ce jour seulement dix Etats membres de l’Union européenne (« UE ») bénéficient d’une législation sur l’alerte professionnelle.
Face à ce constat, la Commission européenne avait déploré en 2016 le fait que le respect du droit de l’Union demeure un défi important tout en se disant déterminée à « mettre davantage l’accent sur le contrôle de son application afin de servir l’intérêt général ».
C’est sur cette base que la Commission s’est sentie en mesure de proposer une législation européenne pour harmoniser la protection des lanceurs d’alerte au sein de l’UE : a ainsi été adoptée, le 16 avril 2019, la directive sur la protection des personnes dénonçant les infractions au droit de l’Union (« Directive »).
Certes, cette Directive ne concerne que les seules infractions au droit de l’Union, mais on peut penser que ses dispositions serviront de références aux législateurs nationaux lorsqu’ils s’aviseront de réglementer ou de modifier la réglementation existante sur les dispositifs d’alerte professionnelle.
De plus, comment imaginer qu’au sein d’une même entité – entreprise, association ou administration – puissent être mises en place des procédures différentes pour l’alerte selon la nature des infractions en cause, qu’il s’agisse d’infractions réprimées au seul plan national ou d’infractions au droit de l’UE ?
Le lanceur d’alerte comme les responsables chargés d’y donner suite ne s’y retrouveraient pas.
La nouvelle Directive européenne est inspirée de la recommandation du Conseil de l’Europe de 2014 et de la jurisprudence abondante de la Cour européenne des droits de l’homme (« CEDH »), tout en s’écartant par certains aspects des prescriptions de cette jurisprudence.
Le régime français de protection des lanceurs d’alerte institué par la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (« loi Sapin II ») s’inscrit, lui, en droite ligne de la jurisprudence de la CEDH, de sorte que l’on peut se demander s’il ne devra pas être adapté en fonction de la nouvelle donne européenne.
Un champ d’application de la Directive déterminé par le principe de subsidiarité
Le champ d’application matériel de la Directive, en vertu du principe de subsidiarité, est circonscrit aux infractions au droit de l’Union.
Les infractions sont limitativement énumérées à l’article 2 de la Directive et concernent les secteurs suivants : la passation des marchés publics, les services, produits et marchés financiers, la prévention du blanchiment de capitaux et du financement du terrorisme, la sécurité des produits et des transports, la protection de l’environnement, la protection contre le rayonnement et la sûreté nucléaire, la sécurité des aliments destinées à l’alimentation humaine et animale, la santé et le bien-être des animaux, la santé publique, la protection des consommateurs, la protection de la vie privée et des données à caractère personnel et la sécurité des réseaux et des systèmes d’information.
La Directive s’applique également aux infractions portant atteinte aux intérêts financiers de l’Union, aux infractions relatives au marché intérieur notamment en matière de concurrence et d’aides d’Etat et aux violations de la réglementation européenne applicable à la fiscalité des entreprises (TVA intracommunautaire).
Une activité légale qui pourrait apparaître comme contraire à l’intérêt général (e.g., optimisation fiscale, sauf à considérer qu’il s’agit d’une aide d’Etat illégale) ne sera donc pas a priori couverte par la Directive.
En ce sens, cette dernière va moins loin que le régime français qui prévoit que toute révélation d’une menace ou d’un préjudice grave pour l’intérêt général entre dans le champ d’application du dispositif de protection des lanceurs d’alerte.
Les Etats membres pourront logiquement étendre la protection européenne à l’ensemble des infractions punies dans leur système répressif.
La possibilité d’extension du champ matériel est également prévue dans la procédure de révision de la Directive.
Le champ d’application personnel de la Directive, prévu à l’article 4, couvre au-delà des salariés privés et publics, les actionnaires et les membres de direction ou de surveillance d’une entreprise, y compris les membres non exécutifs, les bénévoles et les stagiaires rémunérées ou non, les personnes travaillant pour des contractants, des sous-traitants et des fournisseurs.
Sont protégés également comme lanceurs d’alerte les personnes ayant obtenu les informations dans le cadre d’une relation professionnelle qui a cessé ou qui n’a pas encore commencé, les facilitateurs, les tiers ayant aidé ou étant lié au lanceur d’alerte (collègues, parents, etc.).
La Directive étend par ailleurs cette protection aux entités juridiques détenues par les lanceurs d’alerte ou pour lesquelles ils travaillent, ou encore avec lesquelles ils sont en lien dans un contexte professionnel. Le champ d’application personnel de cette Directive est donc plus large que celui du dispositif français qui ne protège parmi les lanceurs d’alerte que personnes physiques à l’exclusion des personnes morales.
Une acception extensive du lanceur d’alerte
Afin de bénéficier d’une protection, le lanceur d’alerte doit, selon l’article 5 de la Directive, remplir trois conditions à savoir :
- avoir des motifs raisonnables de croire que les informations qu’il fait remonter étaient véridiques au moment du signalement,
- avoir des motifs raisonnables de croire que ces informations relevaient du champ d’application de la Directive,
- et respecter les prescriptions de la Directive sur les canaux d’alerte et les procédures mises en place.
La Directive ne limite pas la protection aux faits dont le lanceur d’alerte a eu personnellement connaissance, comme c’est le cas en droit français.
Elle semble permettre au lanceur d’alerte de déclarer des faits constatés par les tiers pour autant que ces informations ont été obtenues dans un contexte professionnel.
En outre, contrairement au droit français, la Directive ne conditionne pas explicitement le statut de lanceur d’alerte au fait d’agir de « manière désintéressée ».
Elle laisse ainsi aux Etats membres la possibilité de rémunérer les lanceurs d’alerte.
En France, si la loi Sapin II a écarté cette possibilité, une telle rémunération reste possible dans certains cas.
Par exemple, l’Administration fiscale peut rémunérer toute personne étrangère aux administrations publiques fournissant des renseignements sur tout manquement d’importance à la législation fiscale.
Initialement prévu à titre expérimental, ce dispositif a été pérennisé en 2018.
En comparaison, les Etats-Unis ont depuis plus d’un siècle fait le choix de récompenser les lanceurs d’alerte. Divers dispositifs américains tels que le False Claims Act, l’IRS WhistleBlower Reward Program ou le Securities Whistleblower Reward Program ont pour objectif d’inciter les lanceurs d’alerte à fournir des informations sur des illégalités commises.
Les sommes versées peuvent être considérables. A titre d’exemple, la Securities and exchange commission (« SEC ») a alloué, depuis 2010, 326 millions de dollars à 59 lanceurs d’alerte.
Toutefois, au vu des sommets récemment atteints, elle envisage de revoir ses règles en plafonnant le montant de chaque récompense à 30 millions de dollars.
En effet, en mars 2018, la SEC a accordé respectivement 50 et 33 millions de dollars à deux lanceurs d’alerte.
En septembre 2018, la prime s’est élevée à 39 millions de dollars.
Le 26 mars 2019, elle a versé 50 millions de dollars à deux lanceurs d’alerte.
Ainsi, plus de la moitié de l’ensemble des récompenses accordées via ce programme qui existe depuis sept ans a été versée en 2018.
L’UE est sans doute loin de copier ces pratiques qui peuvent in fine soulever des questions éthiques.
Enfin, l’article 5 de la Directive permet aux Etats membres de décider d’admettre ou non l’anonymat de l’alerte.
Le même article prévoit que les lanceurs d’alerte initialement anonymes et identifiés après le signalement doivent bénéficier d’une protection en cas de représailles.
Si la loi Sapin II ne traite pas expressément la question des alertes anonymes (l’article 9 se bornant à garantir « la stricte confidentialité des auteurs du signalement »), le référentiel AU-004 de la Commission nationale de l’informatique et des libertés (« CNIL ») sur les dispositifs d’alerte a été modifié en 2017 pour prévoir l’anonymat de certaines alertes, notamment si la gravité des faits est établie et les éléments factuels suffisamment détaillés.
De ce fait, il semble peu probable à court terme que la loi Sapin II soit modifiée pour lever l’option de l’anonymat généralisé des alertes.
Des canaux de signalement non hiérarchisés
La Directive impose aux Etats membres l’obligation de veiller à ce que les entreprises de plus de 50 salariés ou les collectivités de plus de 10 000 habitants établissent des canaux et des procédures internes pour les signalements.
Il est à noter que les mêmes seuils sont prévus dans la loi Sapin II.
Trois types de signalement sont prévus par la Directive : le signalement interne, le signalement externe et le signalement public.
A l’origine, reprenant la jurisprudence de la CEDH intégrée dans la loi Sapin II, la proposition de la Commission européenne obligeait les lanceurs d’alerte à utiliser les canaux internes à l’entité concernée pour le recueil de son signalement avant de le porter à la connaissance des autorités administratives ou judiciaires.
Cette procédure a constitué un point de divergence important entre le Parlement européen et le Conseil qui, à l’initiative de la France, souhaitait prioriser le signalement interne.
En France, en effet, l’alerte doit d’abord être faite en interne (au supérieur hiérarchique direct ou indirect de l’employé ou à un référent désigné par celui-ci).
Ce n’est qu’en l’absence « de diligences de la personne destinataire de l’alerte » dans un délai raisonnable que l’alerte « à l’autorité judiciaire, à l’autorité administrative ou aux ordres professionnels » est possible.
La Directive se distancie de cette approche, en admettant le signalement externe comme interne en première intention, tout en encourageant l’alerte interne.
Selon l’article 10 de la Directive, le lanceur d’alerte peut ainsi choisir entre les deux voies – interne ou externe – pour acheminer son signalement.
Il n’y a plus de hiérarchie procédurale entre les alertes internes et externes.
S’agissant de la possibilité de révéler publiquement les informations que soit via des réseaux sociaux ou à la presse notamment, la Directive prévoit que le signalement public ne sera protégé que :
- en cas d’absence de réaction des destinataires des signalements internes et/ou externes pendant un délai de trois ou de six mois,
- si le lanceur d’alerte a des motifs raisonnables de craindre un danger imminent ou manifeste pour l’intérêt public (e.g., une situation d’urgence ou un risque de dommages irréversibles),
- ou en cas de signalement externe, si le lanceur d’alerte a des motifs raisonnables de croire qu’il existe un risque de représailles ou qu’il y a peu de chances de voir le manquement effectivement traité en raison des circonstances particulières de l’affaire.
Faisant écho à ces conditions, la loi française subordonne également le signalement public à l’absence de réponse des autorités administratives ou judiciaires dans un délai de trois mois.
Elle prévoit de même une procédure d’urgence « en cas de danger grave et imminent ou en présence d’un risque de dommages irréversibles ».
Une protection renforcée des lanceurs d’alerte
La Directive interdit toute forme de représailles à l’égard du salarié. Les mesures de rétorsion interdites sont très larges.
Elles vont au-delà des protections offertes dans le cadre du contrat de travail ou du statut (pour le fonctionnaire).
Ainsi, l’article 19 de la Directive prévoit que sont sanctionnés toute suspension, licenciement, refus de promotion, mesures disciplinaires, discrimination, traitement injuste, intimidation ou atteinte à la réputation de la personne, mise sur liste noire, etc.
Selon l’article 21 de la Directive, la personne ayant respecté les procédures légales de signalement ne peut être poursuivie en justice pour violation des secrets professionnels, à l’exception du secret défense, du secret professionnel juridique et médical, ainsi que du secret des délibérations judiciaires.
Une disposition similaire est prévue par la loi française.
En 2017, le tribunal de grande instance de Toulouse a ainsi relaxé pour la première fois un salarié poursuivi du chef de diffamation publique pour avoir publiquement dénoncé différents dysfonctionnements constatés au sein d’un institut chargé de l’accueil et de la prise en charge des enfants lourdement handicapés qui l’employait.
En appliquant cette fois-ci la loi Sapin II, la Cour de cassation a également annulé en octobre 2018 la condamnation d’une inspectrice du travail poursuivie pour violation du secret professionnel après avoir communiqué à différents syndicats départementaux et régionaux des documents confidentiels de la société Tefal laissant entendre que la direction de l’entreprise exerçait des pressions sur elle par intermédiaire de son supérieur.
Aux termes de l’article 20 de la Directive, les États membres doivent veiller à ce que les lanceurs d’alerte aient accès à une assistance juridique et à des conseils indépendants.
Les États sont également invités à leur fournir un soutien financier et psychologique.
Une telle mesure avait été prévue dans la loi Sapin II, qui avait désigné le Défenseur des droits comme chargé de leur apporter une aide ou un secours financier.
Toutefois, le Conseil constitutionnel l’avait censuré, considérant que ce rôle ne rentrait pas dans le champ de compétences du Défenseur des droits fixé par la Constitution.
En cas de procédure engagée devant une juridiction ou auprès d’une autorité concernant un préjudice subi par le lanceur d’alerte, la Directive fait bénéficier ce dernier d’un aménagement de la charge de la preuve.
Ainsi l’article 21.5 de la Directive prévoit que sous réserve que le lanceur d’alerte « établisse qu’il a fait un signalement ou une divulgation publique et qu’il a subi un préjudice, il est présumé que le préjudice a été causé en représailles au signalement ou à la divulgation ». Il appartiendra par conséquent à l’employeur de prouver que les mesures prises par lui (e.g., disciplinaires) ont été motivées par des éléments étrangers au signalement. Le droit français est en ce sens conforme à la Directive, puisqu’il prévoit également le renversement de la charge de la preuve en cas de mesures prises à l’encontre du lanceur d’alerte suite à son signalement.
Enfin, la Directive dispose que les Etats membres doivent établir des sanctions « effectives, proportionnées et dissuasives » en cas d’entrave ou de tentative d’entrave au signalement, de mesures de représailles ou de poursuites vexatoires prises à l’encontre des lanceurs d’alerte ou de manquement à l’obligation de préserver la confidentialité de l’identité de ces derniers.
La loi Sapin II a déjà introduit pour ce type de comportement des sanctions pénales qui peuvent aller jusqu’à deux ans d’emprisonnement et 30 000 euros d’amende.
En guise de conclusion, la Directive a vocation à constituer le socle à partir duquel les Etats membres vont se doter de dispositifs d’alerte de plus en plus uniformes sur le territoire européen.
Quelques aspects vont encore être laissés à la discrétion des Etats membres comme la rémunération des lanceurs d’alerte ou encore la généralisation de l’anonymat. Mais pour le reste, l’alerte professionnelle sera harmonisée.
C’est une très bonne chose : non seulement, cela facilitera la tâche des entreprises opérant dans différents Etats membres, mais surtout la Directive consacre l’idée que chaque membre d’une communauté professionnelle est chargé de veiller à ce que des conduites déviantes ne puissent prospérer et ainsi mettre en danger l’entreprise ou l’administration où elles ont court.
Chacune et chacun devient en charge de la sécurité de tous notamment au plan éthique.
C’est la fameuse culture du « speak up » qui se trouve encouragée, sous des formes qui peuvent être plus ou moins différentes de celles promues outre-Atlantique.
A cet égard, la Directive procède à une harmonisation minimale.
Plus important est le fait que son article 25 réserve aux Etats membres la possibilité d’aller au-delà de ses préconisations, tout en posant en principe que sa transposition ne doit en aucun cas justifier une réduction du niveau de protection déjà accordé par les Etats dans les champs couverts par la Directive.
La transposition de la Directive doit avoir lieu dans les deux ans suivant son adoption.
La France devra donc modifier sa législation relative au lanceur d’alerte afin de se mettre en conformité avec la Directive, notamment en facilitant l’accès à la procédure de signalement externe.
