Lanceur d'alerte : comment mettre en place une plateforme de signalement conforme
Ce que la directive (UE) 2019/1937 et la loi Sapin 2 exigent en matière de signalement
La directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019, transposée en France par la loi n° 2022-401 du 21 mars 2022, impose aux entités du secteur privé employant au moins 50 travailleurs de mettre en place des canaux de signalement internes. La loi n° 2016-1691 du 9 décembre 2016 dite Sapin 2 impose par ailleurs un dispositif d'alerte dans le cadre du programme anticorruption, pour les entreprises de plus de 500 salariés. Ces deux textes peuvent être couverts par un dispositif unique, à condition qu'il respecte les exigences des deux référentiels. Optivalue.ai guide les organisations dans la conception et le déploiement de leur canal de signalement, en vérifiant la conformité technique et organisationnelle à chacun des deux textes. La plateforme doit garantir la confidentialité de l'identité du signalant, offrir un accusé de réception et assurer un suivi tracé des signalements reçus.
Qui est concerné et quels signalements doivent être couverts
La directive (UE) 2019/1937 définit précisément les catégories d'entités soumises à l'obligation : entités du secteur privé de 50 travailleurs ou plus, entités du secteur public, collectivités territoriales au-dessus d'un certain seuil de population. Le champ des signalements couverts est également délimité par le texte : violations du droit de l'Union européenne dans les domaines listés à l'annexe de la directive. Ces domaines incluent notamment la passation des marchés publics, les services financiers, la concurrence, la protection de l'environnement, la santé publique, la protection des données personnelles et la vie privée. Les signalements relatifs à des faits de corruption ou de trafic d'influence relevant de la loi n° 2016-1691 du 9 décembre 2016 s'ajoutent à ce périmètre pour les entreprises concernées par Sapin 2.
Confidentialité et protection du lanceur d'alerte : exigences techniques et organisationnelles
La protection de l'identité du signalant est une exigence fondamentale de la directive (UE) 2019/1937. La plateforme ne doit pas permettre l'identification du signalant sans son consentement exprès. Les données d'identification doivent être accessibles uniquement aux personnes habilitées à réceptionner et traiter les signalements. Le registre des signalements doit être distinct des systèmes d'information utilisés par les directions opérationnelles. La loi n° 2022-401 du 21 mars 2022 prévoit des sanctions pénales pour toute personne prenant des mesures de représailles contre un lanceur d'alerte. Le traitement des données du signalant soumis au RGPD exige également une base légale, une durée de conservation définie, et la capacité à répondre aux demandes d'exercice des droits du signalant.
Délais de traitement et traçabilité : ce que la loi impose
La directive (UE) 2019/1937 fixe deux délais précis. L'entité doit accuser réception du signalement dans un délai de sept jours à compter de la réception (article 11 de la directive). Elle doit fournir un retour d'information au signalant dans un délai de trois mois à compter de l'accusé de réception (article 11). Ces délais s'appliquent quel que soit le volume de signalements reçus. Leur respect exige une organisation interne formalisée : désignation d'une personne ou d'un service habilité à réceptionner les signalements, procédure d'évaluation et de transmission, tableau de bord de suivi. Un registre des signalements horodaté, avec les dates d'accusé de réception et de retour d'information, constitue la preuve documentaire requise lors d'un contrôle.
Comment une plateforme de signalement couvre les exigences sans exposer l'identité du lanceur
Une plateforme de signalement conforme isole l'identité du signalant du contenu du signalement. Elle affecte un identifiant anonyme à chaque signalement reçu. Elle permet un échange sécurisé et chiffré entre la personne habilitée et le signalant, sans que les métadonnées puissent révéler l'identité. Elle horodate automatiquement les événements clés : réception, accusé, retour d'information, clôture. Optivalue.ai fournit ce canal en lien direct avec le programme anticorruption Sapin 2 qui impose ce dispositif, en assurant la traçabilité de chaque signalement selon les exigences de la loi n° 2022-401 du 21 mars 2022 et de la directive (UE) 2019/1937. Le dossier documentaire de chaque signalement est archivé selon la durée de conservation fixée par les textes applicables.
FAQ
Quelle taille d'entreprise est obligée de mettre en place un canal de signalement ?
La directive (UE) 2019/1937, transposée par la loi n° 2022-401 du 21 mars 2022, impose un canal de signalement interne aux entités du secteur privé employant au moins 50 travailleurs. Pour les entreprises soumises à la loi Sapin 2 (n° 2016-1691 du 9 décembre 2016), l'obligation s'applique aux entreprises de plus de 500 salariés. Ces deux seuils sont distincts ; une entreprise peut donc être soumise à l'un et pas à l'autre.
Un canal de signalement anonyme est-il obligatoire ?
La directive (UE) 2019/1937 n'impose pas l'anonymat du canal mais impose la confidentialité de l'identité du signalant. Les signalements anonymes peuvent être acceptés, mais l'organisation peut décider de les traiter selon des modalités distinctes. La loi n° 2022-401 du 21 mars 2022 encadre les conditions dans lesquelles un signalement anonyme est recevable. La plateforme doit en tout état de cause protéger l'identité du signalant qui ne souhaite pas être identifié.
Quelles informations faut-il inclure dans l'accusé de réception ?
L'article 11 de la directive (UE) 2019/1937 impose d'adresser un accusé de réception au signalant dans un délai de sept jours. Cet accusé informe le signalant que son signalement a bien été reçu et lui indique les suites qui lui seront données. Il ne doit pas compromettre la confidentialité de l'instruction en cours. Le canal de signalement doit permettre cet échange de manière sécurisée, sans identifier le signalant.
Combien de temps conserver les données d'un signalement ?
La loi n° 2022-401 du 21 mars 2022 fixe les durées de conservation des données liées aux signalements. Ces données doivent être conservées le temps nécessaire au traitement du signalement et aux suites données, dans la limite des durées fixées par les textes applicables. Le traitement de ces données étant soumis au règlement (UE) 2016/679 dit RGPD, l'organisation doit inscrire ce traitement dans son registre des activités de traitement et définir une base légale.
Peut-on mutualiser le canal de signalement Sapin 2 et le canal lanceur d'alerte ?
Oui, la mutualisaton est possible et recommandée pour simplifier la gestion. La plateforme commune doit couvrir le périmètre de la loi n° 2016-1691 du 9 décembre 2016 (faits pouvant constituer un manquement au code de conduite anticorruption) et celui de la directive (UE) 2019/1937 (violations du droit de l'Union dans les domaines listés). Les règles de confidentialité, les délais de traitement et les protections offertes au signalant doivent respecter les deux textes simultanément.
Découvrez comment Optivalue.ai déploie votre canal de signalement conforme
Haut de page
Sur le même sujet