Ce que fait la directive
La directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l’Union a été adoptée le 23 octobre 2019 et est entrée en vigueur le 16 décembre 2019. Les États membres avaient jusqu’au 17 décembre 2021 pour la transposer en droit national, et jusqu’au 17 décembre 2023 pour l’obligation faite aux employeurs privés de 50 à 249 travailleurs de mettre en place des canaux internes.
La directive fait deux choses. Elle impose aux organisations de proposer des moyens sûrs de signaler des irrégularités, et elle protège les auteurs de signalement contre les représailles. Elle fixe des normes minimales : les lois nationales peuvent donc protéger davantage de personnes ou couvrir davantage de types d’irrégularités.
Un auteur de signalement peut emprunter trois voies : en interne, auprès de sa propre organisation ; en externe, auprès d’une autorité compétente ; ou, sous des conditions strictes, publiquement. Les États membres doivent encourager le signalement interne en premier lorsque la violation peut être traitée en interne et que l’auteur du signalement n’estime pas courir de risque de représailles.
Les violations concernées
La directive couvre les signalements de violations du droit de l’Union dans les domaines suivants :
- les marchés publics
- les services, produits et marchés financiers, et la prévention du blanchiment de capitaux et du financement du terrorisme
- la sécurité et la conformité des produits
- la sécurité des transports
- la protection de l’environnement
- la radioprotection et la sûreté nucléaire
- la sécurité des aliments destinés à l’alimentation humaine et animale, la santé et le bien-être des animaux
- la santé publique
- la protection des consommateurs
- la protection de la vie privée et des données à caractère personnel, et la sécurité des réseaux et des systèmes d’information
- les intérêts financiers de l’Union, et le marché intérieur, y compris les règles en matière de concurrence, d’aides d’État et d’impôt sur les sociétés
Selon le rapport 2024 de la Commission européenne sur la directive, une large majorité d’États membres ont étendu la protection au-delà de la directive, et environ la moitié ont ajouté des domaines du droit national, comme la corruption ou les infractions pénales. Vérifiez ce que couvre la loi de votre pays.
Qui est protégé
La protection couvre les personnes qui ont connaissance de violations dans le cadre de leur travail, dans le secteur privé ou public. Cela comprend au moins :
- les salariés, y compris les fonctionnaires
- les travailleurs indépendants
- les actionnaires, les membres des organes d’administration, de direction ou de surveillance, les bénévoles et les stagiaires rémunérés ou non
- les personnes qui travaillent pour des contractants, des sous-traitants et des fournisseurs
- les anciens salariés, et les candidats qui ont eu connaissance d’une violation pendant le recrutement
La protection s’étend aussi aux personnes qui aident l’auteur du signalement, aux collègues et aux proches susceptibles de subir des représailles, ainsi qu’aux entreprises que l’auteur du signalement possède ou pour lesquelles il travaille. Pour en bénéficier, l’auteur du signalement doit avoir eu des motifs raisonnables de croire que les informations étaient vraies et entraient dans le champ de la directive au moment du signalement. Une personne qui a fait un signalement anonyme et qui est identifiée par la suite conserve la même protection.
Qui doit mettre en place un canal interne
- Secteur privé : tout employeur de 50 travailleurs ou plus.
- Certains secteurs réglementés, comme les services financiers et la prévention du blanchiment de capitaux : tout employeur relevant des règles de l’UE concernées, quelle que soit sa taille.
- Secteur public : tout organisme public, y compris les entités qu’il détient ou contrôle. Les États membres peuvent exempter les communes de moins de 10 000 habitants ou de moins de 50 travailleurs, ainsi que les autres organismes publics de moins de 50 travailleurs.
- Employeurs privés plus petits : uniquement lorsque la loi nationale l’exige à la suite d’une évaluation des risques, par exemple en raison de risques pour l’environnement ou la santé publique.
Les employeurs privés de 50 à 249 travailleurs peuvent partager des ressources pour la réception des signalements et les enquêtes, mais chacun conserve ses propres obligations de confidentialité, de retour d’informations et de suivi. Le canal peut être géré par une personne ou un service désigné au sein de l’organisation, ou par un prestataire externe qui respecte les mêmes exigences.
Les groupes de sociétés
Dans son rapport de 2024, la Commission européenne a critiqué les règles nationales qui permettent aux groupes de sociétés de n’exploiter un canal qu’au niveau du groupe et d’en exempter leurs plus grandes sociétés, car les canaux doivent être accessibles et proches des personnes qui font des signalements. Si vous exploitez un seul canal pour l’ensemble du groupe, vérifiez si vos sociétés de 250 travailleurs ou plus doivent avoir le leur.
Ce que le canal interne doit permettre
Les procédures de signalement interne doivent comprendre :
- un canal sécurisé qui protège l’identité de l’auteur du signalement et de toute personne mentionnée dans le signalement, sans accès pour le personnel non autorisé
- un accusé de réception adressé à l’auteur du signalement dans un délai de sept jours
- une personne ou un service impartial qui assure le suivi des signalements, reste en contact avec l’auteur du signalement et lui demande des informations complémentaires si nécessaire
- un suivi diligent, y compris des signalements anonymes lorsque la loi nationale l’exige
- un retour d’informations à l’auteur du signalement dans un délai raisonnable, au plus tard trois mois après l’accusé de réception, ou trois mois après l’expiration du délai de sept jours si aucun accusé de réception n’a été envoyé
- des informations claires et faciles d’accès sur la manière d’effectuer un signalement externe auprès des autorités compétentes
Le canal doit accepter les signalements par écrit, oralement, ou les deux. Lorsqu’un canal reçoit des signalements oraux, ceux-ci doivent pouvoir être faits par téléphone ou par un autre système de messagerie vocale. La directive prévoit aussi une rencontre en personne, dans un délai raisonnable, lorsque l’auteur du signalement la demande. Les lois nationales diffèrent sur l’obligation pour chaque canal de la proposer : vérifiez donc la vôtre.
Le calendrier d’un signalement
- Jour 0 : le signalement arrive par le canal.
- Au plus tard le jour 7 : l’auteur du signalement reçoit un accusé de réception.
- Dans les trois mois suivant l’accusé de réception : l’auteur du signalement apprend ce qui a été fait ou est prévu, et pourquoi.
- Tout au long du processus : le signalement est consigné, l’accès est limité et l’identité de l’auteur du signalement reste protégée.
Les signalements anonymes
La directive laisse à chaque État membre le soin de décider si les organisations doivent accepter et suivre les signalements anonymes. Selon le rapport 2024 de la Commission, environ la moitié des lois nationales encadrent les signalements anonymes, et la plupart d’entre elles imposent qu’ils soient acceptés et suivis, par les autorités compétentes ou par toute organisation disposant d’un canal. Lorsqu’ils doivent être acceptés, ils sont traités comme n’importe quel autre signalement.
Accepter les signalements anonymes n’est utile que si l’auteur du signalement peut rester en contact sans révéler son identité. Prévoyez comment vous accuserez réception d’un signalement anonyme, poserez des questions complémentaires et ferez un retour d’informations.
Comment HR Hero vous aide
La page de signalement publique de HR Hero est anonyme par défaut. Les auteurs de signalement obtiennent un numéro de référence et peuvent générer une phrase secrète de quatre mots pour consulter le statut. Le formulaire ne comporte aucun champ de contact : un auteur de signalement qui souhaite un échange laisse donc un moyen de contact dans le signalement, et le référent y envoie un jeton de suivi privé.
Confidentialité, protection des données et archivage
L’identité de l’auteur du signalement ne doit pas être divulguée au-delà des membres du personnel autorisés à recevoir ou à suivre les signalements sans son consentement explicite. Il en va de même pour toute information permettant de déduire son identité. Des exceptions ne sont admises que lorsque le droit de l’Union ou le droit national l’exige, par exemple dans le cadre d’une enquête ou d’une procédure judiciaire, et l’auteur du signalement doit normalement en être informé au préalable.
Le traitement des données personnelles relève du RGPD, et les données manifestement sans rapport avec un signalement ne doivent pas être collectées ou doivent être supprimées sans tarder. Chaque signalement doit être consigné et ne pas être conservé plus longtemps que nécessaire et proportionné. Les signalements oraux et les rencontres peuvent être documentés par un enregistrement ou un procès-verbal précis, avec le consentement de l’auteur du signalement et la possibilité pour lui de vérifier, de rectifier et de signer.
Comment HR Hero vous aide
Le contenu des signalements est chiffré avec la clé propre à votre entreprise, seules les personnes disposant des autorisations relatives aux signalements peuvent ouvrir un dossier, et chaque dossier dispose d’un journal chaîné par hachage, vérifié chaque nuit. Les signalements clos quittent la boîte de réception à l’issue de la durée de conservation qu’Office Hero fixe pour votre entreprise, de 12 à 120 mois à compter de leur réception ; ils sont marqués comme supprimés, pas effacés.
La protection contre les représailles
Toute forme de représailles est interdite, y compris les menaces et les tentatives. La directive donne des exemples :
- le licenciement, la suspension, la rétrogradation ou le refus de promotion
- les modifications des fonctions, du lieu de travail, de la rémunération ou des horaires de travail, et le refus de formation
- les évaluations de performance ou attestations de travail négatives, et les mesures disciplinaires
- la coercition, l’intimidation, le harcèlement, l’ostracisme et la discrimination
- la non-conversion ou le non-renouvellement d’un contrat de travail temporaire, ou sa résiliation anticipée
- l’atteinte à la réputation, y compris sur les réseaux sociaux, les pertes financières et la mise sur liste noire dans un secteur
- l’annulation de contrats de biens ou de services, l’annulation de licences ou de permis, et l’orientation vers un traitement psychiatrique ou médical
Si un auteur de signalement subit un préjudice et démontre qu’il a fait un signalement, ce préjudice est présumé constituer des représailles, et c’est à l’employeur de prouver qu’il avait d’autres motifs dûment justifiés. Ni les accords ni les politiques internes ne peuvent supprimer ces droits. Les États membres prévoient des sanctions à l’encontre de quiconque entrave le signalement, exerce des représailles, intente des procédures abusives ou viole la confidentialité, ainsi qu’à l’encontre des auteurs de signalement qui communiquent sciemment de fausses informations.
Où en sont les lois nationales
La transposition a été lente. À l’échéance du 17 décembre 2021, seuls trois États membres avaient entièrement transposé la directive ; huit ont suivi en 2022 et treize en 2023, selon le rapport 2024 de la Commission. Ce même rapport constatait que tous les États membres avaient transposé les dispositions principales, mais que des domaines clés devaient encore être améliorés, comme le champ d’application, les conditions de protection et la protection contre les représailles, y compris les sanctions.
Les lois nationales diffèrent dans le détail : l’obligation ou non d’accepter les signalements anonymes, les domaines du droit national couverts, les modalités du signalement oral et l’autorité qui reçoit les signalements externes. Suivez les règles du pays où chacune de vos sociétés est établie.
Hors de l’UE : la Macédoine du Nord et la région
La directive ne s’applique pas directement hors de l’UE, mais de nombreux pays ont leurs propres lois sur les lanceurs d’alerte. La Macédoine du Nord a adopté sa loi sur la protection des lanceurs d’alerte en 2015. Selon un état des lieux du cabinet d’avocats CMS, les entreprises de dix salariés ou plus doivent adopter des règles internes pour les signalements et désigner une personne chargée de les recevoir.
Une nouvelle loi visant à aligner la Macédoine du Nord sur la directive a été rédigée. Le rapport 2026 de la Commission européenne sur l’état de droit indique que le projet a achevé la consultation au sein du gouvernement en mars 2026, sans calendrier clair pour son adoption par le Parlement. D’autres pays de la région ont aussi leurs propres règles : vérifiez-les pour chaque société, et n’oubliez pas que les filiales situées dans des pays de l’UE suivent la loi de leur État membre.
Une liste de contrôle pour mettre en place votre canal
- Comptez les travailleurs de chaque société et vérifiez les seuils prévus par sa loi nationale.
- Désignez une personne ou un service impartial pour traiter les signalements, avec un suppléant, et formez-les à la confidentialité.
- Décidez comment les personnes peuvent faire un signalement, par écrit, par téléphone ou lors d’une rencontre, et si vous devez accepter les signalements anonymes.
- Publiez des instructions claires pour le signalement interne et pour le signalement auprès des autorités compétentes.
- Mettez en place une routine qui accuse réception de chaque signalement dans les sept jours et fait un retour d’informations dans les trois mois.
- Limitez l’accès aux signalements, protégez les identités et consignez chaque étape.
- Fixez pour les signalements clos une durée de conservation compatible avec la directive et avec votre loi nationale.
- Indiquez aux responsables que les représailles sont interdites, et réexaminez la procédure régulièrement.
Comment Office Hero peut vous aider
HR Hero, l’application RH d’Office Hero, comprend un dispositif d’alerte conçu autour de la directive. Elle vous offre une page de signalement publique sur Office Hero Connect, qui ne nécessite aucun compte, un formulaire interne pour le personnel, une boîte de réception des dossiers pour vos référents désignés et un rappel envoyé aux référents affectés à un signalement lorsqu’il dépasse sept jours sans accusé de réception. Le contenu des signalements est chiffré, et chaque dossier dispose d’un journal chaîné par hachage.
Connaissez aussi ses limites : les signalements se font par écrit, sans ligne téléphonique ni enregistrement vocal, les auteurs de signalement ne peuvent pas joindre de fichiers, personne n’est prévenu de l’arrivée d’un nouveau signalement, et le délai de retour d’informations de trois mois se suit avec le filtre d’ancienneté de la boîte de réception plutôt qu’avec un rappel. La page du dispositif d’alerte explique son fonctionnement.