L’actualité judiciaire nationale et internationale de ces derniers mois a mis en avant la nécessaire protection, dans une société démocratique, des lanceurs d’alertes dans le cadre de la lutte contre
L’affaire DELTOUR, à quelques kilomètres du lieu où je me situe, a marqué l’actualité en la matière et passionné les débats, comme en témoigne les comptes rendus médiatiques dans notre presse régionale et nationale.
L’article 6 de la loi SAPIN 2 définit le lanceur d’alertes comme « une personne physique qui révèle ou signale, de manière désintéressée et de bonne foi, un crime ou un délit, une violation grave et manifeste d'un engagement international régulièrement ratifié ou approuvé par la France, d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l'intérêt général, dont elle a eu personnellement connaissance. ».
L’article 8 de la loi organise une procédure de signalement.
L’alerte doit donc être adressée au supérieur hiérarchique, à l’employeur ou au référent désigné par celui-ci.
En l’absence de réaction du destinataire de l’alerte interne dans un délai raisonnable, le lanceur d’alertes pourra s’adresser à l’autorité administrative ou aux ordres professionnels.
En cas d’absence ou d’inefficacité du dispositif interne, le lanceur d’alertes pourra alors immédiatement passer à une publicité de son signalement, et ce dans le délai de trois mois à défaut de traitement de ce signalement.
Ainsi, le recours à la voie externe est intéressant puisqu’il permettra au lanceur d’alertes de rendre public ce qu’il a pu constater.
Bien évidemment, s’il y a urgence, le lanceur d’alertes pourra directement s’adresser aux autorités, sans passer par son supérieur hiérarchique.
La procédure pose question.
L’on imagine bien le salarié s’adresser à son employeur pour signaler les infractions qu’il a constatées, avec le risque que cela comporte pour sa propre sécurité, pour la sécurité de son emploi, et bien évidemment d’étouffement, in fine, des affaires.
Heureusement, la loi est venue instaurer, au bénéfice du lanceur d’alertes, une irresponsabilité pénale pour la divulgation des secrets protégés par la loi lorsque cette divulgation est nécessaire et proportionnelle à la sauvegarde des intérêts en cause.
Au-delà de cette protection pénale, le lanceur d’alertes bénéficie également d’une protection pour préserver la stricte confidentialité de son identité, des personnes visées et des informations qui pourraient être collectées dans le cadre de la procédure de recueil de l’alerte.
Bien évidemment, le lanceur d’alertes ne peut être sanctionné sur un plan professionnel en raison du signalement qu’il a pu faire.
Le lanceur d’alertes est donc protégé au travers de cette loi et le décret d’application de la loi est venu parfaire le mécanisme.
Le décret du 19 avril 2017, relatif aux procédures de recueil des signalements émis par les lanceurs d’alertes au sein des personnes morales de droit public ou de droit privé, où des administrations de l’Etat obligent les entreprises de plus de 50 salariés à mettre en œuvre une procédure de recueil des signalements, et ce avant le 1er janvier 2018.
Précisément, le teste dispose : « Les personnes morales de droit public autres que l'Etat ou les personnes morales de droit privé d'au moins cinquante agents ou salariés, les communes de plus de 10 000 habitants, les départements et les régions ainsi que les établissement publics en relevant et les établissements publics de coopération intercommunale à fiscalité propre regroupant au moins une commune de plus de 10 000 habitants établissent les procédures de recueil des signalements prévues au III de l'article 8 de la loi du 9 décembre 2016 susvisée, conformément aux règles qui régissent l'instrument juridique qu'ils adoptent. ».
Ainsi, l’entreprise devra désigner un référent chargé de recueillir les alertes.
L’entreprise sera garante de la confidentialité et devra informer le lanceur d’alertes du délai de traitement.
La loi et le décret mettent donc des obligations à la charge de l’entreprise ou des personnes morales de droit public.
Il conviendra de même de se conformer à la délibération du 30 janvier 2014 de la CNIL relative au traitement automatisé de données à caractère personnel, mise en œuvre dans le cadre du dispositif d’alerte professionnel.
Ainsi, toute entreprise ou tout organisme qui met en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité le signalement d’alertes dans les domaines définis par la délibération devra se conformer aux prescriptions de la CNIL, lorsque la mise en œuvre des traitements répond à une obligation légale ou un intérêt légitime, précisément dans les domaines :
- financier, comptable, bancaire, de lutte contre la corruption,
- de pratiques anti-concurrentielles,
- de lutte contre les discriminations et le harcèlement au travail,
- de santé, hygiène et sécurité au travail,
- de protection de l’environnement.
Il convient par conséquent de se référer à la délibération de la CNIL pour mesurer les données personnelles qui peuvent être collectées dans le cadre du dispositif d’alertes professionnelles.
Il faut par conséquent comprendre que la protection du lanceur d’alertes est tant pénale que civile et doit porter également sur la protection de ses données personnelles.
Il convient donc de consulter les dispositions de la loi SAPIN 2 n° 2016-1691 du 09 décembre 2016, son décret d’application 2017-564 du 19 avril 2017 relatif aux procédures de recueil des signalements, et de combiner cette consultation avec la AU-004 de la CNIL relative au dispositif d’alertes professionnelles.
