Lanceurs d’alerte : la mise en œuvre d’une procédure de recueil des signalements est obligatoire

Décret n° 2017-564, 19 avr. 2017

En réponse à la révélation d’affaires particulièrement médiatisées, le législateur a redéfini et encadré le signalement d’alertes dans l’entreprise. Ainsi, la loi du 9 décembre 2016 (n° 2016-789), dite loi Sapin II, définit le lanceur d’alerte comme « une personne physique qui révèle ou signale, de manière désintéressée et de bonne foi, un crime ou un délit, [....] de la loi ou du règlement, ou une menace ou un préjudice graves pour l'intérêt général, dont elle a eu personnellement connaissance ». L’article 8 de cette loi a prévu une obligation, pour certaines entreprises, de mettre en place une procédure de recueil des signalements d’alerte. Un décret du 19 avril 2017 définit les modalités de mise en œuvre de cette procédure.

À compter du 1er janvier 2018, les entreprises d’au moins cinquante salariés doivent établir une procédure de recueil des signalements d’alertes éthiques à l’attention des membres de leur personnel ou des collaborateurs extérieurs ou occasionnels.

Le seuil de cinquante salariés est apprécié selon les modalités de droit commun définies par les articles L. 1111-2 et L. 1111-3 du Code du travail. Ce seuil doit être atteint pendant douze mois, consécutifs ou non, au cours des trois années précédentes (D. n° 2017-564, art. 3 ; C. trav., art. L. 2322-2). À notre sens, cette disposition sera immédiatement applicable à la date du 1er janvier 2018 aux entreprises qui auront atteint ce seuil pendant douze mois, consécutifs ou non, entre le 1er janvier 2015 et le 1er janvier 2018.

Chaque entreprise détermine l’instrument juridique le mieux à même de répondre à l’obligation d’établir une procédure de recueil des signalements et l’adopte conformément aux dispositions législatives et réglementaires qui lui sont applicables (D. n° 2017-564, art. 1).

Ainsi, l’entreprise peut aussi bien définir sa procédure par décision unilatérale que par accord collectif. Quel que soit son choix, l’employeur doit respecter les obligations liées au support utilisé. On peut s’interroger sur une éventuelle obligation de consulter les institutions représentatives du personnel préalablement à la mise en place de ce dispositif. Rappelons à cet égard que le comité d’entreprise n’a plus à être consulté sur les projets d’accord collectif (C. trav., art. L. 2323-2).

En outre, se pose la question de l’intégration de cette procédure de signalement dans le règlement intérieur de l’entreprise. À cet égard, il convient de rappeler que le contenu du règlement intérieur est limitativement énuméré par les articles L. 1321-1 et suivants du Code du travail : il fixe exclusivement les mesures liées à la santé, à la sécurité, à la discipline et peut contenir des dispositions inscrivant le principe de neutralité dans l’entreprise. Il en résulte que, sauf à ce qu’il soit expressément prévu que les manquements à cette procédure puissent faire l’objet de sanctions disciplinaires, elle n’a pas vocation à figurer dans le règlement intérieur.

Par ailleurs, plusieurs entreprises peuvent décider d’établir une procédure commune (D. n° 2017-564, art. 2). La notice du décret indique qu’ « il peut en être ainsi notamment dans les groupes de sociétés ». Il y a ainsi lieu de considérer que tel peut également être le cas au sein d’une unité économique et sociale. De même, le décret n’imposant pas l’existence d’un lien juridique ou capitalistique entre les entreprises concernées, on peut imaginer que plusieurs entreprises indépendantes, installées sur un même site, puissent décider d’établir une procédure commune.

Ainsi, cette procédure commune pourrait être définie par un accord collectif de groupe, d’unité économique et sociale ou interentreprises, nouveau type d’accord créé par la loi Travail du 8 août 2016 (C. trav., art. L. 2232-36 et suivants).

Une autre possibilité pourrait consister à définir les contours de la procédure commune au niveau de l’ensemble des entreprises concernées, avant de la décliner, par accord d’entreprise ou par décision unilatérale, au sein de chacune de ces entreprises.

Le décret définit ensuite le contenu de la procédure (D. n° 2017-564, art. 5, I), qui précise les modalités selon lesquelles l'auteur du signalement :

• adresse son signalement au supérieur hiérarchique, direct ou indirect, à l'employeur ou, le cas échéant, au référent désigné ;
• fournit les faits, informations ou documents quel que soit leur forme ou leur support de nature à étayer son signalement lorsqu'il dispose de tels éléments ;
• fournit les éléments permettant le cas échéant un échange avec le destinataire du signalement.

La procédure comporte également les dispositions prises par l’entreprise (D. n° 2017-564, art. 5, II) :

• pour informer sans délai l'auteur du signalement de la réception de son signalement, ainsi que du délai raisonnable et prévisible nécessaire à l'examen de sa recevabilité et des modalités suivant lesquelles il est informé des suites données à son signalement ;
• pour garantir la stricte confidentialité de l'auteur du signalement, des faits objets du signalement et des personnes visées, y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement du signalement ;
• pour détruire les éléments du dossier de signalement de nature à permettre l'identification de l'auteur du signalement et celle des personnes visées par celui-ci lorsqu'aucune suite n'y a été donnée, ainsi que le délai qui ne peut excéder deux mois à compter de la clôture de l'ensemble des opérations de recevabilité ou de vérification. L'auteur du signalement et les personnes visées par celui-ci sont informés de cette clôture.

Lorsqu’un traitement automatisé des signalements a été mis en place, après autorisation de la CNIL, la procédure mentionne son existence.

Pour mettre en œuvre cette procédure, l’entreprise doit désigner un destinataire des signalements : il peut s’agir du supérieur hiérarchique, direct ou indirect, de l’employeur ou encore d’un référent. Le décret précise que ce référent, soumis à une obligation de stricte confidentialité, peut être une personne physique ou, quelle que soit sa dénomination, toute entité de droit public ou privé, dotée ou non de la personnalité morale. En outre, ce référent peut être extérieur à l’entreprise. Son identité doit logiquement être précisée dans la procédure de recueil.

Enfin, l’entreprise est tenue de procéder à la diffusion de la procédure qu’elle a établie par tout moyen, notamment par voie de notification, affichage ou publication, le cas échéant sur son site internet, dans des conditions propres à permettre à la rendre accessible aux membres de son personnel, ainsi qu'à ses collaborateurs extérieurs ou occasionnels. Le décret précise que cette information peut être réalisée par voie électronique.