Lanceur d’alerte : mise en place du recueil des signalements des lanceurs d’alerte au 1er janvier 2018

Dans le cadre de la protection des lanceurs d’alerte, les entreprises d’au moins 50 salariés devront mettre en place, à compter du 1er janvier 2018, une procédure de recueil des signalements. Les salariés doivent être informés de sa mise en œuvre. Sous certaines conditions, ce dispositif est soumis à une autorisation de la CNIL.

Recueil des signalements des lanceurs d’alerte : mise en place

Dans le cadre de la mise en place de la procédure de signalement des lanceurs d’alerte, vous devez désigner un référent qui sera charger de recueillir ces alertes. Cette procédure concerne les entreprises d’au moins 50 salariés. Elle entre en vigueur le 1er janvier 2018.

Ce référent devra disposer, par son positionnement, de la compétence, de l’autorité et des moyens suffisants à l’exercice de ses missions.

Notez-le
Cette personne peut être une personne externe à l’entreprise.
La procédure de recueil des signalements précisera les modalités selon lesquelles les lanceurs d’alerte doivent effectuer leurs signalements. Ainsi, un lanceur d’alerte devra :

fournir les faits, les informations ou les documents quel que soit leur forme ou leur support de nature à étayer son signalement ;
adresser son signalement au supérieur hiérarchique, direct ou indirect, à l’employeur ou au référent ;
fournir les éléments permettant le cas échéant un échange avec le destinataire du signalement.
Votre procédure doit également préciser les dispositions prises pour informer sans délai l’auteur de l’alerte de sa réception, ainsi que le délai qui doit être raisonnable et prévisible à l’examen de sa recevabilité. Vous fixez également les modalités selon lesquelles le lanceur d’alerte est informé des suites données à son signalement.

Vous devez prévoir la garantie de la stricte confidentialité de l’auteur du signalement y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement de l’alerte.

Attention
La procédure de recueil des signalements doit être diffusée dans l’entreprise par tout moyen (notification, affichage, site Internet, voie électronique, etc.) afin qu’elle soit accessible aux salariés, ainsi qu’aux collaborateurs extérieurs ou occasionnels. L’information doit notamment contenir les différentes étapes de la procédure de recueil des signalements, définir les différents destinataires et les conditions auxquelles les signalements peuvent leur être adressés.
Recueil des signalements des lanceurs d’alerte : démarches auprès de la CNIL

Lorsque la procédure comporte un traitement automatisé de données à caractère personnel, elle doit faire l’objet d’une déclaration à la CNIL. Le responsable doit adresser à la CNIL une déclaration comportant un engagement de conformité à l’autorisation unique n° AU-004.

Le champ d’application de cette autorisation a été modifié pour tenir compte de cette procédure des lanceurs d’alerte. Désormais, cette autorisation unique couvre les dispositifs d’alertes professionnelles permettant le recueil de tout signalement ou révélation réalisés de manière désintéressée et de bonne foi :

d’un crime ou délit ;
d’une violation grave et manifeste d’un engagement international régulièrement ratifié ou approuvé par la France ;
d’une violation grave et manifeste d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un engagement international régulièrement ratifié ou approuvé par la France ;
d’une violation grave et manifeste de la loi ou du règlement ;
d’une menace ou d’un préjudice graves pour l’intérêt général dont le lanceur d’alerte a eu personnellement connaissance ;
relatifs aux obligations définies par les règlements européens et par le Code monétaire ou financier ou le règlement général de l'Autorité des marchés financiers, et dont la surveillance est assurée par l’Autorité des marchés financiers ou l’Autorité de contrôle prudentiel et de résolution ;
relatifs à l'existence de conduites ou de situations contraires au Code de conduite de la société, concernant des faits de corruption ou de trafic d’influence, ce, dès lors que la mise en œuvre de ces traitements répond à une obligation légale ou à un intérêt légitime du responsable de traitement.
Attention
L’AU-004 ne couvre cependant pas les alertes portant sur des faits couverts par le secret de la défense nationale, par le secret médical, ainsi que par le secret des relations entre un avocat et son client.
Les éléments de nature à identifier l’émetteur de l’alerte ne peuvent être divulgués, sauf à l’autorité judiciaire, et qu’avec le consentement de la personne.

Par exception, l’alerte d’un lanceur anonyme peut être traitée sous certaines conditions :

la gravité des faits est établie et les éléments factuels sont suffisamment détaillés ;
le traitement de l’alerte doit s'entourer de précautions particulières, telles qu'un examen préalable, par son premier destinataire, de l'opportunité de sa diffusion dans le cadre du dispositif.
Délibération n° 2017-191 du 22 juin 2017 portant modification de la délibération n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004), Jo du 26 août
Décret n° 2017-564 du 19 avril 2017 relatif aux procédures de recueil des signalements émis par les lanceurs d'alerte au sein des personnes morales de droit public ou de droit privé ou des administrations de l'Etat, Jo du 20