Parution du décret du (...)

Parution du décret du 19 avril 2017 relatif aux procédures de recueil des signalements émis par les lanceurs d’alerte

La parution de ce décret (le « Décret du 19 avril »)- relatif aux procédures de recueil des signalements émis par les lanceurs d’alerte au sein des personnes morales de droit public ou de droit privé ou des administrations de l’Etat- était attendue depuis que la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (dite « Loi Sapin 2 ») a prévu, au III de son article 8, que « les personnes morales de droit public ou de droit privé d’au moins cinquante salariés, les administrations de l’Etat, les communes de plus de 10 000 habitants ainsi que les établissements publics de coopération intercommunale à fiscalité propre dont elles sont membres, les départements et les régions » établissent des procédures appropriées de recueil des signalements émis par les membres de leur personnel ou par des collaborateurs extérieurs et occasionnels, « dans des conditions fixées par décret en Conseil d’Etat ».

Par Danhoë Reddy-Girard, Avocat Associé, et Célia Gallo, Avocat à la Cour

Ces procédures sont à distinguer de celles relatives à la prévention et la détection de faits de corruption ou de trafic d’influence qui devaient être mises en place dans certaines grandes organisations (avec un effectif d’au moins cinq cents salariés un chiffre d’affaires supérieur à 100 millions d’euros[1]) avant le 1er juin 2017 aux termes de l’article 17 de la Loi Sapin 2.

Les procédures de recueil des signalements des lanceurs d’alerte concernent en effet un plus grand nombre d’entités puisque, comme précisé plus haut, le seuil applicable pour les entreprises n’est que de 50 salariés[2]. Le délai de mise en conformité est également différent puisque le Décret du 19 avril n’entrera en vigueur que le 1er janvier 2018.

Contenu des procédures à établir

Le Décret du 19 avril prévoit que la procédure de recueil des signalements devra préciser les modalités selon lesquelles l’auteur du signalement adressera son signalement au supérieur hiérarchique, direct ou indirect, à l’employeur ou au référent désigné par ce dernier ; fournira les faits, informations ou documents quel que soit leur forme ou leur support de nature à étayer son signalement lorsqu’il disposera de tels éléments ; fournira les éléments permettant le cas échéant un échange avec le destinataire du signalement.

La procédure à mettre en place dans les organismes concernés précisera également les dispositions prises par l’organisme pour informer sans délai l’auteur du signalement de la réception de son signalement, ainsi que du délai raisonnable et prévisible nécessaire à l’examen de sa recevabilité et des modalités suivant lesquelles il est informé des suites données à son signalement ; pour garantir la stricte confidentialité de l’auteur du signalement, des faits objets du signalement et des personnes visées, y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement du signalement ; pour détruire les éléments du dossier de signalement de nature à permettre l’identification de l’auteur du signalement et celle des personnes visées par celui-ci lorsqu’aucune suite n’y a été donnée, ainsi que le délai qui ne pourra excéder deux mois à compter de la clôture de l’ensemble des opérations de recevabilité ou de vérification, l’auteur du signalement et les personnes visées par celui-ci devant être informés de cette clôture.

Le Décret du 19 avril prévoit en outre que la procédure doit mentionner l’existence d’un traitement automatisé des signalements mis en œuvre après autorisation de la Commission nationale de l’informatique et des libertés (« CNIL »).

Autorisation à demander à la CNIL et règles à respecter pour se conformer à la Loi Informatique et libertés

La mise en place de telles procédures requière en effet une autorisation de la CNIL dès lors que celles-ci impliquent des « traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire » au sens du 4° du I de l’article 25 de la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (la « Loi Informatique et libertés »), la CNIL considérant dans son document d’orientation du 10 novembre 2005 qu’un traitement automatisé d’un dispositif d’alerte professionnelle est concerné par cet article.

La question est ouverte si l’autorisation unique AU-004 est suffisante car celle-ci ne s’applique qu’à certains domaines alors que la Loi Sapin 2 a abrogé les dispositions légales relatives à la protection des lanceurs d’alerte dans des secteurs limités (environnement, sécurité sanitaire, corruption) pour instaurer un régime commun de protection. Les organismes qui souhaiteront ne prendre aucun risque privilégieront une autorisation sur mesure ; les autres se contenteront de demander l’autorisation unique AU-004, que la CNIL pourra éventuellement mettre à jour.

Dans tous les cas, afin d’être autorisé et pour être conforme aux dispositions de la Loi Informatique et libertés, le dispositif devra être conforme aux principes prescrits dans le document d’orientation du 10 novembre 2005, tels que repris dans l’autorisation unique AU-004, relatifs à l’information à fournir aux lanceurs d’alerte, celle à fournir aux personnes ciblées par des signalements, le recours à des spécialistes pour gérer l’information et préserver sa confidentialité, la durée de conservation…

Nécessité de consulter les instances représentatives du personnel

Dans la mesure où l’alerte professionnelle est une technique permettant de contrôler l’activité des salariés, l’entreprise doit, préalablement à sa mise en place, informer et consulter le Comité d’entreprise en application de l’article L.2323-47 du Code du travail ainsi que le Comité d’hygiène, de sécurité et des conditions de travail en application de l’article L.4612-8-1 du Code du travail.

L’entreprise doit également au préalable informer individuellement les salariés de la mise en place du dispositif d’alerte conformément à l’article L.1222-4 du Code du travail.

Et en dehors de ces procédures ?

Que l’entreprise ou l’administration concernée soit ou non tenue d’adopter de telles procédures de recueil de signalements, l’article 8 de Loi Sapin 2 prévoit que, en toute hypothèse, si un supérieur hiérarchique, direct ou indirect, un l’employeur ou un référent désigné par ce dernier reçoit un signalement et ne vérifie pas dans un délai raisonnable la recevabilité de ce signalement, « celui-ci est adressé à l’autorité judiciaire, à l’autorité administrative ou aux ordres professionnels » et, en dernier ressort, à défaut de traitement par ceux-ci dans un délai de trois mois, le signalement peut être rendu public.

Il y est en outre précisé qu’en cas de danger grave et imminent ou en présence d’un risque de dommages irréversibles, le signalement peut être porté directement à la connaissance de l’autorité judiciaire, l’autorité administrative ou des ordres professionnels et peut être rendu public.

Afin d’être orienté vers l’autorité judiciaire, l’autorité administrative ou l’ordre professionnel compétent pour recevoir l’alerte, toute personne peut adresser son signalement au Défenseur des droits.

[1] Plus précisément, sont concernées les sociétés employant au moins cinq cents salariés, ou appartenant à un « groupe de sociétés » dont la « société mère » a son siège social en France (la condition d’une société mère ayant son siège social en France ne semblant toutefois pas applicable aux sociétés ayant la forme d’une SA à directoire et conseil de surveillance) et dont l’effectif comprend au moins cinq cents salariés, et dont le chiffre d’affaires ou le chiffre d’affaires consolidé est supérieur à 100 millions d’euros, la notion de « groupe de sociétés » désignant l’ensemble formé par une société et ses filiales au sens de l’article L. 233-1 du code de commerce ou comme l’ensemble formé par une société et celles qu’elle contrôle au sens de l’article L. 233-3 du même code selon le Conseil constitutionnel (Décision n° 2016-741 DC du 8 décembre 2016). Sont également concernées les établissements publics à caractère industriel et commercial employant au moins cinq cents salariés, ou appartenant à un groupe public dont l’effectif comprend au moins cinq cents salariés, et dont le chiffre d’affaires ou le chiffre d’affaires consolidé est supérieur à 100 millions d’euros.

[2] Ce seuil est déterminé selon les modalités prévues aux articles L. 1111-2 et L. 1111-3 et au premier alinéa de l’article L. 2322-2 du code du travail.

Illustration Une : DR

deconnecte