Whistleblowing Loi Sapin 2
conformiteDéfinition
Le dispositif d'alerte professionnelle (whistleblowing), encadré en France par la loi Sapin 2 (loi n°2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique) et la directive européenne sur les lanceurs d'alerte (directive 2019/1937/UE transposée en France par la loi n°2022-401 du 21 mars 2022), impose aux entreprises d'une certaine taille la mise en place d'un canal de signalement interne permettant aux employés, collaborateurs, et parties prenantes de signaler des violations de la loi, des éthiques, ou des procédures internes. La loi Sapin 2 et sa mise à jour par la transposition de la directive européenne ont étendu et renforcé la protection des lanceurs d'alerte. Un lanceur d'alerte est désormais toute personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur une violation d'une règle de droit ou d'une règle relative à un engagement international de la France, une menace ou un préjudice grave pour l'intérêt général, ou des représailles illicites à la suite d'un précédent signalement. Les organisations soumises à l'obligation de mise en place d'un dispositif d'alerte interne sont les entreprises d'au moins 50 salariés, les administrations et collectivités territoriales d'au moins 50 agents, et les communes de plus de 10 000 habitants. Les entreprises d'au moins 250 salariés doivent également gérer les signalements reçus séparément de ceux gérés par les entités liées de taille inférieure. Le dispositif d'alerte doit garantir la confidentialité de l'identité du lanceur d'alerte, de la personne visée par le signalement, et des informations recueillies. Des mesures de sécurité appropriées doivent être mises en œuvre pour protéger le contenu des signalements contre tout accès non autorisé. Des solutions dédiées (EthicsPoint, Navex, Heylo, Speak Up, Whistleblower Software) permettent de gérer les signalements de façon sécurisée et confidentielle. La dimension cybersécurité et conformité IT du whistleblowing est bidirectionnelle : d'une part, les dispositifs d'alerte eux-mêmes doivent être sécurisés (accès restreint, chiffrement, piste d'audit) ; d'autre part, les violations de cybersécurité ou de protection des données peuvent faire l'objet de signalements via ces dispositifs si des employés constatent des pratiques illicites.
Obligations de mise en place du dispositif d'alerte
Le dispositif d'alerte interne doit permettre à tout collaborateur (salarié, stagiaire, sous-traitant, fournisseur, client — étendu par la directive européenne) de signaler une violation de la loi ou une menace grave pour l'intérêt général. Les caractéristiques obligatoires du dispositif : canal de signalement sécurisé (courrier dédié, plateforme numérique sécurisée, ou référent dédié), confidentialité de l'identité du signalant, accusé de réception sous 7 jours, information sur la suite donnée dans un délai raisonnable (3 mois maximum), protection contre les représailles, et procédure de traitement documentée.
Le responsable du traitement des alertes (personne désignée par l'organisation pour gérer les signalements) doit être clairement identifié : en pratique, il s'agit souvent du responsable conformité, du DPO, ou du responsable éthique. Cette personne a accès exclusif aux signalements et doit protéger la confidentialité des alerteurs et des personnes visées.
Protection des lanceurs d'alerte et sanctions
La loi Sapin 2 et la directive européenne offrent des protections renforcées aux lanceurs d'alerte : nullité des mesures de représailles (licenciement, mise à l'écart, rétrogradation, harcèlement), possibilité de saisir le Défenseur des droits, et protection judiciaire accélérée. Les personnes qui portent atteinte aux lanceurs d'alerte ou qui font obstacle à un signalement risquent des sanctions pénales (jusqu'à 1 an d'emprisonnement et 15 000 € d'amende pour les représailles).
Les organisations qui n'ont pas mis en place le dispositif d'alerte obligatoire (ou qui l'ont mis en place de façon non conforme) peuvent faire l'objet de mises en demeure et de sanctions. La Commission d'accès aux documents administratifs (CADA) et le Défenseur des droits sont les autorités de contrôle principales du dispositif d'alerte.
Sécurité du dispositif d'alerte et RGPD
Le dispositif d'alerte traite des données personnelles (identité du lanceur d'alerte, identité de la personne visée, informations sur les faits signalés) et est donc soumis au RGPD. La CNIL a publié une recommandation spécifique sur les dispositifs d'alerte professionnelle. Les exigences : base légale (obligation légale pour les entités soumises à la loi Sapin 2), finalité précise (traitement des alertes uniquement), minimisation des données, durée de conservation limitée (suppression des données lorsque le signalement ne donne pas lieu à une enquête, ou à l'issue des procédures engagées), et information des personnes concernées.
La sécurité technique du canal de signalement est critique : chiffrement des communications et des données stockées, accès ultra-restreint (seul le responsable des alertes, pas la DSI ou les managers), piste d'audit des accès, et séparation physique ou logique du système de signalement des autres systèmes IT de l'organisation pour garantir l'impossibilité de revenir sur l'identité d'un alerteur anonyme.
Ce terme vous interpelle ?
Nos experts interviennent sur toutes les thématiques de ce glossaire — pentest, conformité NIS 2 / ISO 27001, forensics, sécurité IA. Réponse sous 24h, devis gratuit et sans engagement.