Directive européenne 2019/1937 sur les lanceurs d'alerte : un guide pratique

À qui s'applique-t-elle ?

La directive s'applique à toutes les entités juridiques du secteur privé comptant 50 salariés ou plus. Dans le secteur public, elle s'applique à toutes les entités quelle que soit leur taille, bien que les États membres puissent exempter les municipalités de moins de 10 000 habitants.

Cela signifie que la grande majorité des organisations de taille moyenne et grande en Europe sont tenues de se conformer. Les États membres étaient également libres d'étendre la couverture aux organisations plus petites lors de leur transposition nationale.

Qu'exige la directive ?

L'article 8 de la directive établit l'obligation principale : les organisations doivent mettre en place des canaux de signalement internes permettant aux travailleurs de signaler des violations de manière sécurisée et confidentielle. Plus précisément :

• Les canaux de signalement doivent permettre les signalements par écrit ou oralement, ou les deux (article 9(2))
• L'identité de la personne signalante doit rester confidentielle (article 16)
• La réception d'un signalement doit être accusée dans un délai de 7 jours (article 9(1)(b))
• Une personne ou un service impartial doit être désigné pour assurer le suivi des signalements (article 9(1)(c))
• Un retour d'information doit être fourni à la personne signalante dans un délai de 3 mois (article 9(1)(f))
• Des informations claires et accessibles sur les procédures de signalement doivent être fournies (article 9(1)(g))
• Les canaux doivent être conçus et exploités de manière sécurisée garantissant la confidentialité (article 9(1)(a))

Comment les lanceurs d'alerte sont-ils protégés ?

Le chapitre VI de la directive établit une interdiction complète des représailles. L'article 19 interdit toute forme de représailles, y compris le licenciement, la rétrogradation, le harcèlement, la discrimination ou tout autre traitement défavorable.

De manière cruciale, l'article 21 inverse la charge de la preuve : si une personne signalante subit un préjudice, l'employeur doit prouver que le préjudice n'était pas lié au signalement. Il s'agit d'une protection juridique importante qui rend les représailles coûteuses et difficiles à défendre.

L'article 20 prévoit des mesures de soutien pour les personnes signalantes, notamment l'accès à l'aide juridictionnelle, à l'assistance financière et au soutien psychologique lorsqu'ils sont disponibles en vertu du droit national.

Que peut-on signaler ?

La Directive couvre les violations du droit de l'UE dans des domaines spécifiques énumérés dans la partie I de l'annexe, notamment :

• Marchés publics
• Services financiers et prévention du blanchiment d'argent
• Sécurité et conformité des produits
• Sécurité des transports
• Protection de l'environnement
• Radioprotection et sûreté nucléaire
• Sécurité des denrées alimentaires et des aliments pour animaux, santé et bien-être des animaux
• Santé publique
• Protection des consommateurs
• Vie privée et protection des données (RGPD)
• Intérêts financiers de l'UE et concurrence du marché intérieur

Les États membres peuvent étendre ce champ d'application dans leur transposition nationale. Beaucoup l'ont fait pour couvrir des domaines supplémentaires tels que le droit fiscal national, le droit du travail et la corruption.

Signalement interne, externe et public

La Directive établit un cadre de signalement à trois niveaux :

1. Signalement interne — Via le canal propre à l'organisation. La Directive encourage le signalement interne comme première étape privilégiée lorsque la violation peut être traitée efficacement en interne.
2. Signalement externe — Auprès d'une autorité nationale compétente. Les personnes signalantes peuvent s'adresser directement aux canaux externes sans signaler d'abord en interne.
3. Divulgation publique — En dernier recours, lorsque le signalement interne ou externe n'a pas donné lieu à une action appropriée, ou en cas de danger imminent ou de préjudice irréversible pour l'intérêt public.

Délais de transposition

La Directive est entrée en vigueur le 16 décembre 2019. Les États membres devaient la transposer en droit national au plus tard le :

• 17 décembre 2021 — pour toutes les dispositions relatives aux organisations de 250 employés ou plus
• 17 décembre 2023 — pour les dispositions relatives aux organisations de 50 à 249 employés

Tous les États membres de l'UE ont désormais transposé la Directive, bien que les exigences spécifiques varient. Les États de l'EEE hors UE (Norvège, Islande, Liechtenstein) ont adopté une législation équivalente.

Comment Report Securely vous aide à vous conformer

Report Securely est une plateforme numérique de dispositif d'alerte conçue spécifiquement pour la conformité à la Directive UE 2019/1937. Elle répond directement aux exigences de la Directive :

• Canaux de signalement sécurisés et confidentiels accessibles via le web — conformément à l'article 9(1)(a)
• Modes de signalement anonymes et confidentiels — conformément à l'article 16
• Accusé de réception et suivi des retours — conformément aux articles 9(1)(b) et (f)
• Attribution d'un gestionnaire désigné avec piste d'audit — conformément à l'article 9(1)(c)
• Support de 28 langues européennes — garantissant l'accessibilité pour les travailleurs transfrontaliers
• Traitement optionnel par un cabinet d'avocats partenaire pour un examen indépendant et externe des signalements
• Reformulation de texte par IA pour l'anonymisation stylométrique — protection d'identité supplémentaire