La loi sur les lanceurs d’alerte a été publiée ce 15 décembre !

Lanceurs d’alerte qu’est-ce que c’est ?

Le lanceur d’alerte est une personne (ou un groupe) qui tire le signal d’alarme pour stigmatiser un comportement allant à l’encontre du bien commun.

Jusqu’à présent, les lanceurs d’alerte ne bénéficiaient pas d’une protection, de sorte que le risque de représailles les empêchaient bien souvent de dénoncer une violation.

La nouvelle loi[1], issue d’une Directive européenne[2], change la donne puisqu’elle offre aux lanceurs d’alerte qui dénoncent une violation légale, une protection contre toute mesure de représailles. L’objectif du législateur est ainsi de renforcer l’application de la loi dans certains domaines d’action qu’il juge d’intérêt public.

Quels sont les domaines dans lesquels les lanceurs d’alerte peuvent tirer la sonnette d’alarme ?

Les domaines protégés par la loi sont les suivants :

1.       les marchés publics;

2.       les services, produits et marchés financiers et prévention du blanchiment de capitaux et du financement du terrorisme;

3.       la sécurité et conformité des produits;

4.       la sécurité des transports;

5.       la protection de l’environnement;

6.       la radioprotection et sûreté nucléaire;

7.       la sécurité des aliments destinés à l’alimentation humaine et animale, la santé et le bien-être des animaux;

8.       la santé publique;

9.       la protection des consommateurs;

10.     la protection de la vie privée et des données à caractère personnel, et sécurité des réseaux et des systèmes d’information;

11.     la lutte contre la fraude fiscale;

12.     la lutte contre la fraude sociale ;

13.     les violations portant atteinte aux intérêts financiers de l’Union Européenne ;

14.     les violations relatives au marché intérieur (concurrence et aides d’État).

Il s’agit d’une liste minimale, les entreprises peuvent bien entendu décider de l’élargir.

Qui est protégé comme « lanceur d’alerte » ?

Le champ d’application de la loi est large puisque non seulement le législateur a décidé de protéger les auteurs du signalement – c’est-à-dire toute personne travaillant dans le secteur privé ayant obtenu des informations sur des violations dans un contexte professionnel – mais également les facilitateurs qui ont aidé les lanceurs d’alerte et certains tiers qui sont en lien avec les lanceurs d’alerte et qui risqueraient de faire l’objet de représailles par ricochet, tels que des proches, collègues ou amis.

Notons que sont visés non seulement les travailleurs au sens classique du terme (en ce compris les stagiaires, bénévoles, intérimaires, travailleurs dont le contrat a été rompu ou qui ne sont pas encore entrés en fonction, etc.) mais également les indépendants, actionnaires, membres de l’organe d’administration d’une entreprise ainsi que toute personne travaillant sous la supervision et la direction de co-contractants, de sous-traitants et de fournisseurs.

Par quel canal, le lanceur d’alerte peut-il procéder ?

La loi prévoit trois canaux de signalement, pour lancer l’alerte :

1.       Le canal interne : il s’agit d’un moyen de réception des signalement sécurisé et confidentiel qui doit être mis en place par (certaines) entreprises.

2.       Le canal externe : c’est-à-dire un canal autonome et général qui devra être mis en place par l’Etat. Dans l’intervalle,  les signalement seront réceptionnés par les deux médiateurs fédéraux (Jérome Aass et David Baele).

3.       Une divulgation publique :  c’est-à-dire la divulgation dans la sphère publique par le biais de la presse ou des réseaux sociaux.

L’auteur du signalement a le choix d’emprunter la voie qu’il juge la plus appropriée, cependant, la divulgation publique qui est la plus préjudiciable pour la réputation de l’entreprise ne sera possible que si le lanceur d’alerte a des motifs raisonnables de croire que la violation peut représenter un danger imminent ou manifeste de l’intérêt public et un signalement via le canal interne ou externe a été fait mais aucune mesure appropriée n’a été prise.

Protection du lanceur d’alerte

Si le lanceur d’alerte emprunte une de ces trois voies et qu’il dénonce une violation dans un des 14 domaines visés, il sera alors protégé contre tout mesure de représailles, c’est-à-dire contre tout acte qui pourrait lui causer un préjudice injustifié (rupture du contrat, rétrogradation, modification de ses conditions de travail, mauvaise évaluation, etc.).

Si la représailles est avérée, le travailleur pourra réclamer un dédommagement correspondant à une indemnité de 18 à 26 semaines de salaire et en cas de licenciement exiger sa réintégration ou une indemnité de 6 mois de rémunération.

Les lanceurs d’alerte qui ne sont pas liés par un contrat de travail pourront pour leur part, exiger la réparation de leur dommage réel.

Les employeurs veilleront donc à bien documenter et justifier toute mesure prise à l’encontre d’un travailleur qui a lancé l’alerte et à garder toute les preuves dans le dossier de celui-ci.

Ainsi par exemple, si un travailleur lanceur d’alerte doit être licencié pour un motif d’ordre comportemental (arrivées tardives répétées), l’employeur devra pouvoir prouver la réalité du motif (par le biais d’avertissements écrits par exemple), s’il veut éviter la réintégration du travailleur ou le paiement d’une indemnité de protection de 6 mois.

Notons que de manière tout à fait surprenante, le législateur n’a pas prévu le délai pendant lequel la protection est effective de sorte qu’un travailleur licencié 3 ans après avoir lancé une alerte pourrait toujours être protégé… Ceci ne manquera pas de faire couler beaucoup d’encre…

Quelles entreprises doivent instituer un canal et comment ?

La loi prévoit que les entités juridiques qui emploie 50 travailleurs au moins doivent mettre en place un canal de signalement interne et ce pour le 17 décembre 2023 au plus tard.

Les grosses entités qui emploient au moins 250 travailleurs, doivent pour leur part instaurer ce canal pour le 15 février 2023 au plus tard.

Les entreprises ont la liberté de choisir comment ce canal prendra vie concrètement (courrier, boite aux lettres, intranet, site internet, messagerie vocale, prise de rendez-vous avec une personne en présentiel, etc.) et doivent désigner un gestionnaire de signalement interne dont la fonction garantit l’indépendance, lequel devra suivre le signalement (vérifier son exactitude, enquêter) et maintenir le contact avec le lanceur d’alerte (faire des retours sur les mesures envisagées ou prises pour remédier à la violation).

Ce canal interne devra être accessible au moins aux travailleurs de l’entreprise et pourra, le cas échéant être ouvert aux externes (indépendants, actionnaires, travailleurs plus en service, sous-traitant).

Si l’entreprise occupe au moins 250 travailleurs, le canal devra en outre prévoir la possibilité pour le lanceur d’alerte d’être totalement anonymisé.

Dans tous les cas, le canal devra garantir la confidentialité de l’auteur du signalement, son identité ne pouvant être divulguée par le gestionnaire de signalement qui réceptionnera l’alerte sans le consentement exprès et libre du lanceur d’alerte.

Sanctions

La loi prévoit que l’employeur qui ne respecte pas ses obligations (qui ne met pas de canal en place ou qui entrave son bon fonctionnement, qui exerce des représailles ou ne respecte pas la confidentialité des auteurs) sera puni d’une sanction de niveau 4 du Code pénal social, soit la sanction la plus lourde : jusqu’à 3 ans de prison et 48.000 EUR d’amende par infraction.

Les personnes faisant un usage abusif du système et qui sciemment divulgueront de fausses informations relèveront pour leur part des infractions de calomnie et diffamation[3] (jusqu’à un an d’emprisonnement).

Planning des étapes à réaliser pour se mettre en conformité

De manière concrète, plusieurs étapes devront être respectées, afin de vous mettre en conformité avec la nouvelle législation sur les lanceurs d’alerte.

1)   Première étape : calcul du nombre de travailleurs

La première étape consiste à déterminer le nombre de travailleurs de votre entité juridique. Le calcul est identique à celui effectué dans le cadre des élections sociales.

2)   Seconde étape : détermination des délais

Dans quels délais ce canal doit-il être instauré ? Le délai diffère selon le nombre de travailleurs déterminés à l’étape 1.

Si l’entreprise emploie moins de 50 travailleurs:  vous n’avez pas l’obligation de créer de canal interne donc aucun délai ne s’applique à vous.

Si l’entreprise occupe entre 50 et 249 travailleurs : le canal devra être instauré pour le 17 décembre 2023 au plus tard.

Pour les entreprise des plus 249 travailleurs : le canal devra être instauré pour le 15 février 2023 au plus tard et devra en outre prévoir un mécanisme d’anonymisation.

3)   Troisième étape : concertation sociale

Vous devrez également au préalable, procéder à une concertation sociale avec les partenaires sociaux de votre entreprise (CE, DS, CPPT ou travailleurs directement) et définir ensemble entre-autre, le canal utilisé, les procédure pour le suivi, la désignation du gestionnaire de signalement, etc.

Vous devrez également informer les travailleurs individuellement du résultat de ces choix.

4)   Quatrième étape : rédaction d’un instrument juridique interne

Une fois les choix déterminés, il faudra passer à la rédaction de l’instrument juridique formalisant ceux-ci. La loi laisse le choix aux employeurs. L’implémentation pourra donc être effectuée par le biais du règlement de travail, une Convention collective de travail d’entreprise, une annexe au contrat de travail ou encore une policy.

Nous recommandons l’usage d’une policy, laquelle est plus flexible, peut s’appliquer aux indépendants et ne nécessite pas la signature d’un permanent syndical, entre autre.

5)   Cinquième étape : rédaction d’un instrument juridique externe

Si vous décidez de recourir à un prestataire externe pour la mise en place du canal (via un programme informatique acheté «  clef sur porte » par exemple, il faudra veiller à rédiger une convention de prestations de services contenant des clauses strictes concernant le GDPR (données sensibles).

6)   Sixième étape :  GDPR

Enfin, il ne faut pas perdre de vue les obligations relatives au GDPR, puisque vous devrez également modifier et mettre à jour le registre des activités de traitement et le cas échant, faire une analyse d’impact en concertation avec le délégué à la protection des données pour les entreprises qui ont l’obligation d’un avoir un.

Pour toute question concernant cette thématique, nous vous invitons à contacter les auteurs Christine Molitor et Marie-Aude Deslandes.

[1] Loi du 28 novembre 2022. sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé, MB 15 décembre 2022.

[2] Directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.

[3] Articles 443 à 445 du code pénal