Loi Waserman (2022) : ce que change la protection des lanceurs d'alerte pour les entreprises

La loi Waserman (loi n° 2022-401 du 21 mars 2022) transpose en droit français la directive (UE) 2019/1937 et renforce le régime des lanceurs d'alerte créé par la loi Sapin II. Depuis le 1er septembre 2022, toute entreprise d'au moins 50 salariés doit disposer d'une procédure interne de recueil et de traitement des signalements, dont le contenu est fixé par le décret n° 2022-1284 du 3 octobre 2022. La loi élargit la définition du lanceur d'alerte, supprime la hiérarchie obligatoire entre signalement interne et externe, protège les facilitateurs et alourdit les sanctions contre les représailles.

Ce que la loi Waserman a changé par rapport à la loi Sapin II

La loi Sapin II de 2016 avait créé le premier statut général du lanceur d'alerte en France, mais avec des conditions restrictives : la personne devait avoir eu « personnellement connaissance » des faits, agir de manière désintéressée et respecter un ordre de signalement, d'abord en interne, puis auprès des autorités, enfin publiquement. La directive (UE) 2019/1937 a imposé un socle plus protecteur, que la loi Waserman transpose, avec un léger retard sur l'échéance du 17 décembre 2021.

Quatre évolutions structurent le nouveau régime. Le lanceur d'alerte est désormais défini comme une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général, ou sur une violation d'un engagement international, du droit de l'Union européenne, de la loi ou du règlement. La condition de connaissance personnelle disparaît pour les informations obtenues dans le cadre professionnel. La hiérarchie des canaux est supprimée : le signalement peut être adressé directement à une autorité externe. Enfin, la protection s'étend aux facilitateurs, c'est-à-dire aux personnes physiques et aux personnes morales à but non lucratif qui aident le lanceur d'alerte, ainsi qu'aux personnes en lien avec lui exposées à des représailles.

La loi organique n° 2022-400, adoptée le même jour, confie au Défenseur des droits un rôle d'orientation et de certification du statut de lanceur d'alerte. Pour le régime européen dans son ensemble et ses conséquences pour les groupes, voir notre analyse de la directive européenne sur les lanceurs d'alerte appliquée aux groupes d'entreprises.

La procédure interne obligatoire dès 50 salariés (décret 2022-1284)

Toute personne morale de droit privé employant au moins 50 salariés doit établir une procédure interne de recueil et de traitement des signalements. Le seuil s'apprécie à la clôture de deux exercices consécutifs, selon les règles de décompte du Code du travail. La procédure est arrêtée après consultation du comité social et économique, puis diffusée par tout moyen assurant une publicité suffisante (notification, affichage, publication sur le site internet ou par voie électronique), chaque salarié devant en être informé individuellement. Le règlement intérieur mentionne son existence.

Le décret n° 2022-1284 fixe le contenu minimal de cette procédure. Le canal de réception doit permettre un signalement écrit ou oral, y compris par téléphone ou messagerie vocale, et sur demande, lors d'une rencontre. L'entité désigne une personne ou un service impartial chargé de recevoir et traiter les signalements, tenu à la confidentialité. Elle accuse réception dans un délai de 7 jours ouvrés, vérifie que les conditions du statut sont réunies, informe l'auteur des mesures envisagées ou prises pour évaluer l'exactitude des allégations et y remédier, dans un délai raisonnable qui ne peut excéder 3 mois à compter de l'accusé de réception. Les signalements devenus sans objet ou inexacts sont clôturés, avec information de l'auteur. Les données personnelles sont conservées seulement le temps nécessaire au traitement.

Le décret ouvre deux possibilités d'organisation pour les groupes. Les entités de moins de 250 salariés peuvent mutualiser la réception et le traitement des signalements. Une société mère peut également établir une procédure commune à ses filiales, sous réserve que chaque entité concernée reste identifiable et que le lanceur d'alerte conserve la possibilité de s'adresser à son entité employeur. Le texte du décret est consultable sur Légifrance, et le site entreprendre.service-public.gouv.fr en résume les obligations.

Les protections accordées au lanceur d'alerte

La protection commence par la confidentialité : l'identité du lanceur d'alerte ne peut être divulguée sans son consentement, sauf à l'autorité judiciaire, et sa violation est pénalement sanctionnée. Elle se poursuit par l'interdiction des représailles, dont la loi dresse une liste étendue : licenciement, sanction, rétrogradation, refus de promotion, mutation, harcèlement, résiliation anticipée d'un contrat, mise sur liste noire, atteinte à la réputation. Toute mesure prise en représailles est nulle. Devant le conseil de prud'hommes, la charge de la preuve est aménagée : dès lors que le salarié présente des éléments laissant supposer qu'il a signalé ou divulgué de bonne foi, il appartient à l'employeur de prouver que sa décision est justifiée par des éléments objectifs étrangers au signalement.

Le lanceur d'alerte bénéficie d'une irresponsabilité civile pour les dommages causés par le signalement, et d'une irresponsabilité pénale lorsqu'il a soustrait, détourné ou recelé des documents dont il avait eu connaissance de manière licite. Il peut obtenir en référé une provision pour frais de justice et, en cas de procédure abusive engagée contre lui, l'amende civile encourue par le demandeur a été portée à 60 000 euros. Faire obstacle à la transmission d'un signalement reste un délit puni d'un an d'emprisonnement et de 15 000 euros d'amende. Pour les définitions de base, voir nos entrées lancement d'alerte sur le lieu de travail et signalement interne.

Ce que la direction et le conseil doivent vérifier

L'obligation de la loi Waserman se cumule avec celle de l'article 17 de la loi Sapin II. La première s'applique dès 50 salariés et porte sur tout type de manquement ; la seconde s'applique aux sociétés d'au moins 500 salariés et 100 millions d'euros de chiffre d'affaires et impose un dispositif d'alerte interne au sein du programme anticorruption, que l'Agence française anticorruption contrôle. Une entreprise assujettie aux deux textes n'a pas besoin de deux canaux, mais son dispositif doit satisfaire aux exigences des deux régimes, comme nous le détaillons dans Loi Sapin II : les 8 mesures du programme anticorruption et le rôle du conseil.

Cinq points méritent une vérification annuelle par la direction générale, puis une restitution au conseil ou à son comité d'audit. La procédure a-t-elle été consultée par le CSE et diffusée individuellement, y compris aux nouveaux entrants et aux collaborateurs extérieurs ? Le canal permet-il un signalement oral et une rencontre ? Les délais de 7 jours ouvrés et de 3 mois sont-ils tenus et tracés, signalement par signalement ? La personne chargée du traitement est-elle réellement impartiale et distincte des personnes susceptibles d'être mises en cause ? Enfin, le conseil reçoit-il une synthèse des signalements, de leur typologie et de leur traitement, sans identification des auteurs, comme le prévoient les logiciels de gestion des alertes conçus pour ce cadre ? Le texte de la loi est disponible sur Légifrance.

Questions fréquemment posées