Dans les organisations, tant dans les gouvernements que dans les entreprises, des abus surgissent de temps à autre. Cela peut concerner tous les aspects possibles au sein de ces organisations. Par le passé, la plupart des membres de ces organisations n'osaient pas signaler ces abus car ils craignaient des représailles. C'est pourquoi, le 26 novembre 2019, l'Union européenne a publié une directive (1) visant à assurer la protection de ces personnes. Cette directive devait être transposée par le législateur belge avant le 17 décembre 2021 (2).

Par sa séance plénière du 24 novembre 2022, la Chambre donnait son feu vert à la loi sur la réglementation des lanceurs d'alerte dans les secteurs privé et public. La directive a depuis été mise en œuvre par la loi du 28 novembre 2022 transposant la directive européenne sur les lanceurs d'alerte pour le secteur privé (3). La loi entrera en vigueur le 15 février 2023. Par la loi de transposition du 8 décembre 2022, la directive a également été mise en œuvre pour le secteur public fédéral (4).

Quoi ?

La directive, et donc la loi, prévoit que les employés peuvent signaler, éventuellement de manière anonyme, les abus au sein des entreprises. L'UE a adopté cette directive en 2019 en réponse à certains scandales retentissants révélés par des lanceurs d'alerte, tels que Luxleaks et les Panama Papers. Ces scandales ont également mis en évidence la situation précaire des personnes qui "lancent une alerte" et le manque de protection dont elles bénéficient.

La loi prévoit qu'un canal de signalement doit être prévu pour les infractions relatives aux éléments suivants (5) :

• Les marchés publics ;
• Services, produits et marchés financiers et prévention du blanchiment d'argent et du financement du terrorisme ;
• Sécurité des transports ;
• Sécurité et conformité des produits ;
• Protection de l'environnement ;
• Radiation et sûreté nucléaire ;
• Santé et bien-être des animaux ;
• La santé publique ;
• Sécurité des denrées alimentaires et des aliments pour animaux ;
• Protection des consommateurs ;
• Protection de la vie privée et des données personnelles ;
• Sécurité des réseaux et des systèmes d'information ;
• Lutte contre la fraude fiscale et sociale.

Pour qui ?

Dans un premier temps, l'obligation de mettre en place canal de signalement interne dans le secteur privé ne s'applique qu'aux entreprises de 250 employés ou plus. La transposition de la directive pour les entreprises de 50 à 249 salariés ne devrait pas être totalement mise en place avant le 17 décembre 2023. À partir de cette date, ils devront donc également faire en sorte que leurs canaux de signalement internes soient installés, mis en œuvre et opérationnels.

En mettant en place un canal de signalement interne, les lanceurs d’alerte doivent avoir la possibilité d'évoquer en toute confidentialité des violations présumées avec une personne ou un service impartial et indépendant au sein de leur organisation. Ce canal de signalement pourrait prendre la forme, entre autres, d'une adresse électronique ou d'une application.

Les employés ne sont pas les seuls à pouvoir utiliser ce canal de signalement. Les anciens employés, les bénévoles, les stagiaires, les actionnaires, les administrateurs, les fournisseurs peuvent faire un signalement par le biais du canal de signalement interne. Les fonctionnaires du secteur public peuvent également l'utiliser. Le fait est qu'ils ont entendu l'information signalée dans un contexte lié au travail (6).

Outre le signalement interne, il est également possible de signaler une violation présumée à l'extérieur ou, s'il existe un danger immédiat pour l'intérêt public ou un risque de destruction d'éléments de preuve, le signalement peut également être rendu public par la presse (7). Toutefois, le signalement interne est préférable (8).

Protection des lanceurs d’alerte ?

1. Protection des données personnelles du rapporteur

Les États membres doivent veiller à ce que l'identité du lanceur d’alerte reste confidentielle. L'exception étant le droit à un procès équitable de la personne faisant l'objet du signalement. Dans ce cas, le lanceur d’alerte sera averti à l'avance que son identité sera révélée (9).

2. Le rapporteur ne doit pas être désavantagé par son signalement par des représailles.

La directive vise à protéger les lanceurs d'alerte contre toute forme de représailles. Si le rapporteur a suivi les procédures et pouvait raisonnablement supposer que l'information rapportée était vraie au moment du signalement, il est protégé contre d'éventuelles représailles (10) de la part de l'entreprise.

Cette protection crée une présomption légale mais réfutable selon laquelle une mesure de représailles (par exemple, le non-renouvellement d'un contrat, un licenciement, un harcèlement, un transfert, etc.) est liée au signalement. La conséquence de cette protection est qu'en principe, le rapporteur ne peut être tenu responsable des conséquences de son reportage. Si un rapporteur est néanmoins victime de représailles, il pourra demander des dommages et intérêts. Cette indemnité est fixée entre 18 et 26 semaines de salaire. Si la victime des représailles n'est pas un salarié, l'indemnisation sera fixée en fonction du préjudice réel subi (11).

Le RGPD est-il applicable ?

Sans surprise, le Règlement général sur la protection des données (ci-après RGPD (12)) s'applique également aux lanceurs d’alerte (13). La législation sur la protection de la vie privée a été introduite en 2018 pour garantir la vie privée des citoyens de l'UE. Il va sans dire que les données collectées et traitées dans le cadre d'un système d'alerte doivent être traitées avec beaucoup de précautions, car elles peuvent contenir des informations très sensibles, non seulement sur le rapporteur lui-même, mais aussi sur l'entreprise ou le gouvernement qui aurait commis une infraction.

La directive stipule, entre autres, qu'un registre doit être tenu pour chaque signalement reçu et que ceux-ci ne doivent pas être conservés plus longtemps que nécessaire (14).

Exemples en Belgique

• L'incident de 2021 impliquant la bourgmestre Veerle Heeren de Saint-Trond durant corona. Grâce à un lanceur d’alerte, on a appris qu'elle s'était donnée, ainsi qu'aux membres de sa famille, à ses voisins et à ses employés, la priorité dans la campagne de vaccination, alors qu’à ce moment-là, les plus de 85 ans avait la priorité.
• L'audit interne réalisé chez Bpost sur d'éventuelles irrégularités dans l'appel d'offres de la distribution des journaux. La raison étant un tuyau d’un lanceur d’alerte.

Règlementation flamande

Entre-temps, la Flandre a également travaillé sur une nouvelle politique de lanceur d’alerte. Avec le décret du 18 novembre 2022 (15), la Flandre a enfin transposé la directive dans la réglementation flamande. Il entrera en vigueur le 10 décembre 2023 et devra offrir une protection à tous les lanceurs d’alerte travaillant dans les services publics flamands, qu'il s'agisse du personnel interne ou externe, ainsi que des indépendants, des bénévoles ou des stagiaires.

Conclusion

Si vous êtes une entreprise de plus de 250 employés, vous devez disposer dès aujourd'hui d'un canal de signalement fonctionnel où les personnes peuvent évoquer, en toute confidentialité, toute violation présumée sur le lieu de travail. Si vous êtes une entreprise de 50 à 249 employés, vous avez encore un (court) délai jusqu'au 17 décembre 2023. Si vous le souhaitez, vous pouvez toujours faire appel à nos services pour mettre votre entreprise en conformité.

Joost Peeters (Studio Legale)

Sources légales

• Directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 relative à la protection des personnes qui signalent des violations du droit de l'Union;
• Loi du 28 novembre 2022 relative à la protection des auteurs d'infractions au droit de l'Union ou au droit national établis au sein d'une personne morale du secteur privé;
• Loi du 8 décembre 2022 sur les canaux de signalement et la protection des personnes qui signalent des violations de l'intégrité dans les agences du gouvernement fédéral et dans la police intégrée;
• Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données);
• Décret du 18 novembre 2022 modifiant le décret provincial du 9 décembre 2005, le décret des collectivités locales du 22 décembre 2017 et le décret administratif du 7 décembre 2018, en ce qui concerne les lanceurs d'alerte;

Articles

– https://www.tijd.be/ondernemen/algemeen/duizenden-bedrijven-moeten-klokkenluiders-stem-geven/10430920.html;

– P. PECINOVSKY, "Belgium misses deadline for transposition of whistleblower directive", De Juristenkrant, 22 décembre 2021;

Références

(1) DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union
(2) Voir l’article 26.1 de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union
(3) Loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé
(4)Loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé
(5) Vois l’article 2.1.a) de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.
(6) Voir l’article 4.1 de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.
(7) https://www.tijd.be/ondernemen/algemeen/duizenden-bedrijven-moeten-klokkenluiders-stem-geven/10430920.html
(8) Voir l’article 7.1 et 15 de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.
(9) Voir l’article 16 de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.
(10) Voir l’article 19 de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.
(11) Voir l’article 27, §2 de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé.
(12) RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
(13) Voir l’article 17 de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.
(14) Voir l’article 18 de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.
(15) Décret du 18 novembre 2022 modifiant le décret provincial du 9 décembre 2005, le décret du 22 décembre 2017 sur l'administration locale et le décret de gouvernance du 7 décembre 2018, en ce qui concerne les lanceurs d'alerte.