Documentation obligatoire d’un canal de signalement en Belgique : Loi du 28 novembre 2022

L'importance stratégique du dossier documentaire en droit belge

Dans le contentieux du travail en Belgique, le fardeau probatoire repose traditionnellement sur les écrits. Face au renversement de la charge de la preuve instauré par l'article 31 de la loi du 28 novembre 2022 au profit des lanceurs d'alerte, la rigueur documentaire constitue le seul rempart juridique protégeant l'entreprise contre des condamnations automatiques :

La neutralisation de la présomption de représailles

Lorsqu'un travailleur prétend avoir subi une mesure défavorable (licenciement, refus de promotion, mise à l'écart) en représailles à un signalement, le tribunal du travail présume le lien de causalité. L'employeur ne peut renverser cette présomption qu'en démontrant, pièces documentaires horodatées à l'appui, que la mesure contestée a été décidée sur la base de critères objectifs, préexistants et totalement indépendants de l'alerte.

La charge de la preuve de conformité devant l'Inspection sociale

Les inspecteurs sociaux de la Direction générale du Contrôle des lois sociales (SPF Emploi) effectuent des contrôles inopinés ou sur plainte syndicale. L'incapacité de produire immédiatement les procès-verbaux de concertation sociale ou la preuve du dépôt du règlement de travail modifié entraîne le constat immédiat d'une infraction pénale de niveau 4.

Pilier 1 : La politique interne de signalement (Règlement de l'alerte)

Le premier document obligatoire est la politique interne de signalement, qui doit être rédigée avec une clarté irréprochable et rendue accessible en permanence à l'ensemble du personnel :

Les clauses substantielles obligatoires

La politique d'alerte doit impérativement définir :

• Le champ matériel des violations signalables (article 3 de la loi : marchés publics, droit financier, environnement, santé, fiscalité, sécurité des données) ;
• Le cercle des personnes habilitées à émettre une alerte (salariés, anciens collaborateurs, candidats, indépendants, stagiaires, sous-traitants) ;
• L'identité ou la fonction du gestionnaire de signalements désigné au sein de l'organisation ;
• Les canaux d'accès techniques disponibles (accès au portail SaaS UNOVOX, ligne téléphonique sécurisée, modalité de demande d'entretien en présentiel) ;
• La procédure complète de traitement des alertes anonymes au moyen de tokens d'accès cryptographiques ;
• Les délais légaux incompressibles : accusé de réception délivré sous 7 jours calendrier et retour d'information substantiel fourni sous 3 mois ;
• Le rappel explicite du régime protecteur contre les représailles et de l'interdiction de toute mesure disciplinaire rétorsive.

L'information sur les voies de signalement externe

En vertu de l'article 13, § 2 de la loi, la politique interne doit obligatoirement expliciter de manière objective les coordonnées et les compétences des autorités externes, au premier rang desquelles figurent le Médiateur fédéral, la FSMA, la BNB et l'Inspection sociale, ainsi que les conditions d'accès à ces autorités.

Pilier 2 : Le protocole de concertation sociale (Article 48)

L'article 48 de la loi du 28 novembre 2022 conditionne la mise en place et toute modification du canal de signalement à une concertation préalable avec les partenaires sociaux :

Les points obligatoires soumis à la concertation

L'employeur doit soumettre à la concertation préalable :

• Le choix de l'architecture technique (plateforme logicielle SaaS telle qu'UNOVOX garantissant le chiffrement de bout en bout et la souveraineté européenne des données) ;
• La désignation du gestionnaire des signalements (interne ou externe) et les critères d'impartialité retenus ;
• Le projet de règlement de signalement et les garanties de protection de la vie privée des travailleurs ;
• Les mécanismes de réception et de traitement des signalements anonymes.

Les procès-verbaux de réunion des organes de concertation

La concertation sociale doit faire l'objet d'un procès-verbal formellement consigné dans les registres du Conseil d'entreprise (CE) ou, à défaut, du Comité pour la prévention et la protection au travail (CPPT) ou de la Délégation syndicale. Le PV doit mentionner que les représentants du personnel ont pu émettre leurs observations et que la direction y a apporté une réponse motivée.

Sanctions en cas de défaut de concertation sociale

La mise en place unilatérale d'un canal sans consultation des organes syndicaux constitue une infraction pénale passible des sanctions de niveau 4 du Code pénal social. En outre, la délégation syndicale peut saisir en référé le président du tribunal du travail pour ordonner la suspension immédiate du canal litigieux sous astreinte journalière.

Pilier 3 : La modification formelle du règlement de travail

En droit belge, le règlement de travail régi par la loi du 8 avril 1965 est le véhicule juridique impératif par lequel les règles collectives s'imposent à l'employeur et aux travailleurs :

La procédure légale de révision (Articles 11 et suivants de la loi de 1965)

L'adjonction de la procédure de signalement d'alerte en annexe du règlement de travail requiert le respect scrupuleux des étapes suivantes :

• Rédaction du projet modificatif : Le texte de la politique d'alerte est intégré sous forme d'avenant ou d'annexe au règlement de travail existant ;
• Affichage pendant 15 jours : Le projet est affiché dans un endroit accessible et bien visible de tous les locaux de l'entreprise ;
• Mise à disposition du registre d'observations : Un registre est mis à la disposition des travailleurs pendant ces 15 jours pour recueillir leurs éventuelles observations ;
• Dépôt au Contrôle des lois sociales : Dans les 8 jours suivant l'expiration du délai d'affichage, un exemplaire du texte modifié doit être déposé auprès du bureau régional compétent du Contrôle des lois sociales (SPF Emploi) ;
• Délivrance d'une copie individuelle : Une copie du règlement modifié est remise à chaque travailleur contre décharge ou transmise par voie électronique certifiée.

Inopposabilité du dispositif en cas de non-dépôt

Si l'employeur omet de déposer le règlement modifié auprès de l'inspection sociale, les stipulations de la politique d'alerte demeurent juridiquement inopposables aux travailleurs. Cela signifie que l'entreprise ne pourrait engager de poursuites disciplinaires contre un salarié ayant abusé du canal ou violé la confidentialité de l'instruction.

Pilier 4 : Le registre légal des signalements (Article 11)

L'article 11 de la loi du 28 novembre 2022 contraint chaque entité juridique assujettie à tenir un registre de tous les signalements reçus :

Les données d'enregistrement obligatoires

Pour chaque signalement introduit, le registre légal doit consigner de façon traçable :

• Le numéro de dossier cryptographique unique ;
• La date et l'heure exactes de réception de l'alerte ;
• La qualification juridique de la violation signalée (matière de l'article 3) ;
• Le canal utilisé (écrit, oral via la plateforme, ou réunion physique) ;
• Le caractère anonyme ou confidentiel nominatif du signalement ;
• La date d'envoi de l'accusé de réception (vérification du délai légal de 7 jours) ;
• La date de clôture de l'enquête interne et la date de communication du retour d'information (vérification du délai légal de 3 mois) ;
• Le résumé anonymisé des mesures de suivi décidées ou les motifs du classement sans suite.

L'accès exclusif et la conservation des données

Conformément à l'article 11, § 3 de la loi, les données du registre ne peuvent être conservées que pendant le temps nécessaire à la réalisation des objectifs de l'enquête et pour satisfaire aux exigences légales de conservation (en pratique, jusqu'à prescription de l'action en justice ou 5 ans après la clôture définitive). L'accès à ce registre est strictement réservé au gestionnaire des signalements désigné.

Pilier 5 : Le dossier de conformité RGPD (AIPD/DPIA et DPA)

Le traitement des signalements implique la collecte et le traitement de données à caractère personnel hautement sensibles relatives à des manquements juridiques ou des délits. Le responsable de traitement doit constituer un dossier RGPD blindé :

L'Analyse d'Impact relative à la Protection des Données (AIPD / DPIA)

En application de l'article 35 du RGPD et de la liste des traitements à haut risque publiée par l'Autorité de protection des données (APD), la mise en œuvre d'un dispositif de signalement d'alerte en entreprise exige obligatoirement la réalisation préalable d'une AIPD :

• Description systématique des opérations de traitement et des flux de données chiffrées ;
• Évaluation de la nécessité et de la proportionnalité du traitement au regard de la loi du 28 novembre 2022 ;
• Cartographie des risques pesant sur les droits et libertés des personnes physiques (lanceur d'alerte, personne mise en cause, témoins) ;
• Mesures techniques et organisationnelles de mitigation des risques (chiffrement AES-256, Zero-Knowledge, suppression des métadonnées, gestion stricte des privilèges d'accès) ;
• Avis formel du délégué à la protection des données (DPO).

Le contrat de sous-traitance conforme à l'article 28 du RGPD (DPA)

Lorsque l'entreprise utilise une plateforme logicielle tierce comme UNOVOX, elle doit conclure un contrat de traitement des données (Data Processing Agreement) stipulant que le prestataire n'agit que sur instruction documentée, applique des mesures de sécurité ISO 27001 et héberge l'ensemble des données exclusivement sur le territoire de l'Union européenne.

Pilier 6 : L'acte formel de désignation et la charte d'impartialité du gestionnaire

L'article 10 de la loi exige que le gestionnaire des signalements agisse de manière impartiale et indépendante :

L'acte formel de nomination

La direction générale de l'entreprise doit formaliser la désignation du gestionnaire (compliance officer, responsable juridique ou prestataire tiers externe) par un mandat écrit précisant ses prérogatives, ses obligations déontologiques et son autonomie hiérarchique pour l'instruction des dossiers.

La charte de confidentialité et de prévention des conflits d'intérêts

Le gestionnaire signe un engagement formel garantissant la confidentialité absolue de ses dossiers et prévoyant une procédure de déport automatique en cas de signalement visant sa propre personne ou un membre de sa ligne managériale directe.

Pilier 7 : Le respect de la législation linguistique belge

La Belgique est caractérisée par une législation linguistique d'ordre public d'une rigueur absolue régissant les relations sociales entre employeurs et travailleurs (décrets sur l'emploi des langues) :

La règle territoriale d'emploi des langues

La langue des documents destinés au personnel est déterminée par le siège d'exploitation de l'entreprise :

• En Région wallonne : L'emploi exclusif du français est prescrit sous peine de nullité absolue pour tous les actes, règlements de travail et communications collectives ;
• En Région flamande : L'emploi du néerlandais est impératif sous la même sanction de nullité ;
• Dans la Région bilingue de Bruxelles-Capitale : Les documents doivent être établis en français ou en néerlandais selon la langue du travailleur, ou dans les deux langues ;
• En Région de langue allemande : L'emploi de l'allemand est prescrit pour les exploitations situées sur ce territoire.

La nullité absolue des politiques rédigées exclusivement en anglais

De nombreuses multinationales commettent la faute grave de diffuser en Belgique leur politique globale d'alerte en langue anglaise. En vertu d'une jurisprudence constante de la Cour de cassation belge, un document de droit du travail rédigé uniquement en anglais est nul et de nul effet. L'entreprise ne peut s'en prévaloir, et l'Inspection sociale verbalise cette pratique. UNOVOX fournit tous ses modèles de documents nativement en français, néerlandais et allemand.

Tableau synoptique des sept piliers documentaires de conformité en Belgique

La matrice ci-après récapitule les documents obligatoires et leur cadre juridique d'opposabilité :

Foire aux questions sur la documentation en Belgique (FAQ)

L'intégration dans le règlement de travail est-elle obligatoire pour toutes les entreprises ?

Oui. En droit social belge, pour qu'une procédure interne relative à la discipline et aux droits des travailleurs soit opposable à l'ensemble du personnel, elle doit être intégrée dans le règlement de travail selon la procédure de la loi du 8 avril 1965.

Une entreprise située à Liège ou Namur peut-elle diffuser sa politique d'alerte en anglais ?

Non, c'est strictement interdit. En Région wallonne, le décret linguistique impose l'emploi exclusif du français pour tous les documents sociaux. Une version anglaise est juridiquement nulle et inopposable aux travailleurs.

Combien de temps le registre des signalements doit-il être conservé en Belgique ?

L'article 11 prévoit que les données sont conservées aussi longtemps que nécessaire pour l'enquête et au maximum jusqu'à l'expiration des délais de prescription judiciaire (en pratique 5 ans après la clôture définitive du dossier).

Qui a le droit de consulter le registre légal des signalements au sein de l'entreprise ?

Seul le gestionnaire de signalements formellement désigné. Ni la direction générale, ni les membres du Conseil d'administration, ni la DRH n'ont accès à ce registre confidentiel.

Quel est le montant de l'amende infligée par l'APD en l'absence d'AIPD/DPIA ?

L'Autorité de protection des données (APD) peut prononcer des amendes administratives pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial de l'entreprise (article 83, § 4 du RGPD).

La concertation sociale avec le CE ou le CPPT doit-elle être réitérée lors d'un changement de logiciel ?

Oui. Tout changement significatif dans les modalités techniques de traitement des alertes ou de gestion de la confidentialité constitue une modification substantielle soumise à consultation préalable des organes de concertation ex article 48.

Comment UNOVOX aide-t-il les entreprises à établir leur documentation de conformité ?

UNOVOX fournit un pack documentaire complet validé par des avocats spécialisés en droit social belge : modèles de politique interne, canevas de PV pour CE/CPPT, clauses d'avenant au règlement de travail, modèle d'AIPD et contrat DPA conforme au RGPD.

Que risque un employeur qui omet de consigner une alerte dans le registre légal ?

Cette omission constitue une entrave à la procédure légale passible des sanctions pénales de niveau 4 du Code pénal social (jusqu'à 48.000 euros d'amende et trois ans de prison).

Les entreprises de moins de 50 travailleurs du secteur financier doivent-elles modifier leur règlement de travail ?

Oui. Dès lors qu'elles sont soumises à la loi en vertu de l'article 5, § 2, elles doivent intégrer la procédure d'alerte dans leur règlement de travail selon les règles ordinaires de la loi du 8 avril 1965.

Les délégués syndicaux ont-ils le droit de consulter les dossiers individuels du registre ?

Non. Les partenaires sociaux ont un droit de regard sur le fonctionnement global du canal (statistiques annuelles anonymisées sur le nombre d'alertes et les délais de traitement), mais n'ont aucun accès aux dossiers individuels.

Comment prouver à l'inspection sociale que l'accusé de réception a bien été envoyé sous 7 jours ?

En produisant les journaux d'audit cryptographiques horodatés délivrés par UNOVOX, qui apportent la preuve formelle et irréfutable de l'envoi et de la mise à disposition de l'accusé de réception dans le délai légal.

Les annexes au règlement de travail peuvent-elles être diffusées par voie électronique ?

Oui, pour autant que chaque travailleur ait accès individuellement et de manière permanente à un support électronique sécurisé permettant la consultation et la sauvegarde intégrale du texte du règlement.

L'analyse d'impact (AIPD) et les recommandations de l'APD en Belgique

La mise en œuvre d'un dispositif d'archivage documentaire pour les signalements exige une rigueur absolue sous l'angle du Règlement Général sur la Protection des Données (RGPD) et des directives de l'Autorité de protection des données (APD).

Obligation d'AIPD sous l'article 35 du RGPD

Conformément à la liste adoptée par l'Autorité de protection des données (Décision d'approbation n° 1/2019), la mise en place d'un système de gestion des alertes professionnelles requiert obligatoirement une analyse d'impact relative à la protection des données (AIPD). Le traitement implique en effet la collecte de données relatives à des infractions ou manquements graves (article 10 du RGPD), concerne des personnes en situation de subordination contractuelle (salariés) et présente un risque intrinsèque élevé de discrimination ou de représailles. L'AIPD doit justifier la période de conservation quinquennale retenue par la loi belge, expliciter les mécanismes de chiffrement asymétrique et détailler les habilitations d'accès accordées aux gestionnaires d'alerte.

Articulation du droit d'accès et de la confidentialité de l'enquête

L'exercice du droit d'accès conféré à la personne visée par l'article 15 du RGPD fait l'objet d'une dérogation expresse dans le cadre de la législation belge sur les lanceurs d'alerte. Afin de préserver l'efficacité des vérifications préliminaires et d'empêcher toute tentative de dissimulation de preuves, l'employeur peut différer la réponse aux demandes d'accès tant que dure l'instruction interne. En tout état de cause, les données permettant d'identifier directement ou indirectement le signalant ne peuvent en aucun cas être communiquées à la personne mise en cause, matérialisant ainsi la prévalence du secret d'identité sur le droit d'accès individuel.