Qui doit établir une procédure interne de signalement sous la Loi Waserman ?

Cadre légal et genèse de la réforme Waserman

L'encadrement du statut de lanceur d'alerte en France a connu une mutation radicale entre 2016 et 2022. La loi Sapin II du 9 décembre 2016 avait posé les premières fondations en définissant le lanceur d'alerte et en instaurant un canal interne obligatoire. Toutefois, la pratique avait révélé des limites criantes : hiérarchie rigide et étouffante des paliers de signalement, condition ambiguë de « désintéressement » financier et vulnérabilité persistante des salariés face aux mesures de rétorsion patronales.

La Directive (UE) 2019/1937 du Parlement européen et du Conseil a imposé une révision globale de ce cadre. Le législateur français a fait le choix d'une transposition ambitieuse par la loi n° 2022-401 du 21 mars 2022, dite Loi Waserman, appuyée par la loi organique n° 2022-400 attribuant au Défenseur des droits une compétence générale d'orientation et de secours. La nouvelle rédaction de l'article 6 de la loi Sapin II consacre désormais une acception moderne du lanceur d'alerte :

• Est reconnu lanceur d'alerte toute personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général ;
• Le périmètre couvre également la violation ou la tentative de dissimulation d'une violation d'un engagement international régulièrement ratifié ou approuvé, d'un acte unilatéral d'une organisation internationale ou du droit de l'Union européenne ;
• La condition d'agir de manière « désintéressée » est officiellement supprimée au profit de l'absence de « contrepartie financière directe », ce qui préserve les salariés en conflit prud'homal ou syndical dès lors que leur démarche vise la dénonciation d'une illégalité ;
• Les informations signalées ne doivent plus nécessairement avoir été obtenues dans le cadre strict des activités professionnelles lorsqu'il s'agit de faits dont l'auteur a eu personnellement connaissance.

Cette extension du champ d'application impose aux directions d'entreprise une refonte intégrale de leurs canaux d'écoute. Le recueil des alertes ne peut plus être traité comme une simple boîte aux lettres RH informelle, mais comme un dispositif procédural juridiquement opposable.

Le seuil de 50 salariés dans le secteur privé : Méthode de calcul et règles d'assujettissement

L'article 8 de la loi Sapin II modifiée dispose que les personnes morales de droit privé employant au moins 50 salariés sont tenues d'établir une procédure interne de recueil et de traitement des signalements. Le décret n° 2022-1284 précise en son article 2 les modalités exactes de décompte de cet effectif.

Les règles de calcul de l'effectif selon le Code du travail

L'appréciation du seuil de 50 salariés ne relève pas d'une estimation comptable libre. Elle obéit strictement aux règles de calcul définies par les articles L-1111-2 et L-1111-3 du Code du travail. L'employeur doit agréger l'ensemble des catégories de personnel suivantes :

• Les salariés titulaires d'un contrat de travail à durée indéterminée (CDI) à temps plein, comptabilisés pour une unité entière ;
• Les salariés titulaires d'un contrat à durée déterminée (CDD), les travailleurs temporaires et les salariés mis à disposition par une entreprise extérieure, calculés au prorata de leur temps de présence dans l'entreprise au cours des douze mois précédents ;
• Les salariés à temps partiel, quelle que soit la nature de leur contrat, dont le décompte s'effectue en divisant la somme totale des heures inscrites dans leurs contrats par la durée légale ou conventionnelle du travail ;
• Les apprentis et les titulaires d'un contrat de professionnalisation, bien qu'exclus de certains calculs électoraux par l'article L-1111-3, sont pris en compte dans l'effectif global pour l'application des obligations de santé, de sécurité et des chartes éthiques de l'entreprise.

Le décret n° 2022-1284 retient une condition de pérennité : l'obligation s'impose à l'entreprise dès lors que le seuil de 50 salariés a été atteint pendant au moins douze mois consécutifs. Si l'effectif redescend durablement en dessous de ce seuil pendant plus de douze mois consécutifs, l'obligation légale cesse, bien que le maintien volontaire de la procédure demeure fortement conseillé par l'Agence française anticorruption (AFA).

Groupes de sociétés, filiales et mutualisation des moyens

La question de l'application du seuil au sein des groupes de sociétés a donné lieu à d'intenses débats lors de la transposition européenne. Le texte français retient une approche pragmatique mais rigoureuse :

Le seuil de 50 salariés s'apprécie au niveau de chaque personne morale juridiquement distincte. Une société holding de 15 salariés n'est pas légalement contrainte par le seuil de 50 salariés, quand bien même ses filiales opérationnelles dépasseraient ce nombre. À l'inverse, toute filiale atteignant 50 salariés doit obligatoirement disposer d'une procédure de signalement.

L'article 5 du décret n° 2022-1284 permet une mutualisation de la procédure entre plusieurs entreprises appartenant à un même groupe. Cependant, cette faculté est soumise à des restrictions expresses :

La Commission européenne a rappelé dans ses avis interprétatifs que la mutualisation intégrale au niveau de la société mère ne saurait priver les salariés des filiales d'un canal de proximité. Les entreprises de 250 salariés et plus commettent une infraction si elles se contentent de renvoyer leurs équipes vers la plateforme de leur maison mère étrangère sans procédure locale dédiée.

Les entités assujetties dès le premier salarié (sans condition d'effectif)

Le législateur a identifié plusieurs secteurs d'activité où les risques d'atteinte à l'ordre public financier, économique ou environnemental justifient la mise en place immédiate d'un canal interne, dès l'embauche du tout premier salarié. L'absence de seuil s'applique sans exception aux domaines suivants :

Le secteur financier, bancaire et assurantiel

En vertu de l'article 8-I-B de la loi Sapin II et des renvois opérés aux règlements européens, sont assujettis sans condition de seuil :

• Les établissements de crédit et les sociétés de financement régulés par l'Autorité de contrôle prudentiel et de résolution (ACPR) ;
• Les entreprises d'investissement, sociétés de gestion de portefeuille et conseillers en investissements financiers supervisés par l'Autorité des marchés financiers (AMF) ;
• Les entreprises d'assurance, de réassurance et les mutuelles soumises aux codes des assurances et de la mutualité ;
• Les établissements de paiement et les établissements de monnaie électronique.

Dans ces établissements, le dispositif de signalement doit être articulé avec les obligations découlant du Code monétaire et financier relatives aux abus de marché (règlement MAR n° 596/2014) et au contrôle interne prudentiel.

La lutte contre le blanchiment et le financement du terrorisme (LCB-FT)

Toutes les personnes mentionnées à l'article L. 561-2 du Code monétaire et financier sont tenues de disposer d'un dispositif interne d'alerte éthique. Sont ainsi visés :

• Les experts-comptables et commissaires aux comptes ;
• Les avocats lorsqu'ils participent à des opérations financières, immobilières ou sociétaires pour le compte de clients ;
• Les notaires et huissiers de justice (commissaires de justice) ;
• Les agents immobiliers et gestionnaires de biens ;
• Les opérateurs de jeux, casinos et plateformes d'actifs numériques (PSAN).

Le défaut d'établissement de ce canal constitue un manquement administratif grave passible de sanctions disciplinaires devant les commissions des sanctions de l'AMF, de l'ACPR ou du Conseil national des barreaux.

Les entreprises soumises au devoir de vigilance

L'article L. 225-102-4 du Code de commerce, issu de la loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre, impose un plan de vigilance aux sociétés employant au moins 5 000 salariés en France ou 10 000 salariés dans le monde.

Ce plan doit comporter obligatoirement « un mécanisme d'alerte et de recueil des signalements relatif à l'existence ou à la réalisation des risques » en matière de droits humains, de libertés fondamentales, de santé, de sécurité des personnes et d'atteintes environnementales graves. La Loi Waserman harmonise ce mécanisme avec le canal de l'article 8 de la loi Sapin II : l'entreprise peut utiliser un guichet unique pour recueillir à la fois les alertes professionnelles et les manquements au devoir de vigilance, à la condition expresse d'ouvrir le canal aux tiers extérieurs et aux sous-traitants de la chaîne d'approvisionnement.

Le secteur public sous le Décret n° 2022-1284

Le secteur public est soumis à des règles rigoureuses détaillées au chapitre II du décret n° 2022-1284. L'obligation d'établir une procédure interne de signalement s'impose à l'ensemble des personnes morales de droit public suivantes :

Les administrations d'État et autorités publiques indépendantes

Tous les ministères, secrétariats généraux, directions régionales (DREETS, DREAL, ARS), préfectures et ambassades sont assujettis sans condition d'effectif. Il en va de même pour les autorités administratives indépendantes (AAI) et les juridictions administratives et judiciaires.

Les collectivités territoriales et leurs groupements

Dans la fonction publique territoriale, l'assujettissement dépend d'un critère démographique fixé par l'article 3 du décret n° 2022-1284 :

L'article 4 du décret autorise les collectivités territoriales et leurs établissements publics à confier le recueil et le traitement des signalements au Centre de Gestion (CDG) de la fonction publique territoriale dont elles relèvent. Cette mutualisation permet aux communes moyennes et aux intercommunalités d'assurer la parfaite neutralité de l'instruction en éloignant le traitement de l'alerte des pressions politiques locales.

Les établissements publics de santé et médico-sociaux

Tous les centres hospitaliers (CH, CHU), groupements hospitaliers de territoire (GHT) et établissements publics sociaux ou médico-sociaux (EHPAD publics) sont assujettis dès lors qu'ils emploient au moins 50 agents ou répondent aux seuils d'établissements publics d'État. Les alertes portant sur des fautes médicales, des maltraitances institutionnelles ou des dysfonctionnements graves de prise en charge relèvent directement de ce dispositif.

Rôle obligatoire et prérogatives du Comité Social et Économique (CSE)

L'instauration d'un canal de signalement ne relève pas du pouvoir de direction unilatéral de l'employeur. Elle s'inscrit au cœur des prérogatives consultatives des représentants du personnel en vertu du Code du travail.

La consultation préalable obligatoire au titre de l'article L. 2312-8

L'article L. 2312-8 du Code du travail prescrit que le Comité Social et Économique (CSE) doit être informé et consulté sur les questions intéressant l'organisation, la gestion et la marche générale de l'entreprise, notamment sur l'introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail ou de sécurité.

La mise en œuvre d'une plateforme de signalement éthique entre expressément dans ce champ pour trois motifs juridiques déterminants :

• Elle constitue un dispositif technique de contrôle de l'activité des salariés au sens de l'article L. 2312-38 du Code du travail ;
• Elle modifie l'environnement disciplinaire de l'entreprise en introduisant des canaux d'investigation interne susceptibles de déboucher sur des sanctions ;
• Elle impacte directement les conditions de travail, la charge mentale et la prévention des risques psychosociaux (harcèlement moral et sexuel).

L'employeur doit transmettre aux élus du personnel un dossier complet comprenant le projet de procédure interne, l'analyse d'impact sur la vie privée, les modalités techniques de chiffrement et l'identité des personnes désignées comme référents d'alerte. Le CSE doit disposer d'un délai suffisant pour rendre un avis motivé avant tout déploiement effectif de l'outil.

Les sanctions de l'absence de consultation du CSE

Déployer un dispositif de signalement sans consultation préalable du CSE emporte des conséquences juridiques désastreuses pour l'entreprise :

Sur le plan pénal, l'employeur se rend coupable du délit d'entrave au fonctionnement régulier du CSE, réprimé par l'article L. 2317-1 du Code du travail d'une amende de 7 500 euros pour la personne physique et de 37 500 euros pour la personne morale, outre le risque d'inscription au casier judiciaire des dirigeants.

Sur le plan prud'homal et civil, la chambre sociale de la Cour de cassation juge de manière constante que tout élément de preuve obtenu au moyen d'un dispositif de contrôle mis en place sans consultation préalable du CSE est illicite et irrecevable devant les tribunaux. Par conséquent, si un employeur licencie un cadre corrompu sur la base d'éléments recueillis via une plateforme d'alerte non soumise au CSE, le licenciement encourt la nullité ou la qualification sans cause réelle et sérieuse, obligeant l'entreprise à verser d'importantes indemnités de rupture.

L'inscription obligatoire au Règlement intérieur de l'entreprise

L'article L. 1321-2 du Code du travail impose que le règlement intérieur de l'entreprise rappelle obligatoirement « l'existence du dispositif de protection des lanceurs d'alerte prévu au chapitre II de la loi n° 2016-1691 du 9 décembre 2016 ». Toute modification du règlement intérieur implique la consultation préalable du CSE, la transmission à l'inspection du travail (DREETS) et le dépôt au greffe du Conseil de prud'hommes avec un délai d'un mois avant son entrée en vigueur.

Statut, indépendance et compétences du référent alerte

L'efficacité et la légalité de la procédure reposent sur la désignation de la personne physique ou du service chargé du recueil et du traitement des alertes. L'article 4 du décret n° 2022-1284 impose des garanties strictes d'impartialité.

Désignation en interne ou externalisation

L'entreprise dispose de deux options pour désigner son référent alerte :

• Désignation interne : Un ou plusieurs salariés de l'entreprise, disposant de l'autorité morale et des compétences requises (directeur juridique, responsable conformité, déontologue ou auditeur interne) ;
• Externalisation à un tiers : L'entreprise peut confier la gestion de sa procédure à un tiers prestataire (avocat ombudsman, cabinet d'audit spécialisé ou plateforme technique sécurisée comme UNOVOX).

L'externalisation présente un avantage décisif pour les PME et ETI : elle élimine tout risque de conflit d'intérêts immédiat et garantit aux salariés que leur déclaration ne sera pas interceptée par leur propre hiérarchie.

La prévention absolue des conflits d'intérêts

La doctrine de l'AFA et le Défenseur des droits recommandent formellement d'éviter de désigner comme référents uniques les membres de la direction générale ou de la direction des ressources humaines. Si une alerte met en cause directement le DRH pour des faits de harcèlement ou de discrimination, ce dernier ne saurait être à la fois juge et partie. La procédure doit prévoir un mécanisme subsidiaire de déport permettant de réorienter automatiquement le dossier vers un référent alternatif indépendant.

Sanctions applicables en cas d'absence de procédure ou d'entrave

Le législateur a doté la Loi Waserman d'un arsenal répressif sans précédent pour punir les organisations qui refusent de se conformer à leurs obligations ou qui exercent des pressions sur les informateurs.

Outre les sanctions pénales, l'absence de procédure interne produit un effet direct redoutable : elle prive l'employeur du bénéfice de la priorité du traitement interne. Dès lors qu'un salarié constate l'absence de canal conforme dans son entreprise, il dispose du droit immédiat de s'adresser au Procureur de la République, au Défenseur des droits ou aux médias sous la protection absolue de la loi.

Cas pratique jurisprudentiel : Les retombées d'un dispositif vicié

L'illustration suivante, inspirée de la pratique prud'homale récente, met en lumière le piège procédural auquel s'exposent les entreprises négligentes :

Ce contentieux démontre que l'absence de canal sécurisé ne protège nullement la réputation de l'entreprise ; elle démultiplie au contraire sa vulnérabilité financière et pénale.

Tableau comparatif des seuils et obligations sectorielles en France

La matrice suivante détaille les critères d'assujettissement selon la nature de l'organisme :

Articulation avec le Référentiel CNIL n° 2023-066

Le recueil de signalements professionnels implique le traitement de données personnelles hautement sensibles : faits pénalement répréhensibles, identité des personnes mises en cause, témoignages internes. La Commission nationale de l'informatique et des libertés (CNIL) a adopté la Délibération n° 2023-066 du 22 juin 2023 portant adoption d'un référentiel relatif aux traitements de données destinés à la mise en œuvre d'un dispositif d'alerte.

Pour être conforme à ce référentiel, le canal de signalement doit intégrer dès sa conception les exigences suivantes :

• Principe de minimisation des données : Ne collecter que les données strictement nécessaires à la vérification des faits allégués (exclusion des données médicales ou relatives à la vie privée sans rapport avec l'alerte) ;
• Chiffrement de bout en bout : Les données stockées doivent faire l'objet d'un chiffrement robuste (AES-256) avec gestion étanche des clés d'accès ;
• Politique de purge des données : Destruction ou anonymisation irréversible des données relatives à une alerte non recevable dans un délai maximum de deux mois à compter de la clôture des vérifications ;
• Information des personnes mises en cause : Notification dans un délai raisonnable après prise des mesures conservatoires indispensables pour éviter toute destruction de preuves.

Le non-respect du référentiel CNIL expose l'organisme à des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial en application de l'article 83 du RGPD.

Check-list opérationnelle de mise en conformité

Pour auditer et déployer une procédure conforme à la Loi Waserman, le Pôle Juridique UNOVOX préconise le plan d'action suivant :

Foire aux Questions (FAQ)