Canaux internes et canaux externes au Luxembourg : Quelle différence et quelle articulation légale ?

Introduction : La structure tripartite du régime de signalement luxembourgeois

La Loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 a profondément repensé l'architecture de la dénonciation d'infractions au Grand-Duché de Luxembourg. En rupture avec les modèles anciens où le salarié était contraint d'épuiser des voies hiérarchiques internes souvent opaques et risquées avant d'oser alerter les autorités étatiques, le droit luxembourgeois consacre désormais une architecture tripartite d'alerte hautement protectrice :

• Le canal de signalement interne (Chapitre 2, art. 5 à 12) : Mis en place et opéré par l'employeur au sein de l'entité juridique (ou délégué à un tiers de confiance) ;
• Le canal de signalement externe (Chapitre 3, art. 13 à 20) : Établi auprès des autorités publiques compétentes et chapeauté par l'Office des signalements créé auprès du ministère de la Justice ;
• La divulgation publique (Chapitre 4, art. 21) : Révélation directe à la presse, aux médias d'investigation ou sur les plateformes numériques en ligne.

Pour les directions d'entreprises, les départements juridiques et les Compliance Officers au Luxembourg, comprendre les passerelles, les règles de priorité et les conditions d'immunité attachées à chacun de ces trois niveaux est indispensable. Une mauvaise gestion du canal interne a pour effet juridique immédiat de propulser le dossier vers les régulateurs externes (CSSF, ITM, CAA) ou sur la place publique médiatique.

Le principe fondamental : La liberté absolue de choix du lanceur d'alerte (art. 13 par. 1)

L'un des apports cardinaux de la loi du 16 mai 2023 réside dans la consécration sans équivoque de la liberté de choix du lanceur d'alerte. L'article 13, paragraphe 1er, dispose sans la moindre ambiguïté :

« Les personnes physiques visées à l'article 3 peuvent signaler des informations sur des violations en utilisant les canaux externes après avoir utilisé les canaux internes ou en effectuant un signalement directement par les canaux de signalement externe visés aux articles 14 à 20. »

Cette disposition balaye définitivement la croyance selon laquelle le salarié aurait l'obligation légale de s'adresser en priorité à son employeur :

• Option 1 (Signalement interne préalable) : Le travailleur fait le choix de faire confiance à son entreprise et d'utiliser le canal interne si celui-ci offre des garanties d'impartialité et d'absence de représailles ;
• Option 2 (Signalement externe direct d'emblée) : Le travailleur a le droit d'ignorer complètement le canal de son entreprise et de s'adresser directement à l'Office des signalements ou à l'autorité sectorielle compétente, sans avoir à justifier d'un motif particulier !

Le canal interne : Avantages stratégiques, gouvernance et obligations (art. 5 à 12)

Bien que le salarié puisse s'adresser directement aux autorités externes, l'intérêt premier de l'entreprise luxembourgeoise est de rendre son canal interne suffisamment fiable, attractif et sécurisé pour qu'il constitue naturellement le premier réflexe du personnel.

Pourquoi le canal interne est capital pour l'organisation

• Préservation de la réputation et du secret des affaires : Une irrégularité traitée et corrigée en interne reste confidentielle et n'entame ni la valeur boursière, ni la confiance des investisseurs, ni la réputation commerciale de la société ;
• Maîtrise du calendrier de remédiation : L'équipe de direction peut diligenter des investigations immédiates, stopper l'infraction et corriger les failles opérationnelles avant toute saisine coercitive de la justice ;
• Atténuation des sanctions administratives : En cas de détection proactive d'une fraude par le canal interne suivie d'une auto-dénonciation coopérative auprès de la CSSF ou de l'administration fiscale, l'entreprise bénéficie généralement d'une clémence significative.

Règles d'organisation du canal interne sous le droit luxembourgeois

L'article 7 de la loi impose des obligations strictes à l'employeur :

• Conception technique hermétique : Canaux conçus de manière sécurisée pour garantir la confidentialité absolue de l'identité du lanceur d'alerte et de tout tiers mentionné, avec accès strictement restreint aux seuls membres du personnel autorisés ;
• Modes de transmission multiples : Possibilité de signaler par écrit (portail numérique sécurisé) et/ou oralement (ligne téléphonique dédiée, messagerie vocale chiffrée, et sur demande, rencontre physique sous 14 jours) ;
• Désignation d'un gestionnaire impartial : Attribution de la gestion du canal à une personne ou un service compétent et impartial (Compliance Officer, responsable juridique, réviseur d'entreprises externe ou avocat) ;
• Respect scrupuleux des délais : Accusé de réception sous 7 jours de calendrier et retour d'information substantiel sous 3 mois.

Le canal externe : L'Office des signalements et les 22 autorités compétentes (art. 14 à 20)

Le Chapitre 3 de la loi du 16 mai 2023 organise le réseau des canaux de signalement externes étatiques au Luxembourg.

L'Office des signalements : Guichet unique et autorité coordinatrice centrale

L'Office des signalements, institué auprès du ministère de la Justice, remplit une triple mission fondamentale :

• Information et conseil des lanceurs d'alerte : Il accueille, conseille et oriente gratuitement toute personne souhaitant effectuer un signalement, en lui expliquant la portée de ses droits et les voies de recours disponibles ;
• Réception centrale et filtrage des signalements externes : Il reçoit les signalements externes généraux ne relevant pas d'un régulateur sectoriel spécifique ou lorsque le lanceur d'alerte ne sait pas à quelle autorité s'adresser ;
• Transmission sécurisée aux autorités compétentes : Après un examen préliminaire de recevabilité, l'Office transmet le dossier dans les plus brefs délais à l'autorité publique compétente pour mener l'enquête au fond.

Les 22 autorités publiques sectoriellement compétentes (art. 18 de la loi)

L'article 18 de la loi désigne limitativement les 22 autorités administratives et judiciaires luxembourgeoises investies du pouvoir de recevoir des signalements externes dans leur domaine d'attribution :

La divulgation publique : Le troisième niveau d'alerte (art. 21)

La divulgation publique consiste à porter les informations directement à la connaissance de l'opinion publique (médias d'investigation, télévision, presse écrite, blogs spécialisés ou réseaux sociaux). Il s'agit d'une arme juridique à double tranchant : le lanceur d'alerte qui y recourt de manière précipitée ou infondée perd toute protection légale et s'expose à de lourdes poursuites civiles et pénales pour diffamation (art. 443 du Code pénal).

Conditions strictes d'admissibilité de la divulgation publique

En vertu de l'article 21 de la loi du 16 mai 2023, le lanceur d'alerte ne bénéficie de la protection légale que dans l'une des situations alternatives suivantes :

• Absence de mesures appropriées après signalement : Le lanceur d'alerte a d'abord effectué un signalement interne et externe (ou directement externe), mais aucune mesure appropriée n'a été prise en réponse à son alerte dans les délais légaux de 3 mois (ou 6 mois pour les autorités externes) ;
• Danger imminent ou manifeste pour l'intérêt public : Le lanceur d'alerte avait des motifs raisonnables d'estimer que l'infraction présentait un risque direct de catastrophe imminente, d'atteinte irréversible à la santé des personnes ou de préjudice irréparable pour l'intérêt public ;
• Risque manifeste de représailles ou de dissimulation de preuves : En cas de recours au canal externe, le lanceur d'alerte avait des motifs raisonnables de craindre des actes de représailles violents ou une collusion manifeste entre l'autorité publique et l'auteur de l'infraction, conduisant à la destruction programmée des éléments de preuve.

Comparaison opérationnelle des trois canaux de signalement

Pour arbitrer efficacement entre ces trois voies, la matrice comparative ci-dessous récapitule leurs attributs déterminants :

Les sanctions en cas d'entrave aux signalements (art. 26)

La loi luxembourgeoise sanctionne avec la plus grande fermeté toute velléité d'obstruction au fonctionnement des canaux de signalement. L'article 26 punit d'une amende administrative de 1.500 € à 250.000 € (doublée à 500.000 € en cas de récidive) quiconque :

• Fait obstacle ou tente de faire obstacle à l'exercice d'un signalement, qu'il soit interne ou externe ;
• Met en place un canal interne purement fictif ou ne respectant pas les garanties de confidentialité de l'article 7 ;
• Exerce des pressions ou des menaces de licenciement pour contraindre un salarié à retirer une alerte déposée auprès de la CSSF, de l'ITM ou de l'Office des signalements ;
• Engage des procédures-bâillons (poursuites judiciaires abusives en diffamation ou actions en responsabilité civile visant à intimider ou épuiser financièrement le lanceur d'alerte) ;
• Refuse de coopérer avec les agents assermentés de l'Inspection du Travail et des Mines ou les enquêteurs délégués de la CSSF lors d'une vérification sur place.

La protection intégrale contre les représailles (art. 22 et 23)

L'article 22 de la loi du 16 mai 2023 énumère un catalogue exhaustif de mesures de représailles formellement interdites, qu'il s'agisse de représailles directes ou de manœuvres détournées :

• Licenciement avec préavis ou avec effet immédiat pour faute grave ;
• Suspension, mise à pied, rétrogradation ou refus de promotion interne ;
• Transfert de fonctions, changement de lieu de travail, réduction de salaire ou modification substantielle des horaires de travail ;
• Refus de formation professionnelle continue ;
• Évaluation négative injustifiée des performances ou refus de bonus annuel ;
• Harcèlement moral, discrimination, brimades, mise au placard ou exclusion sociale au sein de l'équipe ;
• Résiliation anticipée d'un contrat de prestation de services B2B ou d'un contrat de fourniture ;
• Inscription sur une liste noire officieuse de la place financière visant à empêcher le travailleur de retrouver un emploi dans le secteur bancaire ou des fonds d'investissement.

En vertu de l'article 23, toute mesure de représailles est nulle de plein droit (*nullité absolue*). Le salarié licencié a le droit de demander au président du tribunal du travail, statuant en référé sous quinzaine, de constater la nullité de son congédiement et d'ordonner le maintien ou la réintégration sous son contrat avec paiement intégral des arriérés de salaire.

Articulation avec le Parquet économique et financier et la circulaire CSSF 12/552

Au Luxembourg, l'articulation entre les canaux de signalement et la justice répressive obéit à des règles strictes. En vertu de l'article 23 du Code de procédure pénale luxembourgeois, toute autorité constituée, tout officier public ou fonctionnaire qui, dans l'exercice de ses fonctions, acquiert la connaissance d'un crime ou d'un délit est tenu d'en donner avis sur-le-champ au Procureur d'État près le Tribunal d'arrondissement de Luxembourg ou de Diekirch et de lui transmettre tous les renseignements, procès-verbaux et actes y relatifs.

Pour les établissements de crédit et les professionnels du secteur financier (PSF), ce dispositif s'articule directement avec la circulaire CSSF 12/552 modifiée relative à la gouvernance interne. Les banques doivent veiller à ce que leur canal de signalement interne permette une remontée indépendante des alertes vers le Responsable de la fonction de conformité (Chief Compliance Officer) et le Conseil d'administration, sans interférence de la direction générale opérationnelle lorsque des membres du comité de direction sont eux-mêmes mis en cause.

Pourquoi la plateforme UNOVOX renforce l'efficacité du canal interne au Luxembourg

Pour dissuader efficacement les collaborateurs d'escalader immédiatement leurs alertes vers l'Office des signalements ou vers la presse, l'entreprise doit leur offrir une expérience de signalement interne irréprochable sur le plan technique et humain. La plateforme UNOVOX offre précisément ce standard d'excellence :

• Architecture Zero-Knowledge et Chiffrement AES-256 : Impossibilité cryptographique absolue pour les administrateurs IT internes d'intercepter ou de lire les communications ;
• Boîte de dialogue virtuelle anonyme : Échange sécurisé avec le lanceur d'alerte sans que celui-ci n'ait à dévoiler son adresse e-mail ou son numéro de téléphone ;
• Gestion intégrée des 22 autorités luxembourgeoises : Fonctionnalité permettant, le cas échéant et en accord avec le lanceur d'alerte, de préparer un dossier de transmission direct et sécurisé vers la CSSF, l'ITM ou le Parquet ;
• Conformité totale CNPD et souveraineté européenne : Hébergement exclusif au Luxembourg et dans l'Union européenne, avec suppression automatique des métadonnées numériques et conformité RGPD certifiée.