Qui doit établir un canal de signalement interne ? Guide de conformité à la loi luxembourgeoise du 16 mai 2023

Introduction : L'entrée en vigueur de la loi du 16 mai 2023 au Grand-Duché de Luxembourg

La publication au Mémorial A n° 249 de la Loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l'Union a marqué une métamorphose profonde du droit du travail, du droit des sociétés et de la gouvernance d'entreprise au Grand-Duché de Luxembourg. Alors que la protection des lanceurs d'alerte reposait jusqu'alors sur des dispositions éparses et sectorielles, notamment dans le secteur financier et bancaire sous la surveillance étroite de la Commission de Surveillance du Secteur Financier (CSSF) et du Commissariat aux Assurances (CAA), le législateur luxembourgeois a instauré un cadre général, exhaustif et transverse.

Le calendrier d'application de la loi s'est déployé en deux phases majeures :

• 21 mai 2023 : Entrée en vigueur immédiate pour toutes les entités juridiques du secteur privé comptant 250 salariés ou plus, pour l'ensemble du secteur public, ainsi que pour toutes les entités assujetties au droit financier et à la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT) quel que soit leur effectif ;
• 17 décembre 2023 : Entrée en vigueur pour les entités juridiques du secteur privé comptant entre 50 et 249 salariés.

Désormais, tout employeur établi au Luxembourg et atteignant les seuils légaux a l'obligation stricte d'établir un canal de signalement interne sécurisé, garantissant une confidentialité absolue et protégé contre toute forme de représailles. L'inexécution de cette obligation expose directement l'entité et ses dirigeants à des amendes administratives pouvant atteindre 250.000 euros, prononcées par les autorités de contrôle compétentes (art. 26 de la loi).

Le présent guide décortique l'ensemble des critères d'assujettissement, les modalités précises de calcul des effectifs sous le Code du travail luxembourgeois, le régime spécifique des groupes de sociétés et l'articulation indispensable avec la délégation du personnel.

Le seuil général de 50 travailleurs dans le secteur privé (art. 5 et 6)

L'article 6, paragraphe 1er, de la loi du 16 mai 2023 pose le principe général d'assujettissement dans le secteur marchand et associatif :

« Les entités juridiques du secteur privé comptant au moins 50 travailleurs sont tenues d'établir des canaux et des procédures de signalement interne et de suivi. »

Cette formulation requiert une analyse rigoureuse des notions juridiques mobilisées, notamment la qualification de « travailleur » et les méthodes de calcul prévues par le Code du travail luxembourgeois.

Définition du « travailleur » au sens du droit luxembourgeois

Le législateur luxembourgeois a retenu une interprétation extensive conforme à la jurisprudence de la Cour de justice de l'Union européenne (CJUE). Au sens de la loi du 16 mai 2023 et de l'article L. 121-1 du Code du travail, est considéré comme travailleur toute personne physique qui s'engage à mettre son activité professionnelle à la disposition d'un employeur sous les ordres, la direction et la surveillance de celui-ci, moyennant une rémunération.

Sont ainsi inclus dans le décompte des effectifs :

• Les salariés sous contrat à durée indéterminée (CDI) : Qu'ils soient occupés à temps plein ou à temps partiel ;
• Les salariés sous contrat à durée déterminée (CDD) : Pris en compte au prorata de leur temps de présence au cours des douze mois précédant l'évaluation ;
• Les travailleurs intérimaires et mis à disposition : Pris en compte auprès de l'entreprise utilisatrice au prorata de leur durée de mission (art. L. 131-1 du Code du travail) ;
• Les apprentis sous contrat d'apprentissage : Comptabilisés dans l'effectif global ;
• Les salariés transfrontaliers : Le Luxembourg comptant plus de 220.000 frontaliers français, belges et allemands, ces derniers sont intégralement et sans aucune distinction comptabilisés dans le seuil d'assujettissement.

Modalités de calcul du seuil : L'analogie avec la délégation du personnel

La loi du 16 mai 2023 ne fixe pas de date annuelle unique pour le décompte de l'effectif, mais renvoie aux principes généraux du droit du travail luxembourgeois régissant l'élection de la délégation du personnel (art. L. 411-1 du Code du travail). L'effectif est évalué sur la base d'une moyenne annuelle des douze mois consécutifs.

Les salariés occupés à temps partiel (art. L. 123-1) dont la durée de travail est égale ou supérieure à 16 heures par semaine sont comptés pour une unité complète. Pour les salariés dont la durée de travail hebdomadaire est inférieure à 16 heures, le décompte s'effectue en divisant la masse totale des heures de travail prévues par les contrats par la durée légale de travail (40 heures par semaine).

Le secteur financier et assujetti LBC/FT : Obligation dès le 1er salarié (art. 6 par. 3)

Le Grand-Duché de Luxembourg étant l'une des places financières majeures à l'échelle mondiale (premier centre de fonds d'investissement en Europe et deuxième mondial après les États-Unis), le législateur a instauré une règle d'or d'assujettissement universel pour les acteurs régulés. En application de l'article 6, paragraphe 3, de la loi du 16 mai 2023 :

« Le seuil prévu au paragraphe 1er ne s'applique pas aux entités juridiques du secteur privé qui entrent dans le champ d'application des actes de l'Union européenne visés aux parties I.B et II de l'annexe de la directive (UE) 2019/1937, indépendamment du nombre de travailleurs qu'elles occupent. »

Cette dérogation au seuil de 50 travailleurs emporte une conséquence capitale : toute entité régulée par la CSSF ou le CAA, ou soumise à la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, est obligée de mettre en place un canal de signalement interne dès le premier collaborateur rémunéré !

Liste des entités assujetties sans condition d'effectif

Sont obligatoirement concernées, même avec 2, 5 ou 15 salariés :

• Les établissements de crédit et banques privées : Régis par la loi du 5 avril 1993 relative au secteur financier ;
• Les sociétés de gestion de fonds (ManCos) et gestionnaires de FIA (AIFM) : Soumis au contrôle de la CSSF au titre de la directive OPCVM ou de la directive AIFM ;
• Les entreprises d'investissement et PSF (Professionnels du Secteur Financier) : PSF de support, PSF spécialisés, courtiers et dépositaires ;
• Les compagnies d'assurance et de réassurance : Régies par la loi du 7 décembre 2015 sur le secteur des assurances et supervisées par le Commissariat aux Assurances (CAA) ;
• Les cabinets d'expertise comptable, réviseurs d'entreprises et fiduciaires : Assujettis aux obligations LBC/FT en vertu de la loi du 12 novembre 2004 ;
• Les études notariales et cabinets d'avocats : Lorsqu'ils interviennent dans des transactions financières, immobilières ou sociétaires visées par le cadre LBC/FT ;
• Les prestataires de services sur actifs virtuels (PSAV / VASP) : Plateformes de crypto-actifs enregistrées auprès de la CSSF ;
• Les opérateurs de transport et infrastructures maritimes/aériennes : Compagnies aériennes (Cargolux, Luxair), gestionnaires aéroportuaires et armateurs opérant sous pavillon luxembourgeois.

Le secteur public luxembourgeois : Communes, ministères et établissements publics

Le secteur public luxembourgeois est assujetti à des règles spécifiques prévues par l'article 5 de la loi du 16 mai 2023. Sont tenues de mettre en place des canaux internes :

• L'État et ses ministères : Toutes les administrations gouvernementales et départements ministériels ;
• Les établissements publics de l'État : Fonds national de la recherche (FNR), Université du Luxembourg, Centre hospitalier de Luxembourg (CHL), Hôpitaux Robert Schuman (HRS), Centre hospitalier Émile Mayrisch (CHEM), Centre hospitalier du Nord (CHDN) ;
• Les communes de 10.000 habitants ou plus : Luxembourg-Ville, Esch-sur-Alzette, Differdange, Dudelange, Pétange, Sanem, Hesperange, Bettembourg, Schifflange, Käerjeng, Mamer, Strassen, etc. ;
• Les syndicats de communes et établissements intercommunaux : Lorsqu'ils occupent au moins 50 agents ou lorsqu'ils regroupent des communes assujetties.

Dérogation pour les petites communes (moins de 10.000 résidents)

Conformément à l'article 5, paragraphe 2, les communes de moins de 10.000 habitants sont exemptées de l'obligation d'établir leur propre canal de signalement interne, à condition qu'elles ne comptent pas plus de 50 agents communaux sous statut de fonctionnaire ou d'employé communal. Toutefois, la loi encourage les communes d'un même canton à mutualiser leurs ressources en mettant en place un canal de signalement intercommunal partagé, géré de façon indépendante.

Groupes de sociétés, filiales luxembourgeoises et mutualisation (art. 6 par. 4 et 5)

Le Luxembourg étant un carrefour international de holdings (Soparfi) et de filiales de multinationales, la question de la centralisation du canal au niveau de la maison-mère à Londres, Paris, Francfort ou New York se pose de manière quotidienne.

Principe de l'autonomie juridique des filiales

Conformément à la position constante de la Commission européenne et à l'article 6 de la loi luxembourgeoise, chaque entité juridique distincte occupant 50 travailleurs ou plus doit disposer de son propre canal de signalement interne. Une multinationale ne peut pas se contenter d'imposer un canal unique hébergé au siège mondial si sa filiale luxembourgeoise emploie 55 salariés.

Le personnel de la filiale luxembourgeoise doit avoir la garantie de pouvoir signaler une infraction au niveau local, dans les langues officielles du pays (français, allemand, luxembourgeois), avec un interlocuteur local soumis au secret professionnel et aux spécificités du droit luxembourgeois.

Mutualisation des ressources pour les entreprises moyennes (50 à 249 salariés)

L'article 6, paragraphe 4, introduit un assouplissement bienvenu pour les structures de taille intermédiaire :

« Les entités juridiques du secteur privé comptant de 50 à 249 travailleurs peuvent partager des ressources en ce qui concerne la réception des signalements et les enquêtes à mener. »

Deux ou plusieurs sociétés sœurs ou filiales luxembourgeoises comptant chacune entre 50 et 249 travailleurs peuvent ainsi conclure un contrat de mutualisation pour partager une même plateforme technique (telle que la solution SaaS souveraine UNOVOX) ou confier la gestion des enquêtes à un tiers indépendant commun (par exemple un réviseur d'entreprises ou un avocat à la Cour). En revanche, les entreprises employant 250 salariés et plus ont l'interdiction de mutualiser : elles doivent impérativement posséder un canal et une équipe de suivi autonomes.

Le champ des personnes protégées : Bien au-delà des seuls salariés (art. 3)

La loi du 16 mai 2023 consacre une définition très large des personnes habilitées à lancer une alerte et bénéficiant du régime d'immunité contre les représailles :

• Les salariés et fonctionnaires : Salariés du secteur privé, fonctionnaires de l'État et employés communaux ;
• Les travailleurs indépendants et prestataires de services : Consultants, experts IT, freelances et prestataires sous contrat de louage de services ;
• Les actionnaires, associés et membres des organes de direction : Administrateurs délégués, membres du conseil d'administration, directeurs généraux ;
• Les bénévoles et stagiaires : Stagiaires rémunérés ou non rémunérés ;
• Les personnes travaillant sous la supervision de sous-traitants ou fournisseurs ;
• Les candidats à un emploi : Personnes ayant obtenu des informations sur des violations lors du processus de recrutement ou de négociations précontractuelles (art. 3, par. 2) ;
• Les anciens salariés : Personnes dont la relation de travail a pris fin, mais dont le signalement concerne des faits survenus durant celle-ci ;
• Les facilitateurs et collègues de travail : Personnes physiques qui aident le lanceur d'alerte ou qui lui sont liées (proches, membres de la famille, collègues de travail).

Il est donc strictement interdit de réserver l'accès au canal de signalement aux seuls salariés titulaires d'un compte sur le réseau intranet de l'entreprise. Le canal doit être accessible de l'extérieur (via une page web chiffrée et sécurisée) pour permettre aux candidats évincés, anciens collaborateurs et sous-traitants de déposer un signalement sans entrave.

Consultation et codécision avec la Délégation du Personnel (Code du travail)

Au Luxembourg, l'employeur ne peut en aucun cas instaurer un canal de signalement interne par simple décision unilatérale de la direction. Le Code du travail impose des formalités substantielles auprès de la Délégation du personnel (obligatoire dans toute entreprise occupant au moins 15 salariés) :

Droit d'information et de consultation préalable (art. L. 414-3)

La délégation du personnel doit être préalablement informée et consultée sur les modalités pratiques d'instauration du canal de signalement, la désignation des personnes responsables de la réception des alertes, les critères d'admissibilité des signalements et la charte de confidentialité applicable.

Régime de la codécision pour les dispositifs de surveillance (art. L. 414-9)

Si la mise en place du canal de signalement implique le traitement de données personnelles hautement sensibles ou l'intégration d'outils techniques susceptibles de contrôler l'activité des salariés (ce qui est souvent le cas des logiciels de gestion des alertes analysant les accès réseau), l'employeur doit obtenir l'accord formel de la délégation du personnel au titre de la codécision.

En cas de désaccord persistant entre la direction et la délégation du personnel, le litige doit être porté devant l'Office national de conciliation (ONC) avant toute mise en œuvre. L'ignorance de cette prérogative syndicale vicie la procédure et expose l'employeur à des poursuites devant le tribunal du travail.

Les sanctions administratives et pénales en cas de non-conformité (art. 26 et 28)

Le dispositif répressif de la loi luxembourgeoise du 16 mai 2023 se distingue par une sévérité exemplaire :

Amendes administratives jusqu'à 250.000 € (art. 26)

L'article 26 de la loi investit les autorités compétentes (notamment l'Inspection du Travail et des Mines, ITM, la CSSF, le CAA, le Conseil de la concurrence et l'Office des signalements) du pouvoir d'infliger des amendes administratives d'un montant compris entre 1.500 € et 250.000 € à l'encontre des entités juridiques qui :

• N'ont pas établi de canal de signalement interne alors qu'elles y étaient tenues ;
• Ont entravé ou tenté d'entraver le dépôt d'un signalement ;
• Ont exercé des représailles directes ou indirectes contre un lanceur d'alerte, un facilitateur ou un proche ;
• Ont violé l'obligation de confidentialité sur l'identité du lanceur d'alerte ou de la personne visée ;
• N'ont pas assuré le suivi diligent d'un signalement dans les délais impartis.

En cas de récidive dans un délai de cinq ans à compter d'une sanction définitive, le montant maximal de l'amende peut être doublé, atteignant ainsi 500.000 euros !

Sanctions pénales contre les dénonciations calomnieuses (art. 28)

Pour prévenir les dérives et les règlements de comptes malveillants, l'article 28 de la loi punit quiconque effectue sciemment un signalement mensonger d'une peine d'emprisonnement de huit jours à trois mois et d'une amende de 1.500 € à 50.000 €, sans préjudice des dommages-intérêts pour atteinte à l'honneur et à la réputation devant les juridictions civiles (art. 1382 du Code civil).

Matrice décisionnelle : Votre entité est-elle assujettie au Luxembourg ?

Pour permettre aux dirigeants d'entreprises, directeurs juridiques et Compliance Officers au Luxembourg de statuer immédiatement sur leur statut, voici la grille d'évaluation officielle :

Les bénéfices stratégiques d'un canal conforme pour les entreprises luxembourgeoises

Loin de constituer une contrainte bureaucratique stérile, la mise en place d'un canal de signalement professionnel représente un levier majeur de préservation de la valeur d'entreprise au Luxembourg :

• Désamorçage précoce des risques financiers et fiscaux : Détecter en interne des schémas d'évasion fiscale agressive, de fraude à la TVA intracommunautaire ou de corruption commerciale avant que l'administration fiscale ou le Parquet financier ne s'en saisissent ;
• Rétention de l'information stratégique en interne : Un salarié qui dispose d'un canal fiable, réactif et anonyme ne ressentira pas le besoin de s'adresser à l'Office des signalements, à l'Inspection du Travail ou à la presse internationale (LuxLeaks, Panama Papers) ;
• Attractivité des talents et notation ESG : Dans un marché du travail luxembourgeois hautement concurrentiel, les candidats et les investisseurs institutionnels privilégient les entreprises dotées des standards éthiques les plus exigeants (certification ISO 37002) ;
• Immunité contre les amendes de l'ITM et de la CSSF : La conformité documentée protège les administrateurs contre les sanctions pécuniaires et la mise en jeu de leur responsabilité civile ou pénale.

Pourquoi les boîtes e-mail génériques et courriers physiques sont à proscrire ?

Certains employeurs tentent d'économiser sur leur dispositif en mettant à disposition une boîte e-mail du type compliance@entreprise.lu ou une urne postale dans le hall d'accueil. Au regard de la loi du 16 mai 2023 et des exigences de la CNPD, ces bricolages constituent une faute lourde :

• Absence de confidentialité technique (art. 7 par. 1 lit. a) : Les administrateurs de la messagerie interne (équipe informatique IT) peuvent accéder aux e-mails, consulter les métadonnées de connexion et tracer l'adresse IP de l'expéditeur, ce qui enfreint la confidentialité obligatoire ;
• Vulnérabilité face aux caméras de vidéosurveillance : Une boîte aux lettres physique sous surveillance CCTV permet d'identifier immédiatement le déposant, détruisant tout anonymat ;
• Impossibilité de dialoguer de façon anonyme et chiffrée : Sans plateforme cryptographique, l'enquêteur ne peut pas poser de questions complémentaires au lanceur d'alerte sans lui demander son identité ;
• Défaut de traçabilité des délais légaux (Audit Trail) : Une boîte mail ne permet pas de prouver de manière irréfutable devant l'ITM que l'accusé de réception a été envoyé en 7 jours et le rapport en 3 mois.

La solution UNOVOX : La plateforme souveraine adaptée au droit luxembourgeois

La plateforme logicielle UNOVOX a été conçue pour offrir aux entreprises luxembourgeoises une réponse clé en main, souveraine et 100 % conforme aux exigences de la loi du 16 mai 2023 :

• Chiffrement de bout en bout AES-256 et Architecture Zero-Knowledge : Seul le destinataire autorisé détient les clés de déchiffrement. Même les ingénieurs hébergeurs d'UNOVOX ne peuvent pas lire les alertes ;
• Boîte aux lettres virtuelle anonyme bidirectionnelle : Le lanceur d'alerte reçoit une clé d'accès unique à 16 caractères lui permettant de communiquer avec le Compliance Officer et de transmettre des pièces jointes délestées de leurs métadonnées EXIF ;
• Trilinguisme officiel complet : Interface utilisateur et portails de signalement entièrement traduits et opérationnels en français, allemand, luxembourgeois et anglais ;
• Horodatage certifié eIDAS et Registre numérique : Gestion automatique des échéances légales de 7 jours et 3 mois, avec un journal d'audit infalsifiable recevable devant les juridictions du travail luxembourgeoises ;
• Hébergement exclusif au sein de l'Union européenne : Données hébergées dans des centres de données certifiés ISO/IEC 27001 au Luxembourg et dans l'UE, garantissant l'immunité contre le Cloud Act américain.