Le 23 Avril 2018, la Commission Européenne, qui a l’initiative législative, présentait une proposition de directive sur la protection des personnes qui signalent des violations du droit de l’Union. Le 20 Novembre, la Commission juridique du Parlement Européen adoptait le texte amendé de la rapporteure Virginie Rozière. Le 25 Janvier 2019, le Coreper (pour le Conseil de l’Union Européenne) arrêtait à son tour un texte, en retrait de celui du Parlement, et le 29 janvier 2019, il entamait ses négociations avec le Parlement. Dans la nuit du 11 au 12 Mars 2019, notamment grâce à l’intervention de la société civile et d’une coalition de 80 ONG, les trois institutions européennes (Commission, Parlement, Conseil) s’accordaient sur un texte de compromis répondant à la majeure partie des recommandations des ONG (dont WIN et Transparency International). Ce texte du trilogue était adopté pat le Parlement le 16 Avril 2019, et, après relecture juridico-linguistique, formellement voté le 17 Septembre par le Parlement et le 7 Octobre 2019 par le Conseil.

La directive entre en vigueur le vingtième jour suivant sa publication au Journal Officiel de l’Union européenne.

Le point principal de blocage, à savoir une procédure de signalement graduée à trois paliers, à laquelle la France était attachée (avec l’Allemagne, l’Italie et le Portugal puis la Hongrie, l’Autriche et la Suède), a finalement été levé. Le texte adopte une procédure de signalement graduée à deux paliers :

1/ voie interne ou externe [autorités compétentes],

2/ divulgation publique) et élargit la possibilité de divulgation publique au-delà de la procédure d’urgence.

Cette souplesse des paliers, conforme à la recommandation de la coordination des ONG (pour la loi Sapin 2 comme pour la directive), pourra permettre lors de la transposition de la directive, une clarification et un amendement du dispositif français – dans le cadre du champ matériel restreint de la directive (les « violations du droit de l’Union »), ou du champ matériel étendu à la définition française (loi Sapin 2, incluant « menace ou préjudice graves pour l’intérêt général »).

Avec la suppression de la sanction pour « signalements malveillants ou abusifs », à laquelle se substitue une sanction pour signalement ou divulgation « sciemment » mensongers (art. 23.2), disparaissent ainsi deux failles préoccupantes présentes dans le texte de la Commission.

Demeure cependant le caractère restreint du champ matériel de la définition, excluant en sus« emploi, conditions de travail, droits des travailleurs, principe d’égalité des chances et du traitement hommes/femmes au travail ». (L’amendement afférent du Parlement, en vertu des articles 153 et 157 du TFUE [1], n’a malheureusement pas été adopté)

A noter par ailleurs que le champ personnel est doublement limité à la personne physique, et au « contexte professionnel » (au sens large).

Enfin si le principe de la réparation intégrale des dommages, exclu des arbitrages politiques mais adopté par la Commission juridique du Parlement le 20 novembre 2018, semblait acquis, son effectivité est paradoxalement brouillée par la précision concomitante « conformément à la législation nationale » – laquelle législation est comme on le sait variable en termes de réparation. Intégrale (et sans plafond) en cas de licenciement suite à une alerte au Royaume Uni ou en France [sous réserve de l’application des ordonnances travail], elle peut être, sinon, limitée de 6 mois à 5 ans, selon le droit procédural national. Cette ambigüité pourra être levée dans le cadre des transpositions par les États membres.

 

I – CHAMP MATERIEL

En vertu du principe de subsidiarité, le champ matériel [2] demeure restreint (article 2) :

« aux violations du droit » (breach of law) : actes ou omissions « illicites » et ayant trait au droit de l’Union,ou « qui vont à l’encontre de l’objet ou de la finalité » des règles du droit de l’Union (voir définitions, article 5)

a/ dans le champ défini par l’Annexe (Part I et II) et les 10 domaines suivants : marchés publics ; services, produits et marchés financiers et prévention du blanchiment de capitaux et du financement du terrorisme ; sécurité et conformité des produits ; sécurité des transports ; protection de l’environnement ; radioprotection et sûreté nucléaire ; sécurité des aliments destinés à l’alimentation humaine et animale, santé et bien-être des animaux ; santé publique ; protection des consommateurs ; protection de la vie privée et des données à caractère personnel, et sécurité des réseaux et des systèmes d’information.

b/ ou portant atteinte aux intérêts financiers de l’Union (article 325 du TFUE)

c/ ou relatives au marché intérieur (article 26(2) du TFUE), y compris en matière de concurrence et d’aides d’État, ou en matière d’impôts sur les sociétés ou de dispositifs visant à obtenir un avantage fiscal

Les États membres peuvent étendre le champ matériel de cette protection en vertu de leur législation nationale (article 2.2) ; la Commission dans son rapport d’impact en 2025 examinera l’extension de ce champ, notamment aux droits des travailleurs (article 27.3).

Lors la transposition par la France, TI France et les ONG devront être particulièrement vigilants quant à la traduction de « breach of law »,manquements, infractions à ou violations du droit ou de la loi, soit la synthèse d’activités illicites et d’abus du droit. A noter qu’en droit français par ex la définition de « l’abus de droit », récemment modifiée par la loi de finances 2019 [3], pourrait inclure l’optimisation fiscale agressive.

Exclusions du champ de la directive (article 3) :

Lorsque des règles spécifiques concernant les violations sont prévues dans les actes sectoriels de l’Union (Annexe, partie II), ces règles s’appliquent.

La directive n’affecte pas « la responsabilité qu’ont les États membres d’assurer la sécurité nationale ».

Sont exclus du champ de la directive (5 dérogations] : l’information classifiée (et plus largement « la sécurité nationale »), le secret médical et le secret de la relation client-avocat, le secret des délibérations judiciaires et des règles de procédure pénale.

La directive n’affecte pas le cadre législatif national relatif aux droits des travailleursde consulter leurs représentants ou les syndicats, ou relatif à l’autonomie des partenaires sociaux et leurs droits de conclure des conventions collectives.

A noter que la loi Sapin 2 ne retenait que 3 dérogations : le secret de la défense nationale (plus restreint), le secret médical et le secret de la relation client-avocat.

 

II – CHAMP PERSONNEL

1/ Un large champ d’application personnel [4], qui s’applique aux personnes physiques et aux secteurs public et privé– dans un contexte professionnel , passé, présent ou futur : incluant anciens salariés ou candidats, travailleurs indépendants, bénévoles, stagiaires, administrateurs ou actionnaires mais aussi contractants, sous-traitants et fournisseurs.

Par ailleurs, les mesures de protection peuvent être étendues si nécessaire : au facilitateur (toute personne physique aidant l’auteur du signalement « dans un contexte professionnel et dont l’aide devrait être confidentielle »), aux tierces parties (collègues ou proches en risque de représailles dans un contexte professionnel) et personnes morales (en lien dans un contexte professionnel).

Le champ personnel exclut donc la personne morale en tant que lanceur d’alerte, mais la protection peut être étendue à la personne morale (appartenant à l’auteur de signalement, pour laquelle il travaille ou avec laquelle il est de quelque manière que ce soit en relation dans un contexte professionnel).

2/ La protection est conditionnée par deux critères préalables (article 6) : la bonne foi (la croyance raisonnable que l’information est vraie au moment de l’énoncé et qu’elle entre dans le champ de la définition) et le respect de la procédure de signalement.

3/ Anonymat. Hors les obligations inscrites dans le droit de l’Union, la recevabilité ou non des rapports anonymes est du ressort des États membres. Cependant les informateurs anonymes, dont l’identité se voit ultérieurement dévoilée, bénéficient de la protection accordée par la directive.

 

III – PROCEDURE DE SIGNALEMENT

1/ Le signalement internedoit être encouragé par les États membres.

Des dispositifs d’alerte internes sécurisés sont obligatoires pour les secteurs public et privé (art.8 et 9) :

• pour toute entité publique (ou détenue ou contrôlée par une entité publique)
• pour toute entreprise d’au moins 50 salariés
• au choix des États membres, pour toute entreprise de moins de 50 salariés selon la nature de leurs activités et des risques induits, notamment pour l’environnement et la santé publique

avec obligation d’un référent « impartial et compétent » (interne ou externe), obligation d’une stricte confidentialité, obligation d’un accusé de réception sous 7 jours et d’un retour diligent au lanceur d’alerte (dans un délai raisonnable qui ne peut excéder 3 mois suivant l’accusé de réception).

Les États membres peuvent exempter de cette obligation les municipalités de moins de 10 000 habitants, et toute entité de moins de 50 employés.

Les municipalités peuvent mutualiser leurs dispositifs. Les entreprises de 50 à 249 employés peuvent mutualiser leurs dispositifs.

Les dispositifs doivent pouvoir recueillir des signalements oraux ou écrits (ou les deux), être accessibles aux employés et collaborateurs ou salariés externes (dans un contexte professionnel), et fournir toute information sur les autorités compétentes nationales ou européennes légalement aptes à recueillir un signalement externe.

2/ Le signalement externe (autorités compétentes nationales ou de l’Union) est autorisé, soit à l’issue d’un signalement interne vain, soit directement.

Les États membres doivent (articles II, 12, 13, 14) désigner les autorités compétentes pour le recueil et traitement des signalements, les doter des ressources nécessaires et s’assurer que ces autorités mettent en place des dispositifs d’alerte indépendants, autonomes et sécurisés (pour des signalements oraux et écrits), avec obligation de stricte confidentialité, obligation d’un accusé réception sous 7 jours, de traitement diligent du dossier et de retour au lanceur d’alerte dans un délai raisonnable qui ne peut excéder 3 mois (ou 6 mois en des cas « dûment justifiés »). Les équipes doivent être formées.

Les États membres peuvent prévoir qu’après examen attentif, les autorités puissent décider qu’un signalement est « clairement mineur » et ne demande aucun suivi – sans préjudice du traitement de ce signalement dans le cadre normal du droit national et sans préjudice de la protection accordée par la directive. Auquel cas cette décision motivée est notifiée à l’informateur.

Ils peuvent prévoir de même que des signalements répétitifs et sans éléments nouveaux (légaux ou factuels) sur des dossiers déjà classés ne nécessitent pas de suivi. Ils peuvent également prévoir une priorisation du traitement des dossiers en fonction de leur gravité et urgence, sans préjudice du temps légal de retour dû au lanceur d’alerte. Enfin ils doivent s’assurer que tout signalement reçu par une autorité dénuée de cette compétence est transmis avec diligence à l’autorité compétente, en en informant le lanceur d’alerte.

L’information sur ces dispositifs doit être accessible sur les sites web et mentionner notamment la définition du lanceur d’alerte et les conditions de la protection garantie, les contacts utiles, la confidentialité des identités et informations, les protections offertes dont l’irresponsabilité civile et pénale, mais aussi la possibilité d’un conseil confidentiel et d’une assistance juridique gratuite.

A noter une obligation de révision tous les 3 ans des procédures et dispositifs des autorités compétentes.

3/ La révélation publique est autorisée (article 15),si l’une des conditions suivantes est remplie :

• l’alerte interne ou externe est demeurée vaine(« aucune mesure appropriée n’a été prise en réponse au signalement ») au terme du délai susmentionné (3 mois, 3 à 6 mois) ; ou
• la personne a des motifs raisonnables de croireque :

la violation peut représenter un danger imminent ou manifeste pour l’intérêt public, telle une situation d’urgence ou « un risque de préjudice irréversible » ; ou

« en cas de signalement externe, il existe un risque de représailles ou il y a peu de chances qu’il soit véritablement remédié à la violation, en raison des circonstances particulières de l’affaire », comme lorsque des preuves peuvent être dissimulées ou détruites, ou lorsqu’une autorité peut être en collusion avec l’auteur de la violation ou impliqué dans la violation.

La directive est sans incidence sur toute information transmise à la presse en vertu de clauses spécifiques du droit national relatives à la liberté d’expression et d’information.

Enfin la directive, conformément aux recommandations des ONG, consacre un article distinct (13 bis) à la clause de stricte confidentialité de l’identité du lanceur d’alerte comme des informations relatives à son identité. La levée de cette confidentialité est clairement circonscrite.

A noter que si le seuil français de 50 employés est maintenu pour toute entreprise, l’obligation de dispositif d’alerte est étendue à toute organisation publique, mais avec une possibilité d’exemption de cette obligation par les États membres pour les communes de moins de 10 000 habitants et les organisations de moins de 50 salariés (soit le dispositif français Sapin 2).

Le texte adopte en revanche une procédure de signalement graduée à deux paliers (1/ voie interne ou externe [autorités compétentes], 2/ révélation publique) , conforme à nos recommandations, conforme à la procédure française en cas de signalement de crimes ou délits (mais avec une définition plus large que les seules infractions pénales), mais différente de la procédure Sapin 2 ordinaire à trois paliers (1/ voie interne, 2/ régulateur, 3/ révélation publique). D’une part la procédure sectorielle à deux paliers (crimes ou délits) se trouvera ainsi clairement intégrée au régime général, d’autre part à l’occasion de la transposition de la directive, cette procédure plus souple à deux paliers pourrait être étendue au régime général.

Enfin le texte élargit la possibilité de divulgation publique au-delà de la procédure d’urgence française (reformulée), puisqu’elle ajoute en cas d’alerte externe les deux dérogations britanniques ou irlandaises (risque de représailles ou risque de dissimulation ou de destruction de preuves) et la dérogation française portée par la coordination des ONG alerte, puis reprise par l’AFA, de compromission d’une autorité avec l’auteur du délit.

A noter également que pour le canal de signalement interne (palier 1), si la législation française ne précise pas le « délai raisonnable » à l’issue duquel l’employé peut utiliser la voie externe (palier 2), le texte de la directive retient 3 mois (délai administratif médian en Europe, proposé par la Commission). Si la législation française prévoit un délai de 3 mois pour la réponse des autorités avant révélation publique (palier 3), le texte de la directive le fixe à 3 mois ou 6 mois « en des cas dûment justifiés ».Avec la différence majeure qu’ici le lanceur d’alerte peut directement et indifféremment choisir la voie interne ou externe.

 

IV – MESURES DE PROTECTION contre les REPRESAILLES

Interdiction de toutes représailles (article 19), y compris menaces et tentatives, directes ou indirectes.

Obligation d’accès(article 20) à une information et un conseil indépendants et gratuits, à une assistance effective des autorités, à une aide légale en cas de procédures pénales ou civiles transfrontières conformément aux directive (UE) 2016/2019 et (EU) 2008/52/CE et, conformément au droit national, en cas d’autres procédures. Possibilité de soutien financier ou psychologique.

Obligation de prendre toutes mesures de protection contre les représailles (article 21) :

• Irresponsabilité pénale, civile, administrative. La directive prévoit une irresponsabilité (« aucune responsabilité d’aucune sorte ») en cas de rupture de toute restriction à divulgation ou de tout secret protégé (y compris le secret des affaires),sous réserve que le lanceur d’alerte ait eu des motifs raisonnables de croire que la divulgation de cette information était nécessaire à la révélation d’une violation dans le champ de la directive.

Attention : une même irresponsabilité est prévue pour l’obtention ou l’accès à cette information « à condition que cette obtention ou cet accès ne constitue pas une infraction pénale autonome ».

• Renversement de la charge de la preuve. Dès lors que le lanceur d’alerte présente des éléments de fait indiquant qu’il a lancé une alerte et subi des représailles, il est présumé que les représailles sont la conséquence du signalement ou de la révélation.
• Référé conservatoire d’emploi
• Réparation intégrale des dommages subis par le lanceur d’alerte, « conformément au droit national ».
• Interdiction de toute renonciation aux droits et recours ou de leur limitation, y compris via une convention d’arbitrage(article 24)

La directive est plus protectrice que la législation française en matière notamment d’information, de soutien et d’assistance légale et d’irresponsabilité. À la différence de la législation française, l’irresponsabilité pénale n’est par ailleurs pas conditionnée par le principe de proportionnalité, mais par la bonne foi (la croyance raisonnable de la nécessité de la divulgation).

Conformément aux recommandations des ONG, le principe du renversement de la charge de la preuve a été reformulé. (Contrairement aux standards internationaux, le motif de causalité des représailles était précédemment à la charge du lanceur d’alerte, il est désormais à la charge de l’auteur des représailles).

Comme déjà indiqué supra, le paradoxe de la double affirmation de la réparation intégrale des dommages et de sa restriction dans le cadre national, dû à l’intangibilité du droit procédural national, devra être levé par chaque État membre lors de la transposition.

 

V – SANCTIONS

1/ La directive prévoit l’obligation de sanctions effectives, proportionnées et disuasives pour les personnes physiques ou morales :

• en cas d’entrave ou tentative d’entrave au signalement ;
• pour mesures de représailles contre les auteurs de signalement (et contre les facilitateurs, tierces parties ou personnes morales en lien dans le contexte professionnel) ;
• pour procédures abusives (procès-baillons) envers les mêmes personnes ;
• pour rupture de confidentialité de l’identité ou des informations relatives à l’identité du lanceur d’alerte

2/ La directive prévoit l’obligation de sanctions effectives, proportionnées et dissuasives pour les personnes qui auraient sciemment « signalé ou divulgué publiquement de fausses informations », et des dommages et intérêts afférents conformément au droit national.

Le texte (article 17) prévoit donc une sanction nouvelle vis-à-vis de la législation française (en cas de représailles) mais non des sanctions pour toutes les obligations prescrites par la directive comme les ONG le demandaient, ou tout au moins des sanctions pour absence de dispositifs internes, non traitement de l’alerte et pour non information du lanceur d’alerte.

 Comme déjà mentionné, nous saluons la suppression des sanctions contre les signalements « abusifs ou malveillants », qui créait une confusion dommageable de l’alerte éthique (intérêt général) avec la dénonciation calomnieuse ou la diffamation, alors que de telles législations existent déjà en droit européen et au plan national.

 

VI – TRAITEMENT plus FAVORABLE et CLAUSE de NON REGRESSION

Conformément aux préconisations des ONG et syndicats, l’article 25 prévoit, outre la possibilité offerte à tout État membre d’adopter des dispositions plus favorables que celles prévues par la directive, une clause de non régression, ainsi rédigée :

« La mise en œuvre de cette directive ne peut, en aucun cas, constituer un motif pour réduire le niveau de protection déjà offert par les États membres dans les domaines régis par la présente directive ».