Le lancement d’alerte : les obligations de l’employeur.

I) Le renforcement du droit d’alerte.

Le décret d’application de la loi Sapin II n° 2017-564 du 19 avril 2017, entré en vigueur le 1er janvier 2018, impose aux entreprises de plus de 50 salariés de mettre en place une procédure de recueil des alertes professionnelles.

La loi Sapin II (loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique) octroie au lanceur d’alerte un régime protecteur : stricte confidentialité de son identité, interdiction de mesures de représailles dans l’entreprise et irresponsabilité pénale en cas d’atteinte à un secret protégé par la loi.

La loi Sapin II a consacré une définition du lanceur d’alerte. Il se définit comme

« une personne physique qui révèle ou signale, de manière désintéressée et de bonne foi, un crime ou un délit, une violation grave et manifeste d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l’intérêt général, dont elle a eu personnellement connaissance ».

Le champ d’application a été élargi. Là où par exemple le code du travail prévoyait un droit d’alerte notamment en matière de harcèlement, de discrimination ou de corruption, désormais le droit d’alerte est élargi à tout salarié (mais aussi tout collaborateur occasionnel ou extérieur) qui dénonce un délit ou un crime, une violation grave et manifeste d’un engagement pris par la France ou toute menace ou tout préjudice pour l’intérêt général.

Précision : l’employeur doit, préalablement à la mise en œuvre du système de recueil des alertes professionnelles, consulter et informer le comité social et économique (CSE) et procéder à l’information individuelle des salariés.

II) La conformité à la réglementation de protection des données personnelles.

Un tel dispositif nécessite le traitement de données personnelles susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, dès lors que l’alerte professionnelle peut entraîner des sanctions pénales.

Dans ces conditions, la mise en place du dispositif de recueil des alertes professionnelles implique le respect par l’employeur du règlement européen général de protection des données du 27 avril 2016 (RGPD) entré en vigueur le 25 mai 2018.

La mise en conformité au RGPD entraîne, s’agissant spécifiquement de la mise en place du dispositif de recueil des alertes et signalements en matière professionnelle, et, depuis la délibération de la commission nationale de l’informatique et des libertés (CNIL) du 18 juillet 2019, la réalisation obligatoire d’une analyse d’impact sur la protection des données (AIPD).

L’AIPD doit être réalisée avant la mise en place du dispositif. Elle contient :
 La description des opérations et des finalités du traitement des données ;
 Les garanties offertes par l’employeur aux personnes concernées sur leurs droits et libertés ;
 Les mesures envisagées pour assurer la sécurité de ces données.

La CNIL fournit dans sa délibération du 18 juillet 2019 un référentiel avec des outils pratiques pour effectuer cette analyse. Si l’analyse révèle que le dispositif présente un risque d’impact élevé sur la protection des données, alors l’employeur doit consulter la CNIL préalablement à sa mise en œuvre.

III) Les sanctions.

Sans préjudice des éventuelles sanctions civiles et pénales applicables à l’atteinte des droits des personnes concernées, la CNIL a la faculté de sanctionner l’inobservation des dispositions sur l’AIPD par des amendes pouvant atteindre 10 000 000 d’euros ou, dans le cas d’une entreprise, jusqu’à 2% du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

La loi Sapin II n’édicte pas de sanction directe en cas d’absence de mise en place de la procédure de recueil des alertes professionnelles mais elle prévoit dans son article 13 une peine d’un an de prison et de 15 000 euros d’amende pour toute personne faisant obstacle « de quelque façon que ce soit » à la transmission d’un signalement en interne à l’entreprise ou à une autorité.

Préalablement à l’entrée en vigueur de la loi Sapin II, la Cour d’appel de Paris avait condamné un employeur n’ayant pas mis en place un dispositif d’alerte en matière de harcèlement sur le fondement de son obligation de sécurité envers ses salariés (CA Paris, 5 novembre 2015, n°15/04024).

Il est vraisemblable qu’une telle violation puisse également être caractérisée en cas d’absence de mise en place de la procédure de recueil des alertes professionnelles prévue dans le décret d’application de la loi Sapin II n° 2017-564 du 19 avril 2017.

Hugues de Poncins, avocat associé du cabinet Menlo Avocats Clara Di Pietro, juriste