Le scandale d’Enron a marqué la vie des affaires et a conduit les différents acteurs à replacer la réflexion éthique au cœur de l’entreprise ; Ces débats se sont traduits aux Etats-Unis à travers la loi Sarbanes-Oxley (loi SOX) du 31 juillet 2002.

L’article 301-4 de cette loi oblige toutes les sociétés américaines et étrangères cotées à la bourse de New-York à mettre en place un système de procédure d’alerte, ou whistleblowing ; ceci permet ainsi aux salariés d’effectuer de façon confidentielle et anonyme des remontées d’informations concernant les fraudes ou les malversations en matière comptable ou financière dont ils auraient connaissance.

Le droit français ne connait aucune loi équivalente.

Toutefois, le législateur a adopté différents textes permettant de donner l’alerte en cas de préoccupation économique au sein d’une entreprise.

Par exemple, le droit pénal incrimine le fait de ne pas empêcher la commission d’un crime ou d’un délit (article 223-6 du code pénal). Ou encore, le droit des sociétés impose aux grands groupes de mettre en place des procédures de contrôle interne (articles L225-37 et L225-68 du code de commerce).

Mais, c’est surtout le code de travail qui règlemente le droit d’alerte économique. En effet, l’article L2323-78 permet au Comité d’entreprise de demander à l’employeur de lui fournir des informations, en cas de faits de nature à affecter de manière préoccupante la situation économique de l’entreprise.

Puis le 13 novembre 2007, le législateur a adopté une loi n° 2007-1598 relative à la lutte contre la corruption qui protège les salariés dénonçant de tels faits.

En marge de ces dispositions et pour répondre aux obligations de la loi SOX, des entreprises en France mettent en place des codes ou chartes éthiques fixant aux salariés des règles de conduites à respecter dans l’exercice de leur activité professionnelle, voire des procédures d’alertes professionnelles leur permettant de constater des manquements à ces codes.

Cependant, ces dispositifs posent, en droit français, un certain nombre de difficultés juridiques au regard des droits et libertés fondamentaux des salariés.

1) L’évolution progressive de la position de la CNIL

Qualifiés de « systèmes organisés de délation professionnelle », la Commission nationale de l’informatique et des libertés (CNIL) avait posé une réserve de principe, s’inscrivant dans un objectif de protection des travailleurs.

En effet, elle considérait ces dispositifs comme « disproportionnés au regard des objectifs poursuivis et des risques de dénonciation calomnieuse ». Cependant en raison des incohérences avec la loi SOX, elle a dû admettre sous certaines conditions, la conformité des alertes professionnelles.

Il en résulte un document d’orientation du 10 novembre 2005 conforme aux dispositions de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans lequel, elle autorise des procédures d’alertes « dès lors que les droits des personnes mises en cause directement ou indirectement dans une alerte sont garantis au regard des règles relatives à la protection des données personnelles ».

Ces conditions sont reprises dans la délibération n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositif d’alerte.

A cet égard, la CNIL considère qu’une procédure d’alerte ne doit pas porter atteinte aux droit et libertés des travailleurs ; pour cela elle doit :

 Avoir un champ restreint ;
 Dissuader les dénonciations anonymes ;
 Avoir une organisation spécifique pour traiter des alertes ;
 Informer la personne concernée dès que les preuves ont été préservées.

L’article 1er de la délibération de la CNIL limite l’alerte professionnelle aux domaines financier, comptable, bancaire et de lutte contre la corruption.

Pour ces domaines, la CNIL a également mis en place un régime simplifié de déclaration pour les entreprises désireuses d’instaurer un système d’alerte professionnelle. Ce régime dispense l’employeur de solliciter une autorisation préalable à la mise en place du dispositif d’alerte.

Toutefois, dans son article 3, elle autorise une extension aux manquements se rapportant à « l’intérêt vital de l’organisme ou l’intégrité physique ou morale de ses employés ». A ce titre, la CNIL donne une série de situations pouvant rentrer dans ce champ comme « la mise en danger d’un autre employé, harcèlement moral, sexuel, discriminations….divulgation d’un secret de fabrique, risque pour la sécurité informatique de l’entreprise... ».

Le champ des alertes professionnelles est ainsi très large et à la limite des droits et libertés des salariés, un contrôle par le juge est donc nécessaire.

2) Appréciation par le Juge de la légalité des procédures d’alerte

Bien qu’il n’existe aucune disposition spécifique prévue par le code du travail encadrant ces procédures d’alerte, le Juge Judiciaire peut néanmoins vérifier leur conformité au regard de la violation des droits et libertés des travailleurs dans l’entreprise et particulièrement au regard de l’article L.1121-1 du code du travail sur le contrôle de justification et de proportionnalité ; « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».

La CNIL n’est pas compétente pour se prononcer sur la régularité du dispositif d’alerte au regard du droit du travail. Or, ce contrôle est nécessaire même si le dispositif est à priori conforme à la délibération de 2005.

En effet, même l’autorisation de conformité donnée, le dispositif peut être attentatoire aux droits et libertés, du fait notamment, de son champ étendu par l’article 3.

Ainsi, la mise en place d’un tel dispositif peut entraîner des problèmes relatifs à la législation du travail et aux conditions nécessaires pour respecter les exigences protectrices des droits et libertés des travailleurs.

A cet égard, Madame Françoise de BRY parle de « Salariés, héros ou délateurs ? » ou bien encore, l’Avocat Général Bernard ALDIGE dans l’affaire DASSAULT, souligne que des entreprises ont pu être tentées d’en faire « un service de renseignements généraux ». En effet, ce périmètre élargi du dispositif d’alerte peut être plus sujet à de la simple délation entre salariés d’une même entreprise et donc attentatoire à la vie privée.

3) L’arrêt DASSAULT du 8 décembre 2009

Pour se conformer à la loi SOX, la Société DASSAULT a élaboré un code de conduite des affaires, destiné à promouvoir les orientations fondamentales de l’entreprise relevant de sa responsabilité sociale, à préciser diverses règles en matière de conflit d’intérêts et de délit d’initiés, à fixer les règles applicables à la diffusion des informations de l’entreprise et à instaurer un dispositif d’alerte professionnelle.

Saisie par la Fédération des travailleurs de la Métallurgie, la Cour de Cassation a dû se prononcer, dans un arrêt du 8 décembre 2009, (n° 08-17191) sur la légalité de cette procédure.

La Cour de Cassation a censuré les juges du fond.

Cette dernière énonce que la Cour d’appel a violé les articles 1 et 3 de la délibération de la CNIL et l’article 25 de la loi du 6 janvier 1978 modifiée, en retenant que ce dispositif est conforme au régime simplifié d’autorisation unique défini par la CNIL. Or « un dispositif d’alerte professionnelle faisant l’objet d’un engagement de conformité à l’autorisation unique ne peut avoir une autre finalité que celle définie à son article 1 que les dispositions de l’article 3 n’ont pas pour objet de modifier ».

De plus, la Cour d’appel n’a pas recherché si le code de conduite mettait en œuvre les garanties relatives à l’information des personnes concernées et à leur droit d’accès et de rectification des données. Or, la Cour de Cassation retient que « les mesures d’information prévues par la loi du 6 janvier 1978, reprises par la décision d’autorisation unique de cette commission pour assurer la protection des droits des personnes concernées doivent être énoncées dans l’acte instituant la procédure d’alerte ».

La société doit donc soumettre son dispositif d’alerte à l’autorisation de la CNIL, ou en réduire le champ d’application, et prévoir des mesures d’information obligatoires.

L’enjeu du droit du travail est par conséquent, de permettre la mise en place par les entreprises françaises de systèmes d’alerte professionnelle, tout en garantissant aux salariés le respect de leurs droits et liberté fondamentaux.

Frédéric CHHUM – Avocat
A.M. Bourcier - Juriste
www.chhum-avocats.com
chhum chez chhum-avocats.com