TITRE II
PROCÉDURES DE SIGNALEMENT
Article 3
Procédures de signalement
et conditions de divulgation
publique
L'article 3 de la proposition de loi détermine les règles d'ordre procédural qu'un lanceur d'alerte doit respecter pour bénéficier des mesures de protection prévues par le régime. Il traite de la procédure interne de signalement, ouverte aux personnes ayant obtenu des informations dans un contexte professionnel, de la procédure de signalement auprès d'une autorité externe et des conditions auxquelles les informations peuvent être divulguées publiquement.
La commission des lois a adopté cet article dans une rédaction sensiblement modifiée, afin notamment de préciser les règles applicables aux groupes de sociétés, aux collectivités territoriales et à leurs groupements ; de mieux articuler les phases de signalement externe et de divulgation publique ; et de fixer des conditions plus rigoureuses pour que les informations concernées puissent être divulguées publiquement sans signalement externe préalable.
1. L'état du droit : des différences sensibles entre la loi française et la directive européenne dans la définition des procédures à suivre par les lanceurs d'alerte
Comme il a été rappelé précédemment, le régime général de protection des lanceurs d'alerte institué par la loi « Sapin 2 » impose à ces derniers de respecter certaines règles d'ordre procédural pour bénéficier des mesures de protection qu'il prévoit .
En principe, le signalement doit d'abord être porté à la connaissance du supérieur hiérarchique, direct ou indirect, de l'employeur ou d'un référent désigné par celui-ci, des procédures spéciales de recueil des signalements émis par les membres de leur personnel ou par des collaborateurs extérieurs et occasionnels devant être établies par les personnes morales de droit public ou de droit privé d'au moins cinquante salariés, les administrations de l'État, les communes de plus de 10 000 habitants ainsi que les établissements publics de coopération intercommunale (EPCI) à fiscalité propre dont elles sont membres, les départements et les régions, dans des conditions précisées par voie réglementaire. En l'absence de diligences de la personne destinataire de l'alerte « interne » dans un délai raisonnable, le signalement peut être adressé à l'autorité judiciaire, à « l'autorité administrative » ou aux ordres professionnels. Ce n'est qu'« en dernier ressort », et à défaut de traitement du signalement dans un délai de trois mois par l'autorité judiciaire, l'autorité administrative ou l'ordre professionnel concerné, que le signalement peut être rendu public.
Cette procédure à trois étapes connaît néanmoins une exception : un signalement peut être directement adressé à l'autorité judiciaire ou administrative ou à l'ordre professionnel concerné, ou même directement rendu public, « en cas de danger grave et imminent ou en présence d'un risque de dommages irréversibles » .
Le modèle retenu par la directive est différent, puisque celle-ci impose aux États membres (en ce qui concerne les alertes entrant dans son champ d'application matériel) d'autoriser les lanceurs d'alerte à adresser directement leur signalement à une autorité externe, sans saisir préalablement le canal interne de signalement . Dans certains cas, en effet, comme l'exposent les considérants de la directive, « on ne peut raisonnablement pas s'attendre à ce que les canaux internes fonctionnent correctement. C'est particulièrement le cas lorsque les auteurs de signalement ont des raisons valables de croire qu'ils subiraient des représailles liées au signalement, notamment en raison d'une violation de la confidentialité, ou que des autorités compétentes seraient plus à même de prendre des mesures efficaces pour remédier à la violation, (...) par exemple lorsque le titulaire ultime de la responsabilité dans le contexte professionnel est impliqué dans la violation, ou qu'il existe un risque que la violation ou les éléments de preuve y afférents puissent être dissimulés ou détruits ; ou, plus généralement, l'efficacité des mesures d'enquête prises par les autorités compétentes risquerait autrement d'être compromise, (...) ou la violation appelle des mesures urgentes ».
En outre, les conditions dans lesquelles les informations pourraient être divulguées publiquement par le lanceur d'alerte, selon la directive, diffèrent assez sensiblement de ce que prévoit aujourd'hui le droit français 40 ( * ) .
2. La proposition de loi : un alignement sur les règles prévues par la directive
L'article 3 de la proposition de loi tend à modifier les conditions dans lesquelles les lanceurs d'alerte entrant dans le (vaste) champ d'application de la loi « Sapin 2 » peuvent signaler les informations dont ils disposent ou les divulguer, en s'alignant, quant au fond, sur les règles prévues par la directive. Les députés y ont apporté en première lecture, en commission puis en séance publique, de nombreuses modifications visant à en clarifier la rédaction, mais qui n'en ont pas altéré le contenu.
Un article 7-1, à caractère pédagogique, serait inséré dans la loi « Sapin 2 » pour rappeler qu'un lanceur d'alerte bénéficie des protections offertes par le régime s'il effectue un signalement interne ou externe (à son choix) dans les conditions prévues par la loi, ou encore s'il divulgue publiquement les informations concernées, à condition là encore que les conditions légales soient remplies.
L'article 8, modifié, définirait les procédures de signalement interne et externe ainsi que les conditions de divulgation des informations.
2.1. La procédure de signalement interne
Par « signalement interne », il faut entendre le fait, pour une personne qui travaille au sein d'une organisation ou qui est en lien avec elle, de communiquer des informations à une personne ou une entité intégrée à l'organisation ou contrôlée par celle-ci.
La proposition de loi (A du I de l'article 8 de la loi « Sapin 2 » modifiée) distingue deux types d'entités, soumises à des obligations de degré différent :
- les personnes morales de droit public ou de droit privé employant moins de cinquante agents ou salariés, ainsi que les communes de moins de 10 000 habitants, au sein desquelles un signalement pourrait être effectué auprès du supérieur hiérarchique direct ou indirect, de l'employeur ou d'un référent désigné par celui-ci - à moins qu'une procédure interne spéciale de recueil et de traitement des signalement ait été facultativement mise en place ;
- les personnes morales de droit public ou de droit privé employant au moins cinquante agents ou salariés, les administrations de l'État, les communes de 10 000 habitants ou plus, les départements et les régions, les établissements publics relevant de ces collectivités territoriales et les EPCI à fiscalité propre comprenant au moins une commune de plus de 10 000 habitants, où devrait obligatoirement être établie, après consultation des instances de dialogue social, une procédure de recueil et de traitement des signalements . Les « garanties d'indépendance et d'impartialité » de cette procédure et les délais du retour d'informations fait à l'auteur seraient fixés par décret en Conseil d'État, dans le respect de la directive (laquelle impose notamment un accusé de réception sous sept jours et un retour d'informations sous trois mois) 41 ( * ) .
Conformément à la directive, le seuil de cinquante agents ou salariés ne s'appliquerait pas aux entités relevant du champ d'application des actes de l'Union européenne mentionnés au B de la partie I de l'annexe de celle-ci (dans le domaine des services, produits et marchés financiers, ainsi que de la prévention du blanchiment de capitaux et du financement du terrorisme) ou à sa partie II (actes sectoriels prévoyant des règles spécifiques de signalement des violations).
Comme l'autorise également la directive, et à la différence du droit français en vigueur, les personnes morales employant moins de 250 agents ou salariés seraient autorisées à mettre en commun leur procédure de recueil et de traitement des signalements.
Le canal de signalement interne (qu'il prenne ou non la forme d'une procédure formalisée) serait accessible aux personnes ayant eu accès aux informations concernées dans le cadre de leurs activités professionnelles , à savoir :
- les membres du personnel, anciens membres du personnel et personnes ayant candidaté à un emploi au sein de l'entité concernée ;
- les actionnaires, associés et autres titulaires de droits de vote au sein de l'assemblée générale ;
- les membres de l'organe d'administration, de direction ou de surveillance ;
- les collaborateurs extérieurs ou occasionnels ;
- les membres du personnel et de l'organe d'administration, de direction ou de surveillance des « contractants, sous-traitants et fournisseurs ».
2.2. La procédure de signalement externe
Les lanceurs d'alerte pourraient également adresser un signalement dit « externe », soit après avoir effectué un signalement interne, soit directement :
- à l'autorité compétente, désignée par décret en Conseil d'État parmi les autorités administratives, les autorités publiques indépendantes (API), les autorités administratives indépendantes (AAI), les ordres professionnels et les personnes morales chargées d'une mission de service public ;
- au Défenseur des droits qui (sauf dans le cas où l'alerte serait de celles pour lesquelles il aurait lui-même été désigné comme l'autorité externe compétente) orienterait la personne concernée « vers la ou les autorités les mieux à même d'en connaître » ; comme l'explicite l'article 2 de la proposition de loi organique, il s'agirait, soit de l'une des autorités compétentes désignées par décret en Conseil d'État, soit, à défaut, de « l'autorité, l'administration ou l'organisme le mieux à même [de] connaître » du signalement 42 ( * ) ;
- à « l'autorité judiciaire » - concrètement, le procureur de la République, chargé de recevoir les plaintes et dénonciations portant sur des faits susceptibles de recevoir une qualification pénale, dans les conditions prévues par le code de procédure pénale ;
- à une institution, un organe ou un organisme de l'Union européenne compétent pour recueillir des informations sur des violations entrant dans le champ matériel d'application de la directive du 23 octobre 2019.
Les garanties d'indépendance et d'impartialité de la procédure applicable auprès des « autorités compétentes » désignées par décret en Conseil d'État, les délais du retour d'informations, les modalités de « clôture des signalements », les conditions d'évaluation de la procédure, les obligations de formation des personnes chargées du recueil et du traitement des signalements ainsi que la nature des informations que ces mêmes autorités devraient transmettre au Défenseur des droits pour l'élaboration de son rapport annuel seraient fixées par le même décret.
Enfin, la proposition de loi prévoit que, si une autorité externe saisie d'un signalement estime que celui-ci ne relève pas de sa compétence ou concerne également d'autres autorités, elle le transmet à l'autorité compétente ou au Défenseur des droits (qui réorienterait lui-même le lanceur d'alerte).
2.3. Les conditions de divulgation publique des informations
Enfin, la proposition de loi reprend, presque à l'identique, les conditions prévues par la directive pour la divulgation publique des informations .
Un lanceur d'alerte ayant divulgué publiquement des informations, par exemple par voie de presse ou sur les réseaux sociaux, bénéficierait des mesures de protection prévues par le régime (notamment l'exonération de responsabilité pénale, disciplinaire et civile), dans l'un ou l'autre des cas suivants :
- lorsque la divulgation n'a eu lieu qu' après que le lanceur d'alerte a préalablement effectué un signalement externe (précédé ou non d'un signalement interne), sans qu'aucune mesure « appropriée » ait été prise dans les délais prévus par voie réglementaire ;
- « en cas de danger imminent ou manifeste pour l'intérêt général , notamment lorsqu'il existe une situation d'urgence ou un risque de préjudice irréversible » ;
- ou lorsque la saisine de l'autorité externe compétente , du Défenseur des droits, de l'autorité judiciaire ou de l'institution, organe ou organisme de l'Union européenne compétent ferait encourir à son auteur un risque de représailles à caractère professionnel 43 ( * ) ou qu'elle ne pourrait permettre de remédier efficacement au problème constaté , « notamment si des preuves peuvent être dissimulées ou détruites ou si l'auteur du signalement a des motifs sérieux de penser que l'autorité peut être en conflit d'intérêts, en collusion avec l'auteur des faits ou impliquée dans ces faits ».
En cas de contestation, il appartiendrait au juge d'apprécier si l'une ou l'autre de ces conditions est remplie - les termes de la loi lui laissant, comme on peut le constater, une importante marge d'appréciation.
3. La position de la commission des lois : clarifier, compléter et articuler les procédures, imposer des garde-fous
À l'initiative du rapporteur, la commission des lois a adopté plusieurs amendements visant à clarifier les dispositions proposées, à les compléter, à mieux articuler les phases de signalement et de divulgation et à définir plus rigoureusement les conditions auxquelles des informations pourraient être divulguées publiquement sans signalement préalable.
3.1. Les dispositions liminaires
Par l' amendement COM-24 du rapporteur, la commission a clarifié la rédaction du nouvel article 7-1 de la loi « Sapin 2 », dont la visée est purement pédagogique.
3.2. Le signalement interne
La commission a également réécrit les A et B du I de l'article 8 de la loi « Sapin 2 » modifiée, relatifs au signalement « interne », par l'adoption d'un amendement COM-25 du rapporteur poursuivant plusieurs objectifs :
- il s'agit d'abord de clarifier la structure de ce paragraphe : les procédures de signalement interne n'étant ouvertes qu'aux personnes ayant eu connaissance de faits dans un contexte professionnel , il paraît souhaitable de rendre plus apparente cette limitation de leur champ d'application, en l'énonçant en tête du paragraphe concerné ;
- l'amendement comble certaines lacunes et corrige certaines incohérences du texte en ce qui concerne la définition des entités soumises ou non à l'obligation de mettre en place une procédure ad hoc de recueil et de traitement des signalements internes 44 ( * ) ;
- la commission a inscrit dans la loi la faculté, pour les entités soumises à l'obligation d'établir une procédure interne de recueil et de traitement des signalements, d'avoir recours à un prestataire externe ;
- elle a également souhaité autoriser les collectivités territoriales et les établissements publics locaux membres d'un centre de gestion à confier à celui-ci le recueil et le traitement des signalements « internes » . Toutefois, en application de la directive du 23 octobre 2019, les signalements de violations entrant dans le champ matériel de celle-ci devraient être traités en interne par les collectivités et établissements membres du centre de gestion employant au moins 250 agents (le recueil des signalements pouvant en revanche être confié au centre) 45 ( * ) ;
- enfin, l'amendement a procédé à plusieurs améliorations rédactionnelles .
Par l' amendement COM-26 du rapporteur, la commission a introduit au sein du même paragraphe un sous-paragraphe C afin que soient définies par décret des règles adaptées aux groupes de sociétés . En particulier, dans le cas où une procédure centralisée serait accessible à toutes les personnes travaillant au sein du groupe, les obligations imposées aux filiales pourraient être allégées, dans la mesure compatible avec la directive - dont les exigences, sur ce point, restent assez incertaines et pourraient être clarifiées à l'avenir par la jurisprudence.
L'application des règles prévues par la
directive du 23 octobre 2019 relatives
au recueil et au traitement des
signalements dans les groupes de sociétés
Dans un courrier adressé à la Commission européenne le 19 mai 2021 , plusieurs organisations d'employeurs du secteur privé, implantées dans divers États de l'Union européenne, se sont en effet inquiétées de l'application, dans les groupes de sociétés, des règles relatives à la procédure interne de recueil et de traitement des signalements prévues par la directive du 23 octobre 2019.
La mise en place dans chaque société d'un même groupe d'une procédure interne de signalement provoquerait des coûts supplémentaires. Surtout, elle réduirait l'efficacité du système d'alerte , à défaut pour chaque société de disposer en interne de l'expertise nécessaire pour assurer un traitement efficace des signalements. Elle rendrait difficile, voire impossible, la tenue de tableaux de bord exhaustifs au niveau de la société mère et, partant, le reporting auprès de ses organes de gouvernance. Ce serait d'autant plus paradoxal que la société mère ou ses dirigeants peuvent, sous certaines conditions, être reconnus civilement ou pénalement responsables des manquements commis par ou au sein de leurs filiales. En outre, d'autres dispositifs d'alerte, notamment celui prévu par la loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre , sont obligatoirement organisés au niveau de la société mère.
Dans sa réponse datée du 2 juin 2021 , la Commission européenne considère que la directive impose à toute société employant plus de cinquante salariés de mettre en place une procédure interne de recueil et de traitement des signalements , qu'elle fasse ou non partie d'un groupe, la mutualisation des moyens n'étant possible que pour les sociétés comptant entre 50 et 249 salariés (au sein d'un même groupe ou non). En particulier, la Commission estime que la faculté laissée par la directive de confier le recueil des signalements à un tiers ne doit pas s'entendre comme la possibilité de mettre en place une procédure commune à plusieurs sociétés d'un même groupe.
Toutefois, la Commission souligne que la directive offre certaines souplesses . Selon elle, il serait ou pourrait être conforme à ce texte :
- que des filiales comptant entre 50 et 249 salariés bénéficient des moyens d'investigation de leur société mère, à condition que des canaux de signalement restent disponibles au niveau des filiales, que les lanceurs d'alerte puissent s'opposer à la remontée d'informations et qu'ils bénéficient d'un retour d'informations au niveau de la filiale ;
- que les signalements révélant des problèmes structurels au sein du groupe soient portés à la connaissance de la société mère, avec l'accord du lanceur d'alerte, afin d'être traités de manière transversale ;
- que la procédure de signalement établie par la société mère soit accessible aux salariés, associés, dirigeants, collaborateurs et cocontractants de ses filiales, qui auraient alors le choix du niveau auquel effectuer leur signalement.
3.3. Le signalement externe
En ce qui concerne la procédure de signalement « externe », outre deux amendements COM-27 et COM-28 à caractère rédactionnel, la commission a adopté un amendement COM-29 du rapporteur visant à inscrire dans la loi l'obligation, pour les autorités externes compétentes, de rendre compte annuellement de leur action au Défenseur des droits et de lui transmettre les informations nécessaires à l'élaboration de son rapport périodique sur l'efficacité du système de protection des lanceurs d'alerte en France. Entendue par le rapporteur, la Défenseure des droits a en effet exprimé la crainte d'être obligée de procéder à des relances répétées auprès de multiples autorités pour obtenir les informations nécessaires.
3.4. La divulgation publique
• Préciser l'articulation entre les phases de signalement externe et de divulgation publique
La commission a adopté un amendement COM-30 du rapporteur visant à préciser l'articulation entre les phases de signalement externe et de divulgation publique, dans le cas où l'autorité externe saisie ne serait pas l'une des autorités sectorielles compétentes désignées par décret en Conseil d'État , mentionnées au 1° du II de l'article 8 de la loi « Sapin 2 » modifiée. Le texte de l'Assemblée nationale comportait, à cet égard, des lacunes préjudiciables à l'efficacité du régime de protection des lanceurs d'alerte .
En effet, les autres autorités auxquelles un signalement externe pourrait être adressé (« l'autorité, l'administration ou l'organisme le mieux à même d'en connaître » désignée par le Défenseur des droits à défaut d'autorité compétente, l'autorité judiciaire, ou encore une autorité européenne) ne seraient pas soumises aux mêmes règles procédurales, et en particulier aux mêmes délais de réponse que les autorités sectorielles compétentes désignées par décret en Conseil d'État. En ce qui concerne, plus particulièrement, le procureur de la République, l'article 40-2 du code de procédure pénale lui impose d'aviser les plaignants, les victimes si elles sont identifiées, ainsi que les auteurs de signalements effectués en application du deuxième alinéa de l'article 40 du même code, des poursuites ou des mesures alternatives aux poursuites qui ont été décidées ; le cas échéant, le procureur doit les aviser de sa décision de classer sans suite la procédure, en leur en indiquant les raisons juridiques ou d'opportunité. Mais aucun délai n'est fixé à cet effet.
Dès lors, la question se pose de savoir combien de temps un lanceur d'alerte devrait attendre une réponse « appropriée » de l'une de ces autorités avant de divulguer publiquement ses informations (si du moins les conditions de divulgation publique directe, sans signalement externe préalable, ne sont pas réunies).
Il n'était bien sûr pas question, pour la commission des lois, d'imposer au ministère public, aux entités désignées à titre indicatif par le Défenseur des droits ou moins encore à des organismes européens des contraintes procédurales nouvelles. En revanche, la commission a prévu qu'un décret en Conseil d'État fixerait le délai au-delà duquel, à défaut de mesure appropriée prise en réponse à son signalement par l'une des autorités concernées (celles mentionnées aux 2° à 4° du III de l'article 8 de la loi « Sapin 2 » modifiée), le lanceur d'alerte serait en droit de divulguer publiquement les informations, tout en bénéficiant des mesures de protection prévues par la loi .
Le même amendement COM-30 a procédé à diverses améliorations rédactionnelles.
• Définir des conditions plus rigoureuses pour que des informations puissent être divulguées sans signalement préalable
La commission des lois a émis de sérieuses réserves sur les conditions de divulgation publique des informations faisant l'objet de l'alerte, telles que prévues par la proposition de loi, qui s'est alignée sur ce point sur les dispositions de la directive du 23 octobre 2019.
Les conditions dans lesquelles un lanceur d'alerte peut divulguer publiquement les informations dont il dispose tout en bénéficiant des protections offertes par régime constituent le nerf d'un tel régime de protection. En effet, c'est en divulguant publiquement des informations que le lanceur d'alerte est susceptible de porter le plus gravement atteinte à des secrets protégés par la loi, ainsi qu'aux intérêts matériels et moraux des personnes mises en cause . La protection des lanceurs d'alerte eux-mêmes et des tiers exige donc que les conditions de divulgation publique soient précisément définies .
Dès lors, il peut sembler regrettable que le législateur européen, après avoir réglé avec minutie les procédures de recueil et de traitement des signalements internes et externes, n'ait consacré aux conditions de divulgation publique des informations que des dispositions succinctes et, à dire vrai, assez confuses.
Il est certes parfaitement légitime - et conforme à la logique d'ensemble du régime de l'alerte - que le lanceur d'alerte soit protégé s'il divulgue publiquement ses informations après avoir d'abord effectué un signalement externe, sans qu'aucune mesure appropriée n'ait été prise en réponse dans les délais impartis.
De même, l'on peut admettre que le lanceur d'alerte soit autorisé à divulguer directement ses informations, sans signalement externe préalable, s'il a des motifs raisonnables de croire qu'il s'exposerait à des représailles en procédant à un tel signalement ou que cette procédure n'offrirait (selon les termes de la directive, légèrement adaptés par la proposition de loi) que « peu de chances qu'il soit véritablement remédié à la violation, en raison des circonstances particulières de l'affaire, comme lorsque des preuves peuvent être dissimulées ou détruites ou lorsqu'une autorité peut être en collusion avec l'auteur de la violation ou impliquée dans la violation 46 ( * ) ».
En revanche, qu'un lanceur d'alerte puisse divulguer publiquement des informations même confidentielles, dès lors qu'il a des motifs raisonnables de croire que « la violation peut représenter un danger imminent ou manifeste pour l'intérêt public, comme lorsqu'il existe une situation d'urgence ou un risque de préjudice irréversible », laisse beaucoup plus circonspect. Le caractère alternatif des critères retenus (un danger imminent « ou » manifeste) et le lien assez incertain entre ces critères et les exemples qui sont censés les illustrer n'aident pas à y voir clair.
Selon le rapporteur, seul un danger manifeste, imminent et d'une gravité suffisante - ces trois conditions étant cumulatives - peut justifier de « court-circuiter » les procédures normales de signalement, au risque de porter une atteinte grave et possiblement injustifiée à des secrets protégés et à la réputation des personnes mises en cause .
Tel est donc le principe posé par l' amendement COM-31 du rapporteur, adopté par la commission 47 ( * ) . Toutefois, afin d'éviter tout risque de sous-transposition, les conditions prévues par la directive ont été maintenues dans le champ matériel d'application de celle-ci. Dans l'intérêt de tous, il faut espérer que la jurisprudence leur donnera bientôt un sens plus déterminé.
La commission des lois a adopté l'article 3 ainsi modifié .
Article 3 bis
Mention du dispositif de protection des lanceurs
d'alerte
dans le règlement intérieur des entreprises
Introduit par l'Assemblée nationale en première lecture, par l'adoption en commission d'un amendement de Dominique Potier, sous-amendé à l'initiative du rapporteur, l'article 3 bis de la proposition de loi vise à imposer aux entreprises de mentionner, dans leur règlement intérieur, l'existence du dispositif de prévention des lanceurs d'alerte prévu par la loi « Sapin 2 ». La rédaction de cette disposition a été simplifiée par l'adoption en séance publique, par les députés, d'un amendement du rapporteur.
Pour mémoire, tous les employeurs de droit privé, ainsi que les établissements publics à caractère industriel et commercial, sont tenus d'établir un règlement intérieur dès lors qu'ils emploient au moins cinquante salariés 48 ( * ) .
La commission des lois a adopté l'article 3 bis sans modification .
Article 4
Confidentialité et conservation des signalements
L'article 4 de la proposition de loi vise à préciser les règles visant à garantir la confidentialité des auteurs de signalements et des autres personnes concernées par ces derniers. Il fixe la durée de conservation des signalements, tout en prévoyant que des données anonymisées puissent être conservées ultérieurement.
La commission des lois a adopté cet article en en précisant la rédaction et en supprimant la limitation à trente ans de la durée de conservation de données anonymisées.
1. L'état du droit et les exigences de la directive du 23 octobre 2019
L'article 9 de la loi « Sapin 2 » impose que les procédures mises en oeuvre pour recueillir les signalements des lanceurs d'alerte - qu'il s'agisse des procédures internes ou de celles, « externes », mises en oeuvre par l'autorité judiciaire, l'autorité administrative ou les ordres professionnels - garantissent une stricte confidentialité de l'identité de l'auteur du signalement, des personnes visées par celui-ci et des informations recueillies .
Les éléments de nature à identifier le lanceur d'alerte ne peuvent être « divulgués 49 ( * ) », sauf à l'autorité judiciaire, qu'avec le consentement de celui-ci. Quant aux éléments de nature à identifier la personne mise en cause par un signalement, ils ne peuvent être divulgués, sauf à l'autorité judiciaire, qu'une fois établi le caractère fondé de l'alerte.
La divulgation de ces informations est passible de deux ans d'emprisonnement et de 30 000 euros d'amende.
En la matière, la directive du 23 octobre 2019 comporte plusieurs exigences :
- les procédures de signalement interne doivent comprendre des « canaux (...) conçus, établis et gérés d'une manière sécurisée qui garantit la confidentialité de l'identité de l'auteur du signalement et de tout tiers mentionné dans le signalement et qui empêche l'accès auxdits canaux par des membres du personnel non autorisés 50 ( * ) » ;
- de même, les canaux de signalement externe doivent être « conçus, établis et gérés de manière à garantir l'exhaustivité, l'intégrité et la confidentialité des informations et à empêcher l'accès à ces informations aux membres du personnel de l'autorité compétente non autorisés 51 ( * ) » ;
- dans le cadre du recueil et du traitement des signalements internes et externes, les États membres doivent veiller « à ce que l'identité de l'auteur de signalement ne soit pas divulguée sans le consentement exprès de celui-ci à toute personne autre que les membres du personnel autorisés compétents pour recevoir des signalements ou pour en assurer le suivi », sauf dans le cas où il s'agit d' « une obligation nécessaire et proportionnée imposée par le droit de l'Union ou le droit national dans le cadre d'enquêtes menées par des autorités nationales ou dans le cadre de procédures judiciaires, notamment en vue de sauvegarder les droits de la défense de la personne concernée », auquel cas des « mesures de sauvegarde appropriées » doivent être prévues. En particulier, les auteurs de signalement doivent être informés avant que leur identité ne soit divulguée et les motifs de cette divulgation doivent leur être communiqués, à moins que de telles informations ne risquent « de compromettre les enquêtes ou les procédures judiciaires concernées ». Ces mêmes règles s'appliquent à toute information permettant d'identifier l'intéressé 52 ( * ) ; elles doivent être assorties de sanctions effectives, proportionnées et dissuasives 53 ( * ) ;
- tout traitement de données à caractère personnel effectué en vertu des règles prévues par la directive, y compris l'échange ou la transmission de données à caractère personnel par les autorités compétentes, doit être effectué conformément au règlement général sur la protection des données (RGPD) 54 ( * ) et à la directive qui l'accompagne 55 ( * ) . Les données à caractère personnel qui ne sont manifestement pas pertinentes pour le traitement d'un signalement ne doivent pas être collectées ; si elles le sont accidentellement, elles doivent être effacées sans retard injustifié 56 ( * ) ;
- enfin, les États membres doivent veiller à ce que les entités juridiques des secteurs privé et public et les autorités compétentes archivent tous les signalements reçus, dans le respect des exigences de confidentialité prévues par la directive. Les signalements ne doivent pas être conservés plus longtemps qu'il n'est nécessaire et proportionné pour respecter les exigences imposées par la directive ou d'autres exigences imposées par le droit de l'Union ou le droit national 57 ( * ) .
2. La proposition de loi
L'article 4 de la proposition de loi tend à modifier l'article 9 de la loi « Sapin 2 » pour en préciser la rédaction et assurer sa conformité à la directive.
À cet effet, il est prévu que les procédures de recueil, mais aussi de traitement des signalements doivent garantir la confidentialité de l'identité, non seulement de l'auteur du signalement et des personnes visées par celui-ci, mais aussi de tout tiers qui y est mentionné .
Il resterait néanmoins possible de révéler l'identité du lanceur d'alerte à l'autorité judiciaire. Le texte adopté par les députés paraît ici contraire aux exigences de la directive, puisqu'il ne subordonne pas cette exception à la règle de confidentialité au fait que la révélation de l'identité du lanceur d'alerte à l'autorité judiciaire résulterait d'une obligation .
En cas de divulgation de son identité à l'autorité judiciaire, le lanceur d'alerte devrait être informé, « à moins que cette information ne risque de compromettre la procédure judiciaire concernée » . La proposition de loi impose aux autorités et autres entités chargées du recueil et du traitement des signalements « externes » l'obligation de joindre à cette information des explications écrites . Elle omet donc le cas des personnes chargées du recueil et du traitement des signalements internes , qui pourraient pourtant estimer souhaitable de dénoncer les faits concernés au procureur de la République, voire y être juridiquement obligées, et être alors amenées à divulguer l'information du lanceur d'alerte.
Un paragraphe serait ajouté à l'article 9 de la loi « Sapin 2 », relatif à la conservation des signalements . Ces derniers ne pourraient être conservés que « le temps strictement nécessaire et proportionné à leur traitement et à la protection de leurs auteurs, des personnes visées par celui-ci et de tout tiers mentionné dans le signalement, en tenant compte d'éventuelles enquêtes complémentaires ». Toutefois, à l'initiative du député Matthieu Orphelin, la commission des lois de l'Assemblée nationale a ajouté une disposition - dont la rédaction a été modifiée en séance publique par l'adoption d'un amendement du rapporteur - pour autoriser la conservation pendant une durée maximale de trente ans de données anonymisées , « notamment lorsque les signalements concernent des informations devant faire l'objet d'un traitement à long terme 58 ( * ) ». Enfin, à l'initiative du rapporteur, il a été précisé en commission que les traitements de données à caractère personnel relatives à des signalements devaient être conformes au RGPD.
3. Les modifications apportées par la commission des lois
À l'initiative du rapporteur, la commission a adopté, outre un amendement COM-32 à caractère rédactionnel :
- un amendement COM-33 qui prévoit d'une part, conformément à la directive, que la révélation à l'autorité judiciaire d'éléments de nature à identifier le lanceur d'alerte n'est permise que dans le cas où la personne chargée du recueil ou du traitement du signalement est tenue de dénoncer les faits au procureur de la République , d'autre part, que les personnes chargées des signalements internes ont également l'obligation, le cas échéant, d'expliquer au lanceur d'alerte les raisons ayant conduit à divulguer son identité ;
- un amendement COM-34 relatif à la conservation de données anonymisées , visant à préciser le sens de cette notion et à supprimer la limitation à trente ans de la durée de conservation de telles données , qui n'apparaît pas nécessaire.
La commission des lois a adopté l'article 4 ainsi modifié .
Article 4 bis (nouveau)
Sanction pénale des alertes abusives
Introduit à l'initiative du rapporteur, l'article 4 bis prévoit des sanctions à l'encontre des personnes ayant procédé à un signalement ou une divulgation publique de mauvaise foi. Il parachève la transposition de l'article 23 de la directive du 23 octobre 2019 qui impose des sanctions envers les auteurs d'alerte abusive, ce que le droit en vigueur ne permet que partiellement.
1. Le dévoiement du droit d'alerte : un risque qui n'est pas à négliger
Si un large consensus se dégage quant à la légitimité du droit d'alerte et à la nécessité d'une meilleure protection des auteurs de signalement ou de divulgation publique , les travaux du rapporteur ont également mis en évidence le risque d'un dévoiement de ce droit, aux effets potentiellement délétères.
Au cours des auditions, des inquiétudes ont notamment été exprimées par les représentants des entreprises quant à un risque de déstabilisation des entreprises, notamment des petites et moyennes entreprises, qu'entraînerait un encadrement trop lâche du droit d'alerte ou un régime de protection qui irait au-delà du nécessaire, au risque de conférer une forme d'immunité à des personnes potentiellement malveillantes.
Le Conseil d'État formule des préoccupations similaires dans son avis sur la proposition de loi, notamment lorsqu'il estime « qu'il peut exister, dans les relations du travail, un risque de dévoiement des garanties apportées aux lanceurs d'alerte ». Toujours dans le secteur public, la direction générale de l'administration et de la fonction publique a fait état, dans sa contribution écrite, d'une jurisprudence naissante sur le sujet en matière disciplinaire.
Le rapporteur partage cette préoccupation et estime que le risque de dévoiement du droit d'alerte ne doit pas être négligé. Dans ce contexte, la commission s'est attachée à trouver un équilibre satisfaisant entre protection des lanceurs d'alerte et encadrement de l'exercice de ce droit . Le fait de prévoir des sanctions à l'encontre des auteurs d'alerte abusive, comme l'impose la directive, permet de se rapprocher de cet équilibre.
Une jurisprudence naissante sur le recours abusif au
droit d'alerte
(
Cour administrative d'appel de Nantes,
1
er
juin 2021
)
59
(
*
)
Le tribunal administratif d'Orléans puis la Cour administrative d'appel de Nantes ont eu à se prononcer sur le cas d'une agente de la fonction publique territoriale ayant fait l'objet d'une sanction disciplinaire de révocation pour avoir transmis à l'ensemble des membres du conseil municipal de la commune où elle était employée un courrier de sept pages mettant en cause « de manière particulièrement virulente les agissements du maire à son égard » et imputant, par exemple, au maire en question « des malversations et du gaspillage d'argent public », tout en assortissant ces accusations de menaces.
Si elle a été déboutée en première instance puis en appel, la requérante s'était toutefois prévalue pour sa défense du statut de lanceur, au titre des articles 6 à 9 de la loi « Sapin 2 » et de l'article 6 ter A du statut général de la fonction publique.
2. La sanction des auteurs d'alertes abusives : une exigence de la directive du 23 octobre 2019 qui n'était que partiellement satisfaite par le droit en vigueur
Le 2 de l'article 23 de la directive du 23 octobre 2019 dispose que les « États membres prévoient des sanctions effectives, proportionnées et dissuasives applicables aux auteurs de signalement lorsqu'il est établi qu'ils ont sciemment signalé ou divulgué publiquement de fausses informations ».
En l'état, les sanctions pénales prévues par les articles 29 à 33 de la loi du 29 juillet 1881 sur la liberté de la presse en cas de diffamation et par l'article 226-10 du code pénal en cas de dénonciation calomnieuse répondent partiellement à l'exigence fixée par la directive.
Les régimes de la diffamation publique et de la dénonciation calomnieuse
|
Diffamation publique |
Dénonciation calomnieuse |
|
|
Définition |
Toute allégation ou imputation d'un fait qui porte
atteinte à l'honneur ou à la considération de la personne
ou du corps auquel le fait est imputé.
|
Dénonciation, par tout moyen et contre une personne
déterminée, d'un fait susceptible de sanctions disciplinaires
administratives ou judiciaires et que l'on sait totalement ou partiellement
inexact.
|
|
Sanctions pénales |
Amende de 12 000 euros |
Cinq ans d'emprisonnement et 45 000 euros d'amende |
D'une part, le régime de la diffamation publique s'applique lorsque le lanceur d'alerte a sciemment divulgué de fausses informations. D'autre part, la dénonciation calomnieuse pourrait être constituée dans la plupart des cas où il aurait été fait un usage abusif des canaux de signalement interne ou externe.
Il existe toutefois un angle mort. En effet, en cas de saisine d'une autorité externe, le délit de dénonciation calomnieuse n'est constitué que lorsque ladite autorité dispose du pouvoir d'y donner suite ou de saisir l'autorité compétente, ce qui ne serait pas nécessairement le cas de toutes les autorités externes désignées par le pouvoir règlementaire pour traiter des signalements.
La commission a adopté un amendement COM-35 présenté par le rapporteur et visant à combler cette lacune. Pour ce faire, il insère un nouvel article 9-1 au sein de la loi « Sapin 2 » qui réprime le fait d'adresser de mauvaise foi un signalement à une autorité interne ou externe par les peines prévues par l'article 226-10 du code pénal relatif à la dénonciation calomnieuse . À titre de rappel, la notion de mauvaise foi recouvre l'intention de nuire et la connaissance, au moins partielle, de l'inexactitude des faits.
Par l'adoption de cet amendement, la commission a entendu garantir, d'une part, la pleine transposition de la directive du 23 octobre 2019 et, d'autre part, un équilibre entre la protection légitime du droit d'alerte et la nécessité d'un encadrement de ce droit.
* 40 Voir le préambule du présent rapport.
* 41 Il convient de noter que, si l'administration de l'Assemblée nationale et celle du Sénat seront soumises à l'obligation de mettre en place une procédure de recueil et de traitement des signalements, dans les conditions prévues par la loi et par la directive du 23 octobre 2019, les modalités de cette procédure seront fixées librement par les autorités de chaque assemblée, sans que les dispositions prises par le Gouvernement par voie réglementaire puissent avoir à leur égard force obligatoire, conformément aux principes de séparation des pouvoirs et d'autonomie des assemblées parlementaires.
* 42 La liste des autorités externes compétentes désignées par décret en Conseil d'État ne pourra, en effet, pas être exhaustive, compte tenu du champ matériel d'application presque illimité de la loi « Sapin 2 ». En revanche, une autorité externe devra être désignée pour chacune des catégories de violations entrant dans le champ de la directive.
* 43 Il s'agit plus exactement des mesures de représailles interdites en application du I de l'article 10-1 de la loi « Sapin 2 », dans sa rédaction prévue par la proposition de loi (voir le commentaire de l'article 5).
* 44 Le texte transmis ne traitait pas des entreprises exploitées en nom propre par des personnes physiques. Il comportait des dispositions contradictoires en ce qui concerne les EPCI à fiscalité propre ne comportant parmi leurs membres aucune commune de plus de 10 000 habitants mais employant au moins cinquante agents ; il laissait dans l'ombre le cas des syndicats de communes.
* 45 Il appartiendrait donc à ces collectivités et établissements (notamment ceux comptant entre 250 et 349 agents, obligatoirement affiliés) de s'organiser comme il leur semblerait bon, soit en traitant en interne l'ensemble des signalements, soit en confiant le traitement d'une partie d'entre eux (en pratique, les plus nombreux) au centre de gestion.
* 46 Cette condition aurait toutefois gagné à être précisée, car les illustrations proposées laissent entendre qu'il est non seulement exigé que le signalement externe ne soit pas de nature à remédier à la violation, mais aussi qu'il soit de nature à empêcher qu'il y soit remédié.
* 47 L'amendement adopté prévoit que les informations peuvent être divulguées publiquement, sans signalement externe préalable, « en cas de danger imminent et manifeste ». La condition liée à la gravité du danger n'a pas été expressément introduite ici, la commission ayant prévu à l'article 1 er de la proposition de loi que le régime de l'alerte ne s'applique qu'aux informations portant, soit sur des violations entrant dans le champ de la directive du 23 octobre 2019, soit sur des crimes, des délits ou d'autres violations graves de règles de droit, ou encore sur des actes ou omissions allant gravement à l'encontre des objectifs poursuivis par ces règles. Le texte de la commission réserve également les cas où il existe un risque de représailles et ceux où un signalement externe serait inefficace en raison des circonstances particulières de l'affaire.
* 48 Article L. 1311-2 du code du travail.
* 49 Ce verbe fait ici référence à toute communication non autorisée et n'implique pas que les informations soient accessibles au public (contrairement à l'expression « divulgation publique » employée par la directive et l'article 8 de la loi « Sapin 2 » tel que modifié par la proposition de loi).
* 50 Article 9 de la directive du 23 octobre 2019 précitée.
* 51 Article 10 de la directive précitée.
* 52 Article 16 de la directive précitée.
* 53 Article 23 de la directive précitée.
* 54 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE .
* 55 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil .
* 56 Article 17 de la directive du 23 octobre 2019 précitée.
* 57 Article 18 de la directive précitée.
* 58 Dans la rédaction initiale de cette disposition, résultant de l'amendement adopté en commission, la conservation d'informations pendant une donnée maximale de trente ans n'était permise que « dans la mesure utile au repérage et à l'étude d'effets différés sur la santé publique et l'environnement ». En revanche, l'anonymisation des signalements n'était pas exigée.
* 59 Cour administrative d'appel de Nantes, 1 er juin 2021, 19NT03158.