Dans une série de 3 articles, Anne-Laure Périès revient sur les conséquences pour les employeurs du renforcement de la protection des lanceurs d’alerte par la loi du 21 mars et le décret du 3 octobre 2022.
Le présent article clos cette série. L’intégralité de cette série est téléchargeable ci-dessous.
A lire aussi :
Une procédure d’alerte facilitée
Depuis le 1er septembre 2022, l’employeur ne saurait exiger du lanceur d’alerte qu’il effectue son signalement au sein de l’entreprise avant de pouvoir faire un signalement externe, auprès d’une des autorités compétentes listées par décret (voir annexe du texte).
La loi impose la mise en place au sein des entreprises de plus de 50 salariés (effectif apprécié en moyenne au cours de 2 exercices consécutifs) d’une procédure de signalement interne qui permette le recueil et le traitement des alertes. Le décret n° 2022-1284 du 3 octobre 2022 ne précise pas les modalités de cette procédure (règlement intérieur, note de service ou accord d’entreprise), qui reste à définir par chaque entreprise ou groupe (et qui peut même être mutualisée entre plusieurs entités).
En revanche, le décret précise que la procédure doit être soumise à la consultation des instances de dialogue social, ce qui suppose un avis préalable du CSE, et qu’elle doit être diffusée par tout moyen pour assurer une publicité suffisante. L’objectif est de permettre une meilleure détection des dysfonctionnements au sein d’une entreprise.
Dans ce but, le règlement intérieur doit mentionner l’existence d’un dispositif de protection des lanceurs d’alerte.
La procédure doit mentionner les personnes en charge du recueil et du traitement des alertes, sachant que le canal de réception des signalements peut être géré pour le compte de l’entreprise par une personne physique ou morale extérieure. De nombreuses plateformes dématérialisées proposent ce service.
Le décret précise que la procédure peut recueillir des signalements par oral, avec la nécessité de consigner les informations ainsi données sur des supports durables.
La procédure doit également prévoir les suites données aux signalements qui ne respectent pas les conditions légales et aux signalements anonymes.
En tout état de cause, l’entreprise devra assurer le traitement des signalements et mener une véritable enquête dans un délai de 3 mois à compter de l’accusé de réception du signalement, dans le respect de la confidentialité, de l’impartialité et des règles en matière de protection des données personnelles, notamment des durées de conservation proportionnées à la situation (RGPD).
L’obligation de mise en place de cette procédure interne n’est pas assortie de sanction mais son absence pourrait être considérée comme un préjudice générant l’attribution de dommages-intérêts en cas de contentieux mené par un lanceur d’alerte évoquant la perte d’une chance de faire cesser un dommage.
La mise en œuvre pratique de cette protection interroge, notamment lorsque le lanceur d’alerte était menacé d’une mesure disciplinaire ou d’un licenciement avant d’effectuer son signalement. Un risque de détournement de la protection du lanceur d’alerte existe, d’autant que la Cour de Cassation a une position très stricte actuellement : seule la preuve de la mauvaise foi du salarié permet de s’exonérer de l’application de la protection du lanceur d’alerte, et du risque de nullité de la mesure qui lui aura été notifiée.
Néanmoins, l’enquête, justement prévue dans le traitement de l’alerte, pourrait permettre, le cas échéant, de démontrer le caractère injustifié du signalement voire son caractère abusif, avant de prononcer les mesures disciplinaires ou de rupture envisagées.
Remarque
L’hypothèse d’un détournement d’une procédure de protection des droits individuels a été récemment illustrée par un arrêt de la Cour d’appel de Paris en matière de RGPD par lequel elle a rejeté la demande excessive d’une ancienne salariée à avoir accès à toutes ses données personnelles ayant transité dans la société où elle travaillait pour faire la démonstration de ses heures supplémentaires. Cette preuve pouvait résulter d’autres documents déjà communiqués par l’employeur (art. 15 du RGPD ; CA Paris, 12 mai 2022, n°21/02419).
Pour télécharger cet article dans son intégralité (part. 1, 2 et 3), cliquez ci-dessous !
