Lois sur les lanceurs d'alerte par pays : Allemagne, France, Espagne et Portugal

La directive européenne sur les lanceurs d'alerte fixe un socle commun, mais la loi qui s'applique réellement à votre entreprise est celle que votre pays a adoptée pour la transposer — et ces lois diffèrent sur les délais, les seuils et les amendes. Le HinSchG allemand, la Loi Waserman française, la Ley 2/2023 espagnole et la Lei n.º 93/2021 portugaise transposent toutes la directive (UE) 2019/1937, mais une équipe de conformité opérant dans plusieurs de ces pays ne peut pas simplement appliquer une politique générique unique en supposant qu'elle satisfait aux quatre régimes.

Points clés à retenir

• Les quatre lois partagent le même socle européen : un canal de signalement interne pour les entités de 50 salariés ou plus, la confidentialité de l'identité du lanceur d'alerte et une interdiction des représailles.
• Les délais et les montants des amendes diffèrent selon le pays — le Portugal sanctionne l'absence de canal interne par une amende pouvant atteindre 125 000 € pour une entreprise ; l'Espagne sanctionne l'absence totale de canal par une amende pouvant atteindre 1 000 000 €.
• Le HinSchG allemand (en vigueur depuis le 2 juillet 2023) et la Loi Waserman française (en vigueur depuis le 1er septembre 2022) vont tous deux au-delà du minimum européen sur des points précis — l'Allemagne sur les signalements anonymes, la France sur la définition de qui est un "lanceur d'alerte" protégé.
• L'Espagne a créé une autorité dédiée, l'Autoridad Independiente de Protección del Informante (A.A.I.), tandis que le Portugal fait appliquer sa loi via le Mecanismo Nacional Anticorrupção (MENAC).
• Un groupe présent dans plusieurs de ces pays a besoin d'un canal unique qui adapte son fonctionnement à chaque juridiction, plutôt que de quatre systèmes distincts.

Ce que la directive exige partout

La directive (UE) 2019/1937 a fixé un délai de transposition au 17 décembre 2021 pour les États membres, avec une période transitoire supplémentaire jusqu'au 17 décembre 2023 pour que les entités privées de 50 à 249 salariés mettent en place leur canal interne. Chaque loi nationale reprend trois obligations de base : accuser réception d'un signalement sous 7 jours, apporter un retour au lanceur d'alerte sous 3 mois (prolongeable à 6 mois pour les cas complexes), et protéger l'identité du lanceur d'alerte vis-à-vis de toute personne extérieure au traitement du dossier. Les quatre pays divergent sur la rigueur de l'application, ce qui constitue un signalement valable, et la sévérité des amendes en cas de non-conformité.

Allemagne : le HinSchG — un champ large, des amendes graduées

Le Hinweisgeberschutzgesetz (HinSchG) est entré en vigueur le 2 juillet 2023. Il impose un service interne de réception des signalements ("interne Meldestelle") à tout employeur privé de 50 salariés ou plus, les entreprises de 50 à 249 salariés ayant eu jusqu'au 17 décembre 2023 pour s'y conformer. Une particularité de la loi allemande est que les canaux internes doivent pouvoir recevoir des signalements anonymes, même si les employeurs ne sont pas tenus de les solliciter activement. Les représailles ou l'entrave à un signalement peuvent être sanctionnées d'une amende allant jusqu'à 50 000 € pour un responsable individuel en vertu du § 40 HinSchG, et en vertu du § 30 de l'OWiG, cette amende de base peut être multipliée jusqu'à dix fois — jusqu'à 500 000 € — lorsque l'auteur est une entreprise. Une amende distincte, pouvant aller jusqu'à 20 000 €, pour la simple absence de canal est entrée en vigueur le 1er décembre 2023, à l'issue de la période transitoire initiale.

France : la Loi Waserman — un cercle de personnes protégées bien élargi

La loi n° 2022-401 du 21 mars 2022, dite Loi Waserman, est entrée en vigueur le 1er septembre 2022, accompagnée de son décret d'application du 3 octobre 2022. Elle modifie le cadre antérieur de la loi Sapin 2 plutôt que de le remplacer entièrement. Son changement le plus marquant : un lanceur d'alerte n'a plus besoin d'agir de manière "désintéressée" pour être protégé — la bonne foi suffit désormais. La loi étend également la protection aux "facilitateurs" (collègues, syndicats ou associations qui aident un lanceur d'alerte) ainsi qu'aux personnes morales liées au lanceur d'alerte. Le seuil de 50 salariés s'applique aux entreprises ainsi qu'aux entités publiques et communes de plus de 10 000 habitants. Les sanctions visent l'entrave plutôt que l'absence de canal : entraver un signalement est puni d'un an d'emprisonnement et de 15 000 € d'amende en vertu de l'article 13 de la loi Sapin 2 modifiée, et une procédure abusive ou dilatoire ("bâillon") intentée contre un lanceur d'alerte peut désormais entraîner une amende civile pouvant atteindre 60 000 €.

Espagne : la Ley 2/2023 — les amendes les plus élevées et une autorité dédiée

La Ley 2/2023, de 20 de febrero, est entrée en vigueur le 13 mars 2023 et a créé, fait rare parmi les quatre pays, une autorité de régulation autonome : l'Autoridad Independiente de Protección del Informante, A.A.I., qui gère le canal externe et dispose d'un pouvoir de sanction, y compris la possibilité d'exclure une entreprise non conforme des marchés publics. Le régime d'amendes espagnol est le plus sévère du groupe : les entités totalement dépourvues de canal interne, ou commettant d'autres infractions "muy graves", encourent des amendes de 600 001 € à 1 000 000 €. Le seuil de 50 salariés reprend le plancher européen, et les entreprises de 50 à 249 salariés ont bénéficié du même délai transitoire applicable dans toute l'UE.

Portugal : la Lei n.º 93/2021 — le barème d'amendes le plus détaillé

La Lei n.º 93/2021, de 20 de dezembro, est entrée en vigueur le 18 juin 2022. Elle s'applique aux entités privées de 50 salariés ou plus et aux entités publiques quelle que soit leur taille, et fixe les mêmes délais de 7 jours pour l'accusé de réception et de 3 mois pour la résolution que le socle européen. L'article 27 de la loi classe les infractions en deux niveaux avec des fourchettes d'amendes précises : les infractions "très graves" — qui incluent l'entrave à un signalement, les représailles, la rupture de confidentialité ou l'absence totale de canal externe — sont punies d'amendes de 1 000 € à 25 000 € pour une personne physique ou de 10 000 € à 250 000 € pour une personne morale ; les infractions "graves", qui incluent simplement l'absence de canal interne, sont punies d'amendes de 500 € à 12 500 € pour une personne physique ou de 1 000 € à 125 000 € pour une personne morale. La négligence et la tentative réduisent chacune de moitié l'amende maximale applicable. L'application relève du Mecanismo Nacional Anticorrupção (MENAC).

Comment Vaelo vous aide à vous conformer dans les quatre juridictions

Gérer des systèmes de signalement distincts par pays est la façon la plus courante pour une équipe de conformité multi-pays de gaspiller son budget tout en conservant des failles — un siège déploie une politique conforme au HinSchG mais qui manque la protection des facilitateurs prévue par la Loi Waserman, ou le canal d'une filiale espagnole n'achemine pas les signalements comme l'attend l'AAI. Vaelo est conçu comme un canal unique qui s'adapte à chaque juridiction : chaque unité opérationnelle est configurée avec les délais d'accusé de réception et de résolution, les règles de conservation et les circuits d'escalade correspondant à la transposition de son pays, tandis que votre équipe de conformité conserve un tableau de bord unique au lieu de quatre outils déconnectés. Si vous avez déjà cartographié les obligations au niveau européen, notre présentation de la directive européenne sur les lanceurs d'alerte couvre le socle sur lequel reposent toutes ces lois nationales.

Questions fréquentes

Tous les pays de l'UE appliquent-ils les mêmes règles pour les lanceurs d'alerte ? Non. Ils partagent le même socle fixé par la directive (UE) 2019/1937 — seuil de 50 salariés, accusé de réception sous 7 jours et fenêtre de résolution de 3 mois — mais les lois nationales divergent nettement sur les montants des amendes, sur qui est protégé et sur l'autorité chargée de faire appliquer les règles.

Quel pays applique les amendes les plus élevées en cas de non-conformité ? La Ley 2/2023 espagnole fixe la fourchette la plus élevée des quatre pays : de 600 001 € à 1 000 000 € pour les entités totalement dépourvues de canal ou commettant d'autres infractions "muy graves".

Une entreprise de moins de 50 salariés doit-elle se conformer ? En général non, dans aucune des quatre lois, sauf si elle opère dans un secteur réglementé (services financiers, par exemple) où des règles sectorielles européennes spécifiques peuvent abaisser ou supprimer le seuil d'effectif.

Un canal de signalement unique peut-il satisfaire les quatre pays à la fois ? Oui, à condition que le canal soit configuré par juridiction — reflétant les délais, les règles de conservation et les intégrations avec l'autorité compétente de chaque pays — plutôt que d'appliquer une politique générique à toutes les filiales.

La directive exige-t-elle le signalement anonyme partout ? Non. La directive européenne laisse ce choix aux États membres. Le HinSchG allemand exige explicitement des canaux capables de recevoir des signalements anonymes ; les trois autres lois de cette comparaison exigent la confidentialité de l'identité mais n'imposent pas universellement que les canaux acceptent des signalements totalement anonymes.