Directive européenne sur les lanceurs d'alerte : ce que toute entreprise doit savoir

Toute entreprise privée employant 50 salariés ou plus, ainsi que toute entité publique quelle que soit sa taille, est légalement tenue d'exploiter un canal de signalement interne conformément à la directive (UE) 2019/1937 — avec un délai de 7 jours pour accuser réception des signalements et 3 mois pour les traiter.

Ce qu'il faut retenir

• La directive s'applique aux entreprises privées de 50 salariés ou plus et à toutes les entités publiques, quelle que soit leur taille.
• Les signalements doivent être accusés réception sous 7 jours et faire l'objet d'un retour sous 3 mois maximum.
• Le signalement anonyme n'est pas imposé par la directive elle-même, mais plusieurs lois nationales (Portugal, Allemagne) l'exigent.
• Les sanctions en cas de non-conformité doivent être « effectives, proportionnées et dissuasives » (article 23) — en pratique, cela inclut des amendes et, dans certains pays, une responsabilité pénale en cas de représailles.
• Chaque État membre a transposé la directive avec ses propres spécificités — un canal générique ne suffit pas s'il ignore les exigences locales.

Qui est concerné

La directive (UE) 2019/1937, adoptée en octobre 2019, établit un socle européen commun pour protéger les personnes qui signalent des violations du droit de l'UE constatées dans un contexte professionnel. Son champ d'application est volontairement large :

• Les entreprises privées de 50 salariés ou plus — le seuil qui couvre la majorité des entreprises de taille moyenne et des grands groupes.
• Toutes les entités publiques, y compris, dans certains États membres, les communes de moins de 10 000 habitants, sans seuil minimal d'effectif.
• Certains secteurs réglementés (services financiers, sécurité des transports, lutte contre le blanchiment) même en dessous du seuil de 50 salariés, car une législation sectorielle de l'UE imposait déjà des mécanismes de signalement.

Les entreprises de 50 à 249 salariés ont bénéficié d'un délai de transposition plus tardif dans plusieurs États membres, mais ce délai de grâce a expiré presque partout — la non-conformité n'est plus une question de « pas encore », c'est une exposition juridique bien réelle.

Les deux délais légaux : 7 jours et 3 mois

C'est le point sur lequel les équipes conformité se trompent le plus souvent, car il ne s'agit pas d'un délai, mais de deux, séquentiels :

1. Accusé de réception — l'organisation doit confirmer au lanceur d'alerte que son signalement a bien été reçu, sous 7 jours calendaires.
2. Retour sur le signalement — au maximum 3 mois après l'accusé de réception (et non à partir de la soumission initiale), l'organisation doit fournir un retour utile au lanceur d'alerte : quelles mesures ont été prises ou envisagées, et pourquoi.

Manquer l'un de ces délais n'est pas qu'une défaillance de processus — dans la plupart des transpositions, c'est sanctionnable en soi, et cela érode le principal facteur qui détermine si les salariés utilisent réellement le canal interne plutôt que d'escalader vers un régulateur ou la presse : la confiance qu'il se passera quelque chose.

Signalement anonyme : ce que la directive impose réellement

La directive protège la confidentialité de l'identité du lanceur d'alerte dans tous les cas — ce point n'est pas négociable. Ce qui reste à la discrétion des États membres, c'est de savoir si les organisations doivent également accepter des signalements totalement anonymes (où l'identité n'est jamais recueillie, même en interne).

• Le Portugal (Lei n.º 93/2021) et l'Allemagne (HinSchG) exigent des organisations qu'elles acceptent et traitent les signalements anonymes.
• D'autres États membres le laissent optionnel, mais l'autorisent — et en pratique, proposer l'anonymat augmente significativement le volume de signalements, car cela lève le principal frein au silence des salariés : la peur d'être identifié.

Un canal qui ne prend en charge que le signalement confidentiel (et non anonyme) est conforme dans certains pays et non conforme dans d'autres — ce qui compte immédiatement pour toute entreprise opérant dans plusieurs pays.

Sanctions en cas de non-conformité

L'article 23 de la directive impose aux États membres de fixer des sanctions « effectives, proportionnées et dissuasives » contre :

• Les personnes physiques ou morales qui entravent ou tentent d'entraver un signalement.
• Quiconque exerce des représailles contre un lanceur d'alerte.
• Quiconque viole l'obligation de confidentialité de l'identité d'un lanceur d'alerte.
• Les organisations qui n'établissent pas ou ne maintiennent pas le canal interne requis.

Les montants exacts varient selon les États membres — certains fixent des fourchettes d'amendes administratives, d'autres les indexent sur le chiffre d'affaires de l'entreprise, et plusieurs prévoient une responsabilité pénale spécifiquement pour les représailles contre un lanceur d'alerte. Ce qui est constant partout : « nous n'avions pas de canal » est traité comme une circonstance aggravante, pas comme une défense.

Transpositions nationales en un coup d'œil

Tous les États membres ont transposé la directive, mais les détails divergent — délais, exigences d'anonymat et structures de sanctions ne sont pas identiques de Lisbonne à Helsinki. Quelques exemples : la Lei n.º 93/2021 (Portugal), le HinSchG (Allemagne), la loi Waserman (France), la Ley 2/2023 (Espagne) et le D.Lgs. 24/2023 (Italie) ajoutent chacun des spécificités locales à ce socle européen. Un canal générique, pensé pour une « conformité UE » abstraite, manque souvent au moins l'une de ces exigences locales — exactement la lacune qu'une plateforme multi-juridictions, conçue pour cela, comble.

Comment Vaelo vous aide à vous conformer en quelques minutes, pas en quelques mois

Vaelo est une plateforme de signalement hébergée, conçue spécifiquement autour de cette directive et de ses transpositions nationales. Elle vous donne un canal de signalement personnalisable et compatible avec l'anonymat, opérationnel en quelques minutes — avec les délais de 7 jours et 3 mois suivis automatiquement, une communication anonyme bidirectionnelle entre lanceur d'alerte et enquêteur, un stockage chiffré des preuves, et un tableau de bord de gestion des dossiers que votre équipe conformité peut réellement utiliser sous la pression des délais, dans les 24 langues officielles de l'UE.

Questions fréquentes

Quelles entreprises doivent se conformer à la directive européenne sur les lanceurs d'alerte ? Toute organisation privée de 50 salariés ou plus, ainsi que toutes les entités publiques quelle que soit leur taille, doivent mettre en place un canal de signalement interne conformément à la directive (UE) 2019/1937.

Quel est le délai pour accuser réception d'un signalement ? Les organisations doivent accuser réception d'un signalement sous 7 jours et fournir un retour au lanceur d'alerte dans un délai maximal de 3 mois après cet accusé de réception.

La directive impose-t-elle le signalement anonyme ? La directive elle-même laisse le signalement anonyme facultatif au niveau européen, mais plusieurs transpositions nationales (dont le Portugal et l'Allemagne) exigent que les organisations acceptent les signalements anonymes et protègent l'identité du lanceur d'alerte de bout en bout.

Que se passe-t-il si une entreprise ne se conforme pas à la directive ? L'article 23 impose aux États membres de prévoir des sanctions effectives, proportionnées et dissuasives ; en pratique, cela va des amendes administratives à la responsabilité pénale en cas de représailles contre les lanceurs d'alerte, selon le droit national.