Whistleblower - Le Luxembourg se dote d’un cadre légal pour la protection des lanceurs d’alerte

Les entreprises comptant entre 50 et 249 salariés doivent mettre en place un « canal de signalisation interne » à partir du 17 décembre 2023 au plus tard ; les entreprises occupant moins de 50 salariés sont libres de décider de la mise en place d’un tel canal de signalisation.

Une amende administrative de 1 500 à 250 000 euros peut être prononcée à l’encontre des entreprises qui n’établissent pas les canaux et les procédures permettant les signalements internes et leur suivi. Le pouvoir de surveillance et de sanction appartient à 22 autorités compétentes et dans certains cas à l’Office des signalements, organisme étatique créé pour les besoins de la cause sous l’autorité du Ministère de la Justice.

La personne désirant effectuer un signalement peut le faire par le biais du canal de signalement interne ou directement par un canal de signalement externe mis en place auprès des autorités compétentes. Lorsqu’aucune mesure appropriée n’a été prise en réponse au signalement dans un délai de 3 mois, ou si le lanceur d’alerte a des motifs raisonnables de croire d’office qu’il existe un danger imminent ou manifeste pour l’intérêt public, ou qu’il existe un risque de représailles, il ou elle peut directement divulguer au public ses informations, sans passer par un canal de signalement tout en bénéficiant de la protection de la loi sous rubrique.

La protection consiste, d’une part en une obligation de confidentialité au sujet de l’identité du lanceur d’alerte, et d’autre part dans l’interdiction pour l’employeur de prendre des mesures de représailles. Le lanceur d’alerte peut demander la nullité d‘éventuelles mesures de représailles et réclamer des dommages et intérêts. Dans ce cas, il est présumé que le préjudice a été causé en représailles au signalement ou à la divulgation publique et il appartient à l’employeur qui a pris la mesure préjudiciable d’établir les motifs au fondement de cette dernière. Par ailleurs, la personne qui signale une violation présumée du droit européen et/ou du droit national n’encourt aucune responsabilité concernant le signalement ou la divulgation, pour autant que l’obtention de l’information ne constitue pas une infraction pénale. Seule la personne qui a sciemment signalé ou divulgué de fausses informations pourra se voir infliger une sanction pénale et pourra voir sa responsabilité civile engagée en réparation du préjudice causé par le faux signalement.

Le canal de signalisation interne à mettre en place par les entreprises peut être géré en interne par un collaborateur, ou bien par un service / unité désigné(e) à cet effet. La gestion peut également être assurée par un tiers (externalisation). Les entreprises qui comptent entre 50 et 249 salariés peuvent partager des ressources en ce qui concerne la réception des signalements et le suivi à effectuer. La gestion des signalements doit être conçue et effectuée de manière sécurisée afin de garantir la confidentialité de l’identité des auteurs des signalements et de toute personne mentionnée dans le signalement. Ce dernier doit pouvoir se faire par écrit (mise en place d’une boîte aux lettres « physique » ou bien électronique) ou oralement (téléphone, messagerie vocale), voire sur demande de l’auteur de signalement, par le biais d’une rencontre avec une personne mandatée dans un délai raisonnable. Un accusé de réception est à adresser à l’auteur du signalement dans un délai de sept jours à compter de la réception du signalement. L’entreprise doit alors désigner une personne ou un service impartial compétent pour assurer le suivi des signalements, qui peut être la même personne ou le même service / unité que celle ou celui qui reçoit les signalements et qui maintiendra la communication avec l’auteur de signalement et, si nécessaire, lui demandera d’autres informations et lui fournira un retour d’informations. Dans un délai raisonnable n’excédant pas trois mois le lanceur d’alerte devra recevoir des informations relatives à la suite réservée à son signalement.

Les autorités compétentes (CSSF, ITM, ILR, etc.) doivent publier sur leur site internet, aisément identifiable et accessible, toutes les informations utiles concernant :

• l’utilisation des canaux de signalement,
• le régime de confidentialité applicable aux signalements (notamment le traitement des données à caractère personnel),
• la nature du suivi à assurer en ce qui concerne les signalements.

Contact :

^[1] Loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union. Mémorial A n°232, du 17 mai 2023