Comment mettre en place un canal de signalement conforme à la législation ?
Réponse courte
Toute entité employant au moins 50 salariés doit mettre en place un canal de signalement interne permettant de signaler des violations de manière confidentielle. Le dispositif doit garantir la protection des lanceurs d'alerte, prévoir des délais de traitement (7 jours pour l'accusé réception, 3 mois maximum pour le traitement) et respecter les obligations en matière de protection des données.
Définition
Le canal de signalement est un dispositif permettant à toute personne concernée (salariés, anciens salariés, candidats, prestataires, actionnaires) de signaler des violations du droit ou des comportements contraires à l'éthique professionnelle, conformément à la loi du 16 mai 2023 relative à la protection des lanceurs d'alerte.
Conditions d’exercice
- Obligation applicable aux entités d'au moins 50 salariés (Art. 8, loi du 16 mai 2023)
- Possibilité de mutualisation pour les entreprises de moins de 250 salariés
- Consultation obligatoire de la délégation du personnel (Art. L.414-3 Code du travail)
- Désignation de personnes compétentes et indépendantes pour le traitement
- Respect des principes de confidentialité et de protection des données
Modalités pratiques
- Mise en place de canaux écrits, oraux et physiques (Art. 9, loi du 16 mai 2023)
- Accusé de réception sous 7 jours calendaires
- Traitement dans un délai maximum de 3 mois
- Protection de l'identité des personnes concernées
- Réalisation d'une AIPD si risque élevé (Art. 35 RGPD)
- Documentation des procédures et traçabilité des opérations
Pratiques et recommandations
- Formalisation de la procédure dans un document interne
- Formation des personnes en charge du traitement
- Information claire des salariés sur le dispositif
- Mise en place de mesures de sécurité techniques et organisationnelles
- Suivi régulier et mise à jour du dispositif
- Conservation sécurisée des données liées aux signalements
Cadre juridique
- Loi du 16 mai 2023 relative à la protection des lanceurs d'alerte (Art. 8-13)
- Code du travail luxembourgeois (Art. L.414-3)
- Loi modifiée du 1er août 2018 relative à la protection des données
- Règlement (UE) 2016/679 (RGPD)
- Lignes directrices CNPD sur les dispositifs d'alerte
Note
La non-conformité du dispositif peut entraîner des sanctions administratives et pénales. Une attention particulière doit être portée à la consultation de la délégation du personnel et à la réalisation de l'analyse d'impact relative à la protection des données.