Que risque l’entreprise si elle révèle l’identité du lanceur d’alerte ?
Réponse courte
La révélation de l’identité du lanceur d’alerte par l’entreprise constitue une violation de l’obligation de confidentialité prévue par la loi du 16 mai 2023 et le Code du travail luxembourgeois. Cette infraction expose l’entreprise à une amende pénale comprise entre 1 251 et 25 000 euros.
En plus de la sanction pénale, l’entreprise engage sa responsabilité civile et peut être condamnée à réparer le préjudice moral ou matériel subi par le lanceur d’alerte. La divulgation non autorisée peut également porter atteinte à la réputation de l’entreprise.
Définition
Le lanceur d’alerte est une personne physique qui signale ou divulgue, dans un contexte professionnel, des informations concernant des violations effectives ou potentielles du droit luxembourgeois, dont elle a eu connaissance dans le cadre de ses activités professionnelles. La protection du lanceur d’alerte vise à garantir la confidentialité de son identité et à prévenir toute mesure de représailles, discrimination ou traitement défavorable à son encontre.
La révélation de l’identité du lanceur d’alerte par l’employeur constitue une violation de l’obligation de confidentialité prévue par la loi du 16 mai 2023 relative à la protection des lanceurs d’alerte, transposée dans le Code du travail luxembourgeois.
Conditions d’exercice
La protection de l’identité du lanceur d’alerte s’applique dès lors que le signalement est effectué de bonne foi, sur la base d’informations véridiques ou raisonnablement présumées comme telles, et selon les modalités prévues par la loi. Cette protection concerne les signalements internes, externes et les divulgations publiques, sous réserve du respect des conditions légales.
L’obligation de confidentialité s’impose à toute personne ou entité recevant ou traitant le signalement, sans limitation de durée, sauf si la divulgation est requise par une disposition légale expresse ou une décision judiciaire. L’entreprise doit également garantir la confidentialité de l’identité de toute personne concernée par le signalement et de toute tierce personne mentionnée.
Modalités pratiques
L’entreprise doit mettre en place des procédures internes permettant d’assurer la confidentialité de l’identité du lanceur d’alerte à chaque étape du traitement du signalement. L’accès aux informations identifiantes doit être strictement limité aux personnes habilitées et nécessaires au traitement du dossier.
Toute communication ou divulgation non autorisée de l’identité du lanceur d’alerte, qu’elle soit volontaire ou par négligence, engage la responsabilité de l’entreprise. En cas de recours à des sous-traitants ou prestataires externes, l’entreprise demeure responsable du respect de la confidentialité. Il est impératif de documenter les mesures prises pour garantir la traçabilité et la sécurité des données.
Pratiques et recommandations
Il est recommandé de former les personnes en charge du traitement des alertes à la gestion confidentielle des signalements et de mettre en place des protocoles de sécurité informatique et organisationnelle adaptés. L’entreprise doit sensibiliser l’ensemble du personnel à l’importance de la confidentialité et à l’interdiction de toute mesure de représailles.
En cas de demande d’accès à l’identité du lanceur d’alerte par une autorité ou une partie tierce, l’entreprise doit vérifier la légitimité de la demande et, le cas échéant, informer le lanceur d’alerte avant toute divulgation, sauf si cela compromet l’enquête ou la procédure judiciaire. Il est également conseillé de tenir un registre sécurisé des signalements et des accès aux informations sensibles.
Cadre juridique
- Loi du 16 mai 2023 relative à la protection des lanceurs d’alerte (Mémorial A n° 215 du 17 mai 2023)
- Code du travail luxembourgeois :
- Sanctions :
- Autres obligations :
- Respect du principe d’égalité de traitement (L.414-3)
- Traçabilité et documentation des procédures internes
Note
La divulgation de l’identité d’un lanceur d’alerte expose l’entreprise à des sanctions pénales, civiles et à une atteinte à sa réputation. Il est impératif de sécuriser les procédures internes, de sensibiliser les responsables à la confidentialité absolue requise et de garantir la traçabilité des accès aux informations sensibles.