Existe-t-il une procédure de signalement interne protégée ?
Réponse courte
Il existe une procédure de signalement interne protégée au Luxembourg, encadrée par la loi du 16 mai 2023 relative à la protection des personnes qui signalent des violations du droit national. Cette procédure permet aux salariés et à toute personne en lien professionnel avec l’employeur de signaler, en toute sécurité et confidentialité, des violations effectives ou potentielles du droit luxembourgeois.
Les employeurs du secteur privé comptant au moins 50 salariés sont légalement tenus de mettre en place ce dispositif. Celui-ci doit garantir la confidentialité, la protection contre toute forme de représailles, menaces ou tentatives de représailles, ainsi que le respect des délais de traitement. Le lanceur d’alerte a le droit de choisir entre le canal interne et le canal externe de signalement, conformément à l’article 7 de la loi du 16 mai 2023. Le non-respect de cette obligation expose l’employeur à des sanctions administratives et pénales.
Définition
La procédure de signalement interne protégée désigne le dispositif mis en place par un employeur pour permettre à ses salariés et à toute personne en lien professionnel de signaler, en toute sécurité et sans risque de représailles, des violations effectives ou potentielles du droit luxembourgeois dans le cadre professionnel.
Cette procédure vise à garantir la confidentialité de l'identité du lanceur d’alerte, des personnes concernées par le signalement et de toute information recueillie, conformément à la loi du 16 mai 2023 relative à la protection des personnes qui signalent des violations du droit national. La protection de l’identité s’applique à toute personne mentionnée dans le signalement.
Conditions d’exercice
Le droit de signalement interne est ouvert à toute personne ayant acquis des informations sur des violations dans un contexte professionnel, y compris les salariés, anciens salariés, candidats à l’embauche, travailleurs intérimaires, stagiaires, bénévoles, actionnaires, membres de l’organe d’administration, ainsi que les cocontractants et sous-traitants.
Le signalement peut être effectué par voie interne ou externe, au choix du lanceur d’alerte. Il doit porter sur des faits constituant une violation du droit luxembourgeois dans des domaines spécifiquement énumérés par la loi, tels que la lutte contre la corruption, la fraude fiscale, la santé publique, la protection de l’environnement, ou la sécurité des produits et des transports.
Le lanceur d’alerte doit avoir des motifs raisonnables de croire que les informations signalées sont véridiques au moment du signalement. Toute forme de représailles, menace ou tentative de représailles à l’encontre du lanceur d’alerte est strictement interdite.
Modalités pratiques
Les employeurs du secteur privé comptant au moins 50 salariés sont tenus de mettre en place une procédure de signalement interne conforme à la loi. Cette procédure doit permettre le signalement par écrit, oralement, et lors d’une rencontre physique, sans condition, conformément à l’article 12(2) de la loi du 16 mai 2023.
Le lanceur d’alerte doit pouvoir demander une rencontre physique dans un délai raisonnable. La procédure doit garantir l’indépendance et l’absence de conflit d’intérêts des personnes ou du service chargé de recevoir et de traiter les signalements, conformément à l’article 12(4) de la loi du 16 mai 2023.
Un accusé de réception doit être adressé au lanceur d’alerte dans les sept jours suivant la réception du signalement. Lors de cet accusé de réception, le lanceur d’alerte doit être informé des modalités de protection contre les représailles et des voies de recours disponibles, conformément à l’article 12(3) de la loi du 16 mai 2023.
Un retour d’information sur les suites données ou envisagées au signalement, y compris les motifs de cette suite ou de l’absence de suite, doit être communiqué dans un délai maximal de trois mois. Les personnes chargées de traiter les signalements doivent être spécifiquement désignées, formées à la gestion de la confidentialité et à la protection des données, et agir en toute indépendance.
La procédure doit être facilement accessible et clairement communiquée à l’ensemble du personnel. L’employeur doit informer explicitement les salariés sur les modalités d’accès au canal externe de signalement, en précisant les autorités compétentes (par exemple, l’Inspection du travail et des mines - ITM, la Commission nationale pour la protection des données - CNPD, l’Administration de l’enregistrement, des domaines et de la TVA - AED, etc.).
L’acceptation des signalements anonymes est facultative pour l’employeur. Si la procédure accepte les signalements anonymes, elle doit en préciser les modalités de gestion.
La durée de conservation des données relatives aux signalements doit être strictement limitée à ce qui est nécessaire au traitement du signalement, conformément à l’article 17 de la loi du 16 mai 2023.
Pratiques et recommandations
Il est recommandé de formaliser la procédure de signalement interne dans une politique écrite, annexée au règlement d’ordre intérieur ou diffusée par note de service. La politique doit détailler les canaux de signalement (interne et externe), les garanties de confidentialité, les délais de traitement, ainsi que les mesures de protection contre toute forme de représailles, menaces ou tentatives de représailles.
Il est conseillé de sensibiliser régulièrement le personnel à l’existence de la procédure et à ses modalités d’utilisation, y compris la possibilité de signalement anonyme si elle est acceptée. Les employeurs doivent veiller à la traçabilité des signalements et à la conservation sécurisée des dossiers, dans le respect des obligations en matière de protection des données à caractère personnel.
La désignation d’un référent indépendant, distinct de la hiérarchie directe, est préconisée pour renforcer la confiance dans le dispositif. Le lanceur d’alerte doit être informé du traitement de ses données à caractère personnel, conformément au RGPD et à la loi du 16 mai 2023.
Cadre juridique
La procédure de signalement interne protégée est régie par la loi du 16 mai 2023 relative à la protection des personnes qui signalent des violations du droit national, telle que modifiée. Cette loi transpose au Luxembourg les exigences nationales en matière de protection des lanceurs d’alerte et précise les obligations des employeurs, les droits des lanceurs d’alerte, ainsi que les sanctions applicables en cas de manquement.
Les dispositions spécifiques du Code du travail relatives à la protection contre les représailles et à la confidentialité s’appliquent également. La Commission nationale pour la protection des données (CNPD) est compétente pour contrôler le respect des obligations en matière de traitement des données issues des signalements. L’Inspection du travail et des mines (ITM) et d’autres autorités sectorielles sont compétentes pour recevoir les signalements externes et assurer la protection des lanceurs d’alerte.
Note
Tout manquement à l’obligation de mettre en place une procédure de signalement interne protégée expose l’employeur à des sanctions administratives et pénales. Il est impératif de veiller à la conformité du dispositif, notamment en matière de confidentialité, de protection contre toute forme de représailles, menaces ou tentatives de représailles, et d’information sur les droits du lanceur d’alerte, sous peine de nullité des mesures disciplinaires prises à l’encontre d’un lanceur d’alerte et d’engagement de la responsabilité de l’employeur.
L’information sur le traitement des données à caractère personnel et la durée de conservation des données doit être assurée à chaque étape du processus.