La loi Sapin II impose aux acteurs publics et aux acteurs privés de plus de 50 salariés de mettre en place des procédures de recueil des signalements. Une fois recueillis, les signalements doivent être traités. Il est donc nécessaire que les personnes soumises à cette obligation mettent en place une procédure précisant les différents canaux possibles pour effectuer un signalement, informant sur les étapes à respecter pour qu’un signalement soit traité, les personnes en charge du traitement, les règles de sécurité mises en place pour assurer la confidentialité des informations transmises ainsi que les modalités d’accès aux informations exploitées dans le cadre du traitement du signalement 1 .
Au préalable, déterminer la recevabilité du signalement
Une fois le signalement reçu via un des canaux mis à disposition par l’entreprise (ligne téléphonique, adresse électronique, plateforme externalisée etc.), il est nécessaire d’adresser une confirmation de réception au lanceur d’alerte 2 . Cette confirmation doit être réalisée dans un délai raisonnable (en général dans les 24/48h). Dès ce stade, il est utile de rappeler les règles relatives à la durée de conservation des données relatives à une alerte et ainsi de préciser au lanceur d’alerte que lorsqu’aucune suite n’est donnée à une alerte rentrant dans le champ du dispositif, les données relatives à celle-ci sont détruites ou anonymisées dans un délai de deux mois à compter de la clôture des opérations de vérification 3 . Il est également pertinent de rappeler au lanceur d’alerte le cadre légal sur la protection des lanceurs d’alerte en France.
Afin d’avoir le maximum d’informations nécessaires à l’étude de la recevabilité du signalement, il s’avère très utile de mettre en place un formulaire de questions pour que le lanceur d’alerte précise certains éléments, notamment s’agissant de : l’identification de(s) personne(s) impliquée(s), le(s) processus concerné(s), les fait(s) visé(s).
Des échanges confidentiels avec le lanceur d’alerte peuvent ensuite être initiés afin que ce dernier complète certains éléments. Le référent (interne ou externe) désigné pour étudier la recevabilité du signalement va donc prendre en considération ces éléments et déterminer si l’alerte est recevable ou non. Pour ce faire, il peut solliciter le conseil d’un cabinet d’avocats spécialisé en la matière.
Si l’alerte est jugée non recevable, le lanceur d’alerte devra en être informé 4 et les données détruites dans le délai de deux mois prévu. Si l’alerte est jugée recevable, une enquête interne doit être initiée. Là encore, le support d’un cabinet d’avocats spécialisé en la matière peut être sollicité.
En cas de signalement recevable, mettre en œuvre une enquête interne
Afin de pouvoir diligenter une enquête interne, il est nécessaire d’avoir au préalable et conformément aux recommandations de l’AFA, formaliser une procédure d’enquête. Celle-ci doit préciser les critères de déclenchement et les modalités de réalisation de cette enquête. Il faut également désigner les personnes en charge de l’enquête, qui doit être assurée par des personnes ayant les compétences nécessaires et qui sont désignées par l’instance dirigeante. Il peut être décidé de former un comité d’enquête.
L’enquête interne est aujourd’hui, non pas régie par un cadre légal déterminé, mais par un ensemble de bonnes pratiques qui ont été formalisées par les praticiens qui conduisent souvent ces enquêtes, les avocats 5 .
Il est utile de s’y référer afin de traiter au mieux les alertes réceptionnées par les canaux de signalement mis en place et jugées recevables :
- Mise en place d’un plan d’enquête : Il précise la nature et l’étendue des faits investigués, les personnes impliquées, le calendrier des diligences à réaliser, si l’enquête est externalisée ou non, s’il est fait recours à un support externe pour la collecte et l’analyse des documents et dans quelles conditions, les modalités de collecte de documents/informations et les entretiens à réaliser avec le personnel.
- Collecte et revue des documents professionnels : Pour venir confirmer/infirmer les faits par des éléments concrets, il est très souvent nécessaire de procéder à une collecte de documents professionnels, notamment via les boîtes mails professionnelles. Cette collecte doit être réalisée dans le respect du droit à la vie privée. En application de l’obligation de loyauté de l’employeur qui se traduit par une obligation d’information sur les dispositifs mis en œuvre pour collecter des informations personnelles du salarié 6 et de l’obligation d’information des articles 12 à 14 du RGPD, il est ainsi préconisé de bien informer les salariés en amont de la collecte et d’instaurer un dialogue pour que leurs données personnelles soient bien exclues du champ des données traitées. Il est également nécessaire de mettre en œuvre les mesures permettant de garantir l’intégrité des données en amont de la collecte, en adressant notamment un avis de conservation de documents aux personnes visées par la collecte. L’objectif est d’éviter toute tentative d’effacement ou d’altération de données utiles au déroulement de l’enquête. S’il est fait appel à un tiers pour l’assistance à la collecte et la revue des documents, il est nécessaire de prendre les précautions nécessaires pour que la confidentialité des éléments traités et des personnes impliquées soient garanties.
- Entretiens avec les personnes susceptibles de détenir des informations pertinentes : Ils visent à apporter des éclairages et des précisions sur les faits et les documents collectés. Toujours en application de l’obligation de loyauté de l’employeur et pour assurer une pleine coopération des personnes pouvant être entendues, il est vivement conseillé de mettre en œuvre certaines bonnes pratiques au cours des entretiens. Avant le début de l’entretien, il est ainsi recommandé d’informer la personne entendue sur le(s) fait(s) ) à l’origine de l’enquête, lui indiquer que l’entretien n’a pas de caractère coercitif, de sa possibilité d’y mettre un terme et du caractère confidentiel de l’enquête. Il est également conseillé de l’informer des thématiques qui seront abordées, de lui mettre à disposition les éventuels documents sur lesquels elle sera interrogée et de son droit de se faire assister ou conseiller par un avocat, lorsqu’il apparaîtra avant ou pendant son audition, qu’elle puisse être mise en cause. Enfin, il est également préconisé de l’informer que ses propos pourront être retranscrits dans le rapport d’enquête.
- Rédaction du rapport d’enquête : Le rapport d’enquête reprend l’ensemble des actes d’investigation réalisés et à vocation à confirmer ou infirmer la matérialité, l’étendue voire la réalité des faits objets du signalement. Il permet d’identifier éventuellement des faits susceptibles d’engendrer des suites disciplinaires ou judiciaires et les responsabilités de certains individus dans la survenance de ces faits. Il constitue une base sur laquelle le référent enquête ou le comité d’enquête se fonde pour déterminer les suites à donner à l’alerte et à l’enquête. Elles sont au nombre de trois : la clôture de l’alerte avec information du lanceur d’alerte ou bien alors l’initiation de suites contentieuses (pénales ou prud’homales) ou de suites disciplinaires contre les personnes impliquées dans les faits révélés par l’alerte et étayés par l’enquête.
1 « Comment mettre en place un dispositif d’alerte conforme à la loi Sapin II ? », Data Legal Drive.
2 Référentiel Alertes Professionnelles, point 8.3.3 Information spécifique du lanceur de l’alerte : conformément à l’article 13 du RGPD, les personnes qui émettent un signalement via le dispositif doivent recevoir les informations relatives au traitement dès le début du processus du recueil de l’alerte.
3 Référentiel Alertes Professionnelles, point 7.1 Les durées de conservation.
4 Référentiel Alternes Professionnelles, point 8.3.3 Information spécifique du lanceur de l’alerte : Lorsqu’une décision sur les suites de l’alerte a été prise par le responsable du traitement, l’auteur de l’alerte en est informé.
5 Guide CNB « L’avocat français et les enquêtes internes » ; Annexe XXIV « Vademecum de l’avocat chargé d’une enquête interne » ; Livre blanc Vigo « Les enquêtes internes » ; Rapport sur les droits de la défense des personnes physiques dans l’enquête interne de mars 2021 établi par un groupe de travail d’avocats Dirigé par Dorothée Hever, avocat au Barreau de Paris.
6 Article L1222-4 du code du travail (« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance »).
