Confidentialité et protection juridique, expliquées

Deux protections différentes, souvent confondues

La « confidentialité » et la « protection juridique » sont souvent évoquées comme une seule et même chose, mais la directive les traite comme deux garanties distinctes, dans deux articles différents, remplissant deux fonctions différentes : l'article 16 contrôle qui est autorisé à connaître l'identité d'un lanceur d'alerte ; l'article 21 contrôle si l'acte de signaler peut être utilisé contre lui dans une procédure judiciaire. Un canal — ou une entreprise — peut réussir sur l'un et échouer sur l'autre.

L'obligation de confidentialité : qui est autorisé à savoir

L'art. 16(1) est direct : l'identité d'un lanceur d'alerte ne peut être divulguée à personne au-delà du personnel autorisé compétent pour recevoir ou assurer le suivi des signalements, sans le consentement explicite de ce lanceur d'alerte. Pas « gardée raisonnablement privée » — restreinte, par défaut, à une catégorie précise et nommée de personnes.

Les secrets d'affaires font l'objet de leur propre version de la même obligation : l'art. 16(4) exige qu'une autorité compétente recevant un signalement contenant des secrets d'affaires ne les utilise ni ne les divulgue au-delà de ce qui est nécessaire pour un suivi approprié. La confidentialité ne concerne pas seulement le nom du lanceur d'alerte — elle s'étend aux éléments sensibles que le signalement lui-même peut contenir.

Quand la confidentialité peut être levée — et ce qui doit se passer avant

L'art. 16(2) autorise la divulgation de l'identité d'un lanceur d'alerte lorsqu'elle constitue une obligation nécessaire et proportionnée au titre du droit de l'Union ou du droit national — dans le cadre d'une enquête menée par une autorité nationale, ou d'une procédure judiciaire. Ce n'est pas une échappatoire qu'une entreprise peut invoquer à volonté ; c'est spécifiquement lié à une procédure judiciaire déjà en cours. Même alors, l'art. 16(3) exige des garanties appropriées, et le lanceur d'alerte doit en être informé par écrit avant que la divulgation n'ait lieu — sauf si l'en informer à l'avance risquerait de compromettre l'enquête ou la procédure dont elle fait partie.

Le bouclier de responsabilité : le fait de signaler ne peut pas être retenu contre vous

Séparément de la confidentialité, l'art. 21 protège un lanceur d'alerte contre une catégorie de conséquence juridique qui préexistait entièrement à la directive : être poursuivi ou attaqué en justice pour l'acte même de signaler. Deux protections spécifiques :

• L'obtention ou l'accès à l'information. L'art. 21(3) protège un lanceur d'alerte contre toute responsabilité liée à la manière dont il a obtenu l'information qu'il a signalée ou divulguée — à condition que l'obtenir n'ait pas constitué en soi une infraction pénale distincte et autonome. Lire un document qui ne vous a pas été envoyé mais auquel vous aviez légitimement accès n'est pas sanctionné simplement parce que cela a mené à un signalement ; s'introduire dans un système pour l'obtenir serait une tout autre affaire, hors de cette protection.
• Être poursuivi au sujet du signalement lui-même. L'art. 21(7) protège un lanceur d'alerte contre toute responsabilité dans une procédure judiciaire pour diffamation, atteinte au droit d'auteur, violation du secret, violation des règles de protection des données, divulgation de secrets d'affaires, ou demandes d'indemnisation au titre du droit du travail privé, public ou collectif — lorsque cette procédure est engagée en raison du signalement. Un lanceur d'alerte peut invoquer le fait d'avoir fait un signalement protégé pour demander purement et simplement le rejet d'une telle action.

Les deux protections partagent la même condition préalable que le reste des protections de la directive : le lanceur d'alerte doit avoir des motifs raisonnables de croire que l'information était vraie et que la signaler était nécessaire pour révéler la violation (art. 6(1)) — pas une certitude, mais une croyance réelle et raisonnable, pas une supposition ni une affirmation délibérément fausse.

Ce que le bouclier ne couvre pas

L'art. 21(4) trace une frontière claire : la responsabilité pour des actes ou omissions sans lien avec le signalement ou la divulgation publique elle-même reste régie par le droit ordinaire, comme toujours. Le bouclier protège le signalement — il n'immunise pas rétroactivement une faute sans rapport simplement parce que la même personne a aussi fait un signalement à un moment donné.

Fondement juridique

• Art. 16(1), directive (UE) 2019/1937 — l'identité restreinte au personnel autorisé, sans le consentement explicite du lanceur d'alerte.
• Art. 16(2)–(3) — l'exception étroite pour les enquêtes ou procédures judiciaires, et les garanties et l'obligation d'information préalable qui l'accompagnent.
• Art. 16(4) — l'obligation parallèle couvrant les secrets d'affaires contenus dans un signalement.
• Art. 6(1) — la condition préalable des « motifs raisonnables de croire », commune à l'ensemble des protections de la directive.
• Art. 21(3) — l'exemption de responsabilité pour l'obtention ou l'accès à l'information signalée.
• Art. 21(4) — la limite : les actes ou omissions sans lien restent régis par le droit ordinaire.
• Art. 21(7) — l'exemption de responsabilité dans les procédures judiciaires engagées en raison du signalement lui-même (diffamation, droit d'auteur, secret, protection des données, secrets d'affaires, droit du travail).