La loi Sapin II (et la loi Waserman) en France, expliquées

Une modification d'une loi existante, pas une loi bâtie de zéro

La directive européenne sur les lanceurs d'alerte — directive (UE) 2019/1937 — impose aux entreprises de 50 salariés ou plus dans l'UE de donner à leurs employés un moyen protégé et interne de signaler des faits répréhensibles ; voir la directive, expliquée pour le socle complet sur lequel chaque État membre s'appuie.

La France disposait déjà d'un dispositif de lancement d'alerte — la loi Sapin II (loi n° 2016-1691), depuis 2016 — des années avant l'existence de la directive. Son article 8 imposait déjà aux personnes morales (publiques et privées) de 50 salariés ou plus de mettre en place une procédure de signalement interne, en vertu d'un décret d'application de 2017. Plutôt que de remplacer ce dispositif à l'arrivée de la directive, la France a modifié la loi Sapin II sur place, par ce qu'on appelle universellement la loi Waserman : une loi ordinaire (n° 2022-401) et une loi organique d'accompagnement (n° 2022-400) renforçant le rôle du Défenseur des droits, toutes deux datées du 21 mars 2022. Les dispositions de fond de la loi Waserman sont entrées en vigueur le 1er septembre 2022, avec un nouveau décret d'application (n° 2022-1284, en vigueur depuis le 5 octobre 2022) remplaçant celui de 2017 et précisant concrètement à quoi doit ressembler une procédure interne.

Ce que la loi Waserman a réellement changé

Trois changements comptent le plus pour une entreprise qui met en place ou revoit un canal aujourd'hui :

• Fin du passage obligatoire par le canal interne en premier. Avant la loi Waserman, un lanceur d'alerte devait généralement essayer le canal interne avant d'aller vers l'externe. La loi Waserman a supprimé cette hiérarchie : un lanceur d'alerte peut désormais choisir librement entre signaler en interne, s'adresser directement à une autorité externe (le Défenseur des droits, une autorité judiciaire, ou un organe compétent de l'UE), ou — dans des circonstances plus restreintes — procéder à une divulgation publique. Une entreprise ne peut plus supposer que chaque signalement passera d'abord par elle.
• Les facilitateurs sont eux aussi protégés, et plus largement que ne l'exige la directive. La directive ne protège un facilitateur que s'il s'agit d'une personne physique qui aide un lanceur d'alerte dans un contexte professionnel. La loi Waserman va plus loin, en étendant la même protection aux personnes morales à but non lucratif qui aident quelqu'un à signaler — un syndicat ou une ONG qui accompagne un lanceur d'alerte est lui-même couvert, pas seulement les personnes qui le composent.
• L'amende pour procédure abusive a doublé. Engager une action en justice abusive ou dilatoire contre un lanceur d'alerte pour le faire taire était déjà passible d'une amende civile sous la loi Sapin II d'origine. La loi Waserman a relevé le plafond de cette amende de 30 000 € à 60 000 € (art. 13 II) — voir plus loin.

Consulter le CSE en premier, et qui d'autre est concerné

Deux détails pratiques à connaître avant de mettre en place un canal en France :

• Le CSE doit être consulté avant que la procédure ne soit finalisée. Cela découle de l'article 8(1) de la directive elle-même, qui impose aux États membres de veiller à ce que les canaux soient établis après consultation des partenaires sociaux — voir ce qu'un canal conforme exige réellement pour cette base commune à toute l'UE. La France la met en œuvre concrètement via le décret d'application de 2022, qui impose de consulter le Comité social et économique (CSE) — ou l'instance de dialogue social équivalente pour une entité publique — sur le fonctionnement de la procédure interne, avant sa mise en place, et non après. Sauter cette étape n'est pas une simple lacune formelle ; c'est un véritable vice de procédure dans la façon dont le canal a été mis en place.
• Le secteur public est lui aussi concerné, avec une exception. Le décret s'applique aux personnes morales de droit public employant au moins 50 agents — le même seuil que dans le secteur privé — à l'exception des communes de moins de 10 000 habitants, qui échappent entièrement à l'obligation.

Une simple adresse e-mail suffit-elle ?

Les textes ne l'excluent pas. Le décret n° 2022-1284 permet à la procédure de recueillir les signalements par écrit ou par oral (art. 4), et exige qu'elle garantisse l'intégrité et la confidentialité des informations recueillies, y compris l'identité de l'auteur du signalement, des personnes visées et de tout tiers mentionné, et qu'elle en interdise l'accès aux membres du personnel non autorisés (art. 6). Une adresse dédiée que seuls les gestionnaires désignés peuvent ouvrir peut y répondre. Une boîte partagée à laquelle les administrateurs, les archives et les règles de transfert ont aussi accès est bien plus difficile à défendre. Voir « Une adresse e-mail suffit-elle comme canal de signalement ? » pour ce qu'une boîte mail doit réunir, et « Google Forms comme dispositif d'alerte : est-ce possible ? » pour l'alternative du formulaire.

Les sanctions, et qui les fait appliquer

L'article 13 de la loi Sapin II prévoit deux conséquences financières distinctes, visant des comportements différents :

• Faire obstacle à un signalement. Quiconque fait obstacle, de quelque manière que ce soit, à la transmission d'un signalement encourt jusqu'à 1 an d'emprisonnement et 15 000 € d'amende (art. 13 I). Pour une entreprise plutôt qu'un individu, le multiplicateur standard du droit pénal français pour les personnes morales s'applique (Code pénal, art. 131-38) : jusqu'à cinq fois le maximum prévu pour un individu, soit jusqu'à 75 000 €.
• Engager une action de mauvaise foi contre un lanceur d'alerte. Séparément, une amende civile pouvant aller jusqu'à 60 000 € peut être prononcée contre quiconque engage une action abusive ou dilatoire contre une personne en raison de ce qu'elle a signalé ou divulgué (art. 13 II) — en plus de, et non à la place de, tous dommages et intérêts obtenus par ailleurs par le lanceur d'alerte.

En dehors de l'entreprise, le Défenseur des droits est le principal interlocuteur pour un lanceur d'alerte qui souhaite s'adresser à l'externe. Son rôle n'est pas d'instruire lui-même chaque signalement — lorsque le sujet relève d'un régulateur spécialisé, il l'y réoriente. Par ailleurs, l'article 14-1 (ajouté par la loi Waserman) permet à une autorité compétente d'accorder à un lanceur d'alerte un soutien psychologique, et une aide financière temporaire lorsque le signalement a gravement nui à sa situation financière — une mesure discrétionnaire qu'une autorité peut accorder, non un droit automatique.

Comment cela se compare au HinSchG allemand

Les chiffres phares ici — 15 000 € et jusqu'à un an de prison — paraissent modestes en comparaison des amendes administratives allemandes pouvant atteindre 50 000 €, mais les deux ne mesurent pas la même chose : en France, il s'agit d'une sanction pénale visant une personne qui fait activement obstacle à un signalement, pas d'une amende administrative infligée à l'entreprise pour une lacune de procédure. Ne lisez pas un chiffre plus bas comme une barre moins exigeante — la suppression du passage obligatoire par le canal interne signifie qu'un canal interne mal géré a ici plus de chances d'être tout simplement contourné que dans une juridiction où les lanceurs d'alerte sont encore censés essayer d'abord la voie interne.

Fondement juridique

• Article 8, loi n° 2016-1691 (Sapin II) — l'obligation initiale de procédure interne pour les entités de 50 salariés ou plus.
• Article 13, loi n° 2016-1691 (Sapin II), tel que modifié — la sanction pour obstacle et l'amende civile pour procédure abusive.
• Loi n° 2022-401 du 21 mars 2022 (« loi Waserman ») — la loi modificative, incluant la suppression du passage obligatoire par le canal interne et l'extension de la protection des facilitateurs.
• Art. 131-38, Code pénal — le multiplicateur standard ×5 appliquant une amende pénale prévue pour un individu à une personne morale.
• Art. 8(1), Directive (UE) 2019/1937 — la base commune à toute l'UE imposant la consultation des partenaires sociaux, que la France met en œuvre via l'obligation de consultation du CSE ci-dessous.
• Article 14-1, loi n° 2016-1691, tel que modifié — soutien psychologique et aide financière temporaire discrétionnaire pour un lanceur d'alerte, accordés par une autorité compétente.
• Décret n° 2022-1284 du 3 octobre 2022 — le décret d'application relatif aux procédures de signalement interne : l'art. 1 fixe le champ d'application dans le secteur public (seuil de 50 agents, à l'exception des communes de moins de 10 000 habitants), l'art. 3 impose de consulter le CSE, ou l'instance de dialogue social équivalente, avant de finaliser la procédure, l'art. 4 permet de recueillir les signalements par écrit ou par oral, et l'art. 6 impose intégrité, confidentialité et absence d'accès pour le personnel non autorisé.