Le délai de 7 jours / 3 mois pour le retour d'information, expliqué

Deux délais, tous deux démarrant dès qu'un signalement arrive

L'article 9 de la directive (UE) 2019/1937 fixe deux délais qui s'appliquent à chaque signalement interne, et ils mesurent des choses différentes :

• L'accusé de réception, sous 7 jours à compter de la réception. Une simple confirmation que le signalement est bien arrivé.
• Le retour d'information, dans un délai raisonnable n'excédant pas 3 mois à compter de l'accusé de réception — ou, si aucun accusé de réception n'a été envoyé, 3 mois à compter de la fin de cette fenêtre de 7 jours à la place. Dans les deux cas, le délai de 3 mois est ancré au point de l'accusé de réception, pas à un moment ultérieur et plus vague de « on s'en occupera ».

Ces deux délais existent parce qu'ils répondent à des questions différentes pour le lanceur d'alerte : « est-ce arrivé quelque part de réel » (accusé de réception) et « s'est-il réellement passé quelque chose en conséquence » (retour d'information). Un canal rapide sur le premier point et silencieux sur le second n'a pas rempli l'obligation — il n'en a rempli que la moitié.

Ce que « retour d'information » signifie réellement

C'est là que la directive est plus précise que ce que la plupart des gens supposent. L'art. 5(13) définit le retour d'information comme « la communication à l'auteur de signalement d'informations sur les mesures envisagées ou prises au titre de suivi et sur les motifs de ce suivi. » C'est un résultat délibéré — dire au lanceur d'alerte ce qui est fait et pourquoi — pas simplement rester en contact avec lui. Un gestionnaire qui répond à la question d'un lanceur d'alerte, ou envoie une mise à jour de statut qui ne dit pas réellement quelle action est prise et pourquoi, n'a pas donné de retour d'information au sens de l'art. 5(13), aussi réactif que cela puisse paraître sur le moment. Le « suivi » lui-même (art. 5(12)) est défini séparément comme l'action d'investigation réellement menée pour évaluer et traiter ce qui a été signalé — le retour d'information est la communication de cette action au lanceur d'alerte, pas l'action elle-même.

Où cela peut discrètement mal tourner

Le mode d'échec habituel n'est généralement pas « nous avons oublié d'accuser réception » — l'accusé de réception automatisé est facile à bien faire. C'est de clôturer un dossier, ou de le laisser tomber dans le silence, sans jamais avoir donné de retour d'information au sens de l'art. 5(13). Des échanges de messages ordinaires avec un lanceur d'alerte ne suffisent pas, à eux seuls, à s'acquitter de l'obligation ; pas plus que de résoudre le problème sous-jacent si personne ne dit jamais au lanceur d'alerte ce qui a été fait à ce sujet. L'obligation porte spécifiquement sur le fait que cette communication ait lieu, pas seulement sur le fait que le problème sous-jacent soit réglé.

C'est précisément pourquoi Provoxis traite « retour d'information donné » comme sa propre étape explicite plutôt que de la déduire d'une autre activité. Chaque signalement reçoit son accusé de réception automatiquement, à l'instant même où il est soumis — il n'y a rien qu'un gestionnaire doive se souvenir de faire pour cette partie. Le délai de 3 mois court alors à partir de ce même instant, avec des rappels, et un dossier ne compte comme ayant satisfait à l'obligation de retour d'information que lorsqu'un gestionnaire prend la décision délibérée que le retour d'information a effectivement été donné — pas simplement parce que le dossier a été clôturé, et pas simplement parce que des messages ont été échangés.

Fondement juridique

• Art. 9, directive (UE) 2019/1937 — les délais de 7 jours pour l'accusé de réception et de 3 mois pour le retour d'information.
• Art. 5(12) — la définition du « suivi ».
• Art. 5(13) — la définition du « retour d'information ».