Ce qu'exige réellement un canal conforme

Avant le délai, il y a une exigence de conception

L'essentiel de ce qui se discute sur le volet procédural de la directive concerne le délai de 7 jours / 3 mois — voir le délai de retour d'information de 7 jours / 3 mois, expliqué. C'est l'art. 9(1)(b) et (f). Mais l'art. 9(1) s'ouvre sur une exigence qui précède tout cela : le canal lui-même doit être construit d'une manière précise. Un canal qui respecte parfaitement chaque échéance mais qui n'a jamais été conçu de façon sécurisée dès le départ n'a pas réellement satisfait à l'art. 9 — il a simplement eu de la chance jusqu'ici.

Le canal doit être sécurisé dès la conception, pas sécurisé par accident

L'art. 9(1)(a) exige que les canaux de signalement soient « conçus, établis et gérés d'une manière sécurisée qui garantit la confidentialité de l'identité de l'auteur de signalement et de tout tiers mentionné dans le signalement. » C'est une exigence portant sur la construction du canal, pas seulement sur ses résultats — une entreprise ne peut pas invoquer le fait qu'aucune fuite ne s'est encore produite comme preuve que cette exigence est satisfaite. Cela doit être vrai de la manière dont le canal a été construit, avant même qu'un seul signalement n'arrive.

En pratique, c'est exactement là qu'une boîte mail partagée ou un système de tickets générique tend à échouer — il n'existe tout simplement aucune liste d'accès énumérable. Quiconque dispose des identifiants partagés, ou figure sur une règle de transfert que personne ne se souvient avoir configurée, peut lire chaque dossier ; six mois plus tard, il est souvent réellement difficile de savoir qui a effectivement accès. L'accès à un canal dédié est un ensemble défini de comptes nommés et authentifiés au sein du compte propre de votre entreprise — pas un alias e-mail ayant accumulé des transferts pendant des années. Voir « Une adresse e-mail suffit-elle comme canal de signalement ? » pour voir à quoi cet écart ressemble réellement une fois qu'un signalement est en cours.

Par écrit, par oral, ou les deux — et le droit national peut trancher

L'art. 9(2) permet au canal d'accepter les signalements par écrit, par oral, ou les deux. Lorsqu'il recueille des signalements oraux, ceux-ci doivent être possibles « par téléphone ou via d'autres systèmes de messagerie vocale » et, si le lanceur d'alerte le demande, lors d'une rencontre physique dans un délai raisonnable. La directive, à elle seule, ne rend donc pas non conforme un canal uniquement écrit.

Le droit national va souvent plus loin. La Wbk néerlandaise exige des voies écrite et orale, ainsi qu'une rencontre sur demande. Le régulateur italien, l'ANAC, impose aux entreprises de garantir les deux formes. La France laisse le choix : le décret n° 2022-1284 permet à la procédure de recueillir les signalements par écrit ou par oral (art. 4). L'Allemagne aussi : selon l'exposé des motifs du HinSchG, l'une ou l'autre forme suffit, mais une rencontre en personne doit être possible sur demande. Vérifiez les règles de votre pays avant de retenir un canal uniquement écrit. Et même là où elle est facultative, une voie orale compte en pratique : certaines personnes ne mettront jamais une préoccupation par écrit. Voir signalements vocaux et anonymisation, expliqués simplement pour savoir comment fonctionne le canal vocal propre de Provoxis.

Mettre en place le canal est lui-même une étape de consultation, pas une décision unilatérale

L'art. 8(1) exige des États membres qu'ils veillent à ce que les canaux internes soient établis « après consultation des partenaires sociaux et en accord avec ceux-ci, lorsque le droit national le prévoit » — en termes simples, un employeur ne peut généralement pas décider unilatéralement du fonctionnement du canal et le déployer seul. La question de savoir précisément quel organe doit être consulté, et quel poids sa voix a réellement, est laissée à la transposition propre de chaque État membre — voir, par exemple, la codétermination du comité d'entreprise en Allemagne ou l'obligation de consultation du CSE en France pour voir à quoi cela ressemble concrètement dans chaque pays. L'obligation de consulter quelqu'un n'est cependant pas une particularité nationale — c'est le socle propre de la directive ; seul le mécanisme varie selon le pays.

Le gérer soi-même ou le confier à un tiers — les deux sont autorisés

L'art. 8(5) permet explicitement d'exploiter le canal soit en interne, par une personne ou un service désigné à cette fin, soit en externe, par un prestataire tiers — à condition que les mêmes garanties de l'art. 9 s'appliquent dans les deux cas. Externaliser le canal n'abaisse pas la barre ; cela ne fait que déplacer qui est responsable de la franchir.

Le secteur public est également couvert

L'art. 8(9) étend la même obligation aux entités juridiques du secteur public, pas seulement aux entreprises privées — avec une option intégrée pour les États membres : ils peuvent exempter de l'exigence les communes de moins de 10 000 habitants, ou de moins de 50 salariés, et peuvent permettre à plusieurs communes de partager un canal. Lorsque le guide d'un pays mentionne un seuil ou une exemption propre au secteur public — celui de la France, par exemple — il s'agit de l'exercice national de cette disposition, pas d'une règle nationale sans rapport.

Fondement juridique

• Art. 9(1)(a), directive (UE) 2019/1937 — l'exigence de sécurité dès la conception protégeant la confidentialité de l'identité d'un lanceur d'alerte.
• Art. 9(2) — signalement par écrit, par oral, ou les deux ; l'oral par téléphone ou messagerie vocale, ainsi qu'une rencontre physique sur demande.
• Art. 8(1) — l'établissement du canal après consultation des partenaires sociaux, lorsque le droit national le prévoit.
• Art. 8(5) — le choix entre exploiter le canal en interne ou par l'intermédiaire d'un prestataire tiers.
• Art. 8(9) — l'obligation applicable au secteur public, et l'option pour les États membres d'exempter les petites communes.