Conforme avec les lois européennes sur les lanceurs d’alerte et le RGPD
Le lanceur d’alerte occupe désormais une place centrale dans la vie des entreprises françaises. Depuis la loi Sapin 2, renforcée par la loi Waserman de 2022 qui transpose la directive européenne 2019/1937, signaler un manquement grave n’est plus un acte isolé mais un droit encadré et protégé. Pourtant, beaucoup de dirigeants et de salariés ignorent encore qui peut lancer une alerte, ce qu’il est possible de signaler, par quels canaux, et quelles protections s’appliquent réellement. Ce guide de référence 2026 fait le tour complet du sujet : définition légale, périmètre des signalements, canaux interne, externe et divulgation publique, protections contre les représailles, rôle de l’anonymat et obligations concrètes des employeurs. Chaque section renvoie vers un article approfondi pour aller plus loin.
Qu’est-ce qu’un lanceur d’alerte ? La définition légale
Un lanceur d’alerte est, selon l’article 6 de la loi Sapin 2 modifiée, une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, ou encore une violation du droit français ou européen. La loi Waserman a élargi cette définition : il n’est plus nécessaire d’avoir eu personnellement connaissance des faits dans un cadre professionnel, ni de subir une atteinte personnelle. La bonne foi et l’absence de rémunération restent les deux critères déterminants.
Cette évolution marque un changement de culture. Le signalement n’est plus perçu comme une trahison mais comme un mécanisme de prévention des risques utile à l’organisation elle-même. Pour comprendre précisément les contours du statut, ses fondements juridiques et les droits qui en découlent, consultez notre article dédié à la définition, aux droits et aux protections du lanceur d’alerte.
Qui peut être lanceur d’alerte ?
Le champ des personnes concernées est volontairement large. Peuvent alerter : les salariés, y compris ceux dont la relation de travail est terminée, les candidats à un emploi, les agents publics, les collaborateurs extérieurs et occasionnels, les stagiaires, les actionnaires, les membres des organes de direction, ainsi que les cocontractants et sous-traitants. La protection s’étend également aux facilitateurs, c’est-à-dire aux personnes qui aident le lanceur d’alerte, et à son entourage susceptible de subir des représailles.
Que peut signaler un lanceur d’alerte ?
Le périmètre des faits signalables est vaste, mais il obéit à des limites précises. Un lanceur d’alerte peut signaler des faits relevant de catégories variées, à condition qu’ils présentent une gravité suffisante et ne soient pas couverts par un secret protégé par la loi (secret de la défense nationale, secret médical, secret des relations avocat-client).
| Catégorie de faits | Exemples concrets |
|---|---|
| Infractions pénales | Corruption, fraude, abus de biens sociaux, favoritisme |
| Manquements financiers | Blanchiment, évasion fiscale, malversations comptables |
| Atteintes aux personnes | Harcèlement moral ou sexuel, discrimination, mise en danger |
| Risques environnementaux et sanitaires | Pollution, produits dangereux, non-respect des normes |
| Violations du droit UE | Concurrence, protection des données, sécurité des produits |
Le harcèlement au travail constitue l’un des motifs de signalement les plus fréquents. Notre dossier consacré au harcèlement moral au travail détaille les critères de qualification et la marche à suivre. Plus largement, le mécanisme de signalement d’irrégularités, ou whistleblowing, s’inscrit dans une démarche de conformité et de gouvernance responsable.
Les trois canaux de signalement
La loi Waserman a assoupli l’articulation entre les canaux. Le lanceur d’alerte peut désormais choisir librement entre le signalement interne et le signalement externe, sans hiérarchie imposée entre les deux. La divulgation publique reste, elle, encadrée par des conditions strictes.
Le canal interne
Il consiste à alerter au sein de l’organisation, via un dispositif dédié mis en place par l’employeur. C’est souvent la voie la plus rapide et la plus efficace, car elle permet de traiter le problème à la source tout en préservant la confidentialité. La procédure de signalement interne doit garantir un accusé de réception, un traitement diligent et un retour d’information dans des délais définis.
Le canal externe
Le lanceur d’alerte peut saisir directement une autorité compétente : le Défenseur des droits, l’autorité judiciaire, une autorité administrative spécialisée ou les institutions européennes. Ce canal est utile lorsque le signalement interne n’est pas envisageable ou n’a pas abouti.
La divulgation publique
En dernier recours, la divulgation aux médias ou au public est protégée, mais uniquement si les canaux précédents n’ont pas produit d’effet dans les délais, ou en cas de danger grave et imminent, ou de risque de représailles rendant les autres voies inefficaces.
TrustBox : la solution simple et abordable
Dispositif d’alerte conforme loi Sapin 2 et Waserman, hébergé en UE, certifié RGPD et ISO 27001. À partir de 29 €/mois pour les entreprises de moins de 50 salariés.
Quelles protections pour le lanceur d’alerte ?
La force du statut réside dans son bouclier juridique. La loi organise trois grandes protections cumulatives, conçues pour que personne n’ait à choisir entre son intégrité et sa carrière.
- Protection contre les représailles : sont interdites toute sanction, tout licenciement, rétrogradation, discrimination ou mesure défavorable liés au signalement. En cas de litige, la charge de la preuve est renversée : c’est à l’employeur de démontrer que sa décision est étrangère à l’alerte.
- Confidentialité : l’identité du lanceur d’alerte, des personnes visées et des tiers doit rester strictement confidentielle. Sa divulgation non autorisée constitue un délit puni de deux ans d’emprisonnement et de 30 000 euros d’amende.
- Irresponsabilité civile et pénale : le lanceur d’alerte de bonne foi ne peut être poursuivi pour avoir obtenu ou divulgué des informations, dès lors qu’il respecte les conditions légales.
Ces garanties sont renforcées par des sanctions dissuasives contre les procédures-bâillons et par la possibilité d’obtenir un soutien financier et psychologique. Pour un panorama détaillé, consultez notre guide sur la protection du lanceur d’alerte.
Le rôle clé de l’anonymat et de la confidentialité
Confidentialité et anonymat sont deux notions distinctes. La confidentialité signifie que l’identité est connue du dispositif mais protégée. L’anonymat, lui, permet de signaler sans jamais révéler son identité. La loi Waserman impose désormais le traitement des signalements anonymes lorsqu’ils sont suffisamment étayés, ce qui lève un frein majeur : la peur d’être identifié.
Un dispositif garantissant l’anonymat du signalement encourage nettement le recours à l’alerte. Les meilleures solutions permettent une conversation bidirectionnelle anonyme : l’organisation peut poser des questions et le lanceur d’alerte répondre, sans que son identité soit jamais exposée. C’est un facteur décisif d’efficacité et de confiance.
Ce que l’entreprise doit mettre en place
Toute entreprise de 50 salariés et plus, ainsi que les communes de plus de 10 000 habitants et de nombreux organismes publics, ont l’obligation légale de disposer d’un canal de signalement interne. Au-delà de l’obligation, c’est un outil de gestion des risques et de protection de la réputation. La mise en conformité repose sur quelques piliers.
- Un canal de réception sécurisé et confidentiel, accessible à l’ensemble des personnes concernées.
- Une procédure écrite précisant les étapes, les délais et les responsables du traitement.
- Un accusé de réception sous 7 jours ouvrés et un retour d’information sous 3 mois.
- Un registre de suivi et une traçabilité conformes au RGPD.
- Une information claire des collaborateurs sur l’existence et le fonctionnement du dispositif.
Mettre en place un tel dispositif ne nécessite plus de gros moyens. Une solution logicielle spécialisée s’installe en quelques minutes et couvre l’ensemble des exigences. Pour approfondir, découvrez notre dossier sur le dispositif d’alerte professionnelle et notre panorama des obligations issues de la loi Sapin 2.
Un lanceur d’alerte peut-il rester anonyme ?
Oui. Depuis la loi Waserman, les signalements anonymes doivent être traités lorsqu’ils sont suffisamment étayés. Les dispositifs modernes permettent même une conversation bidirectionnelle sans jamais révéler l’identité du lanceur d’alerte, ce qui renforce la confiance et l’efficacité du traitement.
Quelles sanctions en cas de représailles contre un lanceur d’alerte ?
Toute mesure de représailles est nulle de plein droit. L’employeur qui sanctionne un lanceur d’alerte s’expose à des dommages et intérêts et à des poursuites. La divulgation de son identité est punie de deux ans d’emprisonnement et de 30 000 euros d’amende.
Quelles entreprises doivent mettre en place un canal de signalement ?
Toutes les entreprises de 50 salariés et plus, les communes de plus de 10 000 habitants et de nombreux organismes publics ont l’obligation légale de disposer d’un canal de signalement interne conforme à la loi Sapin 2 et à la directive européenne 2019/1937.
Combien coûte un dispositif d’alerte conforme ?
Les coûts ont fortement baissé. Une solution SaaS française comme TrustBox démarre à 29 euros par mois pour les entreprises de moins de 50 salariés, soit jusqu’à dix fois moins que les acteurs historiques, avec une installation en une dizaine de minutes.
Conclusion
Le statut de lanceur d’alerte est aujourd’hui l’un des dispositifs les mieux protégés du droit social français. Loin d’être une menace, il constitue pour l’entreprise un levier de prévention, de conformité et de confiance. Comprendre qui peut alerter, sur quoi, par quels canaux et avec quelles garanties permet de transformer une obligation légale en atout de gouvernance. La clé réside dans un dispositif simple, sécurisé et respectueux de l’anonymat.
TrustBox vous accompagne pour déployer un canal de signalement conforme, hébergé en UE et certifié, en quelques minutes seulement. Essayez gratuitement, sans carte bancaire, et mettez votre organisation en conformité dès aujourd’hui.
