Conforme avec les lois européennes sur les lanceurs d’alerte et le RGPD
La question du lanceur d’alerte en Belgique occupe désormais une place centrale dans la gouvernance des entreprises. Depuis la loi du 28 novembre 2022, transposant la directive européenne 2019/1937, de nombreuses sociétés du secteur privé doivent mettre en place un canal de signalement interne et protéger les personnes qui révèlent des manquements. Mais qui est réellement concerné, à partir de quel seuil, et quelles obligations concrètes en découlent ? Cet article fait le point sur le cadre belge : champ d’application, canaux de signalement, protections accordées et sanctions encourues. Vous y trouverez un tableau récapitulatif clair et des repères pratiques pour vous mettre en conformité sans complexité. Pour resituer ces règles dans leur contexte international, consultez notre dossier sur la protection des lanceurs d’alerte à l’international.
Le cadre légal du lanceur d’alerte en Belgique
En Belgique, la protection du lanceur d’alerte repose sur une transposition en deux volets de la directive UE 2019/1937. Le secteur privé est encadré par la loi du 28 novembre 2022 relative à la protection des personnes qui signalent des violations du droit de l’Union ou du droit national. Le secteur public dispose, quant à lui, d’un régime distinct, porté par une loi propre entrée en vigueur en 2023. Cette dualité constitue une véritable spécificité belge : les règles applicables, l’autorité de référence et les délais de mise en conformité diffèrent selon que l’employeur relève du privé ou du public.
Un lanceur d’alerte est une personne qui signale, dans un contexte professionnel, des informations sur des violations dont elle a eu connaissance. Le champ matériel est large : marchés publics, services financiers, blanchiment, sécurité des produits, protection de l’environnement, santé publique, protection des données personnelles ou encore concurrence. La Belgique a même étendu le dispositif à la fraude fiscale et à la fraude sociale, allant au-delà du socle minimal exigé par Bruxelles.
Qui est protégé ?
La protection ne se limite pas aux salariés. Elle couvre également les anciens employés, les candidats à un emploi, les indépendants, les actionnaires, les membres des organes de direction, les bénévoles, les stagiaires, ainsi que les sous-traitants et fournisseurs. Les facilitateurs, collègues et proches du lanceur d’alerte bénéficient eux aussi de garanties contre les représailles.
Quelles entreprises sont concernées ?
L’obligation de mettre en place un canal de signalement interne s’applique aux entités du secteur privé comptant au moins 50 travailleurs. Ce seuil s’apprécie en tenant compte de l’effectif moyen. En dessous de 50 travailleurs, l’entreprise n’est en principe pas tenue d’instaurer un canal interne, sauf si elle opère dans un secteur sensible tel que les services financiers, où l’obligation s’impose quel que soit l’effectif.
La loi belge a prévu un calendrier progressif. Les entreprises de 250 travailleurs et plus devaient disposer d’un canal interne dès l’entrée en vigueur du texte, en décembre 2022. Les entreprises de 50 à 249 travailleurs ont bénéficié d’un délai spécifique, jusqu’au 17 décembre 2023, pour se conformer. Aujourd’hui, ce délai est expiré : toute société franchissant le seuil de 50 travailleurs doit être en règle.
Le canal interne doit permettre des signalements écrits, oraux, ou les deux. Il doit garantir la confidentialité de l’identité du lanceur d’alerte, accuser réception dans un délai de sept jours et fournir un retour d’information dans un délai maximal de trois mois. Les entreprises de 50 à 249 travailleurs peuvent mutualiser leurs ressources de réception et d’investigation des signalements, une souplesse utile pour les structures de taille moyenne.
TrustBox : la solution simple et abordable
Dispositif d’alerte conforme loi Sapin 2 et Waserman, hébergé en UE, certifié RGPD et ISO 27001. À partir de 29 €/mois pour les entreprises de moins de 50 salariés.
Les trois canaux de signalement
Le cadre belge organise trois voies de signalement que le lanceur d’alerte peut emprunter selon la situation. Il n’existe pas d’obligation stricte de commencer par le canal interne, mais celui-ci est encouragé lorsqu’il permet un traitement efficace sans risque de représailles.
- Le canal interne : mis en place par l’employeur, il permet de signaler un manquement au sein même de l’organisation, auprès d’un gestionnaire de signalement impartial ou d’un service dédié.
- Le canal externe : le lanceur d’alerte peut s’adresser directement aux autorités compétentes. En Belgique, l’Autorité fédérale de coordination joue le rôle de point de contact central, tandis que le Médiateur fédéral a été désigné comme coordinateur des canaux externes. Des autorités sectorielles peuvent également être compétentes.
- La divulgation publique : en dernier recours, la personne peut rendre l’information publique, notamment via les médias. Cette voie n’ouvre droit à protection que sous conditions strictes, par exemple en cas de danger imminent pour l’intérêt général ou d’absence de suite donnée aux canaux précédents.
Pour une lecture comparée des exigences européennes, notre article dédié à la directive européenne sur les lanceurs d’alerte détaille l’articulation de ces trois canaux dans l’ensemble des États membres.
Protections et sanctions : ce que prévoit la loi
La loi belge interdit toute forme de représailles à l’encontre du lanceur d’alerte. Sont notamment visés le licenciement, la rétrogradation, le refus de promotion, la réduction de salaire, l’intimidation, le harcèlement, la mise sur liste noire ou la résiliation d’un contrat commercial. En cas de litige, la charge de la preuve est renversée : c’est à l’employeur de démontrer que la mesure prise repose sur des motifs étrangers au signalement.
Le lanceur d’alerte qui subit des représailles peut prétendre à une indemnisation. Dans le secteur privé, la loi prévoit une réparation pouvant atteindre plusieurs mois de rémunération, en plus de la réparation intégrale du préjudice réellement subi. À l’inverse, les entreprises qui n’instaurent pas de canal interne conforme, qui entravent un signalement ou qui exercent des représailles s’exposent à des sanctions pénales et administratives, incluant des amendes significatives.
| Élément | Ce que prévoit le cadre belge (secteur privé) |
|---|---|
| Texte applicable | Loi du 28 novembre 2022 (transposition de la directive UE 2019/1937) |
| Seuil d’obligation | 50 travailleurs et plus (tout effectif dans les services financiers) |
| Délai des 50-249 | Mise en conformité jusqu’au 17 décembre 2023 (délai désormais expiré) |
| Canaux | Interne, externe (Autorité fédérale de coordination / Médiateur fédéral), divulgation publique |
| Accusé de réception | Dans un délai de 7 jours |
| Retour d’information | Dans un délai maximal de 3 mois |
| Protections | Interdiction des représailles, renversement de la charge de la preuve, indemnisation |
| Sanctions employeur | Amendes pénales et administratives, réparation du préjudice |
Comment se mettre en conformité simplement en Belgique
Pour une entreprise belge, la conformité repose sur trois piliers : un canal de signalement sécurisé, la garantie de confidentialité et un suivi rigoureux des délais. Le principal enjeu pratique est de disposer d’un outil fiable, capable de traiter les signalements de manière anonyme et de conserver une traçabilité complète des échanges, sans exposer l’organisation à un risque de fuite de données.
Une plateforme numérique dédiée répond à ces exigences bien plus efficacement qu’une simple adresse e-mail : accusé de réception automatique, gestion des délais, conversation bidirectionnelle anonyme et traçabilité de chaque étape. Pour une entreprise opérant en Belgique, deux critères sont déterminants : l’hébergement des données au sein de l’Union européenne, gage de conformité RGPD, et la disponibilité multilingue, en français comme en néerlandais, pour couvrir l’ensemble du personnel dans un pays bilingue.
TrustBox coche ces cases : hébergement 100 % UE, interface multilingue FR/NL, installation en dix minutes et certification ISO/IEC 27001. Là où les acteurs historiques comme Whispli, EQS ou Navex facturent souvent plus de 200 € par mois, TrustBox reste accessible dès 29 € par mois, soit jusqu’à dix fois moins cher. Découvrez pourquoi dans notre comparatif des fournisseurs conformes à la directive UE, et explorez plus largement le fonctionnement d’un dispositif d’alerte professionnelle adapté à votre organisation.
La Belgique n’est pas un cas isolé : ses voisins ont adopté des cadres proches, comme le montre notre analyse du régime applicable au lanceur d’alerte au Luxembourg.
À partir de combien de salariés une entreprise belge doit-elle un canal de signalement ?
L’obligation s’applique au secteur privé à partir de 50 travailleurs. Dans certains secteurs sensibles, comme les services financiers, l’obligation existe quel que soit l’effectif. Les entreprises de 50 à 249 travailleurs bénéficiaient d’un délai jusqu’au 17 décembre 2023, désormais expiré.
Quelle est l’autorité compétente pour un signalement externe en Belgique ?
Le lanceur d’alerte peut s’adresser à l’Autorité fédérale de coordination, point de contact central, le Médiateur fédéral coordonnant les canaux externes. Des autorités sectorielles spécifiques peuvent également être compétentes selon la nature de la violation signalée.
Un signalement anonyme est-il protégé en Belgique ?
La loi garantit la confidentialité de l’identité du lanceur d’alerte. Les signalements anonymes peuvent être traités, et la personne conserve sa protection contre les représailles si son identité est ultérieurement révélée. Un outil garantissant l’anonymat total facilite ce traitement.
Quelles sanctions en cas de non-conformité ?
Une entreprise qui n’instaure pas de canal interne, entrave un signalement ou exerce des représailles s’expose à des sanctions pénales et administratives, dont des amendes. Elle doit aussi réparer le préjudice subi par le lanceur d’alerte, la charge de la preuve pesant sur l’employeur.
Conclusion
Le régime belge du lanceur d’alerte impose désormais des obligations claires aux entreprises du secteur privé de 50 travailleurs et plus : canal interne sécurisé, respect des délais, confidentialité et absence de représailles. La conformité n’a rien d’insurmontable dès lors que l’on s’appuie sur un outil adapté, hébergé en UE et disponible en français comme en néerlandais. TrustBox vous permet de déployer un dispositif conforme en quelques minutes, à un tarif jusqu’à dix fois inférieur à celui des grandes plateformes. Pour découvrir d’autres solutions et approfondir le sujet, consultez notre dossier sur les logiciels de signalement.
