Conforme avec les lois européennes sur les lanceurs d’alerte et le RGPD
Savoir qui est concerné par la loi Sapin 2 est la première question que se posent dirigeants, DRH et responsables conformité. Et pour cause : le périmètre d’application varie selon la taille de l’organisation, son statut juridique et l’obligation visée. Entre le seuil des 50 salariés pour le dispositif d’alerte, les seuils renforcés de l’article 17 pour l’anticorruption et les règles propres au secteur public, il est facile de s’y perdre. Cet article clarifie précisément qui doit se mettre en conformité, avec un tableau récapitulatif des seuils, le cas des groupes, des collectivités et des associations, et ce qu’il convient de faire lorsque l’on se situe sous les seuils. Pour une vue d’ensemble, consultez notre dossier complet sur la loi Sapin 2.
Loi Sapin 2 : deux obligations distinctes, deux périmètres
Comprendre qui est concerné par la loi Sapin 2 suppose de distinguer ses deux grands volets, qui ne s’appliquent pas aux mêmes organisations. Le premier concerne la protection des lanceurs d’alerte et l’obligation de mettre en place un canal de signalement interne. Le second, issu de l’article 17, vise spécifiquement la prévention de la corruption et du trafic d’influence dans les grandes entreprises.
Ces deux dispositifs répondent à des logiques différentes. L’obligation de dispositif d’alerte, précisée par la loi Waserman de 2022 transposant la directive européenne, s’impose à un très large éventail d’employeurs. Le volet anticorruption de l’article 17 ne touche, lui, que les organisations dépassant des seuils élevés. Une même entreprise peut donc être soumise à l’une, à l’autre, ou aux deux.
Le seuil de 50 salariés pour le dispositif d’alerte
C’est la règle la plus large. Toute entité juridique — entreprise, association, fondation, administration — employant au moins 50 salariés doit obligatoirement établir une procédure interne de recueil et de traitement des signalements. Ce seuil, harmonisé par la loi Waserman et la directive européenne 2019/1937, concerne aussi bien le secteur privé que le secteur public.
L’effectif s’apprécie au niveau de chaque entité juridique et se calcule selon les règles habituelles du Code du travail (moyenne sur les douze mois précédents). Dès ce seuil franchi, l’organisation doit disposer d’un canal permettant de recueillir des alertes de manière confidentielle, d’en accuser réception, de les traiter dans des délais encadrés et de garantir la protection de l’auteur du signalement.
Le cas des groupes de sociétés
Au sein d’un groupe, chaque société d’au moins 50 salariés reste en principe tenue de disposer de son propre dispositif. Toutefois, les entités du même groupe peuvent mutualiser leurs ressources et partager un canal de signalement commun, à condition que la confidentialité et l’indépendance du traitement soient préservées. Pour les entités de 50 à 249 salariés, la réglementation autorise expressément le partage de moyens de réception et de traitement des alertes, ce qui allège la charge organisationnelle des PME appartenant à un groupe.
TrustBox : la solution simple et abordable
Dispositif d’alerte conforme loi Sapin 2 et Waserman, hébergé en UE, certifié RGPD et ISO 27001. À partir de 29 €/mois pour les entreprises de moins de 50 salariés.
Les seuils renforcés de l’article 17 (anticorruption)
Le volet anticorruption obéit à des critères cumulatifs bien plus élevés. Sont concernées les sociétés — et les dirigeants — employant au moins 500 salariés (ou appartenant à un groupe dont la société mère a son siège en France et qui atteint cet effectif) et réalisant un chiffre d’affaires supérieur à 100 millions d’euros. Les deux conditions doivent être remplies simultanément.
Ces organisations doivent déployer un programme de conformité complet : cartographie des risques de corruption, code de conduite, dispositif d’alerte interne dédié, procédures d’évaluation des tiers, contrôles comptables et formation. L’Agence française anticorruption (AFA) contrôle ces obligations et peut saisir sa commission des sanctions. Pour mesurer les conséquences d’un manquement, consultez notre page dédiée aux sanctions prévues par la loi Sapin 2.
Secteur public, collectivités et associations
Le secteur public n’échappe pas à la règle. Les administrations de l’État, les établissements publics et les collectivités territoriales sont concernés par l’obligation de dispositif d’alerte. Pour les communes, le seuil s’apprécie différemment : l’obligation vise notamment les communes de plus de 10 000 habitants, ainsi que les départements, les régions, les EPCI à fiscalité propre dont au moins une commune membre dépasse ce seuil, et les établissements publics qui leur sont rattachés.
Les associations et fondations suivent la règle générale : dès 50 salariés, elles doivent mettre en place une procédure interne. Les structures de plus petite taille, très nombreuses dans le secteur associatif, ne sont pas légalement contraintes, mais restent exposées aux mêmes risques de fraude ou de harcèlement. Pour un panorama adapté à votre environnement, notre hub par secteur d’activité détaille les obligations de la fonction publique comme des PME.
| Type d’organisation | Seuil déclencheur | Obligation principale |
|---|---|---|
| Entreprise privée | ≥ 50 salariés | Dispositif d’alerte interne obligatoire |
| Grande entreprise / groupe | ≥ 500 salariés ET > 100 M€ de CA | Programme anticorruption complet (article 17) |
| Association / fondation | ≥ 50 salariés | Dispositif d’alerte interne obligatoire |
| Commune | > 10 000 habitants | Dispositif d’alerte interne obligatoire |
| Département / région / EPCI | Par principe concerné | Dispositif d’alerte interne obligatoire |
| Entité < 50 salariés | Aucun seuil atteint | Non obligatoire, mais fortement recommandé |
Vous êtes sous le seuil : faut-il quand même agir ?
Se situer sous les seuils légaux ne signifie pas être à l’abri. Une TPE ou une association de moins de 50 salariés reste confrontée aux mêmes réalités : conflits internes, fraude, harcèlement, manquements éthiques. Or, la loi protège tout lanceur d’alerte indépendamment de la taille de son employeur. Un salarié peut donc signaler des faits même en l’absence de dispositif formalisé — mais sans canal dédié, l’organisation perd la maîtrise du traitement et s’expose à une remontée directe vers les autorités ou les médias.
Mettre en place un dispositif volontaire présente plusieurs avantages : détecter les problèmes en interne avant qu’ils ne s’aggravent, renforcer la confiance des équipes, valoriser une démarche RSE et se préparer sereinement à un éventuel franchissement de seuil. Avec des solutions abordables et rapides à déployer, la conformité anticipée n’est plus réservée aux grandes structures. Les entreprises implantées dans plusieurs pays trouveront également des repères utiles dans notre dossier international.
FAQ
À partir de combien de salariés le dispositif d’alerte est-il obligatoire ?
L’obligation s’applique dès 50 salariés, pour toute entité juridique du secteur privé comme du secteur public. En dessous de ce seuil, le dispositif n’est pas imposé par la loi mais reste vivement recommandé.
Quelle différence entre le seuil de 50 salariés et celui de l’article 17 ?
Le seuil de 50 salariés déclenche l’obligation de canal de signalement interne. L’article 17, dédié à l’anticorruption, vise uniquement les sociétés d’au moins 500 salariés réalisant plus de 100 millions d’euros de chiffre d’affaires : les deux conditions sont cumulatives.
Les collectivités et les communes sont-elles concernées ?
Oui. Les administrations, établissements publics, départements et régions sont concernés, ainsi que les communes de plus de 10 000 habitants. Le secteur public est pleinement soumis à l’obligation de dispositif d’alerte.
Une association doit-elle mettre en place un dispositif d’alerte ?
Oui, dès qu’elle emploie au moins 50 salariés. En dessous, l’obligation ne s’applique pas, mais la protection des lanceurs d’alerte demeure et un dispositif volontaire reste conseillé pour maîtriser les signalements en interne.
Conclusion
La réponse à la question « qui est concerné par la loi Sapin 2 » repose sur trois repères clairs : 50 salariés pour le dispositif d’alerte, 500 salariés et 100 M€ de CA pour l’anticorruption, et des règles spécifiques pour le secteur public. Que vous soyez au-dessus ou en dessous des seuils, disposer d’un canal de signalement fiable est un gage de sérénité et de confiance. Découvrez comment déployer votre dispositif d’alerte professionnelle en quelques minutes.
Essayez TrustBox gratuitement, sans carte bancaire et mettez votre organisation en conformité dès aujourd’hui.
