Protection des lanceurs d’alerte en Europe : où en sommes-nous ?

La Cour européenne des droits de l’homme (ci-après dénommée «CEDH“) vient d’accorder le statut de lanceur d’alerte à un ancien employé de PwC, au Luxembourg, qui a été à l’origine de révélations publiques sur certaines pratiques fiscales, dites “Luxleaks”.

Bien que les faits de cette décision soient antérieurs à la mise en œuvre de l’Union européenne (ci-après dénommée «UE”) cadre en la matière, l’arrêt CEDH (1.) donne l’occasion de se pencher sur le système européen d’alerte et de protection des lanceurs d’alerte, récemment renforcé (2.), et sa transposition française (3.).

1. L’arrêt de la CEDH.

La CEDH considère que la condamnation d’un lanceur d’alerte peut constituer une violation par un État de la liberté d’expression protégée par l’article 10 de la Convention européenne des droits de l’homme.

C’est ce que vient de rappeler la CEDH dans son «Halet c. Luxembourg” décision,^[1] rendu le 14 février 2023, du nom de cet employé de PwC au Luxembourg, qui avait transmis à un journaliste des documents confidentiels relatifs à des rescrits fiscaux («ATA»), qui avait été utilisé dans le cadre d’une émission télévisée et mis en ligne par un consortium international de journalistes pour former ce que la presse appelait le «LuxLeaks”. Ce salarié a été licencié et condamné pour violation du secret professionnel à une amende de 1000 euros.

Dans son arrêt, la Cour, afin de déterminer si le requérant pouvait être reconnu comme lanceur d’alerte, a appliqué les six critères identifiés dans sa jurisprudence antérieure, notamment dans son «Guja» jugement,^[2] à savoir (i) la disponibilité d’autres canaux pour effectuer la divulgation, (ii) l’intérêt public présenté dans les informations divulguées, (iii) la bonne foi du demandeur, (iv) l’authenticité des informations divulguées, (v) les effets préjudiciables de la divulgation, et (vi) la sévérité de la sanction.

En l’espèce, la Cour relève notamment que les informations litigieuses mettent en lumière la «évasion fiscale, exonération fiscale et fraude fiscale» par des multinationales, et était donc d’intérêt public. En conséquence, la Cour a jugé que l’Etat luxembourgeois avait violé la liberté d’expression du requérant.

2. La directive européenne et la mise en œuvre par les États membres.

L’arrêt CEDH intervient en plein milieu de la mise en œuvre de la Directive UE n°2019/1937 du 23 octobre 2019^[3] (ci-après dénommé “Directif”). Cette directive vise à créer un cadre de référence commun pour la reconnaissance et la protection des personnes qui signalent des violations du droit de l’UE dans les États membres.

1. Augmentation des risques criminels et de réputation pour les entreprises.

La directive contient plusieurs dispositions qui augmentent les risques criminels et de réputation pour les entreprises.

• La non-priorisation des canaux de signalement.

L’article 10 stipule clairement qu’un rapport peut être lancé directement par un canal externe. En outre, une divulgation publique est également possible soit lorsqu’une alerte interne ou externe n’a pas abouti, soit directement dans certaines circonstances.^[4]

Ainsi, les entreprises perdront le bénéfice d’être informées en priorité des dysfonctionnements internes, de les enquêter elles-mêmes, de mettre en place des mesures préventives et correctives, et d’informer les autorités si nécessaire afin de bénéficier d’une procédure négociée.

Par conséquent, la directive oblige les entreprises à renforcer considérablement leurs mécanismes de reporting interne, afin qu’ils soient les plus incitatifs possibles, mais sans aucune garantie que leurs salariés les utiliseront.

• L’extension de la protection à certains tiers.

L’élargissement des canaux de signalement s’accompagne également d’un renforcement de la protection accordée aux lanceurs d’alerte, et d’une extension de cette protection notamment aux «des tiers qui sont des personnes liées aux déclarants“, et à “animateurs» qui assistent le reportage dans un cadre professionnel.^[5]

• La possibilité d’une récompense financière pour les lanceurs d’alerte.

La directive ouvre la voie à une récompense financière pour les lanceurs d’alerte en exigeant seulement que la personne signalante ait «des motifs raisonnables de croire que les informations sur les violations signalées étaient vraies”^[6] afin de bénéficier d’une protection.

Cela contraste avec le système américain, dans lequel la SEC verse directement aux informateurs un pourcentage des sommes récupérées par la SEC contre les auteurs de pratiques illicites.^[7]

Il convient également de noter que la SEC a annoncé en 2021 que son programme de dénonciation “est devenu fondamentalement international”. Certains États membres de l’UE figurent parmi les pays étrangers d’où proviennent le plus grand nombre de pourboires, notamment l’Allemagne avec 60 pourboires sur un total de 1350 provenant de l’étranger, mais aussi l’Italie (17) et la France (16) dans une moindre mesure.^[8]

​2. La clarification de la Commission européenne sur la possibilité de mutualiser les ressources pour les entreprises de moins de 250 salariés.

La question de l’application aux groupes de sociétés de l’article sur le partage des ressources en matière de réception des déclarations et des enquêtes^[9] préoccupe les groupes d’entreprises. Une telle application obligerait les filiales de plus de 250 salariés à disposer d’un système d’alerte et de disposer de moyens propres pour recevoir et enquêter sur les lanceurs d’alerte.

La Commission européenne a confirmé dans un courrier du 2 juin 2021 que la mutualisation des ressources n’était possible que pour les entreprises comptant entre 50 et 249 salariés, qu’elles appartiennent ou non à un groupe d’entreprises.^[10]

Malgré cette clarification, la question reste âprement débattue dans certains États membres et dans les entreprises où les systèmes sont en cours de révision.

​3. La transposition lente et diverse de la directive par les États membres.

Alors que les États membres de l’UE avaient jusqu’au 17 décembre 2021 pour transposer la directive dans leurs systèmes juridiques, 7 États membres sont toujours dans le processus législatif en mars 2023, et un État (la Hongrie) n’a même pas entamé un tel processus. L’Espagne est le dernier État membre à avoir voté sa loi de transposition, le 7 février 2023.

À cet égard, la Commission européenne a annoncé le 15 février 2023 avoir décidé de saisir la Cour de justice des États membres en retard pour défaut de transposition.

En outre, il existe des différences dans le degré de transposition entre les États membres. Par exemple, l’Estonie et la Lettonie ont adopté une législation couvrant un large éventail de situations de dénonciation, tandis que des débats sérieux sur la question du champ d’application sont toujours en cours dans d’autres pays, comme l’Allemagne et l’Italie.

3. La loi française.

Le cadre initial français de protection des lanceurs d’alerte a été créé en 2016 par la loi Sapin II.^[11]

Avec la loi du 21 mars 2022^[12]qui est entré en vigueur le 1er septembre^St2022, la France a saisi l’opportunité de la transposition de la directive pour renforcer le statut et la protection des lanceurs d’alerte, qu’ils signalent des infractions européennes ou nationales.

La France a fait le choix d’une transposition assez diligente. En particulier, la loi française étend la définition de «animateurs” aux personnes morales privées sans but lucratif^[13]telles que les organisations non gouvernementales, allant plus loin que la directive, qui est limitée aux personnes morales agissant dans un cadre professionnel.^[14]

En revanche, la France a explicitement écarté la récompense des lanceurs d’alerte^[15]même si un système similaire existe pour certaines infractions fiscales.

En conclusion, le cadre européen actuel relatif aux lanceurs d’alerte conduira inévitablement à une augmentation du nombre de signalements, ce qui entraînera un risque pénal important pour les entreprises et qui pourrait être très préjudiciable à leur image, surtout si elles ne disposent pas d’un système de signalement interne efficace. mécanismes et incitations.

Le cadre législatif reste fragmenté, en particulier pour les entreprises multinationales. On peut regretter, à cet égard, que la directive n’ait pas nécessairement apporté plus de clarté. Au contraire, par rapport à une centralisation contre système d’alerte décentralisé, l’interprétation par la Commission européenne de la directive a introduit une couche de complexité.