JOURNAL
Depuis la loi n° 2022-401 du 21 mars 2022, l'article 6 de la loi Sapin II (loi n° 2016-1691 du 9 décembre 2016) définit le lanceur d'alerte comme une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant notamment sur un crime, un délit ou une menace ou un préjudice pour l'intérêt général. Les personnes morales de droit privé employant au moins cinquante salariés, certaines personnes morales de droit public et les administrations de l'État doivent établir une procédure interne de recueil et de traitement des signalements (article 8). Ce dispositif d'alerte interne se distingue de la mesure prévue au II, 2° de l'article 17, qui ne concerne que les entités atteignant les seuils de l'article 17 (500 salariés et 100 millions d'euros de chiffre d'affaires). La loi garantit la confidentialité du signalement et protège le lanceur d'alerte contre les représailles.
Le I de l'article 6 définit le lanceur d'alerte comme « une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général, une violation ou une tentative de dissimulation d'une violation » d'un engagement international régulièrement ratifié ou approuvé par la France, d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, du droit de l'Union européenne, de la loi ou du règlement. Lorsque les informations n'ont pas été obtenues dans le cadre d'activités professionnelles, le lanceur d'alerte doit en avoir eu personnellement connaissance.
Le II exclut du régime de l'alerte les faits, informations et documents couverts par le secret de la défense nationale, le secret médical, le secret des délibérations judiciaires, le secret de l'enquête ou de l'instruction judiciaires ou le secret professionnel de l'avocat. Le III écarte l'application de ce régime lorsque sont réunies les conditions d'un dispositif spécifique de signalement prévu par la loi, le règlement ou certains actes de l'Union européenne, sous réserve de l'application de certaines mesures de protection plus favorables.
Le A du I de l'article 8 ouvre la voie interne aux personnes physiques qui ont obtenu, dans le cadre de leurs activités professionnelles, des informations relevant du I de l'article 6 et portant sur des faits qui se sont produits ou sont très susceptibles de se produire dans l'entité concernée. Cette faculté appartient aux membres du personnel, aux personnes dont la relation de travail s'est terminée et aux candidats à un emploi (pour les informations obtenues dans ce cadre), aux actionnaires, associés et titulaires de droits de vote, aux membres de l'organe d'administration, de direction ou de surveillance, aux collaborateurs extérieurs et occasionnels, ainsi qu'aux cocontractants de l'entité, à leurs sous-traitants et, lorsqu'il s'agit de personnes morales, aux membres de leurs organes de direction et à leur personnel.
Le B du I de l'article 8 impose d'établir une procédure interne de recueil et de traitement des signalements, après consultation des instances de dialogue social et dans les conditions fixées par décret en Conseil d'État, aux personnes morales de droit public employant au moins cinquante agents (à l'exclusion des communes de moins de 10 000 habitants, des établissements publics qui leur sont rattachés et de certains établissements publics de coopération intercommunale), aux administrations de l'État, aux personnes morales de droit privé et entreprises exploitées en leur nom propre employant au moins cinquante salariés, ainsi qu'à toute autre entité relevant du champ de certains actes de l'Union européenne énumérés par le texte. Le décret n° 2022-1284 du 3 octobre 2022 précise le contenu de la procédure.
Les entités de droit privé employant moins de deux cent cinquante salariés peuvent mettre en commun leurs procédures, de même que les communes et leurs établissements publics employant moins de deux cent cinquante agents. La procédure peut en outre être commune à plusieurs ou à l'ensemble des sociétés d'un groupe, selon des modalités fixées par décret (C du I).
Les deux textes ont des bases et des champs distincts. Le II, 2° de l'article 17 impose aux sociétés qui y sont soumises « un dispositif d'alerte interne destiné à permettre le recueil des signalements émanant d'employés et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société ». Il fait partie des huit mesures détaillées dans notre article sur l'article 17 de la loi Sapin II, et se rattache au code de conduite anticorruption. L'article 8, lui, concerne un cercle d'auteurs plus large (cinq catégories de personnes) et des faits définis par le I de l'article 6, et s'impose à un plus grand nombre d'entités, dès cinquante salariés ou agents. La manière d'articuler concrètement les deux dispositifs au sein d'une même organisation relève de choix propres à chaque entité.
Sur le plan pratique, l'AFA a publié en juillet 2026 un guide intitulé « Mettre en place un dispositif d'alerte interne et construire une culture de l'alerte éthique au service de la probité », dont les principaux enseignements sont présentés plus bas. Les fiches annexées à ce guide séparent les obligations légales des bonnes pratiques.
L'article 4 du décret du 3 octobre 2022 prévoit un canal de réception des signalements permettant de signaler par écrit ou par oral, selon ce que prévoit la procédure. Si l'oral est prévu, le signalement peut s'effectuer par téléphone ou par tout autre système de messagerie vocale et, à la demande de l'auteur et selon son choix, lors d'une visioconférence ou d'une rencontre physique organisée au plus tard vingt jours ouvrés après réception de la demande. L'auteur est informé par écrit de la réception de son signalement dans un délai de sept jours ouvrés. L'entité vérifie, sauf signalement anonyme, que les conditions légales sont remplies, peut demander des compléments d'information, puis assure le traitement du signalement. Elle communique par écrit à l'auteur, dans un délai raisonnable n'excédant pas trois mois à compter de l'accusé de réception, des informations sur les mesures envisagées ou prises et sur leurs motifs, et l'informe par écrit de la clôture du dossier. La procédure précise également les suites données aux signalements anonymes.
La procédure doit être diffusée par tout moyen assurant une publicité suffisante, de manière à être accessible en permanence aux personnes habilitées à signaler, et l'entité met à disposition des informations claires sur les procédures de signalement externe (article 8 du décret).
L'article 9 de la loi impose en outre une « stricte confidentialité » de l'identité des auteurs du signalement, des personnes visées et de tout tiers mentionné, ainsi que des informations recueillies. Les éléments permettant d'identifier le lanceur d'alerte ne peuvent être divulgués qu'avec son consentement, sauf communication à l'autorité judiciaire ; ceux qui permettent d'identifier la personne mise en cause ne peuvent l'être, sauf à l'autorité judiciaire, qu'une fois établi le caractère fondé de l'alerte. Les signalements ne peuvent être conservés que le temps strictement nécessaire et proportionné à leur traitement.
Préfacé par la Défenseure des droits, le guide précise qu'il ne vise pas à décrire de manière complète les obligations juridiques applicables, mais à aider les dirigeants et les personnes chargées du recueil et du traitement des signalements à faire du signalement une pratique valorisée au sein de l'organisation. Il part d'un constat : si les dispositifs d'alerte se sont multipliés depuis l'entrée en vigueur de la loi Sapin II, leur effectivité reste « en deçà des attentes », et, dans nombre d'organisations, le dispositif existe mais ne « vit pas ». Il s'intéresse plus particulièrement aux atteintes à la probité : corruption, trafic d'influence, prise illégale d'intérêts, favoritisme, détournement de fonds publics et concussion.
Sur l'organisation du recueil, le guide indique que le canal de réception peut être confié en interne à une personne ou à un service, ou être géré pour le compte de l'entité par un tiers, et que les deux modalités peuvent être combinées dans les grandes organisations, à condition d'en articuler clairement les rôles. Il distingue de même un dispositif centralisé, commun à un groupe ou à une administration, et un dispositif déconcentré, la combinaison d'un cadre commun et de référents locaux étant envisagée pour les organisations multisites et les groupes multinationaux. Les personnes désignées doivent, selon lui, présenter trois qualités essentielles : indépendance, discrétion et compétence, et leur rôle, leurs missions et leurs moyens doivent être formalisés par écrit. Les canaux cités sont une plateforme numérique dédiée, une adresse électronique spécifique distincte des messageries professionnelles habituelles, une ligne téléphonique dédiée et un entretien physique ou téléphonique avec le référent. Sur l'anonymat, le guide relève qu'il « ne se décrète pas : il se met en œuvre techniquement », par exemple au moyen d'une messagerie intégrée à une plateforme sécurisée.
Pour le traitement, le guide propose une « fiche réflexe » en cinq points : confirmer la réception dans les sept jours ouvrés en rappelant les garanties, évaluer la recevabilité, orienter sans délai vers l'interlocuteur compétent un signalement hors champ, ne pas diffuser l'identité du signalant, des personnes visées et des tiers au-delà des personnes autorisées à en connaître, et informer l'auteur des suites dans les trois mois suivant l'accusé de réception. Il insiste sur la conservation d'une trace écrite des principales étapes des vérifications, afin de pouvoir démontrer la diligence et la bonne foi de l'entité, et sur la compétence et l'indépendance des personnes chargées d'une éventuelle enquête interne. Pour ce qui est du champ de ses développements, centrés sur les atteintes à la probité, il précise que n'en relèvent pas les conflits interpersonnels et difficultés managériales courantes, les réclamations individuelles sur la situation personnelle (rémunération, notation, mutation) et les opinions générales non appuyées sur des faits précis ; les signalements de harcèlement, de discrimination ou de violences, qui relèvent d'un régime juridique distinct, doivent être orientés sans délai vers l'interlocuteur compétent. Ce périmètre est celui du guide, non celui, plus large, du I de l'article 6.
S'agissant de la protection, le guide rappelle qu'aucune mesure défavorable ne peut être décidée en raison d'un signalement effectué de bonne foi, que la protection vaut même si les faits signalés ne sont pas confirmés dès lors que la personne disposait de motifs raisonnables de croire à leur réalité, et que les « facilitateurs » bénéficient des mêmes protections. Il recommande en outre de prévenir, pendant l'enquête interne, les risques d'identification, de pression et de « silence institutionnel », de tenir l'auteur informé de l'avancement du traitement dans les limites de la confidentialité, et de suivre dans le temps sa situation professionnelle. Pour les personnes mises en cause, il invoque le respect de la présomption d'innocence, l'information de l'existence du signalement qui les concerne à un stade approprié et sous réserve des nécessités de l'enquête, ainsi que le respect du RGPD.
En renvoyant au guide de la CNIL, le guide indique que les données personnelles relatives aux alertes hors champ doivent être détruites sans délai, celles relatives aux alertes sans suite après vérification dans les deux mois suivant la clôture, et celles relatives aux alertes ayant donné lieu à une procédure disciplinaire ou contentieuse conservées jusqu'à l'issue de la procédure ou l'expiration des délais de prescription. Il invite à conserver les alertes elles-mêmes sous forme anonymisée, afin de suivre le fonctionnement du dispositif et d'alimenter les cartographies des risques de corruption. Pour inscrire le dispositif dans la durée, il recommande de le faire connaître (charte éthique ou code de conduite, affichage, intranet, parcours d'accueil des nouveaux arrivants), de former les agents à la reconnaissance des atteintes à la probité, d'établir un bilan annuel anonymisé du dispositif (nombre de saisines, objet des signalements, suites données) et de réviser régulièrement la procédure. Trois fiches y sont annexées : un logigramme de traitement d'une alerte, un modèle d'accusé de réception et un mémorandum de conformité minimale.
Tout lanceur d'alerte peut adresser un signalement externe, après un signalement interne ou directement, à l'autorité compétente parmi celles désignées par décret, au Défenseur des droits, à l'autorité judiciaire ou à une institution, un organe ou un organisme de l'Union européenne compétent (article 8, II). La liste des autorités externes est fixée par le décret n° 2022-1284 du 3 octobre 2022. La préface du guide de l'AFA, signée par la Défenseure des droits, évoque quarante-deux autorités externes désignées par les pouvoirs publics.
La divulgation publique n'est protégée que dans des cas limitativement énumérés par le III de l'article 8 : après un signalement externe resté sans mesure appropriée à l'expiration du délai de retour d'information, en cas de danger grave et imminent, ou lorsque la saisine des autorités compétentes ferait encourir un risque de représailles ou ne permettrait pas de remédier efficacement à l'objet de la divulgation. Une dérogation vise les informations obtenues dans le cadre d'activités professionnelles en cas de danger imminent ou manifeste pour l'intérêt général.
L'article 10-1 prévoit que les personnes ayant signalé ou divulgué publiquement des informations dans les conditions des articles 6 et 8 ne sont pas civilement responsables des dommages causés du fait de leur signalement, dès lors qu'elles avaient des motifs raisonnables de croire que le signalement de l'intégralité de ces informations était nécessaire à la sauvegarde des intérêts en cause. Elles bénéficient de l'irresponsabilité pénale prévue à l'article 122-9 du code pénal.
Les représailles sont interdites, ainsi que les menaces ou tentatives de recourir à ces mesures. Le II de l'article 10-1 en donne une liste non limitative de quinze cas, parmi lesquels le licenciement, la rétrogradation, le transfert de fonctions, les mesures disciplinaires, l'évaluation de performance négative, le harcèlement, la résiliation anticipée ou l'annulation d'un contrat pour des biens ou des services et l'annulation d'une licence ou d'un permis. Tout acte ou décision pris en méconnaissance de ces dispositions est nul de plein droit. En cas de recours contre une mesure de représailles, dès lors que le demandeur présente des éléments de fait permettant de supposer qu'il a signalé ou divulgué des informations dans les conditions légales, il incombe à la partie défenderesse de prouver que sa décision est dûment justifiée.
La loi sanctionne par ailleurs le fait de divulguer les éléments confidentiels définis à l'article 9 (deux ans d'emprisonnement et 30 000 € d'amende), et le fait de faire obstacle, de quelque façon que ce soit, à la transmission d'un signalement (un an d'emprisonnement et 15 000 € d'amende, article 13, I). En cas de procédure dirigée contre un lanceur d'alerte à raison des informations signalées, l'amende civile pour action abusive ou dilatoire est portée à 60 000 euros (article 13, II).
Dans un arrêt du 18 mars 2026, la chambre sociale de la Cour de cassation a rappelé, au sujet d'un salarié ayant inscrit une alerte au recueil de son entreprise en avril 2018 et informé dès le lendemain d'un changement d'affectation, qu'un salarié « ne peut être sanctionné, licencié ou faire l'objet d'une mesure discriminatoire pour ce motif sauf mauvaise foi, laquelle ne peut résulter que de la connaissance par lui de la fausseté des faits qu'il dénonce, ou lorsqu'il agit de manière intéressée, dans un but étranger à l'intérêt général ». Elle a jugé que la cour d'appel avait légalement justifié sa décision en retenant que le salarié, qui avait signalé de bonne foi et de manière désintéressée une menace grave pour l'intérêt général, pouvait bénéficier du statut de lanceur d'alerte (Cass. soc., 18 mars 2026, n° 24-10.993, FS-B). Cette décision est rendue sur le fondement de l'article 6 dans sa rédaction antérieure à la loi du 21 mars 2022, dont les termes diffèrent de ceux du texte actuel ; l'arrêt n'examine pas la portée de la rédaction en vigueur depuis le 1er septembre 2022.
Par la confidentialité de leur identité (article 9), l'irresponsabilité civile et pénale dans les conditions de l'article 10-1 et de l'article 122-9 du code pénal, l'interdiction et la nullité des représailles, l'aménagement de la charge de la preuve, et des sanctions pénales contre l'entrave au signalement ou la divulgation d'éléments confidentiels.
Oui pour les entités visées au B du I de l'article 8, notamment les personnes morales de droit privé employant au moins cinquante salariés. Pour les sociétés de 500 salariés et plus dépassant 100 millions d'euros de chiffre d'affaires, l'article 17, II, 2° ajoute une mesure spécifique rattachée au code de conduite.
Le décret du 3 octobre 2022 prévoit que la procédure précise les suites données aux signalements anonymes. Il dispense l'entité de vérifier, pour ces signalements, que l'auteur remplit les conditions de qualité exigées par la loi.
Concevoir un dispositif d'alerte interne conforme, former les personnes chargées du recueil et du traitement des signalements, ou conduire une enquête interne à la suite d'une alerte suppose de concilier confidentialité, délais et protection des personnes. Fleurus Avocats accompagne entreprises, établissements publics et collectivités dans ces démarches, dans le prolongement de notre pratique en compliance et anticorruption. Voir aussi nos articles sur la manière de mener une enquête interne en entreprise et de mener une enquête interne dans une collectivité, ainsi que notre programme de formation sur le traitement de l'alerte interne. Échangeons sur votre dispositif.
