Lanceurs d'alerte

Tout type de violations des règles de droit en matière de protection des données, qu’elles soient d’ordre administratif, pénal ou autre peut être signalé à la CNPD. 

Le lanceur d’alerte peut communiquer toute information, y compris des soupçons raisonnables, concernant :

• des violations effectives ou potentielles ; et
• des tentatives de dissimulation de ces violations ;
• qui se sont produites ou sont très susceptibles de se produire :
  • dans l’organisation dans laquelle il travaille ou a travaillé ; ou
  • dans une autre organisation avec laquelle il est ou a été en contact dans le cadre de son travail.

Attention : le lanceur d’alerte ne peut pas divulguer des informations qu’il a obtenues ou auxquelles il a eu accès en commettant une infraction pénale.

La Loi protège les lanceurs d’alerte travaillant dans le secteur privé ou public qui ont obtenu des informations sur des violations dans un contexte professionnel (relation de travail actuelle, passée ou future), y compris :

• les travailleurs (y compris les fonctionnaires et employés de l’Etat) ;
• les travailleurs indépendants ;
• les actionnaires et les membres de l’organe d’administration, de direction ou de surveillance d’une entreprise, y compris les membres non exécutifs ainsi que les bénévoles et les stagiaires rémunérés ou non ;
• toute personne travaillant sous la supervision et la direction de contractants, de sous-traitants et de fournisseurs.

La Loi protège également :

• les facilitateurs (personne physique qui aide un lanceur d’alerte de façon confidentielle) ;
• les collègues ou proches du lanceur d’alerte qui risquent de faire l’objet de représailles ; et
• les entités juridiques appartenant au lanceur d’alerte pour lesquelles il travaille, ou avec lesquelles il a des liens professionnels ;
• les personnes qui ont signalé ou divulgué des informations sur des violations de manière anonyme, mais qui sont identifiées par la suite et font l’objet de représailles ;
• les personnes qui signalent des violations auprès des institutions, organes ou organismes de l’Union européenne compétents.

Ne sont pas concernés par cette protection :

• les signalements de violations relatives à la sécurité nationale ;
• les lanceurs d’alerte dont les relations sont couvertes par :
  • le secret médical ;
  • le secret des relations entre un avocat et son client ;
  • le secret professionnel auquel un notaire ou un huissier de justice sont tenus ;
  • le secret des délibérations judiciaires ;
  • les règles en matière de procédures pénales.

Les lanceurs d’alerte ("whistle-blowers") qui signalent ces violations et qui tombent dans le champ d’application de la Loi sont protégés contre toutes formes de représailles.

Absence de responsabilité des lanceurs d’alerte

Les lanceurs d’alerte qui répondent aux conditions de protection n’enfreignent pas la loi quant à la divulgation d’informations et n’encourent aucune responsabilité :

• concernant le signalement (interne et/ou externe) ou la divulgation publique pour autant qu’ils aient eu des motifs raisonnables de croire que le signalement ou la divulgation publique était nécessaire pour révéler une violation du droit ;
• en ce qui concerne l’obtention des informations qui sont signalées ou divulguées publiquement, ou l’accès à ces informations (sauf si cette obtention ou accès constitue une infraction pénale autonome) ;
• du fait des signalements ou des divulgations publiques effectués, y compris dans les procédures judiciaires pour diffamation, violation du droit d’auteur, violation du secret, violation des règles en matière de protection des données ou divulgation de secrets d’affaires, ou pour des demandes d’indemnisation fondées sur le droit privé, le droit public ou le droit collectif du travail.

Ils peuvent alors invoquer ce signalement ou cette divulgation publique pour demander l’abandon de la procédure.

Mesures de représailles interdites

Toutes formes de représailles, y compris les menaces et tentatives de représailles, sont interdites à l’égard des lanceurs d’alerte en raison du signalement qu’ils ont effectué.

Sont notamment interdites et nulles de plein droit :

• la suspension d’un contrat de travail, la mise à pied, le licenciement, le non-renouvellement ou la résiliation anticipée d’un contrat de travail à durée déterminée ou des mesures équivalentes ;
• la rétrogradation ou le refus de promotion ;
• le transfert de fonctions, le changement de lieu de travail, la réduction de salaire, la modification des horaires de travail ;
• la suspension de la formation ;
• les mesures disciplinaires imposées ou administrées, réprimande ou autre sanction, y compris une sanction financière ;
• la non-conversion d’un contrat de travail temporaire en un contrat permanent, lorsque le salarié pouvait légitimement espérer se voir offrir un emploi permanent ;
• l’évaluation de performance ou l’attestation de travail négative ;
• la résiliation anticipée ou l’annulation d’un contrat pour des biens ou des services ;
• l’annulation d’une licence ou d’un permis ;

Sont également interdites :

• la coercition, l’intimidation, le harcèlement ou l’ostracisme ;
• la discrimination, le traitement désavantageux ou injuste ;
• le préjudice, y compris les atteintes à la réputation de la personne, en particulier sur les réseaux sociaux, ou les pertes financières, y compris la perte d’activité et la perte de revenu ;
• la mise sur liste noire sur la base d’un accord formel ou informel à l’échelle sectorielle ou de la branche d’activité, pouvant impliquer que la personne ne trouvera pas d’emploi à l’avenir au niveau du secteur ou de la branche d’activité ;
• l’orientation vers un traitement psychiatrique ou médical.

Action contre des mesures de représailles

Le lanceur d’alerte qui subit des mesures de représailles peut, dans les 15 jours qui suivent la notification des mesures, demander à la juridiction compétente de constater la nullité des mesures et d’en ordonner la cessation.

La personne qui n’a pas invoqué la nullité des mesures de représailles ou qui en a déjà obtenu la nullité peut encore exercer une action en dommages et intérêts.

La CNPD recommande, pour les actions en justice, de recourir aux services d’un avocat.

Renversement de la charge de la preuve

Le lanceur d’alerte qui subit des mesures préjudiciables bénéficie d’office de la présomption que ces mesures ont été prises contre lui en représailles au signalement.

Il incombe donc à la personne qui a pris les mesures d’en établir les motifs.

Les personnes qui exercent des mesures de représailles ou intentent des procédures abusives contre les lanceurs d’alerte s’exposent à une amende de 1.250 à 25.000 euros. 

Pour être protégé contre toutes formes de représailles le lanceur d’alerte doit :

• avoir eu des motifs raisonnables de croire que les informations signalées sur les violations étaient véridiques au moment du signalement et qu’elles relèvent du champ d’application de la loi ; et
• avoir effectué un signalement soit interne (via les canaux de signalement de son entreprise ou administration), soit externe (via les canaux de signalement de la CNPD compétente), soit public (suite à un signalement externe sans résultat).

Un lanceur d’alerte qui divulgue publiquement une violation bénéficie de la protection de la loi si :

• il a d’abord effectué soit un signalement interne et externe soit directement un signalement externe mais aucune mesure appropriée n’a été prise en réponse au signalement dans les 3 mois suivant le signalement ; ou
• il a des motifs raisonnables de croire que :
  • la violation peut représenter un danger imminent ou manifeste pour l’intérêt public (par exemple lorsqu’il existe une situation d’urgence ou un risque de préjudice irréversible) ; ou
  • en cas de signalement externe, il existe un risque de représailles ou il y a peu de chances qu’il soit véritablement remédié à la violation, en raison des circonstances particulières de l’affaire (par exemple lorsque des preuves peuvent être dissimulées ou détruites ou lorsqu’une autorité peut être en collusion avec l’auteur de la violation ou impliquée dans la violation).

Oui, mais dans la mesure du possible nous vous invitons néanmoins à transmettre l’alerte d’abord en interne.

La CNPD s’engage à protéger l’identité du lanceur d’alerte dans les limites de la législation applicable. En d’autres termes, ni l’identité de l’employé ayant effectué un signalement, ni celle de tierces personnes éventuellement impliquées, ne sera communiquée au professionnel visé. L’identité du lanceur d’alerte et des tierces personnes ne sera divulguée que dans des circonstances où cela devient inévitable par la loi (par exemple en raison de l'obligation de la CNPD d'informer le procureur d’Etat si les faits sont susceptibles de constituer un crime ou un délit, ou dans le contexte d’une procédure pénale vis-à-vis de l’entité où le déclarant pourra, le cas échéant, être cité comme témoin). Alors qu’il ne pourra, malgré toutes les précautions,  pas être totalement exclu que l’employeur découvre l'identité du lanceur d’alerte par le recoupement d’informations, la CNPD mettra bien entendu tout en œuvre pour la protéger. 

Le lanceur d’alerte qui souhaite signaler des violations de législation entrant dans le domaine de compétences de la CNPD, peut s’adresser à la CNPD en français, luxembourgeois, allemand ou en anglais :

• via le formulaire sur le site web de la CNPD

La plateforme de signalement de la CNPD garantit l’exhaustivité, l’intégrité et la confidentialité des informations transmises à la CNPD. Seuls les membres du personnel de la CNPD habilités y ont accès et sont tenus de respecter le secret professionnel conformément au serment qu’ils ont prêté lors de leur entrée en fonction.

La CNPD n’enregistre pas les signalements par téléphone mais elle peut rédiger un procès-verbal précis relatant les principaux éléments de la conversation que le lanceur d’alerte pourra par la suite vérifier, rectifier et signer pour approbation.

De même, la CNPD veille, avec le consentement du lanceur d’alerte, à conserver des comptes rendus complets et précis des signalements effectués en personne sous forme d’enregistrement ou de procès-verbal.

En cas de signalement par d’autres canaux ou via d’autres membres du personnel de la CNPD, ces derniers sont également tenus de respecter le secret quant à l’identité du lanceur d’alerte ou de la personne concernée et transmettent le signalement au plus vite aux membres du personnel en charge du traitement.

La CNPD reçoit et assure le suivi des signalements tombant sous son  champ de compétences.

Elle peut demander par écrit à l’entité visée par le signalement la communication de tous les renseignements qu’elle juge nécessaires, dans le strict respect de la confidentialité de l’identité du lanceur d’alerte.

La CNPD s’assure notamment :

• d’accuser réception du signalement dans un délai de 7 jours à compter de sa réception, sauf en cas :
  • de demande contraire expresse du lanceur d’alerte ; ou
  • de motifs raisonnables de croire qu’accuser réception du signalement compromettrait la protection de l’identité du lanceur d’alerte ;
• d’en assurer un suivi diligent ;
• et dans le respect de l'obligation légale sur le secret professionnel de fournir au lanceur d’alerte un retour d’informations endéans 3 mois, ou 6 mois dans des cas dûment justifiés ;
• Lorsque la CNPD reçoit un signalement pour lequel elle n’est pas compétente, elle le transmet dans un délai raisonnable et de manière confidentielle et sécurisée à l’autorité nationale compétente. Cette dernière en informe le lanceur d’alerte.

Après examen, la CNPD :

• peut décider de clôturer la procédure :
  • en cas de violation manifestement mineure (sans préjudice d’autres obligations ou d’autres procédures applicables visant à remédier à la violation signalée) ;
  • en cas de signalements répétitifs qui ne contiennent aucune nouvelle information significative par rapport à un signalement antérieur dont la procédure est close ;
    La CNPD notifie alors sa décision et les motifs à son fondement au lanceur d’alerte.

L’auteur d’un signalement qui a sciemment signalé ou divulgué publiquement de fausses informations, pourra se voir infliger une peine d’emprisonnement de 8 jours à 3 mois et une amende de 1.500 euros à 50.000 euros.

La responsabilité civile de l’auteur d’un faux signalement sera engagée. L’entité qui a subi des dommages peut demander réparation du préjudice subi devant la juridiction compétente.