Lanceur d'alerte et enquête interne : quelles sont les obligations de l'entreprise ?

La figure du lanceur d'alerte occupe aujourd'hui une place centrale dans la prévention des risques au sein de l'entreprise. Pourtant, derrière ce terme largement médiatisé se cachent des réalités juridiques complexes, à la croisée du droit social, du droit pénal et du droit des données personnelles.

Pour les entreprises comme pour les salariés, comprendre le fonctionnement d'une alerte et les conséquences qui peuvent en découler est devenu indispensable.

Qui est le lanceur d'alerte ?

Le lanceur d'alerte est une personne physique qui signale ou divulgue, sans contrepartie financière et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général, ainsi que toute violation d'un engagement international de la France.

Au sein d'une entreprise, peuvent être concernés aussi bien les salariés et anciens salariés que les personnes candidates à un emploi.

L'important n'est pas seulement l'alerte, mais le cadre qui l'entoure

Une erreur fréquente consiste à considérer que la procédure d'alerte se limite au moment où un signalement est effectué. En réalité, l'essentiel réside dans l'existence d'un cadre préalablement défini permettant l'émission de l'alerte, sa réception, son traitement, sa conservation et, le cas échéant, l'ouverture d'une enquête interne.

L'entreprise doit ainsi disposer d'une documentation adaptée :

• une politique d'alerte professionnelle ;
• une charte informatique ;
• des procédures internes ;
• des mentions d'information RGPD ;
• une FAQ ou des guides destinés aux salariés.

La sécurisation de ce cadre documentaire constitue souvent le premier enjeu de conformité de l'entreprise.

Quels sont les canaux de signalement du lanceur d'alerte ?

Depuis la loi n° 2022-401 du 21 mars 2022, dite loi Waserman, le lanceur d'alerte dispose d'une grande liberté dans le choix du canal de signalement.

Il est désormais libre d'opter :

• soit pour un signalement interne, effectué selon les modalités prévues par le dispositif d'alerte ;
• soit pour un signalement externe, adressé directement à une autorité compétente, à la justice, au Défenseur des droits ou à une institution, un organe ou un organisme de l'Union européenne.

Par ailleurs, les signalements anonymes sont de plus en plus fréquents. La réglementation actuelle tend à leur accorder une protection croissante, notamment lorsque des facilitateurs accompagnent le lanceur d'alerte.

L'entreprise est-elle obligée de mener une enquête interne ?

En droit français, aucune disposition n'impose, de manière générale et transversale, à une entreprise de diligenter une enquête interne à la suite d'un signalement.

En revanche, plusieurs régimes sectoriels – prévention de la corruption, lutte contre le blanchiment, santé et sécurité au travail – imposent la mise en place de dispositifs de contrôle interne et de canaux d'alerte qui font, en pratique, de l'enquête interne l'outil central de gestion du risque pénal, social et de conformité.

Cette absence d'obligation générale ne dispense toutefois pas l'entreprise de vigilance.

Une réaction insuffisante face à une alerte peut :

• caractériser un manquement à l'obligation de sécurité ;
• exposer l'entreprise à des sanctions administratives ;
• fragiliser sa position dans un contentieux prud'homal ou pénal.

À l'inverse, une enquête mal conduite peut être contestée sur le terrain du RGPD ou de la loyauté de la preuve.

Pourquoi l'enquête interne est-elle devenue essentielle ?

En droit pénal

L'entreprise doit mettre en place des mécanismes de contrôle suffisamment efficaces.

La Chambre criminelle de la Cour de cassation, dans un arrêt du 14 mars 2018 (n° 16-82.117), a notamment admis que certaines abstentions pouvaient engager la responsabilité pénale lorsque des mesures de contrôle adaptées n'avaient pas été mises en œuvre.

En droit du travail

L'enquête interne joue également un rôle prépondérant.

La Chambre sociale de la Cour de cassation, dans un arrêt de principe du 29 juin 2022 (n° 21-11.437), a indiqué que le rapport d'enquête interne peut être produit par l'employeur pour justifier un licenciement pour harcèlement, sous réserve de l'absence d'investigations illicites. Il appartient alors aux juges du fond d'en apprécier la valeur probante au regard des autres éléments du dossier.

Pour préserver le pouvoir disciplinaire de l'employeur

L'enquête interne permet également de préserver les droits disciplinaires de l'employeur.

Lorsqu'une faute est suspectée, attendre excessivement avant d'agir peut conduire à la prescription disciplinaire.

À titre d'illustration, la Cour d'appel de Montpellier, dans un arrêt du 20 novembre 2024 (n° 22/03796), a jugé qu'il était utile pour l'employeur de déclencher une enquête à la suite d'une alerte du médecin du travail et de salariés. La synthèse de l'enquête a permis de caractériser des « faits nouveaux » connus de l'employeur moins de cinq semaines avant le licenciement, ce qui a permis d'écarter la prescription disciplinaire de l'article L. 1332-4 du Code du travail.

RGPD et enquête interne : un terrain particulièrement sensible

Toute enquête interne implique la collecte et le traitement de données à caractère personnel : messages, documents, attestations ou déclarations.

Le règlement général sur la protection des données (UE) 2016/679 et la loi « Informatique et Libertés » n° 78-17 du 6 janvier 1978 trouvent donc à s'appliquer.

Parmi les principales exigences, l'employeur doit notamment :

Identifier une base légale

Le traitement doit reposer sur une base juridique valable :

• une obligation légale, notamment dans le cadre des dispositifs Sapin II ou LCB-FT ;
• ou l'intérêt légitime de l'entreprise, notamment pour assurer la sécurité de ses salariés ou prévenir des comportements illicites.

Respecter le principe de minimisation

Seules les informations strictement nécessaires à la vérification des faits signalés doivent être recueillies.

Les données sans lien avec l'objet de l'enquête doivent être écartées.

Informer préalablement les salariés

L'existence du dispositif d'alerte et la possibilité qu'une enquête soit conduite doivent être portées à la connaissance des salariés, généralement au moyen :

• de la politique d'alerte ;
• de la charte informatique ;
• des notices de protection des données.

Cette information peut toutefois être temporairement différée à l'égard de la personne mise en cause lorsqu'il existe un risque de destruction de preuves.

En pratique, les règles du RGPD sont de plus en plus fréquemment invoquées pour contester ou ralentir une enquête interne, notamment par l'exercice du droit d'accès, le dépôt d'une plainte auprès de la CNIL ou la contestation du traitement mis en œuvre.

Une documentation préalable solide demeure donc le meilleur moyen de sécuriser la procédure.

Quels acteurs peuvent conduire une enquête interne ?

L'enquête interne peut être réalisée :

• par le service des ressources humaines ;
• par la direction conformité ;
• par un cabinet d'avocats.

Le recours à un cabinet d'avocats présente plusieurs avantages : une expertise technique, une plus grande indépendance, un regard extérieur favorisant l'objectivité de l'analyse des faits ainsi qu'une protection accrue de certaines informations sensibles.

Comment sécuriser un dispositif de lanceur d'alerte et une enquête interne ?

Le traitement d'une alerte ne se résume jamais à la réception d'un signalement. Il implique l'articulation de nombreuses règles relevant du droit social, du droit pénal, de la conformité et du RGPD.

Le cabinet Joshua accompagne les entreprises dans la mise en place de leurs dispositifs d'alerte professionnelle, la rédaction de leur documentation interne, le traitement des signalements et la conduite d'enquêtes internes sensibles.

‍