Un cadre légal assoupli permet maintenant une mise en œuvre plus simple et plus efficace et offre aux DRH un outil préventif supplémentaire fort utile. La mise en place d’un dispositif d’alerte professionnelle peut être instaurée par voie négociée ou par décision unilatérale. Obligatoire pour les filiales françaises de sociétés cotées américaines, elle reste facultative pour les autres formes d’entreprises.

Les alertes doivent répondre à une obligation légale ou à un intérêt légitime.

En pratique, il convient de vérifier si le contenu du dispositif d’alerte mis en place répond aux exigences de l’autorisation unique (AU-004), à savoir respect du champ d’application, caractère facultatif, respect des règles générales de la loi du 6 janvier 1978. Dans ce cas, un engagement de conformité est simplement adressé à la Cnil.

L’autorisation unique simplifiée concerne les dispositifs d’alertes professionnelles permettant aux salariés de signaler des faits relatifs aux domaines financier, comptable, bancaire, de lutte contre la corruption et aux pratiques anticoncurrentielles. Plus récemment, ils ont été élargis aux luttes contre les discriminations et au harcèlement au travail, à la santé, l’hygiène et la sécurité, et à la protection de l’environnement.

À défaut, une autorisation individuelle spécifique doit être obtenue, après analyse par la Cnil, de la légitimité des finalités poursuivies et de la proportionnalité de tels dispositifs.

Les salariés doivent être informés préalablement à la mise en œuvre du dispositif, non seulement sur son caractère facultatif et complémentaire, mais également sur les sanctions disciplinaires et poursuites judiciaires qui pourraient être engagées pour dénonciation calomnieuse ou mensongère.

Le dispositif doit ainsi encourager le lanceur d’alerte à s’identifier ; son identité sera traitée de façon confidentielle par le gestionnaire des alertes (interne ou externe à l’entreprise).

L’employeur doit réagir à l’alerte, en menant une investigation interne consistant à vérifier les faits et la bonne foi de l’auteur de l’alerte. Les alertes anonymes ne peuvent être traitées que si la gravité des faits mentionnés est établie et que les éléments facultatifs sont suffisamment détaillés. En outre, l’opportunité de sa diffusion dans le cadre du dispositif doit être préalablement examinée.

À défaut, les éléments doivent être détruits ou archivés. Il en va de même si l’alerte ne rentre pas dans le champ du dispositif.

La personne mise en cause par l’alerte doit être informée dès l’enregistrement des données la concernant afin d’exercer, si elle le souhaite, ses droits d’opposition, d’accès et de rectification.

L’employeur envisagera, enfin, les suites à donner à l’alerte (sanction disciplinaire ou poursuites judiciaires). Le lanceur d’alerte en sera informé. Ce dernier est protégé contre d’éventuelles mesures de représailles, à condition qu’il soit de bonne foi. Les recommandations de la Cnil sur la conservation des données collectées devront également être respectées.

À défaut de respecter ces procédures, le juge judiciaire pourrait ordonner l’annulation du dispositif d’alerte professionnelle et la destruction de toutes les données recueillies, outre le risque de sanctions pénales (cinq ans d’emprisonnement et 300 000 euros d’amende).

Ces dispositifs, complémentaires aux modes d’alertes classiques (IRP, CAC, audit interne, inspection du travail), se révèlent fort utiles pour pallier des carences internes et converger vers une gouvernance plus responsable.