Employeurs, depuis la publication le 3 octobre 2022 du décret d’application de la loi visant à améliorer la protection des lanceurs d’alerte, il vous appartient de mettre à jour votre procédure de recueil des signalements émis par les lanceurs d’alerte, et mettre en place les garanties d’impartialité, d’intégrité et de confidentialité exigées.
Parmi les nouveautés du décret :
➡️ Tant la définition du lanceur d’alerte que celle du champ de l’alerte sont élargies : le lanceur d’alerte n’a plus à avoir eu personnellement connaissance des faits dénoncés (sauf exception), la condition de gravité des menaces ou violations est supprimée et les tentatives de violations sont désormais concernées.
➡️ La hiérarchie des canaux est supprimée : le lanceur d’alerte peut, dorénavant, soit procéder à un signalement interne, soit procéder à un signalement externe, soit, sous réserve d’en respecter les conditions légales, rendre le signalement public.
Nous attirons votre attention sur le fait que la CNIL, l’ANSSI et la Direction Générale du travail (DGT) ont d’ores et déjà mis en place leur canal de réception des alertes externes, ce qui facilitera de telles alertes en matière de violation des données à caractère personnel, de cybersécurité et de droit du travail.
Vous avez donc tout intérêt à diffuser votre procédure interne et à sensibiliser vos salariés sur le recours à celle-ci, tout en mettant en place les garanties de confidentialité et de sécurité requises, afin qu’ils n’hésitent pas à y recourir.
➡️ De nouvelles modalités encadrant la procédure d’alerte sont fixées : information-consultation préalable obligatoire du CSE (quel que soit l’instrument juridique choisi), traitement du signalement oral, information du lanceur d’alerte de la réception à la clôture de l'alerte, mise en place de garanties permettant l’exercice impartial de leurs missions par les personnes désignées pour recevoir et traiter les signalements, etc.
À ces nouveautés s’ajoute désormais le référentiel « alertes professionnelles » de la CNIL, dans sa version adoptée le 6 juillet 2023, et publiée le 21 juillet dernier, qui encadre le traitement des données à caractère personnel collectées, à chaque phase de la procédure, modifie ses recommandations relatives aux durées de conservation, en intégrant notamment de nouvelles finalités, et contient des précisions relatives à l’externalisation du recueil et du traitement des alertes, notamment.
⚠︎ La mise à jour de votre procédure devra être accompagnée d’une mise à jour de votre documentation RGPD (registre des traitements, information des membres du personnel, analyse d’impact relative à la protection des données) et du renforcement de votre niveau de sécurité.
Nos équipes du pôle Social et du pôle Data sont à votre disposition pour vous assister dans ces démarches.
L'équipe RH / DATA