La dénonciation de pratiques frauduleuses ou d’écarts de conduite est plus que jamais au cœur de l’actualité. En témoigne le procès opposant UBS et Stéphanie Gibaud, une ancienne salariée de la banque, qui s’est tenu le 2 février dernier devant la 17ème Chambre du Tribunal Correctionnel de Paris. Alors qu’elle était encore salariée d’UBS, Stéphanie Gibaud a dénoncé les pratiques d’évasion fiscale de son employeur. Elle est poursuivie par UBS pour diffamation.

La loi du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite loi Sapin 2, est entrée en vigueur le 11 décembre 2016. Cette loi a créé le statut de lanceur d’alerte. Un lanceur d’alerte est une personne physique qui dénonce, « de manière désintéressée et de bonne foi », des crimes, délits, agissements illégaux dont elle a eu personnellement connaissance. Les lanceurs d’alerte sont souvent employés des entreprises dont ils révèlent les agissements (tels qu’Edward Snowden). Dans ce cadre, cette loi a été adoptée afin, notamment, de garantir une protection spécifique aux salariés lanceurs.

1. La protection du salarié lanceur d’alerte

La loi offre une protection spécifique aux salariés lanceurs d’alerte afin que ceux-ci puissent agir sans crainte de représailles.

A cet effet, la loi a consacré l’obligation pour les entreprises de plus de 50 salariés de développer des procédures appropriées permettant de recueillir les signalements des alertes (cette obligation ne sera effective qu’après la publication d’un décret en Conseil d’état). Le dispositif de signalement mis en place par ces entreprises devra préserver l’anonymat du lanceur d’alerte en garantissant la stricte confidentialité de son identité.
La loi a également créé des sanctions punissant toute personne qui fait obstacle à l’exercice du droit de lancer une alerte. Ainsi, l’employeur qui empêcherait un salarié de dénoncer des faits répréhensibles commis par l’entreprise pourra être condamné à un an d’emprisonnement et à 15.000 € d’amendes.

En outre, il est interdit aux entreprises de prononcer des mesures discriminatoires à l’encontre du lanceur d’alerte (telles que des mesures de licenciement ou des mesures visant à refuser l’octroi d’une promotion ou d’une augmentation de salaire). A ce titre, la Cour d’appel de Paris a récemment condamné Natixis à réintégrer un salarié qu’elle avait licencié pour insuffisance professionnelle et comportement inapproprié envers ses collègues. Peu de temps avant son licenciement, ce salarié avait dénoncé des pratiques illégales effectuées par ses collègues, et en particulier la manipulation du cours des actions. La Cour d’appel a considéré que ce salarié avait exercé son droit d’alerte et lui a, par conséquent, accordé la protection attachée à ce statut et alloué des indemnités de plus de 325.000 € (CA Paris, 16/12/2016, n° 14/01231).

2. Impact sur les données personnelles

Des données personnelles seront collectées dans le cadre des dispositifs de signalement des alertes. Ces données seront notamment relatives à l’identité du lanceur d’alerte et à l’identité des personnes dont les agissements sont dénoncés.
Le traitement de ces données devra être déclaré à la CNIL. Cependant, la CNIL n’a pas précisé le régime de déclaration applicable aux dispositifs de signalement. Dès lors, il est recommandé aux entreprises de soumettre à la CNIL une demande d’autorisation en remplissant le formulaire disponible à l’adresse suivante : https://www.declaration.cnil.fr/…/declaration/accueil.action
En tout état de cause, les entreprises devront se conformer à certaines obligations et notamment :
– Consulter, préalablement à la mise en place du dispositif d’alerte, les représentants du personnel ;

– Fournir une information claire et complète des utilisateurs potentiels du dispositif d’alerte et des personnes désignées dans les signalements ;

- Préserver la confidentialité des informations collectées à l’occasion du signalement, et notamment les informations relatives à l’identité du lanceur d’alerte et de la personne visée par sa dénonciation ;

– Préserver la sécurité des données collectées ;

– Limiter la conservation des données personnelles à une durée n’excédant pas la durée nécessaire au traitement de l’alerte.