Enquête interne et droits des salariés : le cadre juridique expliqué aux dirigeants
Une société reçoit un signalement interne : un salarié accuse un responsable de pratiques contraires à l'éthique. La direction décide d'ouvrir une enquête. Aussitôt, deux ensembles de règles entrent en tension – les exigences du programme de conformité d'un côté, les droits fondamentaux des salariés de l'autre. Mal géré, ce conflit peut transformer une démarche de protection en source de contentieux social, voire de mise en cause pénale.
L'enquête interne désigne la procédure par laquelle une entreprise collecte des éléments de fait sur un dysfonctionnement allégué, avant toute saisine d'une autorité extérieure. Elle s'inscrit au croisement du droit du travail, du droit pénal des affaires et des obligations issues du dispositif anticorruption (loi Sapin II) et du Règlement général sur la protection des données (RGPD). Son cadre juridique conditionne directement la valeur probatoire des éléments recueillis et la responsabilité des dirigeants qui la commanditent.
Ce dossier présente, en huit parties, les règles applicables, les erreurs les plus fréquentes relevées dans notre pratique et les réflexes opérationnels que tout compliance officer devrait avoir en tête avant d'ouvrir une procédure.
Pourquoi l'enquête interne est devenue un enjeu central pour les dirigeants ?
L'enquête interne s'est imposée dans les entreprises françaises sous l'effet conjugué de plusieurs évolutions normatives récentes. Elle n'est plus un outil optionnel réservé aux groupes internationaux : elle est désormais une composante attendue d'un programme de conformité sérieux, qu'il s'agisse de prévenir la corruption, de traiter un signalement de lanceur d'alerte ou de répondre à une demande d'explication d'une autorité de contrôle.
Le dispositif anticorruption instauré par la loi Sapin II impose aux entreprises dépassant certains seuils de mettre en place un dispositif d'alerte interne et des procédures de contrôle. Un signalement reçu dans ce cadre appelle une réponse structurée. Sans protocole préalable, la direction s'expose à deux risques simultanés : ne pas recueillir des éléments exploitables, et violer les droits du salarié mis en cause ou du lanceur d'alerte.
Dans notre pratique des dossiers de conformité, nous observons que les enquêtes conduites sans protocole écrit donnent systématiquement lieu à des contestations en conseil de prud'hommes, même lorsque les faits sous-jacents sont établis. La faiblesse n'est pas factuelle – elle est procédurale. C'est précisément ce qui distingue une enquête juridiquement solide d'un exercice exposé à être annihilé devant une juridiction.
La dimension économique est réelle. Une enquête mal conduite peut rendre impossible le licenciement d'un salarié fautif, fragiliser une mise en cause pénale ou, à l'inverse, exposer l'entreprise à une action en dommages-intérêts de la personne enquêtée. Le coût d'un protocole préventif est sans commune mesure avec celui d'un contentieux mal maîtrisé.
Vous avez reçu un signalement et vous devez décider dans les prochains jours si vous ouvrez une enquête interne ? La procédure décrite ci-dessous vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique des juridictions compétentes.
Pour une analyse de votre situation au regard des droits des salariés et du programme de conformité, écrivez-nous à contact@vernaylestang.com.
Quel cadre juridique s'applique à une enquête interne en France ?
L'enquête interne en droit français n'est pas régie par un texte unique. Son cadre se construit par sédimentation de plusieurs branches du droit, chacune imposant ses propres contraintes.
Le Code du travail constitue le premier référentiel. Il encadre le pouvoir de direction de l'employeur, la protection de la vie privée du salarié et les modalités de recueil de preuves dans le cadre d'une relation de travail. La jurisprudence constante de la Cour de cassation en matière de preuve illicite dans les litiges prud'homaux – fondée sur les principes de licéité et de loyauté de la preuve – s'applique pleinement aux éléments recueillis lors d'une enquête interne.
Le dispositif anticorruption – issu de la loi dite Sapin II et précisé par les recommandations de l'Agence française anticorruption (AFA) – structure les obligations de traitement des signalements internes. Ces recommandations, publiées par l'AFA, ne sont pas des normes contraignantes au sens strict, mais elles servent de référence lors des contrôles : une entreprise qui s'en écarte doit être en mesure de justifier son choix.
Le RGPD et la loi Informatique et Libertés s'appliquent dès lors que l'enquête implique le traitement de données à caractère personnel – ce qui est toujours le cas. Enregistrements de communications, consultation de messageries professionnelles, collecte d'informations sur un salarié : chaque acte d'enquête est un traitement de données soumis aux principes de licéité, minimisation et sécurité. La CNIL a publié des lignes directrices sur les systèmes d'alerte interne que tout compliance officer devrait intégrer dans son protocole.
Enfin, le Code de procédure pénale peut entrer en jeu lorsque l'enquête interne précède ou accompagne une procédure pénale. Les éléments recueillis en interne peuvent être versés à une instruction ou à un dossier de partie civile – à condition d'avoir été obtenus loyalement.
Quels droits des salariés s'imposent pendant une enquête interne ?
Les droits des salariés lors d'une enquête interne sont exigeants et non négociables. Les méconnaître n'est pas seulement une erreur éthique : c'est une erreur stratégique qui peut annuler les effets de l'enquête.
Le droit à l'information est le premier en ligne. Le salarié mis en cause doit, à un stade approprié de la procédure, être informé de l'existence de l'enquête et des griefs qui lui sont reprochés. Le moment exact dépend des circonstances : une information trop précoce peut conduire à la disparition de preuves ; une information trop tardive expose à la violation du principe du contradictoire. Dans notre pratique, nous recommandons de formaliser ce calendrier dans le protocole d'enquête avant d'entamer toute audition.
Le droit à l'assistance constitue un second point de vigilance. Lorsqu'une audition peut déboucher sur une mesure disciplinaire, le salarié peut demander à être assisté d'un représentant du personnel. Cette règle, issue du Code du travail, est fréquemment ignorée dans les enquêtes conduites par des services internes ou des prestataires extérieurs.
La protection de la vie privée impose des limites à l'accès aux messageries et aux équipements personnels du salarié, même lorsqu'il utilise des outils professionnels. La jurisprudence constante de la Cour de cassation en la matière établit une distinction entre les communications clairement identifiées comme personnelles – auxquelles l'employeur n'a pas accès sans autorisation judiciaire – et les communications professionnelles, accessibles dans le cadre du pouvoir de direction.
Le principe de loyauté de la preuve s'applique avec une acuité particulière dans le contexte de l'enquête interne. Les enregistrements clandestins, les accès non autorisés à des systèmes informatiques ou les interceptions de communications sont non seulement irrecevables en justice, mais peuvent engager la responsabilité pénale de ceux qui les ont ordonnés.
Enfin, la protection du lanceur d'alerte – renforcée par les dispositions du Code du travail transposant la directive européenne sur les lanceurs d'alerte – interdit toute mesure de rétorsion à l'encontre du salarié ayant effectué un signalement de bonne foi. Cette protection s'étend aux témoins. Une enquête interne qui conduit, même indirectement, à une sanction d'un lanceur d'alerte expose l'entreprise à une annulation judiciaire et à des dommages-intérêts significatifs. Pour approfondir la dimension « lanceur d'alerte », voir notre dossier sur la protection des lanceurs d'alerte et ses enjeux pour les entreprises.
Comment structurer une enquête interne juridiquement solide ?
Une enquête interne juridiquement solide repose sur quatre piliers : un mandat écrit, un protocole de collecte, une gestion des droits des personnes concernées et une documentation rigoureuse. Ces éléments ne sont pas des formalités – ils conditionnent la valeur probatoire de l'enquête et la responsabilité des dirigeants.
Le mandat d'enquête définit l'objet, le périmètre, les personnes habilitées à conduire les investigations, les catégories d'éléments susceptibles d'être collectés et les règles de confidentialité. Il peut être confié à une équipe interne (ressources humaines, audit interne, compliance officer) ou à un conseil extérieur. Le recours à un avocat présente l'avantage spécifique de la protection attachée au secret professionnel de l'avocat, qui couvre les consultations et les documents préparés dans le cadre de la mission de conseil. Cette protection – distincte du privilège légal en droit américain – a une portée reconnue en droit français et est un enjeu dans les procédures conduites par l'Autorité de la concurrence ou d'autres autorités de contrôle (voir notre page consacrée à la défense devant l'Autorité de la concurrence).
Le protocole de collecte doit détailler les modalités d'audition (présence d'un tiers, enregistrement ou rédaction d'un procès-verbal, signature du salarié), les conditions d'accès aux données informatiques (en coordination avec la DSI et dans le respect du RGPD) et les règles de conservation des éléments recueillis.
La gestion des droits des personnes concernées impose de notifier le registre des traitements de données, d'informer les intéressés à un stade approprié et de prévoir un délai de conservation des éléments limité à la durée strictement nécessaire. Une analyse d'impact sur la protection des données (AIPD) peut être nécessaire si l'enquête implique un traitement à grande échelle ou des données sensibles.
La documentation est le pivot de tout le dispositif. Chaque décision, chaque acte d'investigation et chaque élément recueilli doit être tracé, daté et versé dans un dossier d'enquête sécurisé. Cette traçabilité est ce qui permet, le cas échéant, de démontrer devant une juridiction que la procédure a respecté les droits des salariés et les règles de preuve.
Illustration de pratique (Paris, printemps 2025)
Nous avons accompagné une société de services financiers dans la structuration d'une enquête interne consécutive à un signalement portant sur des pratiques d'approvisionnement irrégulières. La mission a consisté à rédiger le mandat d'enquête, à définir le protocole d'audition conforme aux exigences du Code du travail et à assurer la conformité du traitement de données avec les lignes directrices de la CNIL. L'enquête a permis d'établir les faits de manière probatoire et d'aboutir à une décision disciplinaire non contestée.
Si une démarche antérieure a produit un résultat défavorable – annulation d'une sanction disciplinaire, contestation de la méthode de collecte ou mise en cause d'un membre de la direction –, un second regard permet d'identifier les leviers restants.
Pour examiner l'application du cadre juridique de l'enquête interne à votre situation, contactez-nous à contact@vernaylestang.com.
Quelles erreurs fréquentes compromettent une enquête interne ?
Les erreurs qui compromettent une enquête interne sont, dans notre expérience, moins souvent des erreurs de fond que des erreurs de procédure. Elles surviennent à des moments précis et prévisibles.
La première erreur est l'absence de mandat formalisé. Une enquête ouverte sans document écrit ne peut pas démontrer que son périmètre était défini, que les personnes mandatées étaient habilitées et que les règles de confidentialité étaient établies. Cette lacune affecte directement la recevabilité des éléments recueillis.
La deuxième erreur est la consultation des messageries sans formalité préalable. Accéder à la messagerie professionnelle d'un salarié sans l'en informer préalablement, ou sans respecter les conditions posées par la jurisprudence constante de la Cour de cassation, est une violation du droit à la vie privée – même si les messages sont hébergés sur les serveurs de l'entreprise. La règle n'est pas intuitive, et c'est précisément pour cela qu'elle est fréquemment méconnue.
La troisième erreur est la confusion entre l'enquête et la procédure disciplinaire. L'enquête interne a pour objet d'établir les faits. La procédure disciplinaire – avec ses propres garanties (convocation à entretien préalable, délais, possibilité d'assistance) – ne peut s'ouvrir qu'une fois les faits suffisamment caractérisés. Confondre les deux phases expose à l'annulation de la sanction pour vice de procédure.
La quatrième erreur est de négliger la protection du lanceur d'alerte. Dans un contexte où la personne signalante est un salarié de l'entreprise, toute mesure affectant sa situation professionnelle – même indirectement liée au signalement – peut être requalifiée en rétorsion par une juridiction. Cette requalification entraîne une présomption de discrimination dont il appartient à l'employeur de se défaire.
La cinquième erreur est le défaut de traçabilité. Une enquête dont les actes ne sont pas documentés ne peut être défendue devant une juridiction. Les notes d'audition non signées, les échanges de messagerie informels entre enquêteurs et la conservation défaillante des éléments sont les marques d'un processus improvisé que les conseils adverses ne manqueront pas de souligner.
Quelle place pour le secret professionnel de l'avocat dans une enquête interne ?
Le recours à un avocat pour conduire ou superviser une enquête interne n'est pas seulement une question de compétence : il répond à un enjeu de protection juridique spécifique. En droit français, le secret professionnel de l'avocat couvre les consultations, les correspondances et les documents préparés dans le cadre d'une mission de conseil. Cette protection peut être opposée en cas de perquisition dans les locaux de l'entreprise ou d'une demande de communication de pièces par une autorité de contrôle.
La portée exacte de cette protection est un sujet de débat dans la jurisprudence constante des juridictions françaises et dans les pratiques des autorités de contrôle – notamment l'Autorité de la concurrence et l'AMF. Dans notre pratique des procédures devant ces autorités, nous observons que la question de la protection des documents d'enquête interne est systématiquement soulevée dès les premières phases d'inspection. La structurer en amont est plus efficace que de la défendre en urgence lors d'une visite inopinée.
Il convient par ailleurs de distinguer le rôle de conseil – couvert par le secret – du rôle de mandataire de l'entreprise dans une relation avec une autorité extérieure. Ces deux rôles peuvent coexister, mais leur distinction doit être claire dans le mandat et dans la documentation de l'enquête.
Illustration de pratique (Lyon, automne 2025)
Lors d'une opération récente, nous avons assisté une ETI du secteur industriel confrontée à une inspection de l'Autorité de la concurrence. Les documents de l'enquête interne préalablement conduite sous supervision de nos avocats ont pu être protégés au titre du secret professionnel. La préparation en amont du protocole d'enquête et la distinction claire entre les actes de conseil et les actes d'investigation avaient permis d'anticiper précisément cette configuration.
Comment l'enquête interne s'articule-t-elle avec les procédures externes ?
L'enquête interne ne se déroule pas dans un espace clos. Elle s'articule – parfois dans des délais très courts – avec des procédures externes qui imposent leurs propres contraintes.
Lorsqu'une autorité de contrôle (Autorité de la concurrence, AMF, CNIL, parquet) est déjà saisie, l'entreprise doit gérer simultanément sa défense externe et l'enquête interne. Ces deux démarches ne peuvent pas être conduites de manière indépendante : les éléments recueillis en interne peuvent être requis par l'autorité ; inversement, les actes de l'autorité peuvent orienter le champ de l'enquête interne. Une coordination étroite entre les équipes est indispensable.
La question de l'auto-incrimination se pose avec acuité dans ce contexte. En droit français, une personne morale peut être amenée à produire des documents dans le cadre d'une procédure administrative ou pénale. Les éléments issus d'une enquête interne ne bénéficient pas automatiquement d'une protection. C'est pourquoi la structuration du mandat d'enquête et le choix des personnes mandatées – internes ou externes – ont une incidence directe sur les risques d'exposition.
Dans le cadre d'une procédure de clémence devant l'Autorité de la concurrence, l'enquête interne joue un rôle clé : elle permet de reconstituer les faits, d'identifier les participants et de préparer la demande de clémence. Sa valeur dépend alors entièrement de la qualité de la documentation produite et de la cohérence entre les éléments communiqués à l'autorité et les éléments conservés en interne.
La dimension transfrontalière complexifie encore l'équation. Lorsqu'une entreprise opère dans plusieurs juridictions, l'enquête interne doit respecter les règles de chaque pays où des actes d'investigation sont conduits – en coordination avec des conseils locaux dans la juridiction concernée. Les transferts de données entre pays sont soumis aux règles du RGPD, ce qui impose un cadre de transfert approprié avant tout échange d'éléments avec une filiale étrangère.
Pour les entreprises dont la situation financière est fragilisée par un contexte de conformité dégradé, la gestion des procédures externes peut également imposer une réflexion sur les outils de restructuration disponibles, tels que décrits dans notre guide sur la préparation d'une procédure de sauvegarde.
Quels sont les points d'attention pour la direction générale en 2026 ?
Les tendances observées dans notre pratique récente font apparaître plusieurs points d'attention que la direction générale et les compliance officers ne peuvent plus ignorer.
En premier lieu, l'exigence de proportionnalité s'est renforcée dans l'appréciation judiciaire des enquêtes internes. Une enquête dont le périmètre dépasse ce que justifient les faits allégués – notamment en termes d'accès aux données personnelles – est de plus en plus souvent sanctionnée, même si les faits sous-jacents sont avérés. La jurisprudence constante de la Cour de cassation en matière de preuve déloyale confirme cette tendance.
En deuxième lieu, les audits de conformité conduits par l'AFA intègrent désormais systématiquement une évaluation du dispositif d'alerte interne et des procédures d'enquête. Une entreprise qui ne peut pas présenter un protocole formalisé et testé court le risque d'une mise en demeure et d'une publication de la sanction. Cette publicité constitue en elle-même un risque réputationnel significatif.
En troisième lieu, la convergence entre le droit de la protection des données et le droit du travail crée une zone de risque accru pour les enquêtes qui impliquent des communications électroniques. La CNIL et les juridictions prud'homales regardent de plus en plus les mêmes faits – l'accès aux messageries d'un salarié – sous deux angles distincts mais complémentaires. Un protocole qui satisfait l'un mais méconnaît l'autre n'est qu'à moitié solide.
Enfin, l'analyse juridique des obligations de reporting – vers le conseil d'administration, le comité d'audit ou les actionnaires – est un sujet émergent. Une enquête interne qui révèle des faits graves engage la responsabilité des dirigeants non seulement dans leur gestion des faits eux-mêmes, mais aussi dans leur communication à la gouvernance. La question de ce que l'on rapporte, à qui et à quel moment, mérite une réflexion juridique préalable, pas improvisée en réunion de comité.
Matrice de décision – Quelle structure d'enquête selon la situation ?
- Signalement interne isolé, faits limités à un service → enquête conduite par les RH avec protocole RGPD simplifié, information du salarié mis en cause à l'issue des premières vérifications, délai court, risque procédural modéré si le protocole est respecté.
- Signalement multiple ou faits susceptibles d'engager la responsabilité pénale → enquête confiée à un avocat extérieur, mandat formalisé avec protection du secret professionnel, coordination avec le parquet si nécessaire, délai plus long, niveau de risque juridique élevé si la procédure est improvisée.
- Enquête interne en parallèle d'une procédure d'autorité de contrôle → coordination impérative entre l'équipe défense externe et l'équipe d'enquête interne, analyse d'impact sur les données, protection des documents sous secret professionnel de l'avocat, risque d'exposition maximale si les deux démarches sont conduites de façon non coordonnée.
Ce qu'il faut préparer avant d'ouvrir une enquête interne
- Rédiger un mandat d'enquête écrit définissant le périmètre, les personnes habilitées et les règles de confidentialité.
- Vérifier la conformité du traitement de données prévu avec le RGPD et les lignes directrices de la CNIL.
- Définir le calendrier d'information du salarié mis en cause et les conditions d'assistance lors des auditions.
- Distinguer formellement la phase d'investigation de la phase disciplinaire dans le protocole écrit.
- Prévoir les règles de conservation et de destruction des éléments recueillis à l'issue de la procédure.
Domaines liés
- Défense devant l'Autorité de la concurrence – structurer la stratégie de défense lors d'une procédure formelle devant l'Autorité
- Protection des lanceurs d'alerte – enjeux et stratégies pour les entreprises face aux obligations légales
Questions fréquentes sur l'enquête interne et les droits des salariés
1. Enquête interne et droits des salariés : quelles évolutions récentes connaître ?
Les évolutions récentes les plus significatives portent sur trois axes : le renforcement de la protection des lanceurs d'alerte par la transposition en droit français de la directive européenne sur ce sujet, l'intégration des enquêtes internes dans le périmètre des contrôles conduits par l'AFA au titre du dispositif anticorruption, et le durcissement de l'appréciation judiciaire de la loyauté de la preuve dans les litiges prud'homaux. Ces trois évolutions convergent vers une même exigence : formaliser davantage et documenter systématiquement chaque acte d'investigation, au risque de voir les éléments recueillis écartés ou la procédure annulée.
2. Quelles entreprises sont concernées ?
Toute entreprise disposant de salariés est potentiellement concernée par les règles du Code du travail applicables aux enquêtes internes, quelle que soit sa taille. Les obligations les plus structurées – dispositif d'alerte formalisé, programme de conformité, protocole d'enquête – s'appliquent en priorité aux entreprises dépassant les seuils fixés par la loi Sapin II, mais la jurisprudence en matière de preuve et de droits des salariés s'applique à toutes. Les groupes internationaux opérant en France sont en outre soumis aux règles françaises dès lors qu'un acte d'investigation est conduit sur le territoire national, indépendamment du droit applicable à leurs propres politiques internes.
3. Comment anticiper ces enjeux en pratique ?
Anticiper ces enjeux suppose trois démarches concrètes : d'abord, rédiger un protocole d'enquête interne avant qu'un signalement ne survienne, plutôt que d'improviser la procédure dans l'urgence ; ensuite, former les responsables RH et les compliance officers aux règles applicables, notamment en matière d'accès aux données personnelles ; enfin, prévoir dans les contrats de prestation avec les enquêteurs extérieurs les clauses de confidentialité et les règles de restitution des éléments collectés. Un programme de conformité qui intègre ce protocole réduit significativement l'exposition de l'entreprise aux risques procéduraux.
4. Quels sont les risques pour la direction en cas d'enquête mal conduite ?
Une enquête interne mal conduite expose la direction à plusieurs catégories de risques distincts. Sur le plan social, la sanction disciplinaire peut être annulée par le conseil de prud'hommes si la procédure a méconnu les droits du salarié mis en cause. Sur le plan pénal, l'accès non autorisé à des communications personnelles ou l'interception de correspondances engage la responsabilité pénale des personnes ayant ordonné ou exécuté ces actes. Sur le plan réputationnel, une procédure défaillante peut être rendue publique dans le cadre d'un contentieux ou d'un contrôle de l'AFA. Enfin, sur le plan de la conformité, les éléments recueillis de manière irrégulière ne peuvent pas être valorisés dans le cadre d'une procédure de clémence ou d'une coopération avec une autorité.
5. Quelle analyse juridique conduire avant de décider d'externaliser l'enquête ?
L'analyse juridique préalable à la décision d'externaliser une enquête interne doit couvrir au minimum quatre aspects : la nature des faits allégués et leur gravité potentielle, qui détermine le niveau de formalisme requis ; la question de la protection du secret professionnel, qui plaide en faveur du recours à un avocat extérieur lorsque les faits peuvent conduire à une procédure judiciaire ou administrative ; les contraintes de transfert de données si l'enquêteur est établi hors de France ; et les règles de restitution et de destruction des éléments recueillis à l'issue de la mission, imposées par le RGPD et les règles de confidentialité.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang accompagne les dirigeants, les directions juridiques et les compliance officers dans la structuration et la conduite d'enquêtes internes conformes aux exigences du droit français. Notre pratique couvre la rédaction des protocoles d'enquête, la coordination avec les autorités de contrôle, la défense des intérêts de l'entreprise devant les juridictions sociales et la mise en conformité des traitements de données liés aux investigations.
Pour un premier avis sur votre dossier, adressez-nous un message à contact@vernaylestang.com. Honoraires définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron – Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de droit social et de restructurations sociales. Voir sa présentation. Article publié le 7 mai 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.