Lanceur d'alerte et protection : analyse juridique et portée pratique
Un salarié qui signale une fraude fiscale à son employeur et se retrouve licencié trois mois plus tard ; un dirigeant qui reçoit un rapport interne mettant en cause sa politique commerciale et ne sait pas comment y répondre sans s'exposer. Ces situations illustrent un enjeu que les directions juridiques et les responsables conformité rencontrent avec une fréquence croissante depuis que le droit des lanceurs d'alerte s'est structuré en France.
La protection des lanceurs d'alerte désigne l'ensemble des mécanismes juridiques qui garantissent à toute personne signalant, de bonne foi, une violation du droit ou une menace à l'intérêt général, une immunité contre les mesures de représailles. Ce dispositif trouve son ancrage principal dans la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique – dite loi Sapin II – ainsi que dans les dispositions du Code du travail, du Code pénal et du Code de procédure pénale qui en organisent les conséquences. Depuis la transposition de la directive européenne de 2019, le cadre applicable a été substantiellement élargi, modifiant les obligations des entreprises et les risques pour celles qui n'auraient pas mis à jour leurs procédures.
Ce dossier analyse le cadre juridique en vigueur, les enjeux pratiques pour l'entreprise, les leviers d'anticipation et les points de vigilance que nous observons dans notre accompagnement des responsables conformité.
Pourquoi la protection des lanceurs d'alerte est-elle devenue un enjeu central pour l'entreprise ?
Le droit des lanceurs d'alerte n'est plus un sujet de droit public ou de droit pénal des affaires périphérique : il affecte directement la gouvernance interne, la relation de travail et la responsabilité des dirigeants. Pour une entreprise, l'enjeu est double. D'un côté, une procédure d'alerte bien conçue constitue un filet de sécurité qui permet de détecter et de contenir un risque avant qu'il n'atteigne les autorités ou la presse. De l'autre, une procédure défaillante – ou son absence – expose l'entreprise à des sanctions significatives et à une rupture de confiance avec ses parties prenantes.
Dans notre pratique des programmes de conformité, nous observons que les entreprises sous-estiment souvent deux aspects. Le premier est la portée personnelle de la protection : depuis les évolutions législatives récentes, le lanceur d'alerte bénéficie d'une immunité étendue qui couvre non seulement le signalement lui-même, mais aussi les actes préparatoires, la collecte de preuves dans les conditions prévues par les textes, et le soutien apporté par des tiers facilitateurs. Le second est la charge de la preuve renversée : en cas de litige, c'est à l'employeur de démontrer que la mesure défavorable prise à l'égard du salarié repose sur des motifs étrangers au signalement.
L'analyse juridique et la portée pratique de ce dispositif intéressent à ce titre autant le responsable conformité que le directeur des ressources humaines et le directeur juridique. Pour une lecture approfondie des risques et des leviers spécifiques à l'entreprise, nous renvoyons à notre dossier consacré aux risques et leviers opérationnels de la protection des lanceurs d'alerte.
Un premier point d'attention
La procédure décrite dans les textes vaut pour la structure générale d'un dispositif d'alerte. Votre organisation peut présenter des spécificités – secteur réglementé, structures de groupe, présence transfrontalière – qui appellent une analyse distincte. Pour un premier examen de votre dispositif au regard de la loi Sapin II et des obligations afférentes, écrivez-nous à contact@vernaylestang.com.
Quel est le cadre juridique applicable au lanceur d'alerte en France ?
Le droit français des lanceurs d'alerte repose sur une architecture à plusieurs niveaux, articulant des textes de branche différents autour d'une logique commune : garantir que le signalement d'une violation grave ne puisse pas se retourner contre son auteur.
La loi Sapin II, adoptée en 2016 et applicable en vertu des dispositions du Code de commerce et du Code pénal, a posé la première définition générale du lanceur d'alerte en droit français. Elle visait alors les personnes physiques qui signalent, de manière désintéressée et de bonne foi, un crime, un délit, une violation grave et manifeste d'un engagement international régulièrement ratifié ou d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l'intérêt général, dont elles ont eu personnellement connaissance.
La loi du 21 mars 2022, qui transpose la directive européenne du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union, a sensiblement élargi ce périmètre. Plusieurs évolutions méritent d'être soulignées.
Première évolution majeure : la condition de connaissance personnelle a été assouplie. Il n'est plus impératif d'avoir été personnellement impliqué dans la situation signalée ; il suffit d'avoir obtenu les informations dans le cadre de l'activité professionnelle. Cette extension élargit le cercle des personnes susceptibles de déclencher une alerte.
Deuxième évolution majeure : le régime des canaux de signalement a été réorganisé. La loi de 2022 supprime la hiérarchie rigide qui imposait au lanceur d'alerte de passer d'abord par le canal interne avant de pouvoir s'adresser à une autorité externe. Désormais, le lanceur d'alerte peut, à son choix, emprunter la voie interne ou externe, voire saisir directement le Défenseur des droits. Cette liberté de choix modifie l'attractivité relative du canal interne : une entreprise qui aura mis en place un dispositif d'alerte fiable, réactif et protecteur aura plus de chances d'être saisie en premier, lui permettant de traiter l'enjeu avant toute intervention externe.
Troisième évolution majeure : la catégorie des « facilitateurs » est désormais formellement protégée. Toute personne physique ou morale qui aide un lanceur d'alerte à réaliser son signalement – y compris un syndicat, une association ou un collègue – bénéficie du même régime de protection contre les représailles. Cette extension est souvent méconnue des responsables conformité.
Du point de vue du Code du travail, les mesures de représailles sont définies de manière très large : licenciement, rétrogradation, mutation, refus de promotion, atteinte à la réputation, discrimination. L'employeur qui prendrait une telle mesure engage sa responsabilité civile et pénale, et s'expose à la nullité de la mesure ainsi qu'à l'obligation de réintégration ou à des dommages et intérêts.
Quelles obligations pèsent sur l'entreprise en matière de dispositif d'alerte interne ?
Les entreprises assujetties ont l'obligation de mettre en place un dispositif d'alerte interne permettant à toute personne en relation avec elles de signaler des violations. L'obligation s'applique aux entreprises qui emploient un nombre de salariés supérieur au seuil fixé par les textes, et elle est renforcée par les exigences du programme de conformité anticorruption issu de la loi Sapin II.
Dans notre accompagnement des programmes de conformité, nous distinguons trois niveaux d'obligation :
- Le niveau minimal légal : mettre en place un canal de signalement accessible, confidentiel et traçable, et désigner un référent chargé de recevoir et de traiter les alertes.
- Le niveau Sapin II : pour les entités dépassant les seuils définis par cette loi, le dispositif d'alerte est l'un des huit piliers du programme de conformité anticorruption. Il doit être documenté, faire l'objet d'une formation des collaborateurs et être régulièrement testé. L'Agence française anticorruption (AFA) en contrôle l'effectivité lors de ses évaluations. Notre fiche sur le programme de conformité anticorruption Sapin II détaille les exigences et les points de contrôle de l'AFA.
- Le niveau de la directive transposée : toutes les entreprises atteignant les seuils visés par la loi de 2022 doivent s'assurer que leur procédure d'alerte est conforme aux nouvelles exigences, notamment en matière de délai d'accusé de réception, de délai de retour d'information au lanceur d'alerte et d'information sur les voies de recours externes.
Un point de vigilance particulier concerne les délais de traitement. Les textes prévoient des délais précis pour l'accusé de réception et le retour d'information au signalant. Le non-respect de ces délais fragilise le dispositif et peut être invoqué par un salarié pour justifier d'un passage direct au canal externe.
Illustration pratique – ETI industrielle (Région Grand Est, printemps 2025)
Nous avons accompagné une ETI industrielle dans la révision complète de son dispositif d'alerte interne à l'occasion d'une évaluation de l'AFA. Le diagnostic a révélé que la procédure en place ne garantissait pas l'anonymat du signalant et que les délais de retour d'information n'avaient pas été intégrés depuis la loi de 2022. Nous avons restructuré la procédure, mis à jour la documentation et accompagné la désignation formelle du référent. L'entreprise a pu présenter un dispositif conforme lors de la revue de contrôle.
Quels risques l'entreprise encourt-elle en cas de défaillance du dispositif ?
Les risques pour une entreprise dont le dispositif d'alerte est défaillant ou inexistant sont de plusieurs ordres, et ils peuvent se cumuler.
Le premier risque est de nature pénale et administrative. L'entrave au signalement d'une alerte est une infraction pénale prévue par les dispositions du Code pénal issues de la loi Sapin II. Elle peut être constituée par tout acte destiné à empêcher un lanceur d'alerte de procéder à son signalement, notamment une mesure de représailles. Les sanctions encourues sont significatives, tant pour la personne morale que pour les personnes physiques à l'origine de l'entrave.
Le deuxième risque est de nature civile et sociale. La nullité des mesures de représailles – licenciement, rétrogradation, modification du contrat – entraîne une obligation de réintégration ou, à défaut, l'allocation de dommages et intérêts dont le montant est fixé par le juge au regard du préjudice subi. Dans notre pratique du contentieux social, nous observons que les litiges impliquant un lanceur d'alerte conduisent le plus souvent à des procédures longues, dont l'issue reste incertaine et le coût – en termes de ressources internes et de réputation – est difficile à anticiper.
Le troisième risque, souvent sous-estimé, est le risque de réputation. Un lanceur d'alerte qui estime ne pas être protégé en interne dispose désormais d'options externes directes : saisine du Défenseur des droits, contact avec une autorité sectorielle, publication vers des journalistes. La gestion d'une alerte qui déborde sur la sphère publique est autrement plus complexe que son traitement en interne.
Matrice de décision pour le responsable conformité :
- Situation A – Dispositif d'alerte absent ou non mis à jour depuis 2022 → risque d'infraction caractérisée + exposition lors d'un contrôle AFA → action corrective urgente, révision de la procédure et désignation d'un référent.
- Situation B – Dispositif en place mais non testé et non formé → risque de défaillance opérationnelle en cas de signalement réel → audit interne, formation des équipes RH et management, test de la procédure.
- Situation C – Dispositif conforme mais absence de gestion du risque de représailles non intentionnelles → risque de nullité de mesures RH prises sans conscience du contexte d'alerte → sensibilisation de la ligne managériale et du service RH.
Vous avez identifié une exposition dans votre dispositif ?
Si une démarche antérieure a produit un résultat défavorable ou si une alerte est en cours de traitement, un second regard permet d'identifier les leviers disponibles et les priorités d'action. Écrivez-nous à contact@vernaylestang.com.
Comment l'analyse juridique du lanceur d'alerte s'articule-t-elle avec le droit de la concurrence ?
L'articulation entre le droit des lanceurs d'alerte et le droit de la concurrence est un aspect qui retient croissant l'attention des responsables conformité, en particulier dans les entreprises opérant dans des secteurs régulés ou dans des marchés concentrés.
Les violations du droit de la concurrence – ententes, abus de position dominante, pratiques de prix imposés – font partie des violations susceptibles d'être signalées par un lanceur d'alerte. Depuis la transposition de la directive, le champ des violations couvertes par la protection comprend explicitement le droit de l'Union européenne applicable à la concurrence, ce qui inclut les dispositions du règlement européen sur les pratiques anticoncurrentielles. Un salarié qui signale une pratique potentiellement anticoncurrentielle à sa hiérarchie, puis à l'Autorité de la concurrence, bénéficie en principe de la protection.
Dans notre accompagnement des entreprises en matière de conformité concurrentielle, nous observons que la question se pose avec acuité dans deux situations. La première est celle d'un salarié de la direction commerciale qui a connaissance d'échanges d'informations avec des concurrents et hésite à en informer la direction juridique, craignant des représailles. La seconde est celle d'une entreprise qui découvre, à l'occasion d'un signalement interne, une pratique susceptible de constituer une infraction au droit de la concurrence et doit arbitrer entre le traitement discret de l'enjeu et une procédure de clémence.
Cette articulation avec le programme de conformité anticorruption et avec les obligations issues de la loi Sapin II est analysée de manière approfondie dans notre fiche sur le programme de conformité anticorruption Sapin II. Elle renvoie également à la question plus large de la responsabilité du dirigeant face au risque juridique, que nous traitons dans notre guide pratique sur la protection du dirigeant face au risque de responsabilité.
Quelles idées reçues freinent une bonne gestion des alertes en entreprise ?
La gestion des alertes internes est souvent perturbée par trois idées reçues que nous rencontrons régulièrement dans notre accompagnement des directions conformité.
Première idée reçue : « Notre dispositif est conforme parce qu'il existait avant 2022. » La loi de 2022 a imposé des modifications substantielles : suppression de la hiérarchie des canaux, extension aux facilitateurs, nouveaux délais procéduraux, protection élargie aux personnes morales à but non lucratif. Un dispositif antérieur à cette loi doit avoir été révisé pour être conforme.
Deuxième idée reçue : « Le canal interne est suffisant. » La loi de 2022 a ouvert la liberté de choix du canal. Si votre dispositif interne n'est pas perçu comme protecteur et réactif, le lanceur d'alerte choisira directement le canal externe. L'investissement dans la qualité du dispositif interne est donc directement lié à votre capacité à maîtriser le traitement de l'alerte.
Troisième idée reçue : « Le lanceur d'alerte doit fournir une preuve. » La protection est accordée dès lors que le signalant avait des motifs raisonnables de croire que les informations signalées étaient exactes au moment du signalement. Il n'est pas requis qu'il ait disposé de preuves formelles. Cette asymétrie, souvent mal comprise, conduit certains employeurs à contester la qualité de lanceur d'alerte du salarié sur la base de l'insuffisance des preuves, ce qui expose l'entreprise à un risque supplémentaire.
Illustration pratique – Groupe de distribution (Région Île-de-France, automne 2024)
Nous avons été sollicités par un groupe de distribution à l'occasion d'un contentieux prud'homal dans lequel l'ancien salarié invoquait le statut de lanceur d'alerte pour contester la rupture de son contrat. L'analyse du dossier a révélé que la procédure disciplinaire avait été engagée sans que la direction juridique ait été informée d'un signalement antérieur reçu par le canal interne. Le défaut de traçabilité du signalement a considérablement fragilisé la position de l'entreprise. Nous avons structuré la défense procédurale et accompagné la refonte du dispositif de traçabilité interne.
Quelles sont les tendances et les points d'attention pour la direction en 2025-2026 ?
Plusieurs tendances se dégagent de notre suivi des évolutions législatives et réglementaires et de notre pratique des dossiers de conformité en France.
Montée en puissance du contrôle de l'AFA. L'Agence française anticorruption intensifie ses évaluations des programmes de conformité, dans lesquels le dispositif d'alerte est systématiquement examiné. Nous observons que les entités dont le programme n'a pas intégré les évolutions de 2022 s'exposent à des injonctions de mise en conformité et à une publication de leurs lacunes.
Extension sectorielle du champ d'application. Des réglementations sectorielles spécifiques – dans les secteurs financier, assurantiel, environnemental – prévoient des dispositifs d'alerte propres qui se superposent au régime général. La gestion de cette superposition nécessite une analyse juridique fine pour éviter les incohérences procédurales.
Émergence des alertes environnementales. La directive transposée couvre explicitement les violations du droit de l'environnement. Avec le renforcement des exigences de durabilité et de diligence raisonnable (terme consacré, connu aussi sous le nom de « due diligence »), le nombre de signalements potentiels dans ce domaine est appelé à croître, en particulier pour les entreprises soumises aux obligations de la loi relative au devoir de vigilance.
Externalisation du canal d'alerte. De plus en plus d'entreprises recourent à des prestataires tiers pour opérer leur canal de signalement. Cette externalisation offre des garanties d'indépendance appréciées des lanceurs d'alerte potentiels, mais elle soulève des questions en matière de protection des données personnelles relevant du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés, ainsi que de coordination avec le référent interne.
Check-list « ce qu'il faut préparer » pour la direction conformité :
- Auditer le dispositif d'alerte interne au regard des exigences de la loi de 2022 et vérifier la mise à jour des délais procéduraux.
- Formaliser la désignation du référent et documenter sa mission, ses pouvoirs et les garanties d'indépendance dont il bénéficie.
- Former la ligne managériale et le service RH à l'identification des situations susceptibles de constituer un signalement et aux obligations qui en découlent.
- Vérifier la cohérence du dispositif d'alerte avec les obligations RGPD applicables au traitement des données du signalant et des personnes mises en cause.
- Tester la procédure sur la base d'un scénario fictif et documenter les enseignements.
Domaines liés
- Programme de conformité anticorruption Sapin II – structuration, piliers obligatoires et contrôle AFA pour les entités assujetties
- Lanceur d'alerte : risques et leviers pour l'entreprise – analyse approfondie des expositions et des leviers de gestion opérationnelle
Foire aux questions – Lanceur d'alerte et protection
1. Lanceur d'alerte et protection : quelles évolutions récentes connaître ?
La loi du 21 mars 2022, qui transpose la directive européenne de 2019, constitue l'évolution la plus significative depuis la loi Sapin II. Elle supprime la hiérarchie obligatoire des canaux de signalement, étend la protection aux facilitateurs et aux personnes morales à but non lucratif, élargit la définition du lanceur d'alerte en assouplissant la condition de connaissance personnelle, et impose de nouveaux délais procéduraux pour l'accusé de réception et le retour d'information. Toute entreprise ayant mis en place son dispositif avant cette date doit en avoir vérifié la conformité.
2. Quelles entreprises sont concernées par l'obligation de dispositif d'alerte interne ?
Les entreprises qui emploient un nombre de salariés égal ou supérieur au seuil fixé par les textes issus de la loi Sapin II et de la loi de 2022 ont l'obligation de mettre en place un dispositif d'alerte interne. Les entités dépassant les seuils propres à la loi Sapin II sont en outre soumises aux exigences renforcées du programme de conformité anticorruption, dont le dispositif d'alerte est l'un des huit piliers contrôlés par l'AFA. Certains secteurs régulés – finance, assurance, environnement – disposent d'obligations supplémentaires superposées.
3. Comment anticiper ces enjeux en pratique ?
L'anticipation passe par trois actions concrètes : d'abord, un audit du dispositif existant au regard des exigences de 2022 pour identifier les lacunes procédurales et documentaires ; ensuite, une formation de la ligne managériale et du service RH aux obligations découlant d'un signalement et aux risques d'une mesure de représailles non intentionnelle ; enfin, un test régulier de la procédure par scénario fictif pour s'assurer qu'elle fonctionne dans des conditions réelles. Ces actions relèvent du programme de conformité et peuvent être conduites avec l'appui d'un avocat conformité.
4. Quelle est la différence entre le canal interne et le canal externe de signalement ?
Le canal interne désigne la procédure d'alerte mise en place par l'entreprise elle-même, gérée par un référent désigné à cet effet. Le canal externe désigne les autorités compétentes – AFA, Défenseur des droits, autorités sectorielles, autorités judiciaires – auxquelles le lanceur d'alerte peut s'adresser directement depuis la loi de 2022, sans obligation de passer par le canal interne au préalable. La liberté de choix introduite par cette loi renforce l'intérêt d'un dispositif interne fiable et attractif pour l'entreprise.
5. Que risque concrètement un employeur qui prend une mesure défavorable à l'égard d'un lanceur d'alerte ?
L'employeur qui prend une mesure de représailles à l'égard d'un lanceur d'alerte s'expose à la nullité de cette mesure, à une obligation de réintégration ou au paiement de dommages et intérêts, à des sanctions pénales pour entrave au signalement prévues par le Code pénal, et à un risque de réputation si le litige devient public. La charge de la preuve est renversée : c'est à l'employeur de démontrer que la mesure repose sur des motifs étrangers au signalement, ce qui constitue une contrainte procédurale substantielle.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les directions générales, juridiques et conformité d'entreprises françaises et internationales sur l'ensemble des questions de conformité, de droit social et de gouvernance. Nous accompagnons régulièrement la structuration et la révision de dispositifs d'alerte interne, la défense dans les litiges impliquant un lanceur d'alerte et la mise en conformité des programmes Sapin II. Notre approche est fondée sur une analyse précise du dispositif en place, une identification rigoureuse des expositions et une stratégie de remédiation adaptée à la taille et au secteur de l'entité concernée.
Pour examiner l'application du droit des lanceurs d'alerte à votre organisation, contactez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron
Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de droit social, de restructurations sociales et de conformité. Voir son profil.
Publié le 11 mai 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.