L’alerte professionnelle

Si le proverbe nous dit que le silence est d’or et la parole d’argent, il existe des situations où le silence est de plomb et la parole d’or. Le silence peut en effet participer au maintien du secret que certaines institutions ou certains groupes peuvent avoir intérêt à entretenir lorsqu'ils ont à cacher des activités illégales, immorales ou illicites. La parole peut au contraire être un réel acte de courage lorsqu'elle vient dénoncer de tels faits à la société afin que celle-ci y mette fin ou punisse leurs auteurs. Cette révélation de faits délictueux ou illicites est l'attribution du lanceur d'alerte. Son rôle contribue à étendre aux citoyens ou aux salariés le contrôle et la lutte contre certaines infractions aux lois, qui sont normalement réservés aux institutions démocratiques.

Plusieurs exemples médiatiques ont illustré l'insuffisance des mécanismes de contrôle dits institutionnels et l'importance que pouvait alors avoir l'alerte lancée par un citoyen. Au-delà du célèbre cas Edward Snowden, on peut citer notamment Madame Irène Frachon qui a alerté sur les risques de pathologies cardiaques graves provoquées par le médicament Médiator ou Madame Anne-Marie Casteret qui a dénoncé l’affaire du sang contaminé. Dans l'entreprise, l'alerte a connu un développement important à travers le mécanisme de l'alerte professionnelle à la suite de plusieurs scandales financiers qui ont révélé l'insuffisance des dispositifs de contrôle interne. Nombre de grandes entreprises se sont aujourd'hui dotées d'un mécanisme d'alerte professionnelle qui permet l'intervention des salariés dans des domaines définis pour dénoncer les comportements répréhensibles qu'ils ont constatés.

L'aspect a priori positif d'un tel mécanisme ne permet toutefois pas de lever l’ambiguïté qui pèse fréquemment sur l'alerte et son auteur. En effet, celle-ci est trop proche de la dénonciation pour qu'elle ne suscite pas la suspicion. Le déclenchement d'une alerte pourrait ainsi être motivé par des intérêts personnels, de l’animosité ou de la malveillance. C’est pourquoi un tel mécanisme fait l'objet d'un encadrement rigoureux.

Il est essentiel d’apporter aujourd'hui un regard neuf sur l'alerte professionnelle pour en comprendre les enjeux et les justifications. Le principe de l’alerte professionnelle est d’abord celui d’un contrôle (I) dont les modalités (II) permettent aux salariés, et plus largement à toute personne employée par une entreprise ou collaborant avec elle, de signaler des agissements délictueux ou répréhensibles.

 I. Le principe du contrôle : du « whistleblowing » à l’alerte professionnelle

 Le principe d’un dispositif de contrôle déclenché par les salariés a d’abord été mis en place aux États-Unis (A) avant d’être repris et adapté par les entreprises françaises (B).

A. L’origine américaine du contrôle

Aux États-Unis, l'alerte bénéficie d'une désignation lexicale propre, à savoir le « wisthleblowing », qui signifie littéralement « celui qui tire le coup de sifflet ». Ce terme serait apparu dans les années 1970 à la suite du scandale des « Pentagons Papers » et serait du au militant Ralph Nader. Il l'a défini comme l'acte d'un homme ou d'une femme qui « lance l'alerte (blow the whistle) sur le fait que l'organisation est engagée dans une activité de corruption, une activité illégale, frauduleuse ou encore, présentant un risque pour le public ». Le terme « whistleblowing » a été spécialement conçu pour valoriser le rôle du lanceur d'alerte et le séparer des termes plus péjoratifs de dénonciateur et de délateur.

À la suite de plusieurs scandales financiers, ceux d'Enron et de Worldcom, une procédure de « whistleblowing » a été appliquée dans les entreprises américaines afin de permettre la dénonciation aux autorités compétentes des agissements frauduleux qui seraient commis dans les domaines comptables et financiers.

Le législateur américain, avec la loi Sarbanes-Oxley du 31 juillet 2002, a en effet imposé la mise en place d'un système d'alerte professionnelle aux entreprises américaines cotées à la bourse de New York, ainsi qu'à leurs filiales, y compris celles ayant leur siège en dehors du territoire américain, permettant d’assurer « la transmission confidentielle et anonyme de leurs préoccupations relatives à des problèmes de comptabilité ou d’audit douteux » (section 301-4 de la loi Sarbanes-Oxley du 31 juillet 2002). Caractérisé par le recours à la dénonciation anonyme, ce dispositif a été complété par une protection spécifique en faveur des salariés lanceurs d'alerte, qui les garantit contre toute mesure de licenciement, de suspension, de rétrogradation, de menace, de harcèlement ou de discrimination en prévoyant une procédure rapide et particulière leur permettant d'obtenir la réintégration ou une réparation indemnitaire si de telles mesures étaient prises à leur encontre (section 806 de la loi Sarbanes-Oxley du 31 juillet 2002).

Avec le dispositif du « whistleblowing », le législateur américain a voulu introduire le salarié comme acteur du contrôle interne afin de pallier à l'insuffisance des mécanismes de contrôle interne qui se sont révélés défaillants dans l’objectif d’assurer la fiabilité et la transparence des informations financières données aux investisseurs.

Malgré la protection spécifique offerte aux salariés lanceurs d'alerte dans un pays reposant sur la règle de l’employment at will, il a été constaté que la procédure de « whistleblowing » n'avait pas rencontré le succès escompté. Le législateur américain a alors fait appel à une autre particularité de la culture anglo-saxonne, à savoir la rétribution du lanceur d'alerte. Le Dodd-Franck Act du 21 juillet 2010, portant réforme du système financier américain, est en effet venu compléter la loi Sarbanes-Oxley en prévoyant que celui qui fournit des « informations originales », c'est-à-dire non connues, relatives à une violation du droit boursier aux autorités de régulation financières américaines, en particulier la Securities and Exchange Commission (SEC), permettant à celle-ci d’obtenir des sanctions supérieures à 1 million de dollars, est susceptible de percevoir un pourcentage des montants recouvrés, allant de 10 à 30 % (section 922 de la Dodd-Franck Wall Street Reform and Consumer Protection Act du 21 juillet 2010).

B. La réception française du contrôle

La France n'a pas connu de scandales financiers équivalents à ceux d'Enron et de Worldcom. À la différence des États-unis, l'implantation du dispositif d'alerte professionnelle ne s'est pas faite à l'initiative du législateur pour corriger un dysfonctionnement des mécanismes de contrôle interne des entreprises françaises ou pour répondre aux exigences de transparence du marché. Ce sont les entreprises françaises, soumises à la loi Sarbanes-Oxley et contraintes de mettre en place un tel dispositif sous peine de perdre leur cotation boursière, qui ont introduit ce dispositif. De nombreux groupes français ont en effet adopté dans le sillage de cette loi des chartes éthiques ou des codes de bonne conduite dans lesquels des mécanismes d'alerte professionnelle ont été prévus pour se mettre en conformité avec ces règles. Ainsi, le groupe Bouygues a mis en place un dispositif d'alerte professionnelle en 2005 dans le cadre de son « Code éthique de groupe » permettant aux salariés de signaler à un responsable éthique du groupe des faits de corruption, d'irrégularités comptables et boursières. De même, le groupe Danone a créé en 2005 une procédure d'alerte confidentielle dénommée « Dialert » portant sur « toute violation de principe de conduite des affaires ou actions risquant d'avoir des conséquences sur le groupe ». Peu à peu, la sensibilisation accrue de la société aux exigences d'éthique et de moralisation des comportements et la prégnance du concept de responsabilité sociale des entreprises ont conduit les entreprises françaises à vouloir étendre le dispositif d'alerte professionnelle à des domaines plus larges que le domaine financier, comme la discrimination, le harcèlement, le respect des normes environnementales. Des groupes comme Casino et Randstadt ont ainsi été autorisés à mettre en place des dispositifs d’alerte professionnelle dédiés aux plaintes et réclamations en matière de discriminations (Délib. n° 2011-065 et n° 2011-064 du 3 mars 2011) ou la société EDF à mettre en place un tel dispositif en matière de harcèlement moral ou sexuel, violence verbale, discrimination, divulgation de comportements confidentielles, situations de conflits d'intérêts et actes de pollution (Délib. CNIL n° 2011-345 du 10 novembre 2011).

Si les entreprises françaises se sont ainsi rapidement saisis de ce dispositif et l'ont largement déployé, les autorités de contrôle se sont montrées plus réservées. La CNIL, qui a été la première autorité saisie d'un dispositif d'alerte professionnelle dans le cadre de son contrôle des traitements de données à caractère personnel, a été, dans un premier temps, réticente à autoriser un tel dispositif. Ainsi, à l'occasion de son contrôle du mécanisme d'alerte professionnelle mis en place par le groupe Mac Donald's, lequel reposait sur la dénonciation anonyme de comportements contraires aux règles légales françaises et à son code éthique, la CNIL a émis une réserve de principe à l'égard de ce dispositif au motif qu’il pouvait selon elle dégénérer en « système de délation organisée » (Délib. CNIL, n° 2005-110 du 26 mai 2005). La CNIL a toutefois assoupli sa position à la suite d'échanges avec la SEC. Dans un document d'orientation du 5 novembre 2005 (Délib. CNIL, n° 2005-254 du 10 novembre 2005), suivi le 8 décembre 2005 d'une décision d'autorisation unique aux dispositifs d'alerte professionnelle répondant à ses orientations, la CNIL a autorisé le principe d’un tel dispositif et en a proposé, pour la première fois, une définition : « un dispositif d’alerte professionnelle est un système mis à la disposition des employés d’un organisme public ou privé pour les inciter, en complément des modes normaux d’alerte sur les dysfonctionnements de l’organisme, à signaler à leur employeur des comportements qu’ils estiment contraires aux règles applicables et pour organiser la vérification de l’alerte ainsi recueillie au sein de l’organisme concerné » (Délib. CNIL, n° 2005-305 du 8 décembre 2005, JO 4 janvier 2006).

Le rôle de la CNIL s'est avéré déterminant tant pour le développement de l'alerte que pour son encadrement.

II. Les modalités du contrôle

Ce dispositif de contrôle suppose l'intervention de plusieurs acteurs (A) et nécessite la mise en place d’une procédure (B).

A. Les acteurs

Le rôle déterminant de la CNIL. L'alerte professionnelle va permettre de collecter et de traiter des données concernant des comportements répréhensibles commis par des salariés identifiés ou identifiables, si bien qu'elle implique le plus souvent la mise en place d'un traitement automatisé de données à caractère personnel. La révélation de tels faits peut en outre conduire au licenciement ou à une sanction disciplinaire à l'encontre de leur auteur. L'alerte professionnelle est dès lors soumise à la loi Informatique et Libertés du 6 janvier 1978 et au contrôle de la CNIL. En principe, un dispositif de traitements automatiques de données à caractère personnel est soumis à une autorisation préalable de la CNIL. Toutefois, celle-ci, afin de faciliter et de fluidifier le traitement des demandes d’autorisations en matière d’alerte professionnelle, a mis en place un système d’autorisation unique (AU-004) permettant à l’entreprise de réaliser une déclaration simplifiée à condition de respecter le cadre juridique qu’elle a posé dans sa délibération du 8 décembre 2010, complétée par celles du 14 octobre 2010 (Délib. CNIL n° 2010-369 du 14 octobre 2010, JO 8 décembre 2010) et du 30 janvier 2014 (Délib. CNIL n° 2014-042 du 30 janvier 2014, JO 11 février 2014). Sur un simple engagement de conformité aux conditions posées dans ces délibérations, la Commission remet à l'entreprise responsable du traitement un récépissé de déclaration qui vaudra autorisation du dispositif. En revanche, les entreprises qui souhaitent s’écarter du cadre fixé par la CNIL, notamment pour couvrir un champ plus large, doivent effectuer une demande d’autorisation sur le site de l’institution.

Le rôle de la CNIL a également été déterminant dans la définition du périmètre de l'alerte professionnelle. Initialement, seuls pouvaient faire l'objet d'un engagement de conformité les dispositifs d'alerte professionnelle répondant à une obligation légale ou réglementaire visant à l'établissement de procédures de contrôle interne dans les domaines financier, comptable, bancaire et de la lutte contre la corruption (Délib. CNIL n° 2005-305 du 8 décembre 2005, art. 1, JO du 4 janvier 2006). Sous l'influence de la pratique des entreprises qui ont régulièrement saisi la CNIL de demande d'autorisation de dispositifs d'alerte professionnelle dit éthique, l'alerte professionnelle a été progressivement étendue par la CNIL aux pratiques anticoncurrentielles (Délib. CNIL n° 2010-369 du 14 octobre 2010, JO 8 décembre 2010), à la lutte contre les discriminations, au harcèlement au travail, au respect des règles de santé, d'hygiène et de sécurité des conditions de travail, ainsi qu'à la protection de l'environnement (Délib. CNIL n° 2014-042 du 30 janvier 2014, JO du 11 févr. 2014).

De plus, les dispositifs d'alerte professionnelle sont désormais autorisés lorsqu'ils répondent « à une obligation légale ou à un intérêt légitime » (Délib. CNIL n° 2014-042 du 30 janvier 2014, JO du 11 févr. 2014).

Le contrôle judiciaire. Au-delà du contrôle administratif exercé par la CNIL, le dispositif d’alerte est soumis à un contrôle judiciaire. La Cour de cassation a en effet expressément reconnu au juge judiciaire la liberté d’apprécier la licéité d’un dispositif d’alerte professionnelle même si celui-ci entre dans le champ d’application de la délibération portant autorisation unique délivrée par la CNIL (Cass. soc., 8 déc. 2009, n° 08-17.191). Le contrôle du juge s’exerce surtout dans l’appréciation du périmètre de l'alerte en exigeant que celui-ci reste strictement maîtrisé afin d’éviter que les dispositifs ne conduisent à des abus ou ne soient détournés de leur finalité. C'est ainsi que la Cour de cassation, dans l'arrêt précité, a refusé de valider le dispositif d'alerte professionnelle mis en place par la société Dassault au motif que les domaines prévus par celui-ci étaient trop larges.

Plus récemment, les juges du fond ont déclaré illicite un dispositif d’alerte professionnelle mis en place par une filiale française d'un fabricant américain de matériel orthopédique dans les domaines comptables et financiers. Le dispositif d'alerte mis à la disposition des salariés, en l'occurrence un logiciel de déclaration, ne limitait en effet pas clairement les informations susceptibles d'être remontées. En particulier, la page d’accueil de la plateforme indiquait que le dispositif « permettait de rapporter de manière anonyme à la société tout mauvais comportement soupçonné ou d’autres problèmes ». Le TGI de Caen a considéré qu'un tel dispositif était illicite et a ordonné sa suspension définitive, au motif qu'il présentait « un risque de faire dégénérer le dispositif d’alerte en système organisé de délation professionnelle et dénonciation calomnieuse fondés sur des éléments relevant de la vie privée » (TGI Caen,, 2e ch., 15 sept. 2014, n° 10/00290).

Les émetteurs de l’alerte. L’alerte professionnelle peut être lancée à l’initiative de toute personne employée par l’entreprise, quel que soit son statut (salarié, intérimaire, etc.), dès lors qu’elle constate des agissements délictueux ou frauduleux portant sur les domaines visés par l'alerte. En pratique, les dispositifs d'alerte professionnelle mis à la disposition des salariés se caractérisent par un numéro vert ou par une adresse électronique dédiés. Des logiciels peuvent également être mis en place où les salariés pourront s'identifier et signaler les faits qu'ils ont constatés. Afin de protéger l'émetteur d'alerte de toute mesure de rétorsion, les dispositifs d’alerte professionnelle doivent garantir la confidentialité de son identité. En particulier, les destinataires de l'alerte, soit de l’entreprise soit d’organismes extérieurs, doivent être spécialement formés et astreints à une obligation renforcée de confidentialité. Ainsi, des entreprises ont créé des postes spécifiques de « responsable éthique » qui sont chargés du traitement des faits recueillis et de la vérification de leur réalité. Notamment, le groupe Thales a constitué un comité ad hoc d’éthique chargé du traitement de l’alerte et de l’enquête éventuellement nécessaire. L'alerte anonyme, malgré les réticences originelles de la CNIL, est également tolérée, à condition que son traitement fasse l'objet de précautions particulière et que la gravité des faits signalés soit établie et détaillée.

Une lacune doit cependant être constatée dans la protection de l’émetteur d’alerte. L'encadrement administratif et judiciaire de l'alerte professionnelle ne s'est en effet pas accompagné de la création par le législateur d'un statut spécifique à l'émetteur d'alerte. Leur protection est en pratique le résultat de l'adjonction de différents textes législatifs adoptés dans des domaines différents. Il a ainsi été mis en place une protection contre toute mesure de rétorsion au profit du salarié qui révèlerait des actes ou des faits de harcèlement moral (C. trav., art. L. 1152-2), de harcèlement sexuel (C. trav., art. L. 1153-3), de discrimination (C. trav., art. L. 1132-3) ou de corruption (C. trav., art. L. 1161-1). Un droit d’alerte plus général au profit des salariés a été créé par la loi du 6 décembre 2013 relative à la grande délinquance économique et financière, en prévoyant qu'aucune personne ne peut subir de mesure de rétorsion « pour avoir relaté ou témoigné, de bonne foi, de faits constitutifs d'un délit ou d'un crime dont il aurait eu connaissance dans l'exercice de ses fonctions » (C. trav., art. L. 1132-3-3).

La protection des salariés émetteurs d’alerte est toutefois conditionnée à leur bonne foi. Les risques d'instrumentalisation ou de détournement de l'alerte professionnelle par l’émetteur de l’alerte afin de satisfaire leurs intérêts ne peuvent en effet être ignorés. L'affaire Renault, survenue au cours de l'année 2011, peut à ce titre être rappelée : des salariés avaient dénoncé de manière anonyme, par le biais d'un dispositif d'alerte professionnelle, des prétendus faits d'espionnage industriel qui avaient conduit au licenciement des personnes dénoncées. Or, il s'est avéré que ces dénonciations étaient purement calomnieuses, les faits dénoncés n'ayant jamais été prouvés.

Afin d’éviter les abus, une procédure spécifique doit être respectée.

B. La procédure

Les règles du code du travail imposent le respect de la procédure préalable d'information-consultation du comité d’entreprise avant la mise en place d'un dispositif d'alerte professionnelle. La consultation du comité d'hygiène, de sécurité et des conditions de travail doit également être envisagée dès lors que le champ d'application de l'alerte professionnelle vise le respect des règles d'hygiène, de sécurité et des conditions de travail (CHSCT).

Par ailleurs, dans la mesure où le dispositif d'alerte professionnelle relève de l'autorisation unique, aucun formalisme n’est imposé en dehors de l'établissement d'un engagement de conformité.

Le dispositif d'alerte professionnelle doit toutefois respecter un certain nombre de garanties qui ont été énoncées par la CNIL dans son autorisation unique AU-004. En premier lieu, le dispositif d'alerte professionnelle doit rester facultatif. Les salariés ne sauraient être contraints à dénoncer les comportements fautifs et délictueux de leurs collaborateurs ou de leurs dirigeants. En second lieu, l'alerte professionnelle doit être conçue comme un outil complémentaire des autres modes d'alerte gérés par des personnes dont les fonctions ou les attributions dans l'entreprise consistent précisément à repérer des dysfonctionnements, tel que le commissaire aux comptes ou les représentants du personnel. Les dispositions du Code du travail prévoient ainsi la possibilité pour le salarié d'alerter l'employeur et de se retirer d'une situation en cas de danger grave et imminent pour sa vie (C. trav., art. L. 4131-1) ou de saisir le CHSCT en cas de danger grave et imminent pour la santé et la sécurité des travailleurs (C. trav., art. L. 4131-2). En troisième lieu, une information des salariés sur le dispositif d'alerte professionnelle et sa finalité doit être réalisée, par exemple par la diffusion d'une note de service ou d'un guide d'utilisation. En quatrième lieu, le dispositif d'alerte professionnelle doit permettre l'identification de l'émetteur de l'alerte et répondre à une exigence de confidentialité. L'identification de l'émetteur est considérée par la CNIL comme un élément essentiel pour éviter les dérives et abus d'un dispositif d'alerte professionnelle. L'anonymat n'est autorisé que de manière exceptionnelle. L'identité de l'émetteur doit toutefois être traitée de manière confidentielle, et ce au moment du recueil de ces données et tout au long de leur conservation. En aucun cas, son identité ne peut être communiquée à la personne qu'elle met en cause. Cette exigence de confidentialité porte également sur la nature des données recueillies et leur destinataire. La catégorie des données à caractère personnel enregistrées doit ainsi être limitée (identité, fonction et coordonnées de l'émetteur de l'alerte et des personnes intervenant dans le recueil et le traitement de l'alerte, faits signalés, éléments recueillis dans le cadre de la vérification des faits signalés, compte-rendu des opérations de vérification, suite donnée à l'alerte) et l'accès et le traitement des données recueillies doivent être restreints et confiés à des personnes précisément identifiées, en nombre limité, disposant d’une formation spécifique et astreintes à une obligation renforcée de confidentialité. La conservation des données ne peut en outre excéder deux mois à compter de la clôture des opérations de vérification, sauf engagement d’une procédure disciplinaire ou de poursuites judiciaires à l’encontre des personnes concernées par l’alerte. Enfin, conformément à la loi Informatique et Libertés, toute personne identifiée dans le dispositif d’alerte peut accéder aux données la concernant et en demander, le cas échéant, la suppression ou la rectification. Elle doit être informée dès l'enregistrement des données la concernant.

 --------------

Chaouki Gaddada est avocat au Barreau de Paris.