Procédure lanceur d'alerte : obligatoire dès 50 salariés, mode d'emploi

Toute entreprise d'au moins cinquante salariés doit établir, après consultation des instances de dialogue social, une procédure interne de recueil et de traitement des signalements des lanceurs d'alerte (article 8 de la loi n° 2016-1691 dite Sapin II, modifiée par la loi n° 2022-401 du 21 mars 2022, et décret n° 2022-1284 du 3 octobre 2022). Concrètement : une personne désignée, compétente et impartiale ; un canal dédié, accessible et sécurisé ; un accusé de réception sous sept jours ouvrés ; un retour sur les suites sous trois mois ; une confidentialité stricte ; aucune représaille. Voici comment la construire.

Qui est concerné

L'article 8 vise les personnes morales de droit privé et les entreprises exploitées en nom propre employant au moins cinquante salariés. Les entreprises de moins de 250 salariés peuvent mutualiser leur procédure ; une procédure peut être commune aux sociétés d'un groupe. En dessous de cinquante salariés, elle n'est pas obligatoire, mais l'Agence française anticorruption (AFA) rappelle qu'elle reste possible.

La procédure doit être ouverte à bien plus que les salariés en poste : anciens salariés, candidats, actionnaires et associés, mandataires sociaux, collaborateurs extérieurs et occasionnels, cocontractants et sous-traitants et leurs personnels peuvent signaler par la voie interne (article 8, I).

Les cinq étapes de mise en place

1. Désigner les bonnes personnes

Selon l'AFA, les personnes qui reçoivent et traitent les signalements doivent disposer « de la compétence, de l'autorité et des moyens suffisants », avec des garanties d'impartialité. Dans une PME, on retient souvent un responsable RH ou juridique formé, un suppléant, et un circuit alternatif quand les faits visent la direction. La désignation est écrite.

2. Choisir les canaux

Le guide de l'AFA (juillet 2026) demande un canal « aisément accessible à tous, clair et sécurisé », distinct des messageries professionnelles habituelles : plateforme dédiée, adresse spécifique, ligne téléphonique, entretien. Si l'entreprise accepte les signalements oraux, un rendez-vous est proposé sur demande dans les 20 jours ouvrés, avec un compte rendu soumis à la validation de son auteur. Le canal doit permettre l'anonymat et des échanges suivis.

3. Rédiger la procédure

L'AFA recommande six rubriques : objet, champ (qui peut signaler quoi), canaux et coordonnées, étapes de traitement, garanties (confidentialité, absence de représailles, droits des personnes visées), articulation avec les autorités externes et les autres dispositifs internes (harcèlement, notamment).

4. Consulter et diffuser

La procédure est établie après consultation des instances de dialogue social, en pratique le CSE. Elle est diffusée « par tout moyen assurant une publicité suffisante » (intranet, affichage, livret d'accueil) et doit être accessible aux personnes extérieures. Le règlement intérieur rappelle l'existence du dispositif de protection des lanceurs d'alerte (code du travail, art. L1321-2).

5. Encadrer les données

La CNIL demande d'inscrire le traitement au registre de l'article 30 du RGPD, de limiter l'accès aux personnes habilitées et de fixer des durées de conservation. L'AFA les résume ainsi : destruction sans délai pour une alerte hors champ, dans les deux mois suivant la clôture pour une alerte sans suite, jusqu'au terme de la procédure en cas de procédure disciplinaire ou contentieuse ; conservation possible des alertes sous forme anonymisée.

Exemple : les délais d'un signalement

Étape	Délai	Source
Accusé de réception écrit	7 jours ouvrés à compter de la réception	Guide AFA
Rendez-vous en cas de signalement oral, sur demande	20 jours ouvrés	Guide AFA
Information de la personne visée	Délai raisonnable, au plus un mois, sauf risque pour l'enquête	Référentiel CNIL (art. 14 RGPD)
Information écrite de l'auteur sur les suites	Au plus 3 mois à compter de l'accusé de réception	Guide AFA