Chapitre 2 -
Régimes incitant à la dénonciation

510. Introduction. Il n’y a, au Luxembourg, pas d’impunité pour ceux qui décideraient de dénoncer leurs complices, mais néanmoins un certain encouragement à le faire (section 1). Mais surtout, c’est le régime des lanceurs d’alerte qu’il faut analyser en détail (section 2).

A noter que le droit luxembourgeois ne connaît pas de protection spécifique des témoins¹. La procédure pénale ne connaît notamment pas le témoin protégé ou le témoignage anonyme. Le Code du travail prévoit certaines règles de protection des témoins contre des représailles disciplinaires (harcèlement, discrimination), y compris pour les salariés ayant « témoigné » d’un fait de prise illégale d’intérêts, de corruption ou de trafic d’influence.

Section 1 -
Auto-dénonciation :
le chemin vers l’impunité ?

511. Le droit luxembourgeois connaît, dans un nombre limité de matières, des mécanismes légaux qui font de la dénonciation un motif d’exemption ou de réduction de peine pour celui qui a lui-même participé à l’infraction. Ces mécanismes restent l’exception : ils sont cantonnés à des infractions déterminées, obéissent à des conditions strictes.

Ces quatre cas (voir encadré) visent tous une criminalité organisée ou de réseau, où l’enjeu est de démanteler une structure plutôt que de punir l’auteur le moins impliqué. Cette logique pourrait justifier une extension à la corruption ou au blanchiment organisés, mais le droit luxembourgeois n’y prévoit aujourd’hui aucun mécanisme comparable. On peut cependant nuancer, puisque la corruption implique souvent seulement deux personnes. Serait-ce justifiable que celui qui parle le premier s’en sorte indemne ? D’un autre côté, ne détruirait-on pas en amont toute possibilité de lien de confiance si on admettait cette possibilité ; ne ferait-on pas disparaître l’intérêt commun à la clandestinité ?

En dehors de ces hypothèses, aucune exemption de peine n’est prévue, et notamment pas en matière de corruption. Le juge appelé à prononcer la peine pourra certes tenir compte de la démarche de dénonciation à titre de circonstance atténuante et moduler la sanction en conséquence, mais il ne pourra pas faire abstraction de toute condamnation sur cette seule base. Le Luxembourg connaît depuis 2015 une procédure de jugement sur accord (→ 301). Mais ce mécanisme implique nécessairement une reconnaissance de culpabilité et une condamnation. Le Luxembourg ne dispose d’aucun mécanisme comparable aux DPA (deferred prosecution agreements) anglo-saxons ou à la convention judiciaire d’intérêt public (CJIP) française, qui permettent d’éviter toute déclaration de culpabilité formelle en contrepartie d’engagements financiers et de compliance. Le Parquet dispose certes de la libre appréciation de l’opportunité des poursuites - contrairement au juge d’instruction, qui ne dispose pas de ce pouvoir - mais, à notre connaissance, il ne l’utilise pas pour s’engager par avance envers un potentiel auto-dénonciateur à renoncer à toute poursuite ; il nous paraît même douteux qu’il puisse légitimement le faire.

512. Application à la corruption. « Nos Codes ne contiennent pas de dispositions accordant soit une exemption de peine totale soit partielle pour l’auteur ou le complice d’un fait de corruption pour celui qui collaborerait avec la justice »³.

L’autodénonciation d’un cas de corruption dans lequel l’entreprise est impliquée reste ainsi une démarche possible, mais risquée, à apprécier au cas par cas. Elle peut se justifier dans une logique de transparence, de coopération avec les autorités et de bonne gouvernance. Elle peut aussi s’avérer opportune lorsque les chances d’échapper à toute poursuite paraissent minces : dénoncer permet alors de se ménager des arguments pour obtenir une atténuation de la peine, et de tenter de maîtriser la communication ainsi que le déroulement initial de la procédure. Dans ce contexte, les enquêtes internes menées par l’entreprise peuvent être transmises aux autorités judiciaires, et la mise en œuvre rapide de mesures de remédiation jouera généralement en faveur de l’entreprise dans l’appréciation de sa culpabilité. Selon notre expérience, les autodénonciations en matière de criminalité financière restent cependant rares au Luxembourg. Comme exemple d’application pratique, nous pouvons citer le cas d’une compagnie aérienne ayant dénoncé elle-même un cas de trafic d’influence auprès du Parquet, ce qui a abouti à un jugement sur accord et à une atténuation de la peine (→ 188).

L’appréciation doit aussi être nuancée par une question essentielle : l’entreprise est-elle victime ou co-auteur ? Les mécanismes de la responsabilité des personnes morales sont complexes et pas toujours parfaitement prévisibles (→ 273). Face à un cas concret de corruption, l’entreprise doit d’abord déterminer si elle doit être considérée comme victime du fait de corruption (par exemple lorsqu’un de ses employés a été corrompu à son insu et à son détriment) ou comme potentiel co-auteur ou complice (par exemple lorsque le paiement a été effectué pour son compte ou dans son intérêt). Cette distinction n’est pas toujours aisée à opérer en pratique, notamment lorsque les faits impliquent plusieurs niveaux hiérarchiques ou des intermédiaires. Si l’entreprise peut raisonnablement être certaine d’être qualifiée de victime, la dénonciation aux autorités prend une tout autre coloration : elle perd son caractère risqué d’auto-incrimination pour devenir une démarche de protection de ses propres intérêts, notamment par voie de plainte (→ 277).

Les mêmes principes valent en matière disciplinaire. Néanmoins, une entreprise peut envisager de ne pas sanctionner une personne qui, spontanément, dénonce des cas de corruption même si elle y a dans un premier temps participé. Elle pourrait même mettre en œuvre une politique interne invitant à l’autodénonciation, par exemple en s’engageant dans la charte anti-corruption à ne pas prendre de sanctions disciplinaires, voir à ne pas déposer plainte contre les personnes qui dénoncent, de bonne foi, de telles situations. Une telle clause engagerait l’entreprise, peut déclencher des autodénonciations, mais les conditions et modalités doivent être réfléchies et clairement énoncées.

513. Changements apportés par la directive. La directive-corruption impose aux États membres que quatre circonstances atténuantes (→ 300) spécifiques puissent être retenues, dont trois ont trait à des incitations à dénoncer les faits⁴, à savoir⁵ :

• le fait de fournir « aux autorités compétentes des informations qu’elles n’auraient pas pu obtenir autrement et qui les aident »

  • « à identifier ou à traduire en justice les autres auteurs de l’infraction »

  • « à trouver des éléments de prévue”

• Pour les seules personnes morales : le fait qu’« une fois l’infraction découverte, rapidement et volontairement révélé l’infraction aux autorités compétentes et pris des mesures correctives.»

Ces circonstances atténuantes rejoignent la logique mentionnée ci-avant : elles récompensent celui qui aide à identifier d’autres auteurs, qu’il s’agisse d’une personne physique ou morale.

Ce n’est cependant pas, en soi, un changement de paradigme fondamental pour le droit luxembourgeois. Le Code pénal admet de longue date que le juge tienne compte de circonstances atténuantes, avec un double effet : un effet formel, qui réduit la peine légalement encourue selon les paliers et règles légaux⁶, et qui peut même faire passer un crime au rang de délit (correctionnalisation particulièrement significative en matière de corruption publique ; → 300) et un effet pratique, la circonstance atténuante amenant le juge à opter, à l’intérieur de la fourchette légale, pour une peine plus clémente.

Au final, la transposition de la directive-corruption ne fera donc que préciser des faits qui peuvent constituer des circonstances atténuantes, mais qui ont jusqu’ici toujours été pris en considération par les juges. Par ailleurs, la prise en compte reste toujours facultative. Au final, l’élément est plus psychologique que juridique : du fait de mentionner expressément ces cas de circonstances atténuantes, le comportement recherché peut être favorisé.

514. Obligation d’auto-dénonciation pour les entités régulées ? Les entités régulées, en particulier dans le secteur financier, sont soumises à des exigences de gouvernance qui les obligent à faire remonter en interne, puis le cas échéant à leur autorité de contrôle, tout dysfonctionnement significatif affectant leur organisation ou leurs contrôles internes⁷. Elles sont en outre tenues, de manière générale, de coopérer pleinement avec cette autorité et de répondre de façon complète à ses demandes.

Un cas de corruption interne (par exemple un versement occulte destiné à obtenir un marché ou un avantage réglementaire) relève potentiellement de ce dispositif : une fois découvert, il constitue une faiblesse de gouvernance ou de contrôle que l’entité devra vraisemblablement porter à la connaissance de son régulateur, à tout le moins dans le cadre de ses obligations générales de coopération. Il pourrait compromettre le respect des normes réglementaires que l’autorité supervise.

C’est ici qu’apparaît la tension avec le droit pénal. La CSSF, comme les autres autorités de contrôle exerçant une mission de surveillance prudentielle d’intérêt général, remplit une mission de service public. Ses agents sont à ce titre soumis à l’obligation d’informer le Parquet (→ 492). L’entité régulée qui coopère de bonne foi avec son régulateur pour se conformer à ses obligations de gouvernance s’expose ainsi à un risque pénal. Or, en matière pénale, prévaut le droit au silence et le droit de ne pas procéder à sa propre inculpation. Si la Cour d’appel a pu souligner que le droit au silence peut être opposé à la CSSF⁸, la question ne semble cependant pas encore définitivement tranchée : le risque d’auto-inculpation permettrait de faire abstraction des obligations de déclaration en matière de gouvernance ? Oui, inversement : les poursuites pénales sont-elles irrecevables si elles sont basées sur des faits que l’entité était obligée de révéler ?

515 à 519. Réservés.

Section 2 -
Protection des lanceurs d’alerte

520. Introduction. Nous venons de voir certaines obligations de dénonciation ; le non-respect de certaines est même sanctionné au pénal. Dès lors, confrontée à une telle obligation, il ne saurait en principe être reproché à une personne d’avoir dénoncé la corruption, du moins si la dénonciation se fait en interne ou aux autorités judiciaires. Le devoir de dénonciation devrait l’emporter sur des devoirs et obligations de confidentialité auxquels cette personne est tenue.

Mais au-delà de cette approche théorique, un autre mécanisme vient inciter et encourager les dénonciations : la protection des lanceurs d’alerte. Cette législation protège les lanceurs d’alerte, tant qu’ils sont de bonne foi, non seulement contre des mesures de représailles (tel un licenciement), mais aussi contre des actions visant à engager leur responsabilité civile et pénale. Les lanceurs d’alerte peuvent ainsi jouer un rôle central dans la détection des cas de corruption, tant dans le cadre des programmes de prévention des entreprises que dans les efforts déployés par les autorités.

Il ne faut certes pas surestimer la portée de ce cadre légal : celui qui ressent le besoin profond de révéler un fait qu’il perçoit comme injuste ou illégal le fera, dans bien des cas, indépendamment de l’existence ou non d’un régime de protection organisé par la loi. Dans le passé, des cas de corruption ont été dénoncés par des personnes n’ayant aucun filet de sécurité juridique. Il n’en demeure pas moins que l’étoffement progressif des règles protectrices, tel qu’il s’est accéléré ces dernières années tant au niveau européen qu’au niveau luxembourgeois, contribue à abaisser les barrières psychologiques et les craintes compréhensibles qui dissuadent une large part des témoins potentiels de s’exprimer, considérant que la meilleure façon de se protéger est de ne pas s’en mêler et de garder le silence.

Sous l’effet de ce régime protecteur le nombre de dénonciations effectivement portées à la lumière devrait augmenter, même si « à ce jour, aucune enquête pour des faits de corruption n’a été ouverte par les autorités luxembourgeoises sur la base de signalements »⁹. Les cas récentes en la matière, à commencer par l’affaire dite « Luxleaks » au Luxembourg, ont connu un écho médiatique notable ; à force de répétitions la connaissance et la perception publique du phénomène évolue ; les entreprises sont incitées à mettre en place, sinon une véritable culture de l’alerte, du moins des procédures formalisées et communiquées en interne.

Le concept sur lequel repose cette protection est simple dans son principe, quoique complexe dans sa mise en œuvre, comme nous le verrons tout au long des développements qui suivent : celui qui signale, en interne, en externe ou, dans certaines conditions, publiquement, une violation du droit dont il a eu connaissance ne doit pas se voir exposé, de ce seul fait, à des représailles, à une mise en cause de sa responsabilité civile, ni à des poursuites pénales, pour autant qu’il ait agi de bonne foi.

Une approche cohérente et structurée en matière de lanceurs d’alerte doit faire partie intégrante de toute bonne gouvernance et de tout programme de conformité en matière de lutte anti-corruption, aussi bien au sein des entreprises privées que des institutions publiques. De nombreux instruments internationaux le rappellent, tout comme la directive-corruption.

Le régime des lanceurs d’alerte est toutefois plus complexe qu’il n’y paraît. Souvent, les praticiens pensent immédiatement à la récente loi 2023. Mais « la pratique démontre (…) que beaucoup de signalements publics interviennent en dehors des procédures tracées par la Directive et la loi. Serait-ce cependant suffisant pour priver leurs auteurs et le journaliste de toute protection générale accordée par la jurisprudence ? »¹⁰ La réponse est simple : la protection ne s’arrête pas à cette loi. Elle est complétée, d’une part, par un cadre jurisprudentiel développé au fil des années et, d’autre part, par plusieurs dispositions spécifiques figurant dans le Code du travail. Nous passerons successivement en revue ces différents aspects.

521. Cadre jurisprudentiel. La protection du lanceur d’alerte trouve son origine dans la jurisprudence. En Europe, c’est avant tout l’œuvre jurisprudentielle de la CourEDH qui est déterminante. Le fondement essentiel est la liberté d’expression garantie par l’article 10 de la Convention.

Il serait impossible d’analyser en ces lignes toutes les nuances de cette jurisprudence. L’arrêt fondateur est l’arrêt de Grande Chambre Guja c. Moldova de 2008¹², dans lequel un fonctionnaire du parquet général moldave, révoqué pour avoir transmis à la presse des lettres mettant en cause des pressions politiques sur des poursuites pénales, a obtenu gain de cause devant la Cour. Cet arrêt a dégagé les critères classiquement présentés comme les « six critères Guja », qui ne sont pas des conditions cumulatives mais des éléments à mettre en balance : l’existence ou non de canaux alternatifs de signalement, la divulgation publique ne devant en principe intervenir qu’en dernier ressort ; l’intérêt public de l’information signalée, pouvant l’emporter sur un devoir de confidentialité ; l’authenticité de l’information ; le préjudice causé par la divulgation ; la motivation du lanceur d’alerte, qui doit être de bonne foi ; et la sévérité de la sanction infligée. 

Ces critères ont ensuite été appliqués et affinés dans plusieurs affaires : Bucur et Toma c. Roumanie (2013)¹³, à propos d’un employé des services de renseignement ayant dénoncé des écoutes illégales, Heinisch c. Allemagne (2011)¹⁴, concernant une salariée d’un établissement pour personnes âgées licenciée après avoir déposé plainte sur des manquements dans les soins, ou encore, plus récemment, Gawlik c. Liechtenstein (2021)¹⁵. La Cour a par ailleurs distingué le cas du lanceur d’alerte proprement dit, qui suppose un lien de subordination et un devoir de loyauté et de discrétion envers l’entité visée, de l’exercice « direct » de la liberté d’expression par une personne extérieure à cette relation, comme il a été jugé dans Medžlis Islamske Zajednice Brčko et autres c. Bosnie-Herzégovine (2017)¹⁶, à propos d’associations dénonçant, sans y être tenues par un tel lien, la nomination d’une candidate à un poste public.

Au Luxembourg, c’est l’affaire dite « Luxleaks »¹⁷ qui a donné l’occasion la plus marquante d’appliquer ces principes. Un ancien auditeur de PricewaterhouseCoopers (PwC), Antoine Deltour, avait copié, la veille de son départ, un grand nombre d’accords fiscaux préalables (rulings ou ATA) et les avait transmis à un journaliste, qui les a exploités dans le cadre de reportages télévisés ; un second salarié, Raphaël Halet, avait de son côté transmis au même journaliste plusieurs déclarations fiscales de clients de PwC. Ni l’un ni l’autre n’avait retiré de rémunération de ces révélations, et tous deux étaient tenus par une obligation contractuelle de confidentialité ainsi que par le secret professionnel de l’article 458 du Code pénal. Poursuivis notamment pour vol, violation du secret professionnel et blanchiment-détention, les deux salariés ont été condamnés en première instance, la Cour d’appel de Luxembourg réduisant sensiblement les peines et retenant en particulier, s’agissant de M. Deltour, l’acquittement de plusieurs préventions sur le fondement de l’article 10 de la Convention.

C’est la situation de M. Halet, dont la Cour d’appel n’avait reconnu qu’une protection partielle et qui avait été condamné à une amende de 1.000 euros, qui a été portée devant la CourEDH et a donné lieu à l’arrêt de Grande Chambre Halet c. Luxembourg de 2023¹⁸. La Cour y a consolidé et affiné les critères Guja, notamment sur la notion d’intérêt public de l’information divulguée, qu’elle a étendue au-delà de la seule dénonciation d’un acte illégal ou d’un comportement répréhensible pour englober aussi la contribution à un débat controversé sur une question d’intérêt public ; elle a par ailleurs souligné qu’il ne fallait pas mettre en balance uniquement le préjudice subi par l’employeur, mais l’ensemble des effets préjudiciables de la divulgation, y compris ceux touchant les intérêts privés des clients de PwC et l’intérêt public attaché au respect du secret professionnel. Au terme de cette mise en balance, la Cour a jugé que l’intérêt général attaché au débat, national et européen, sur les pratiques fiscales des multinationales, auquel les documents révélés par M. Halet avaient apporté une contribution essentielle, l’emportait sur l’ensemble des effets dommageables, y compris le vol de données et l’atteinte au secret professionnel, de sorte que la condamnation pénale était disproportionnée et constituait une violation de l’article 10 de la Convention.

522. Portée et application du régime jurisprudentiel. Le raisonnement qui sous-tend cette protection jurisprudentielle, distincte et antérieure à celle instaurée par la loi de 2023, se déploie en réalité à trois niveaux.

(a)Au niveau de la CourEDH. Il faut d’abord rappeler que seuls les États peuvent être attraits devant la Cour de Strasbourg ; celle-ci ne connaît pas de recours dirigé contre un employeur privé ou un particulier en tant que tel. La Cour vérifie donc si l’État a respecté la liberté d’expression du justiciable garantie par l’article 10 de la Convention. Cette violation peut résulter du comportement direct d’une autorité étatique, par exemple lorsqu’un fonctionnaire fait l’objet de représailles disciplinaires de la part de son administration. Mais le cas de figure le plus fréquent, de loin, est celui où ce sont les juridictions et autorités nationales elles-mêmes qui, en confirmant une condamnation pénale, en validant un licenciement ou une révocation prononcés par un employeur privé, ou en faisant droit à une demande en dommages-intérêts dirigée contre le lanceur d’alerte, sont regardées comme ayant commis une « ingérence» dans l’exercice de sa liberté d’expression. La Cour a d’ailleurs précisé que l’article 10 s’impose non seulement dans les rapports entre l’État et ses agents, mais également dans les relations de travail relevant du droit privé ; l’État a l’obligation positive de protéger la liberté d’expression contre des atteintes émanant de personnes privées.

Cette analyse n’est pas binaire. La Cour vérifie la nécessité et proportionnalité ; implique de vérifier si la sanction pénale infligée, la mesure disciplinaire prise ou le montant des dommages-intérêts alloués était proportionné au but poursuivi. Il s’agit, à chaque fois, d’une mise en balance entre la liberté d’expression du lanceur d’alerte et les droits ou intérêts de la partie adverse.

(b) Au niveau des autorités nationales. Pour ne pas se faire sanctionner, les autorités nationales, et notamment les tribunaux, sont appelés, en amont d’un éventuel recours à Strasbourg, à intégrer eux-mêmes cette mise en balance dans leur office, en faisant une juste part à la liberté d’expression du lanceur d’alerte, par exemple en écartant une qualification pénale, en admettant une cause de justification, en modérant la peine prononcée, ou en limitant le quantum des dommages-intérêts alloués. C’est précisément ce qui s’est produit dans l’affaire Luxleaks, où la Cour d’appel avait déjà appliqué les critères Guja avant même l’intervention de la Cour de Strasbourg.

(c) Au niveau des acteurs privés. Les acteurs privés, à leur tour, pour ne pas échouer devant les juridictions, doivent s’interroger avant toute décision si la protection joue. L’entreprise qui envisage de licencier un lanceur d’alerte, ou d’engager une action en responsabilité contre une personne qui s’est adressée à la presse, doit ainsi anticiper le risque de voir sa décision annulée en justice, mais également celui d’être elle-même condamnée, notamment à des dommages-intérêts, pour avoir exercé des représailles contre le lanceur d’alerte et porté atteinte à sa liberté d’expression.

523. Directive européenne de 2019¹⁹. L’adoption en 2019 d’une Directive sur les lanceurs d’alerte fait suite à plusieurs recommandations non contraignantes du Conseil de l’Europe ainsi qu’à des instruments sectoriels européens antérieurs déjà consacrés, de manière ponctuelle, à la protection des lanceurs d’alerte, notamment en matière de services financiers, de blanchiment de capitaux, de sécurité des transports ou de protection de l’environnement. La directive de 2019 voulait proposer une approche transversale et cohérente.

Bien qu’annoncée en grandes pompes, il ne faut cependant pas se méprendre sur la portée réelle de cette Directive. Son champ d’application matériel est en réalité très limité en ce qui concerne les faits dénoncés pour lesquels elle trouve application. Il s’agit de domaines spécifiques, parfois hautement techniques, du droit européen²⁰.

Elle vise cependant aussi, et de façon spécifique, les atteintes aux intérêts financiers de l’Union²¹. C’est sous cet angle que la Directive peut être rattachée à la lutte contre la fraude et la corruption : dès lors qu’une violation porte atteinte aux intérêts financiers de l’Union (hypothèse dans laquelle la fraude et la corruption occupent une place centrale, notamment à travers les fonds structurels, les marchés publics financés par l’Union ou la perception des ressources propres) le signalement entre dans le champ de la directive, quand bien même l’acte dénoncé ne relèverait d’aucune des dix matières sectorielles énumérées par ailleurs. Rappelons aussi que dans ce cas, les investigations pénales relèvent de la compétence du Parquet européen (→ 55).

Dans ses très grandes lignes, la directive impose aux États membres de mettre en place un cadre minimal harmonisé : obligation pour les entreprises privées d’au moins 50 salariés et pour les entités du secteur public d’instaurer des canaux de signalement interne garantissant la confidentialité, obligation parallèle pour les autorités nationales compétentes de mettre en place des canaux de signalement externe, protection de l’auteur du signalement dès lors qu’il avait des motifs raisonnables de croire à la véracité de l’information au moment du signalement, et interdiction de toute forme de représailles.

524. La loi luxembourgeoise de 2023²². La directive a été transposée au Luxembourg en 2023. Le Luxembourg a pour habitude, en matière de transposition de textes européens, de retenir une méthode restrictive consistant à transposer « toute la directive, mais rien que la directive », en évitant toute sur-transposition (goldplating) qui irait au-delà des exigences minimales du droit de l’Union. La loi sur les lanceurs d’alerte déroge cependant sciemment à cette pratique, un choix que le Gouvernement avait d’ores et déjà annoncé dans son programme de coalition, qui prévoyait que la législation nationale couvrirait un champ d’application plus étendu que le seul texte européen. La « violation » protégée est en effet définie comme tout acte ou omission qui est illicite, ou qui va à l’encontre de l’objet ou de la finalité des dispositions du droit national ou européen d’application directe (art. 3, point 1° de la loi de 2023).

La loi crée un « Office des signalements » (art. 8), chargé notamment d’informer et d’aider toute personne souhaitant effectuer un signalement, de sensibiliser le public à la législation sur la protection des lanceurs d’alerte, de signaler aux autorités compétentes les manquements à l’obligation de mettre en place des canaux de signalement interne dont il aurait connaissance, et de publier un rapport d’activité annuel (art. 9 et 10). Elle impose également certaines mesures d’accompagnement et de sensibilisation.

Il convient enfin de rappeler que la loi de 2023 n’est pas la première à instaurer un mécanisme d’alerte en droit luxembourgeois : des dispositifs sectoriels existaient déjà auparavant, essentiellement dans le secteur financier. Ces mécanismes préexistants, qui subsistent en parallèle de la nouvelle loi (art. 1er, § 5), ne présentent cependant aucun intérêt particulier dans le contexte de la corruption.

525. Loi nationale – champ d’application personnel. Sur le plan personnel (art. 2), la loi couvre un cercle très large de personnes : les travailleurs (au sens européen, y compris les fonctionnaires), les travailleurs indépendants, les actionnaires et les membres des organes d’administration, de direction ou de surveillance d’une entreprise, y compris non exécutifs, ainsi que les bénévoles et les stagiaires rémunérés ou non, et toute personne travaillant sous la supervision et la direction de contractants, de sous-traitants et de fournisseurs, de même que les auteurs de signalement dont la relation de travail a pris fin ou n’a pas encore commencé, s’agissant de candidats en cours de recrutement ou de négociations précontractuelles.

La protection s’étend encore, au-delà de l’auteur du signalement proprement dit, aux facilitateurs, aux tiers en lien avec lui qui risqueraient de subir des représailles (collègues, proches), ainsi qu’aux entités juridiques qui lui appartiennent ou pour lesquelles il travaille.

Même si en pratique, en raison de l’exposition aux représailles, le texte concerne avant tout les salariés, ce champ d’application large explique pourquoi la transposition n’a pas été intégrée dans le Code du travail, mais dans une loi séparée.

526. Loi nationale – champ d’application matériel, une « violation de la loi » et un contexte professionnel. Le champ d’application matériel (art. 1er) n’est pas limité aux domaines sectoriels et aux atteintes aux intérêts financiers de l’Union visés par la directive : il s’étend, potentiellement, à toute violation du droit luxembourgeois ou européen, et même aux actes qui, sans être à proprement parler illégaux, contreviennent à l’esprit d’un texte. Ce choix donne à la loi une portée très générale.

Il est évident que cette notion, qui vise tout acte ou omission illicite ou allant à l’encontre de l’objet ou de la finalité d’une règle de droit national ou européen, englobe toutes les infractions pénales.

Sont donc couverts, en ce qui concerne les matières qui nous intéressent ici, la corruption publique et privée, le trafic d’influence et la prise illégale d’intérêts. Il en va de même de toutes les infractions qui accompagnent de tels faits sur le plan de la fabrication de la preuve, tel le faux et l’usage de faux, de celles qui en constituent le prolongement, tel le détournement de fonds qui a permis de financer le paiement occulte, et de celles qui en sont la conséquence, tel le blanchiment.

Reste à savoir si les tentatives d’infraction sont également incluses. La loi n’est pas claire à ce propos. Rappelons que pour les crimes (p.ex. la corruption publique), la tentative est punissable – et constitue donc une violation de la loi. Pour les délits, la définition de la corruption est si large que quasiment tout « essai » constitue déjà une infraction consommée (→ 138)²³. En outre, le but de l’encouragement des lanceurs d’alerte étant de détecter des infractions et de lutter contre leurs conséquences, il serait même souhaitable de permettre une dénonciation au stade de la tentative ou même de simples actes préparatoires d’une corruption ou d’un trafic d’influence. Obliger le lanceur d’alerte à attendre que le mal est fait (et la loi violée) avant de libérer sa parole ne ferait aucun sens. Mais ne serait pas couverte à notre sens de simples suppositions générales ou facteurs de risque qui pourraient éventuellement déboucher vers des infractions.

La limitation au contexte professionnel prévue par la loi et reprise telle quelle de la directive, introduit une restriction aux contours peu clairs. ; le texte ne nous semble pas clair sur le point de savoir s’il faut que l’information ait été obtenue dans un contexte professionnel ou que la violation elle-même se soit produite dans un tel contexte, mais il ressort de la définition de l’« auteur de signalement » que ce sont bien les informations qui doivent avoir été obtenues dans un contexte professionnel, et que ces informations doivent en outre avoir trait à des violations qui se produisent dans l’organisation avec laquelle l’auteur du signalement est ou a été en contact dans le cadre de son travail. Ces critères nous semblent être cumulatifs²⁴.

Il faut donc distinguer deux questions indépendantes : le contexte dans lequel l’information a été obtenue (professionnel ou privé), et la nature de l’information elle-même, à savoir si elle concerne les activités professionnelles de l’entité ou plutôt la sphère privée d’une personne qui y est rattachée.

Appliquée à la corruption, cette restriction peut conduire à des résultats incohérents. Voici quelques exemples :

Ce découpage a quelque chose d’assez peu satisfaisant. Il conduit à traiter différemment deux situations où le degré de gravité de la corruption dénoncée est strictement identique, en se fondant uniquement sur la circonstance, largement fortuite, du lieu et du moment où l’information a été apprise. Un même fait de corruption peut ainsi être protégé ou non selon qu’il a été découvert au bureau ou au café, ce qui n’a guère de justification de fond au regard des finalités de la loi. Cette approche est un héritage de la logique de la directive européenne, elle-même construite sur l’idée que le lanceur d’alerte est avant tout celui qui se trouve, du fait de sa position professionnelle, dans une situation privilégiée d’accès à l’information et donc, en creux, sur l’idée d’une protection pensée comme la contrepartie d’un devoir de loyauté existant dans le cadre professionnel. On n’est donc en réalité avec la loi de 2023, pas dans une approche globale, cohérente et généralisée d’encouragement à la dénonciation de la corruption. Fort heureusement, la jurisprudence – évoquée ci-avant – peut prendre le relais et couvrir de telles situations.

527. Champ d’application et bonne foi. Nous verrons plus loin que le lanceur d’alerte reste protégé tant qu’il est de bonne foi. Or, le texte de la loi n’exige pas que le lanceur d’alerte ait eu des motifs raisonnables de croire à l’exactitude de la qualification juridique des faits, mais seulement des motifs raisonnables de croire à la véracité des informations signalées et au fait qu’elles relèvent du champ d’application de la loi ; la question n’est donc pas de savoir si les faits sont exacts, mais d’apprécier l’état d’esprit subjectif du lanceur d’alerte au moment de la dénonciation. Il en résulte, à notre avis, que la bonne foi porte non seulement sur la réalité matérielle des faits, mais aussi sur leur qualification : est protégé celui qui a légitimement pu croire que les faits qu’il dénonçait étaient constitutifs de corruption ou de trafic d’influence, même si un examen juridique plus poussé révélerait par la suite que la qualification retenue était erronée.

La loi comporte ainsi, en quelque sorte, un champ d’application « putatif » : elle protège non seulement pas la violation objectivement établie, mais la violation telle que le lanceur d’alerte a pu raisonnablement la percevoir. Cette solution, qui peut de prime abord surprendre puisqu’elle fait dépendre l’application de la loi d’une appréciation juridique erronée, nous semble en réalité faire du sens. D’une part, on ne saurait exiger d’un salarié ou travailleur, qui n’est pas juriste, qu’il maîtrise avec précision les éléments constitutifs d’infractions aussi techniques que la corruption, le trafic d’influence ou la prise illégale d’intérêts ; il suffit qu’il ait des raisons sérieuses de penser être en présence d’un comportement de cette nature²⁵. D’autre part, cette approche fait indirectement appel au ressenti moral de ce qui paraît acceptable ou non, la frontière entre l’illégalité stricte et l’immoralité toléré n’étant pas toujours perceptible pour le profane.

Ce champ d’application « putatif » ne permet cependant pas d’étendre la loi au-delà de ce que le législateur a entendu viser, à savoir des violations de la loi. La loi ne couvre pas les faits qui, sans constituer une violation du droit positif, n’en demeurent pas moins moralement ou éthiquement contestables. Le lanceur d’alerte est protégé tant qu’il pouvait légitimement croire à l’existence d’une infraction ; il ne l’est en revanche plus lorsqu’il dénonce, en toute connaissance de cause, un comportement qu’il sait pertinemment ne pas être illégal, aussi choquant celui-ci puisse-t-il paraître.

528. Les procédures internes à mettre en place par les entreprises. Dans le secteur public, l’obligation de mettre en place des canaux et procédures de signalement interne s’applique par principe à toutes les entités juridiques, sans condition de taille, à l’exception des communes de moins de dix mille habitants, qui restent libres d’instaurer un tel dispositif sur une base volontaire (art. 6).

Dans le secteur privé, l’obligation est calibrée sur la taille de l’entreprise. Les entités juridiques de droit privé occupant 50 travailleurs ou plus²⁶, doivent établir des canaux et procédures de signalement interne ; celles employant entre 50 et 249 travailleurs peuvent mutualiser cette obligation en partageant des ressources pour la réception et le suivi des signalements, sans que cela ne les dispense de garantir la confidentialité, de fournir un retour d’informations et de remédier à la violation signalée (art. 6 (2) et (3)). Les entités de moins de cinquante travailleurs demeurent libres de mettre en place de tels canaux, mais sans y être tenues (art. 6 (5)).

Le canal de signalement peut être géré en interne par une personne ou un service désigné à cet effet, ou confié en externe à un tiers ; il doit permettre la réception de signalements écrits ou oraux (téléphone, messagerie vocale, entretien en personne sur demande), garantir la confidentialité de l’identité de l’auteur, prévoir un accusé de réception dans les sept jours, désigner une personne ou un service impartial chargé du suivi, et assurer un retour d’informations dans un délai raisonnable n’excédant pas trois mois (art. 6, § 4, et art. 7).

L’absence de mise en place d’une procédure de signalement interne conforme, tout comme l’entrave à un signalement, le refus de fournir les renseignements demandés ou de remédier à la violation constatée, ou encore l’atteinte à la confidentialité de l’auteur du signalement, exposent l’entité à une amende administrative pouvant aller de 1.500 à 250.000 euros (art. 18).

La mise en place de cette procédure interne, bien qu’imposée par la loi, n’en doit pas moins faire l’objet d’un dialogue social préalable avec la délégation du personnel. En fonction de la taille de l’entreprise, la délégation doit être consultée, respectivement elle doit donner son avis. Les règles applicables sont les mêmes que pour la mise en place d’une procédure de lutte anti-corruption, de sorte que nous y renvoyons (→ 456).

529. Les canaux d’alerte. Les canaux d’alerte sont hiérarchisés :

(a) Signalement interne. Dans l’esprit de la loi, le signalement interne est la voie à privilégier : les personnes désirant signaler une violation sont encouragées à recourir en priorité au canal interne, avant tout signalement externe, lorsqu’il est possible de remédier efficacement à la violation en interne et qu’elles n’estiment pas courir de risque de représailles (art. 5). Ces deux conditions cumulatives, l’une objective (la possibilité de remédier en interne) et l’autre subjective (l’absence de risque perçu de représailles), ouvrent en réalité la voie externe dès l’origine dans un grand nombre de situations, sans qu’il ne soit besoin d’avoir d’abord tenté et épuisé le canal interne.

(b) Le signalement externe, adressé à l’une des 22 autorités compétentes énumérées par la loi, peut ainsi être utilisé directement, sans passage préalable par la voie interne, chaque fois que l’une de ces deux conditions fait défaut (art. 16 à 19). Ce canal est, comme on le verra, peu pertinent en matière de corruption, faute d’autorité administration compétente.

(c) La divulgation publique, en revanche, n’est admise que dans des conditions plus restreinte: soit après un signalement interne et externe, ou un signalement externe direct, resté sans mesure appropriée dans les délais impartis, soit, à titre exceptionnel et sans étape préalable, lorsque l’auteur a des motifs raisonnables de croire que la violation représente un danger imminent ou manifeste pour l’intérêt public, ou qu’un signalement externe exposerait à un risque de représailles ou aurait peu de chances de déboucher sur un résultat utile (art. 24).

Il ne s’agit pas d’une hiérarchie rigide à respecter scrupuleusement étape par étape : la loi elle-même ménage des passerelles permettant de « sauter » une étape lorsque les circonstances le justifient, que ce soit pour passer directement du signalement externe à la divulgation publique, ou même, dans les cas les plus graves, pour se dispenser d’emblée du détour par le signalement interne, voire externe.

La contrepartie de cette souplesse est que l’auteur du signalement doit être en mesure de justifier, le cas échéant devant le juge, les motifs raisonnables qui l’ont conduit à ne pas suivre l’ordre normalement préconisé ; il pourrait éventuellement perdre le bénéfice de la présomption de représailles (art. 26, § 4) et le statut protecteur attaché au respect des voies de signalement prévues par la loi.

530. Les canaux de signalement et la corruption. Les entreprises ont tout intérêt à mettre en place des canaux de signalement interne solides et à gagner la confiance de leurs salariés et collaborateurs en leur garantissant une réelle confidentialité. Un dispositif interne perçu comme fiable augmente en effet la probabilité que le lanceur d’alerte potentiel choisisse de recourir à cette voie plutôt que de s’adresser directement à une autorité externe ou, pire du point de vue de l’entreprise, à la presse. Cela présente un avantage direct en termes de gestion du risque, tant juridique que réputationnel : recueillir l’alerte en interne permet à l’entreprise de déclencher elle-même une enquête interne (→ 610), de vérifier les faits, d’y remédier le cas échéant avant qu’ils ne soient portés à la connaissance de tiers.

Quant à une alerte externe, le cas de la corruption, comme d’autres infractions pénales, est particulier. Parmi les 22 autorités énumérées comme compétentes pour recevoir un signalement externe, aucune n’a de compétence spécifique pour des cas de corruption. Il n’existe donc pas, dans la logique propre à la loi, de véritable signalement externe pour la corruption : le salarié qui a épuisé ou écarté légitimement la voie interne ne dispose d’aucune autorité vers laquelle se tourner pour bénéficier du statut protecteur au titre du signalement externe.

Certaines autorités peuvent tout au plus avoir une compétence annexe pour la corruption. Par exemple, lorsque les faits de corruption dénoncés impliquent un professionnel réglementé relevant de l’une des listes ci-dessus, tel un avocat, un notaire, un médecin, un expert-comptable, un réviseur d’entreprises ou un architecte ou ingénieur-conseil, l’ordre professionnel concerné dispose certes d’une compétence disciplinaire à son égard. Un signalement adressé à cet ordre pourrait, sous cet angle accessoire, être qualifié de signalement externe couvert par la loi. Il en est de même dans les secteurs régulés (p.ex. banques, assurances) où le régulateur n’ignorera probablement pas des alertes pour corruption. Ces compétences restent cependant limitée à la dimension déontologique ou réglementaires du dossier.

Les autorités pénales à proprement parler, à savoir la police, le parquet ou le juge d’instruction, sont absents de la liste. Comme le note un ancien procureur : « Une situation qui n’est abordée ni par la loi ni par les travaux parlementaires est celle de la dénonciation des infractions aux autorités judiciaires, à savoir les parquets, dans l’hypothèse où une violation de la loi constitue une infraction à la loi pénale, telles les infractions liées à la corruption »²⁸. Une dénonciation de faits de corruption faite directement à ces autorités, alors même qu’il s’agit pourtant du canal le plus naturel pour ce type d’infraction, ne constitue donc pas un « signalement externe » au sens de la loi de 2023, et ne fait pas bénéficier son auteur du régime protecteur qu’elle instaure – il faut se tourner vers le régime prétorien (→ 521).

531. Gestion des alertes internes. La loi impose à l’entité qui reçoit un signalement interne de lui adresser un accusé de réception dans un délai de sept jours à compter de sa réception, puis de lui fournir un retour d’informations dans un délai raisonnable n’excédant pas trois mois à compter de cet accusé de réception, ou, à défaut d’accusé, à compter de l’expiration du délai de sept jours suivant le signalement (art. 7 (1)).

L’accusé de réception fige la date du signalement et facilitera, le cas échéant, la preuve que le lanceur d’alerte a bien agi conformément à la loi. Ce n’est que sur demande expresse contraire de l’auteur du signalement, ou lorsque l’entité a des motifs raisonnables de croire que l’accusé de réception compromettrait la protection de son identité, que cette formalité peut être écartée d’office (art. 19 (3)) ; cette exception, prévue expressément pour les signalements externes, devrait à notre avis inspirer la même prudence pour la procédure interne.

Au-delà de ces obligations formelles, il est en pratique souvent préférable de maintenir un dialogue continu avec le lanceur d’alerte, lorsque celui-ci s’y prête (signalement non anonyme, personne disposée à rester en contact). Un tel échange permet de solliciter des précisions utiles à l’enquête, de rassurer l’auteur du signalement sur le sérieux du traitement réservé à son alerte, et de réduire le risque qu’il ne s’estime insuffisamment informé et ne soit tenté, après l’écoulement du délai de trois mois, de considérer qu’aucune mesure appropriée n’a été prise et de franchir une étape supplémentaire vers le signalement externe ou la divulgation publique.

L’entreprise doit veiller, tout au long du traitement de l’alerte, à documenter chaque étape de la procédure (accusé de réception, échanges avec l’auteur, mesures d’investigation, conclusions, décision finale), ne serait-ce que pour être en mesure de démontrer, en cas de contestation ultérieure devant une juridiction, qu’elle a respecté ses obligations légales et que toute mesure prise à l’égard de personnes concernées par le signalement repose sur des motifs étrangers à celui-ci.

Ces hypothèses de classement d’office doivent cependant être maniées avec prudence. Un classement hâtif ou insuffisamment motivé, ressenti par le lanceur d’alerte comme un refus de prendre son signalement au sérieux, risque précisément de le pousser vers l’étape suivante, avec les conséquences réputationnelles autrement plus lourdes qu’implique une divulgation publique ou un signalement externe. Elle prive aussi l’entreprise de détecter et de prévenir un cas de corruption qui lui causera préjudice.

En principe, un suivi doit donc être assuré à l’alerte, ce qui implique dans la plupart des cas une forme d’investigation ou d’enquête interne destinée à vérifier la matérialité des faits dénoncés ; nous renvoyons à ce titre à nos développements sur les enquêtes internes (→ 610). Au terme de cette investigation, il convient de tirer une conclusion claire sur le caractère fondé ou non de l’alerte. Lorsque les faits dénoncés relèvent de la corruption ou d’infractions similaires et se révèlent avérés, plusieurs suites doivent être envisagées en parallèle : d’éventuelles conséquences disciplinaires à l’égard de leur auteur (→ 650), l’opportunité d’une dénonciation aux autorités pénales (→ 277), ou encore la mise en œuvre de mesures de remédiation (→424), destinées à faire cesser la situation et à en prévenir la répétition.

Se pose enfin la question de l’information à donner au lanceur d’alerte sur l’issue de l’enquête. Sur ce point, la loi n’est pas très explicite pour le signalement interne : l’article 7 impose un « retour d’informations »²⁹, mais elle n’exige pas expressément, comme elle le fait pour le signalement externe, la communication du « résultat final » des démarches engagées.

À notre avis, le lanceur d’alerte ne peut prétendre, sur cette seule base, à la communication d’une copie du rapport d’enquête ou de ses conclusions détaillées. Il fait cependant sens, dans la plupart des cas, de l’informer à tout le moins des grandes lignes des constats opérés, des conclusions retenues, ainsi que des suites et actions décidées en conséquence, ne serait-ce que pour rencontrer l’esprit de la loi et entretenir la confiance dans l’efficacité du dispositif. Un mot de remerciement peut utilement accompagner une telle communication. Il n’est pas interdit, quoique contraire aux usages européens, de promettre par avance une rémunération aux lanceurs d’alerte ; une rémunération ou une autre forme de reconnaissance spontanée, décidée après coup, n’est pas davantage prohibée, mais elle peut s’avérer délicate à manier et ne sera, dans la plupart des cas, ni nécessaire ni attendue.

Lorsque l’enquête conclut à l’absence de fondement de l’alerte, il convient encore d’apprécier si son auteur était de bonne ou de mauvaise foi. Si la mauvaise foi est établie sans doute possible, la question se pose de savoir s’il y a lieu de réagir, par exemple, s’il s’agit d’un salarié, par une mesure disciplinaire. La gestion de ces signalements reste enfin soumise, comme tout traitement de données à caractère personnel, aux règles du RGPD³⁰.

532. Premier niveau de protection du lanceur d’alerte : confidentialité de son identité. La protection de l’identité du lanceur d’alerte constitue le premier maillon du dispositif de protection. Le lanceur d’alerte dont l’identité demeure confidentielle ne craint en effet ni représailles de la part de son employeur, ni action pénale, ni action en responsabilité dirigée contre lui : cette protection intervient ainsi en amont, avant même que les autres mécanismes protecteurs ne doivent être mobilisés.

Cette protection n’est cependant pas toujours aisée à assurer en pratique. Elle suppose d’abord une organisation adéquate du canal de réception : la loi exige que les canaux soient conçus, établis et gérés d’une manière sécurisée garantissant la confidentialité de l’identité de l’auteur du signalement et empêchant l’accès à ces canaux par des membres du personnel non autorisés (art. 7 (1)).

Concrètement, cela implique de confier la réception et le traitement des alertes à un nombre restreint de personnes, spécialement désignées, dignes d’une confiance particulière et en mesure de résister aux pressions qui pourraient être exercées à leur tour sur elles pour obtenir la révélation de l’identité du lanceur d’alerte. C’est aussi ce qui explique que, dans de nombreux cas, il puisse être préférable d’externaliser tout ou partie de la réception ou du traitement du canal interne auprès d’un prestataire externe, par exemple un cabinet d’avocats, la loi elle-même autorisant expressément une telle externalisation. Ce prestataire présente des garanties d’indépendance et de confidentialité renforcées, notamment lorsque l’alerte pourrait concerner des personnes occupant des positions élevées dans la hiérarchie de l’entreprise – ce qui en matière de corruption est fréquemment le cas.

Cette protection doit également être assurée par des moyens techniques adéquats. Si l’on peut songer à des mesures de protection physique, telle une armoire fermée à clé pour les documents papier, c’est surtout au niveau informatique que des efforts doivent être déployés : accès restreints et contrôlés aux données relatives aux signalements, chiffrement, journalisation des accès permettant, en cas de fuite malgré tout constatée, de retracer qui a consulté quelles informations et à quel moment.

Le non-respect de cette confidentialité peut être sanctionné d’une amende administrative de 1 500 à 250 000 euros à l’encontre de toute personne physique ou morale qui porterait atteinte à la confidentialité dont jouissent les auteurs de signalements (art. 18).

Une telle atteinte pourrait également constituer, selon les circonstances, une violation des règles relatives à la protection des données à caractère personnel, dans la mesure où la révélation de l’identité du lanceur d’alerte à des personnes non autorisées, ou la consultation de ces données par une personne y ayant accès mais au-delà de ce qui est nécessaire à l’exercice de ses fonctions, constitue un traitement non conforme aux principes de minimisation et de limitation des accès. Une telle violation pourrait également donner lieu à une action en responsabilité civile de la personne concernée.

La protection de l’identité doit être maintenue non seulement pendant le traitement du signalement, mais aussi, le cas échéant, tout au long d’une procédure judiciaire ou disciplinaire ultérieure qui pourrait en découler, la loi n’admettant la divulgation de l’identité que dans des cas strictement encadrés, sur la base d’une obligation légale nécessaire et proportionnée, notamment pour sauvegarder les droits de la défense de la personne mise en cause (art. 22).

Cette exigence de confidentialité rejaillit nécessairement sur la conduite de l’enquête interne elle-même : les personnes chargées de mener les investigations doivent veiller, dans la formulation de leurs questions et dans la communication des constats aux personnes concernées, à ne pas permettre, même indirectement, de reconstituer l’identité de l’auteur du signalement à partir du contenu ou du contexte des informations divulguées, ce qui peut s’avérer délicat dans les structures de petite taille où le cercle des personnes susceptibles de détenir l’information litigieuse est restreint.

533. Second niveau de protection : interdiction des représailles. La protection contre les représailles instaurée par la loi de 2023 est multiple. Elle vise en premier lieu ce que l’on peut qualifier de sanctions disciplinaires au sens large : la loi interdit toute forme de représailles, y compris les menaces et tentatives de représailles, à l’égard de l’auteur d’un signalement effectué dans les conditions de la loi (art. 25), et énumère à titre d’exemples non limitatifs la suspension du contrat de travail, la mise à pied, le licenciement, la rétrogradation, le refus de promotion, le transfert de fonctions, le changement de lieu de travail, la réduction de salaire, la modification des horaires, la suspension de la formation, ou encore les mesures disciplinaires et sanctions financières.

C’est dans la relation de travail que ce risque se matérialise le plus fréquemment, puisque de nombreux lanceurs d’alerte sont des salariés placés sous l’autorité patronale et directement exposés au pouvoir disciplinaire de l’employeur ou d’un supérieur hiérarchique. Les fonctionnaires, bien que couverts au même titre, sont en pratique moins immédiatement exposés à ce risque, le droit disciplinaire de la fonction publique étant davantage encadré sur le plan procédural (→ 670) que le pouvoir de licenciement de l’employeur privé.

Le principe qui gouverne cette protection est celui d’une présomption : dès lors que l’auteur du signalement établit qu’il a effectué un signalement ou fait une divulgation publique et qu’il a subi un préjudice, il est présumé que ce préjudice a été causé en représailles au signalement ou à la divulgation publique, et il incombe alors à la personne qui a pris la mesure préjudiciable, par exemple l’employeur en cas de licenciement, d’en établir les motifs véritables (art. 26 (4)).

C’est donc l’employeur qui devra démontrer que le licenciement, la rétrogradation ou toute autre mesure repose sur une cause étrangère au signalement. Ceci étant, en droit du travail – et surtout en matière de licenciement – prévaut de toute manière le principe que l’employeur doit justifier les motifs de licenciement.

La protection ne se limite cependant pas aux salariés : les indépendants et les actionnaires, notamment, sont expressément couverts par le champ d’application personnel de la loi. On peut songer, à titre d’exemple, à la résiliation anticipée d’un contrat de prestation de services conclu avec un consultant indépendant qui aurait dénoncé des pratiques de corruption au sein de son cocontractant. La mise en œuvre concrète et effective de cette protection est cependant nettement plus délicate pour ces catégories que pour les salariés : le cadre procédural de la nullité, en particulier, a été pensé pour la relation de travail, et son application à une résiliation contractuelle entre indépendants ou à une décision affectant un actionnaire soulève des difficultés pratiques.

Au-delà de la question procédurale, la protection suppose que soit rapportée la preuve d’un lien entre la mesure prise et l’alerte lancée. L’expérience jurisprudentielle, y compris celle que nous développons plus loin, montre que c’est fréquemment à ce stade que les salariés échouent dans leurs démarches : il suffit à l’employeur d’avancer un motif alternatif suffisamment plausible et sérieux pour faire échec à la présomption. Pour équilibrer la situation, la loi prévoit un allègement de la charge de la preuve au bénéfice du lanceur d’alerte (art. 26 (4)) : une fois établis le fait qu’il a procédé à un signalement et qu’il a subi un préjudice, la présomption de causalité entre les deux s’applique automatiquement, et c’est alors à l’employeur qu’il incombe de renverser cette présomption en démontrant les motifs véritables de sa décision.

Il se pose dès lors la question de savoir : pendant combien de temps le lanceur d’alerte demeure protégé contre d’éventuelles représailles ? Pendant combien de temps peut-il invoquer cet aménagement de la charge de la preuve ? La loi ne fixe aucune limite dans le temps à cet égard. Il ne faut cependant pas s’y méprendre : si la vengeance est, comme on le dit, un plat qui se mange froid, l’écoulement du temps affaiblit d’autant la plausibilité d’un lien entre la mesure litigieuse et le signalement initial, et un juge sera d’autant plus réticent à se laisser convaincre par la présomption de représailles, voire à admettre un lien de causalité par examen concret des circonstances, que les deux événements sont éloignés dans le temps.

Une protection complémentaire, de nature procédurale, va s’ajouter au bénéfice des lanceurs d’alerte : la directive sur la protection contre les procédures bâillon (« SLAPP » ; → 86) est en cours de transposition au Luxembourg ; elle permet de clôturer rapidement des procédures abusives destinées à faire taire des lanceurs d’alerte.

534. Protection selon la loi contre des actions civiles. La loi organise une exclusion de responsabilité qui, en matière civile, est en principe totale. La révélation de faits de corruption ou d’infractions similaires peut causer un dommage considérable à l’entité mise en cause, qu’il s’agisse d’une atteinte réputationnelle susceptible d’affecter durablement sa relation avec ses clients, ses actionnaires ou le grand public, de la perte de partenaires contractuels ou d’appels d’offres futurs, ou encore de la résiliation de contrats en cours. Ce risque est particulièrement aigu en matière de corruption, où la divulgation touche souvent au cœur même de la réputation d’intégrité de l’entreprise, et peut en outre déclencher des enquêtes de la part d’autorités de régulation, de partenaires financiers ou de cocontractants publics soumis eux-mêmes à des obligations de vigilance en matière de conformité.

Cette révélation peut, dans la logique de droit commun, être qualifiée de fautive : elle peut violer des obligations de confidentialité administratives ou contractuelles, telles qu’un accord de non-divulgation (NDA) ou une clause de confidentialité insérée dans un contrat de travail, de prestation de services ou de cession, ou encore, plus simplement, l’obligation de discrétion et de loyauté que la jurisprudence déduit du principe de bonne foi inhérent à l’exécution des contrats de travail et de nombreux autres types de contrats.

L’entreprise visée par une infraction pénale, telle que la corruption, serait certes malvenue d’invoquer un préjudice légitime pour s’opposer à sa dénonciation (nemo auditur). Mais la loi de 2023 ne s’en remet pas à cette seule considération générale : elle écarte expressément, et de façon plus solide, toute action en responsabilité fondée sur la violation d’une obligation de confidentialité, dès lors que le lanceur d’alerte a agi dans les limites et conditions qu’elle fixe. Cette solution s’impose avec d’autant plus de force lorsque les faits dénoncés sont pénalement répréhensibles, comme la corruption : il serait en effet difficilement concevable qu’une clause de confidentialité contractuelle puisse faire obstacle à la révélation d’une infraction pénale, quand bien même cette révélation causerait un préjudice économique certain à l’entité visée.

535. Protection selon la loi contre des actions pénales. La protection accordée sur le plan pénal est moins large que celle organisée en matière civile. La loi dispose en effet que les auteurs de signalement n’encourent aucune responsabilité en ce qui concerne l’obtention des informations qui sont signalées ou divulguées publiquement, ou l’accès à ces informations, à condition que cette obtention ou cet accès ne constitue pas une infraction pénale autonome³⁴,.

Il en résulte que tout ce qui touche à la divulgation proprement dite de l’information est en principe couvert par l’exemption, y compris, par exemple, le fait de violer certains secret professionnel (p.ex. secret bancaire, secret d’affaires) en révélant des documents ou des informations qui y sont normalement soumis³⁵. De même, on pourrait reprocher au lanceur d’alerte une diffamation ou la violation de droits d’auteurs.

En revanche, les infractions commises pour obtenir les informations elles-mêmes ne sont pas couvertes par l’exemption légale. C’est le cas, par exemple, d’une infraction informatique consistant à accéder ou à se maintenir frauduleusement (de manière non autorisée) dans un système informatique auquel le salarié n’était pas autorisé à accéder³⁶, de la destruction ou de la dégradation d’un bien commise pour accéder à des documents physiques, ou encore, dans un registre proche, du vol de documents ou de supports contenant l’information recherchée. Le régime jurisprudentiel peut couvrir de tels faits : dans l’affaire Luxleaks, il y a eu acquittement du chef du vol des documents. À l’évidence, à notre sens, des faits plus graves ne sauraient davantage être couverts par cette exemption, tels que des menaces ou des actes de violence exercés pour contraindre un tiers à révéler ou à remettre des informations recherchées : ces comportements demeurent, quelle que soit la finalité poursuivie par leur auteur, des infractions devant être sanctionnées.

536. Les limites de la protection : le lanceur d’alerte lui-même impliqué dans les faits. Il faut rappeler que les exclusions ou limitations de responsabilité disciplinaire (interdiction des représailles), pénale et civile ne couvrent que l’acte de dénonciation et, dans une mesure plus restreinte, l’obtention de l’information. Elles ne protègent en aucune façon contre les infractions dénoncées que le lanceur d’alerte a lui-même commises, notamment lorsqu’il a pris part, à quelque titre que ce soit, aux faits de corruption, de trafic d’influence ou à d’autres infractions similaires. Celui qui a participé à l’infraction peut être conduit à agir ainsi pour des raisons diverses : le remords, la crainte d’être découvert le premier par d’autres voies, ou l’espoir d’obtenir, en dénonçant lui-même les faits, un traitement plus clément. Rien dans la loi de 2023 ne prévoit cependant un mécanisme d’exonération ou d’atténuation en faveur de l’auto-dénonciateur, à la différence de ce que connaissent d’autres branches du droit (→ 511).

Sur le plan disciplinaire, le lanceur d’alerte ayant participé aux faits dénoncés reste ainsi pleinement sanctionnable. Le fait, pour un employeur, de sanctionner un salarié qui a dénoncé un cas de corruption auquel il a lui-même pris part ne constitue, à notre sens, pas des « représailles » au sens de la loi. Rien n’empêche cependant l’employeur de se montrer clément à l’égard d’un salarié qui, en dénonçant spontanément des faits auxquels il a été mêlé, a permis à l’entreprise de découvrir et de faire cesser une pratique de corruption ; un juge du travail, saisi d’une contestation relative à la sanction infligée, en tiendrait très certainement compte également dans l’appréciation de la proportionnalité de la mesure disciplinaire.

Il nous semble même qu’une entreprise pourrait utilement prévoir, dans son propre régime disciplinaire ou sa politique de conformité anti-corruption, un engagement de clémence en faveur de ceux qui dénoncent spontanément une infraction à laquelle ils ont eux-mêmes participé, en délimitant soigneusement les cas et les conditions de cette clémence. Une telle politique interne pourrait présenter l’avantage d’inciter des personnes impliquées, qui hésiteraient autrement à se dévoiler par crainte d’une sanction certaine, à porter les faits à la connaissance de l’entreprise, favorisant ainsi une détection plus précoce des pratiques de corruption internes.

Sur le plan pénal, nous avons vu que l’auto-dénonciation ne bénéficie pas de la protection de la loi de 2023, mais elle peut néanmoins être prise en compte par le juge répressif au stade de l’appréciation de la peine, à titre de circonstance atténuante tenant à l’attitude du prévenu postérieure aux faits. (→ 300) Nous avons également relevé que la formulation très large retenue par la plupart des infractions de corruption et assimilées, qui sont le plus souvent consommées dès la simple sollicitation, l’offre ou l’acceptation d’un avantage indu, laisse peu de place à un désistement volontaire de la tentative susceptible d’exempter son auteur de toute sanction (→ 138).

537. Règles spécifiques du Code du travail. Des règles spécifiques aux salariés, introduites en 2011³⁷, viennent se superposer à cette protection générale des lanceurs d’alerte³⁸. Ce régime figure aux articles L. 271-1 et L. 271-2 du Code du travail.

La loi interdit toute représailles à l’encontre du salarié en raison de ses protestations ou de son refus opposés à un fait qu’il considère, de bonne foi³⁹, comme constitutif de prise illégale d’intérêts, de corruption ou de trafic d’influence (au sens des articles 245 à 252, 310 et 310-1 du Code pénal), que cette infraction soit le fait de son employeur, d’un supérieur hiérarchique, de collègues de travail, ou même de personnes extérieures en relation avec l’employeur. Elle étend cette protection au salarié qui a signalé un tel fait à un supérieur hiérarchique ou aux autorités compétentes, ou qui en a simplement témoigné.

Ce régime présente, par rapport à la loi de 2023, deux traits particulièrement adaptés à la matière de la corruption. D’une part, il ne limite pas les destinataires du signalement à une liste d’autorités déterminées : la notion d’ « autorité » devrait couvrir une dénonciation directe à la police ou au parquet. D’autre part, il protège non seulement celui qui dénonce activement, mais aussi celui qui se borne à protester ou à refuser de prendre part au fait qu’il estime constitutif de corruption.

Par contre, n’est pas protégé celui qui dénonce d’autres infractions, fussent-elles similaires. La protection a par exemple été refusée à un salarié qui avait dénoncé le fait que le dirigeant bénéficiait d’avantages de la part de la société, faits pouvant constituer un abus de biens social ou un blanchiment ; pour les juges, « faits signalés (…) n’ont pas du tout l’apparence de faits pouvant être considérés » comme corruption⁴⁰.

Toute stipulation contractuelle ou tout acte contraire à ces dispositions, notamment toute résiliation du contrat de travail prise en violation de celles-ci, est frappé de nullité de plein droit (art. L. 271-1 (3)).

Le salarié dispose, pour faire valoir cette nullité, d’un délai de quinze jours à compter de la notification de la résiliation, et doit saisir, par simple requête, le président de la juridiction du travail, qui statue d’urgence, les parties entendues ou dûment convoquées, pour constater la nullité et ordonner le maintien ou, le cas échéant, la réintégration du salarié (art. L. 271-1 (4)).

À défaut d’opter pour la nullité, le salarié conserve la faculté d’agir en réparation de la résiliation abusive de son contrat de travail sur le fondement du droit commun du licenciement abusif⁴¹ (art. L. 271-1 (7)).

Enfin, l’article L. 271-2 organise, comme la loi de 2023, un allègement de la charge de la preuve : dès lors que le salarié établit, devant une juridiction ou une autre instance compétente, des faits permettant de présumer qu’il a été victime de représailles prohibées, il incombe à l’employeur de prouver que ces faits sont justifiés par d’autres éléments objectifs.

538. Régime parallèle des fonctionnaires. Le statut des fonctionnaires⁴⁶ précise qu’aucun fonctionnaire ne peut faire l’objet de représailles soit pour avoir témoigné des agissements définis aux articles 245 à 252, 310 et 310-1 du Code pénal, soit pour les avoir relatés. Toute disposition ou tout acte contraire aux deux paragraphes qui précèdent, et notamment toute sanction disciplinaire en violation de ces dispositions, est nul de plein droit.

539. Autres conditions et limites de la protection. Au-delà des régimes propres à la loi de 2023 et à la jurisprudence de Strasbourg, plusieurs questions transversales se posent, dont les réponses ne sont pas toujours clairement arrêtées et qui appellent, dans bien des cas, une appréciation au cas par cas. La protection du lanceur d’alerte n’est pas une carte blanche pour toutes sortes de révélations et dénonciations. Trois d’entre elles méritent une attention particulière dans une perspective de lutte contre la corruption.

(a) Le caractère désintéressé. La jurisprudence de la CourEDH accorde une place importante à la motivation du lanceur d’alerte, qui doit en principe être désintéressée et de bonne foi ; c’est l’un des éléments classiquement mis dans la balance depuis l’arrêt Guja. Dans cette affaire déjà, la Cour avait souligné qu’aucun élément ne permettait de penser que le requérant était motivé par le désir de tirer un avantage personnel de son acte.

Ce critère du désintéressement fait pourtant totalement défaut dans la loi de 2023, qui exige seulement, pour la protection du lanceur d’alerte, qu’il ait eu des motifs raisonnables de croire à la véracité des informations signalées et à leur inclusion dans le champ d’application de la loi, sans jamais exiger qu’il agisse dans un but désintéressé (la motivation est en principe indifférente⁴⁷). Il en résulte qu’un salarié peut, en principe, dénoncer une violation de la loi dont il est lui-même victime et dans laquelle il poursuit un intérêt personnel, sans perdre le bénéfice de la protection légale. Cette question se pose surtout, en pratique, pour les salariés qui dénoncent des violations touchant au droit du travail proprement dit, où l’intérêt personnel du dénonciateur est souvent immédiatement perceptible. Elle nous semble en revanche peu présente dans le contexte spécifique de la corruption, où le lanceur d’alerte, sauf hypothèse particulière (par exemple un candidat évincé d’un marché), n’est en règle générale pas lui-même la victime directe du pacte corruptif qu’il dénonce.

Cette question de l’intérêt personnel en soulève une autre, plus sensible : celle de la promesse de rémunération. La pratique consistant à inciter financièrement les lanceurs d’alerte, en particulier pour la dénonciation de la fraude fiscale, est très présente dans la culture anglo-saxonne (on songe notamment aux programmes de récompense de l’administration fiscale américaine). Cette logique est en revanche largement étrangère à l’approche européenne, qui voit dans le fait de lancer l’alerte un acte par nature désintéressé, s’inscrivant dans l’exercice d’une liberté fondamentale plutôt que dans une logique mercantile. La jurisprudence strasbourgeoise semble présupposer ce désintéressement : celui qui agit dans le but de gagner de l’argent n’exerce en principe pas, ou en tout cas dans une moindre mesure, sa liberté d’expression au sens où l’entend la Cour, et sera d’autant moins crédible à invoquer cette protection que l’appât du gain paraîtra avoir guidé sa démarche. La loi luxembourgeoise de 2023, quant à elle, n’interdit pas expressément qu’une rémunération soit promise à un lanceur d’alerte, mais elle ne l’organise pas davantage.

(b) Le choix des canaux. La jurisprudence de Strasbourg raisonne en termes de proportionnalité : la divulgation publique ne doit en principe intervenir qu’en dernier ressort, après épuisement, ou constat de l’inefficacité, des canaux internes puis externes disponibles, mais il ne s’agit là encore que d’un des éléments à mettre dans la balance, non d’une condition absolue et automatique. La directive et la loi de transposition ont cherché à transcrire ce principe de proportionnalité en des critères un peu plus tangibles, quoique encore relativement vagues, pour déterminer sous quelles conditions un signalement externe, voire une divulgation publique, sont possibles (→ 529). Le fait de ne pas respecter cette hiérarchie, sans pouvoir se prévaloir de l’une de ces conditions, pourrait faire perdre au lanceur d’alerte le bénéfice de la protection légale, de la même manière qu’un choix de canal jugé disproportionné par le juge peut, dans la logique de la CEDH, faire pencher la balance en défaveur du lanceur d’alerte.

(c) La nécessité. Un troisième critère, transversal aux deux logiques, est celui de la nécessité de la divulgation, qui se pose notamment lorsque les faits dénoncés sont déjà publics ou déjà connus. Dans cette hypothèse, la protection est plus difficile à justifier sous l’angle de l’intérêt public à l’information, puisque la divulgation supplémentaire n’apporte, par hypothèse, rien de nouveau au débat déjà engagé. Sous l’angle plus personnel de la situation du lanceur d’alerte, le fait qu’un tiers ait déjà exercé sa liberté d’expression sur le même sujet n’implique cependant pas nécessairement que l’intéressé ne puisse plus, à son tour, exercer la sienne : il existe ici une question d’appréciation largement subjective, tenant à la connaissance qu’avait effectivement le lanceur d’alerte, au moment d’agir, du caractère déjà public ou déjà dénoncé des faits en cause.

Le critère de nécessité renvoie également à l’ampleur de la révélation faite, par exemple au nombre de documents transmis aux autorités ou à la presse : plus la divulgation est massive, moins elle paraît nécessaire au regard du but poursuivi, et plus le juge sera enclin à considérer qu’elle a excédé ce qui était strictement utile pour révéler la violation. 

Ces questions s’étaient précisément posées dans l’affaire Luxleaks s’agissant du second lanceur d’alerte, Raphaël Halet, qui avait transmis au journaliste seize documents, dont quatorze déclarations fiscales de sociétés multinationales, sans que ces documents n’aient, selon les juridictions luxembourgeoises, apporté d’information essentielle, nouvelle et jusque-là inconnue, ni véritablement nourri le débat déjà engagé sur les pratiques fiscales luxembourgeoises depuis les premières révélations d’Antoine Deltour. La Grande Chambre de la CourEDH a finalement tranché en faveur de M. Halet, en jugeant que le simple fait qu’un débat public sur les pratiques fiscales soit déjà en cours au moment de la divulgation litigieuse ne suffisait pas, à lui seul, à exclure que l’information supplémentaire ainsi révélée puisse encore présenter un intérêt public, compte tenu de la controverse déjà suscitée en Europe sur la fiscalité des entreprises et de l’intérêt légitime du public à en être informé plus avant. La Cour a ainsi consacré une lecture plus souple du critère de nécessité que celle retenue par les juridictions internes.

Dans le domaine de la corruption, il est fréquent qu’un premier signalement, une première enquête ou un premier scandale médiatique ne révèle qu’une partie des pratiques en cause au sein d’une entreprise ou d’un secteur donné. Un second lanceur d’alerte qui viendrait, après coup, apporter des éléments complémentaires sur le même réseau ou la même pratique de corruption ne devrait donc pas se voir automatiquement dénier la protection légale au seul motif que le sujet est déjà connu du public, pour autant que sa contribution permette d’objectiver, d’étayer ou d’étendre utilement la connaissance déjà acquise des pratiques dénoncées.

540. Une protection cumulée. Au vu de ce qui précède, il apparaît que coexistent, en faveur du lanceur d’alerte, plusieurs régimes de protection distincts : le régime prétorien fondé sur l’article 10 de la ConvEDH, la loi de 2023, et, pour les salariés, le régime spécifique organisé par le Code du travail.

Ces régimes sont en principe cumulatifs. Le lanceur d’alerte peut invoquer l’un ou l’autre selon ce qui lui paraît le plus favorable dans les circonstances de son dossier, et rien ne s’oppose, à notre sens, à ce qu’il combine des éléments tirés de ces différents textes pour se défendre contre des représailles ou contre la mise en cause de sa responsabilité civile ou pénale. Certaines demandes doivent cependant nécessairement reposer sur un fondement textuel spécifique : ainsi la nullité d’un licenciement, suppose l’invocation de la disposition légale qui l’organise expressément, la jurisprudence de la CEDH ne créant pas, à elle seule, une action en nullité de droit interne.

Il faut en effet rappeler que la loi de 2023 est, au final, assez lacunaire, et que ces lacunes peuvent utilement être comblées par le recours à la protection jurisprudentielle, dont le champ d’application est sensiblement plus large sur plusieurs points.

• Certains secrets sont exclus du champ d’application de la loi de 2023 , mais rien n’empêche que la liberté d’expression protégée par l’article 10 de la Convention permette, le cas échéant, de passer outre ces mêmes secrets si la mise en balance des intérêts en présence le justifie.

• La loi ne couvre que les faits professionnels appris dans un contexte professionnel, comme nous l’avons vu à propos de la double exigence cumulative qui en résulte (→ 526) ; la jurisprudence fondée sur l’article 10 de la Convention ne connaît pas une telle restriction et peut, en théorie, s’appliquer à toute divulgation d’intérêt public, indépendamment du contexte, professionnel ou non, dans lequel l’information a été recueillie.

• La loi limite l’exemption pénale à la divulgation de l’information et ne couvre pas les infractions commises pour l’obtenir, sauf à démontrer que cette obtention ne constitue pas une infraction pénale autonome. La jurisprudence peut, elle, aller plus loin : l’affaire Luxleaks en est une illustration, puisque le vol des documents faisait partie des infractions pour lesquelles Antoine Deltour a finalement été acquitté par la Cour d’appel.

• De même, la loi de 2023 ne protège que la dénonciation d’une « violation », c’est-à-dire d’un acte illicite ou contraire à l’objet ou à la finalité d’une règle de droit, tandis que la jurisprudence est plus large : la CourEDH protège en principe tout sujet d’intérêt public ou de débat public, y compris, du moins depuis l’arrêt Halet, des informations qui, sans révéler un acte illégal ou même un comportement répréhensible, touchent au fonctionnement des autorités ou des acteurs économiques dans une société démocratique et suscitent une controverse quant à l’existence ou non d’une atteinte à l’intérêt public. Dans l’affaire Luxleaks les accords fiscaux préalables (rulings) divulgués n’étaient en effet pas illégaux en eux-mêmes, mais leur révélation a nourri un débat de société sur l’équité fiscale des multinationales.

• Enfin, la loi de 2023 ne couvre pas une dénonciation faite directement à la police ou au parquet, alors même que nous avons vu que cette voie est, en matière de corruption et d’infractions gravitant autour de la corruption, la plus naturelle et souvent la plus efficace. La protection prétorienne (et le Code du travail), en revanche, prendra sans difficulté le lanceur d’alerte sous son aile dans cette hypothèse.

Il résulte de l’ensemble de ces constats une protection multiple et, à certains égards, redondante en faveur des lanceurs d’alerte. Cette superposition de régimes n’est cependant pas exempte d’inconvénients. Combinée aux critères de proportionnalité, de nécessité et de désintéressement discutés plus haut, tous éminemment casuistiques et appréciés au cas par cas par le juge, elle engendre une incertitude non négligeable, tant pour la personne qui ressent le besoin de lancer l’alerte, qui doit arbitrer entre plusieurs fondements juridiques aux conditions et aux effets sensiblement différents sans toujours disposer, au moment d’agir, des conseils juridiques nécessaires pour opérer ce choix, que pour l’entreprise qui cherche à défendre ses intérêts, laquelle ne peut se contenter de vérifier la seule conformité de sa réaction avec la loi de 2023 sans s’exposer, malgré cette conformité apparente, à une condamnation fondée sur les principes plus protecteurs dégagés par la jurisprudence de Strasbourg.

541. Alertes abusives et mauvaise foi. Rappelons que la bonne foi du lanceur d’alerte est présumée, et c’est la mauvaise foi qui doit être démontrée par celui qui l’invoque, généralement l’employeur ou la personne mise en cause. Le simple fait que le lanceur d’alerte se soit trompé, que les faits dénoncés se révèlent en définitive inexacts ou insuffisamment établis, ne suffit pas à caractériser cette mauvaise foi : la loi exige seulement qu’il ait eu des motifs raisonnables de croire que les informations signalées étaient véridiques au moment du signalement.

La preuve de la mauvaise foi est en pratique difficile à rapporter. Il faudrait, pour l’essentiel, démontrer que le lanceur d’alerte a agi en pleine connaissance de la fausseté des informations qu’il dénonçait, ou qu’il était animé d’une intention spécifique de nuire. Le fait qu’une personne exposée à un risque de sanction disciplinaire choisisse, à ce moment précis, de se réfugier derrière le statut de lanceur d’alerte pourrait, dans certaines circonstances, contribuer à caractériser une telle mauvaise foi ; mais dans cette hypothèse, ce n’est en règle générale pas un fait de corruption purement fictif que l’intéressé choisira de dénoncer, la matière se prêtant moins facilement à l’invention pure que d’autres griefs (p.ex. un harcèlement, une discrimination).

Une fois établie, la mauvaise foi fait perdre au lanceur d’alerte l’ensemble de la protection dont il aurait pu se prévaloir. Toutes les actions redeviennent alors ouvertes contre lui : mesures disciplinaires, responsabilité civile et responsabilité pénale. L’article 27 (6) de la loi précise en outre que la responsabilité civile de l’auteur d’un faux signalement sera engagée, l’entité ayant subi des dommages pouvant en demander réparation devant la juridiction compétente. Il convient cependant de distinguer clairement deux fondements de responsabilité, qu’il ne faut pas confondre.

• Responsabilité du fait de la dénonciation elle-même. Le lanceur d’alerte de mauvaise foi ne bénéficie plus de l’exclusion de responsabilité civile. S’il a agi en violation d’une obligation de confidentialité, il est donc redevable du préjudice causé par la dénonciation elle-même, qu’il s’agisse de l’atteinte à l’image de la société visée, de la perte de revenus ou de partenaires commerciaux, ou de tout autre dommage consécutif. On devrait également pouvoir lui imputer, à ce titre, l’ensemble des frais exposés par l’entreprise pour mener l’enquête interne rendue nécessaire par son signalement et pour se faire assister de conseils dans ce cadre.

• Responsabilité du fait des imputations abusives. Un tel comportement peut également constituer une dénonciation calomnieuse au sens de l’article 445 du Code pénal, ou, selon les circonstances, d’autres infractions telles que la calomnie ou la diffamation de droit commun⁴⁸.

Mais face à la difficulté réelle de prouver la mauvaise foi, de telles actions demeurent toujours risquées pour l’entreprise ou pour la personne mise en cause qui les engage : l’échec de la preuve expose non seulement à un rejet de la demande, mais peut aussi renforcer la position du lanceur d’alerte dont la bonne foi se trouverait ainsi confirmée judiciairement. En outre, les procès qui en résultent peuvent connaître une publicité, voire une couverture médiatique, que l’entreprise préférerait éviter, y compris lorsqu’elle obtient finalement gain de cause : le procès rouvre le débat sur les faits dénoncés, ravive l’attention publique sur la (fausse) accusation de corruption sous-jacente, et peut donner au lanceur d’alerte une tribune supplémentaire. Enfin, l’action intentée peut inciter le lanceur d’alerte à renchérir dans sa communication, à s’instituer davantage en victime, voire à en profiter pour nuire plus largement à l’image de l’entreprise. Le fait de gagner en définitive un tel procès constitue souvent, dans ces circonstances, une faible consolation au regard du coût réputationnel supporté entre-temps. C’est ce que l’on constate en pratique : une entreprise, même confrontée à une dénonciation manifestement abusive, ne choisit pas nécessairement d’agir en justice contre son auteur, préférant parfois absorber le coût du signalement infondé plutôt que de s’exposer aux inconvénients d’une action judiciaire médiatisée.

542 à 549. Réservés.