Introduction

Champ d'application

Programme de conformité

Protection des lanceurs d'alerte 

Contrôle et sanctions

Règles issues de la loi Sapin II

Droit européen 

Droit français

Règles issues du droit de la concurrence

Sapin II/Concurrence

Champ d’application ratione personae

Champ d’application ratione materiae

Portée du plan

Elaboration du plan

Mesures comprises dans le plan

Inclusion dans le rapport de gestion

Plan de vigilance

Injonction

Responsabilité civile

Sanctions

Devoir de vigilance

Programme RSE

Reporting

Communication

Reporting et communication

Sanctions judiciaires

Risque de réputation, stratégique et de déstabilisation

Code Middlenext 

Corpus IFA

Code AFEP - MEDEF 

Typologie 

Principes de gouvernance

Principes intégrant les valeurs RSE

Principes

Appliquer ou expliquer

Force obligatoire

Codes de bonne conduite privés

Lutte contre la corruption, Devoir de vigilance, RSE, toutes les nouvelles obligations des entreprises en la matière

Droit de la compliance

Le dispositif d’alerte peut prévoir que l’auteur du signalement est tenu d'en référer prioritairement à son supérieur hiérarchique. Ce dernier doit pouvoir, le cas échéant, l’orienter et le conseiller, sauf s’il est lui-même l’auteur du comportement en cause . L’entreprise précise le rôle du supérieur hiérarchique et veille à la formation des personnes en charge du traitement de l’alerte au respec …

Traitement des alertes

MUNOZ-PONS, La pratique de l'avocat en matière d'enquête interne, D. Avocats 2020, 242 ; TOLLET, Quel rôle pour l'avocat post-enquête interne ?, Ibid., 249 ; FEUGERE, Les suites des alertes : observations sur les enquêtes internes, Cah. dr. ent. 2023, Dossier 11 ; MARAIS, Enquête interne et gestion de la preuve : mode d'emploi, Rev. int. compliance et éthique des Affaires 2023, n° 240.

Le dispositif d’alerte peut prévoir que l’auteur du signalement est tenu d'en référer prioritairement à son supérieur hiérarchique. Ce dernier doit pouvoir, le cas échéant, l’orienter et le conseiller, sauf s’il est lui-même l’auteur du comportement en cause . L’entreprise précise le rôle du supérieur hiérarchique et veille à la formation des personnes en charge du traitement de l’alerte au respect de la confidentialité de son traitement et à l’absence de tout conflit d’intérêts. Elle forme également les supérieurs hiérarchiques.

La procédure d’alerte interne doit préciser les différentes étapes à suivre pour effectuer un signalement, les modalités de traitement par celui qui en est destinataire, les droits des personnes concernées, et notamment leur protection, ainsi que les mesures de sécurité et de conservation des données à caractère personnel . Elle désigne, en particulier, le référent fonctionnellement désigné pour recueillir les alertes au sein de l’entreprise et, s’il est différent, le référent en charge de leur traitement. Doivent également être mentionnées les dispositions prises pour garantir la confidentialité de l’identité de l’auteur du signalement, des faits objet du signalement et des personnes visées par le signalement, y compris lorsque des vérifications ou le traitement du signalement nécessitent la communication avec des tiers. La violation de la confidentialité doit être susceptible d’entraîner des sanctions disciplinaires . Toutefois, les alertes doivent aussi pouvoir être adressées de manière anonyme et, à ce titre, le dispositif doit permettre un système d'échanges avec l’auteur de l’alerte qui préserve son anonymat .

Le dispositif d'alerte interne doit ensuite prévoir les modalités de traitement des signalements par celui qui en est destinataire. A ce titre, doivent être précisées, les modalités d'accès et d'échange d'informations avec l'auteur de l'alerte, c'est-à-dire les canaux prévus pour effectuer l'alerte, ainsi que les conditions de transmission des informations ou documents. L'alerte peut être déposée via une adresse électronique dédiée, un logiciel de gestion, voire une plateforme éthique spécifique. Elle peut aussi emprunter la voie hiérarchique. Quel que soit le canal choisi, celui-ci doit être aisément accessible aux utilisateurs. Il doit également préciser les dispositions prises pour informer, sans délai, l’auteur du signalement de la réception de son alerte, du délai nécessaire à l’examen de sa recevabilité, ainsi que de la clôture de la procédure.

Lorsqu’un signalement révèle une potentielle atteinte à la probité, une enquête interne doit être diligentée. La procédure d’enquête interne doit être définie et formalisée préalablement à son lancement, tout en étant vigilant tant sur le choix des acteurs de l’enquête que sur son déroulé. Cette procédure doit prévoir, en particulier, les critères nécessaires au déclenchement d’une enquête ainsi que les modalités de sa réalisation. Les personnes chargées de mener l’enquête doivent, selon l'AFA, être soumises à de très strictes obligations de confidentialité. En cas d’externalisation de cette fonction, la conformité des services fournis dans ce cadre par le prestataire sélectionné doit être soumise à des contrôles réguliers au regard notamment du respect des règles de confidentialité et de protection des données. En outre, le dispositif d'alerte doit préciser les conditions de transmission des informations et documents professionnels, communiqués par l'auteur de l'alerte et susceptibles d'être exploités. L'AFA invite l’entreprise à faire preuve de vigilance quant à la réunion de preuves ou documents, notamment lorsque les personnes mises en cause par l’alerte peuvent détruire des données ou documents les incriminant .

L'enquête interne est diligentée par une ou plusieurs personnes qualifiées, désignées par l’instance dirigeante de l’entreprise. Celle-ci doit être tenue informée des enquêtes ouvertes relatives aux situations les plus sensibles, à l’exception de celles où elle est elle-même mise en cause. À la suite de l’enquête, un rapport consigne l’ensemble des faits et preuves recueillies, à charge et à décharge, de nature à établir ou à lever le soupçon, ainsi que la méthode suivie et se prononce sur la suite à donner au signalement. Si les soupçons apparaissent suffisamment étayés, le rapport doit être communiqué à l’instance dirigeante ou à l’organe de contrôle lorsque cette dernière est mise en cause, afin qu’elle décide des suites à donner. Lorsqu’un comportement contraire au code de conduite anticorruption est démontré, l’application des sanctions disciplinaires prévues en tel cas doit être prononcée par l’instance dirigeante ou son délégataire, sans préjudice d'une action judiciaire éventuelle.

Les signalements effectués doivent permettre d’actualiser la cartographie des risques, en respectant la confidentialité garantie par le dispositif, et d’en tirer les conséquences sur les améliorations à apporter aux éléments du dispositif de prévention et de détection de la corruption (plan de formation, code de conduite, évaluation de l’intégrité des tiers).

Dès lors que le dispositif de recueil et de gestion interne des alertes professionnelles prévu par l'article 17 de la loi Sapin II, implique un traitement de données à caractère personnel, se rapportant à une personne physique identifiée ou identifiable, notamment l’auteur du signalement et les personnes visées par l’alerte, il est nécessaire que l'entreprise s'assure de sa conformité aux dispositions du Règlement général sur la protection des données (RGPD)  et de la loi du 6 janvier 1978 “ informatique et libertés ” et que la procédure indique les dispositions prises à cet effet . Pour aider les entreprises à adapter leurs dispositifs aux règles relatives à la protection des données personnelles, la Commission nationale de l'informatique et des libertés (CNIL), a adopté un référentiel non contraignant en 2019, qu'elle a mis à jour en 2023 , qui contient des préconisations relatives, notamment, aux finalités du traitement, aux conditions de réception des alertes, à l’information des personnes concernées, à la durée de conservation des données à caractère personnel, ou aux mesures de sécurité à prévoir. 

Recommandations de l’AFA destinées à aider les personnes morales de droit public et de droit privé à prévenir et à détecter les faits de corruption, de trafic d’influence, de concussion, de prise illégale d’intérêts, de détournement de fonds publics et de favoritisme du 4 décembre 2020, JORF du 12 janvier 2021, pts 57 et 257.

Règl. 2016/679 du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, JOUE L 119 du 4 mai 2016.

L. 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, JORF du 7 janvier 1978.

Recommandations de l’AFA, pt 267. - V. aussi, pour des illustrations de contrôle par la CNIL des dispositifs mis en place par certaines entreprises, CNIL, 8 février 2018, LawLex202200001716JBJ et 5 avril 2018, LawLex202400003029JBJ.

Délibération 2023-064 du 6 juillet 2023, portant abrogation de la délibération 2019-139 du 18 juillet 2019, portant adoption d'un référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d'un dispositif d'alertes professionnelles et adoption d'un référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d'un dispositif d'alertes professionnelles, JORF du 21 juillet 2023.

Droit de la compliance

51. Traitement des alertes(1)

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

51. Traitement des alertes.css-17rnqzd{cursor:pointer;margin-left:4px;-webkit-text-decoration:underline;text-decoration:underline;}(1).css-1exptwg{z-index:1500;color:#FFFFFF;font-family:IBM Plex Sans,sans-serif,Playfair Display,serif;font-size:16px;line-height:body1.lineHeight;}

Demandez un accès gratuit au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

Les notions juridiques connexes

51. Traitement des alertes(1)

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise