Directive lanceurs d'alerte : guide conformité et documentation 2026

Avertissement réglementaire : cet article est fourni à titre informatif. Les obligations décrites relèvent de la Directive (UE) 2019/1937 et de la Loi n° 2022-401 du 21 mars 2022. Consultez un juriste pour votre situation spécifique.

La protection des lanceurs d'alerte est passée de principe moral à obligation légale contraignante. Depuis le 1er septembre 2022, toute entreprise ou association d'au moins 50 salariés en France doit disposer d'un canal interne de signalement sécurisé — sous peine de sanctions pénales. Cet article détaille les obligations documentaires concrètes, les délais imposés par la loi, et la manière dont une gestion documentaire rigoureuse protège à la fois l'entreprise et le lanceur d'alerte.

Champ d'application : qui est concerné par la Directive 2019/1937 ?

La Directive (UE) 2019/1937 s'applique à toutes les entités juridiques du secteur privé et public dès qu'elles atteignent un certain seuil d'effectif. En France, la transposition opérée par la Loi n° 2022-401 du 21 mars 2022 précise les seuils suivants :

Les secteurs financiers ont des obligations étendues. L'ACPR (Autorité de contrôle prudentiel et de résolution) exige que les établissements de crédit et les entreprises d'assurance maintiennent des procédures de signalement interne conformes à la fois à la Directive et aux guidelines sectorielles, quel que soit l'effectif.

Les prestataires de services numériques, les cabinets d'avocats, les études notariales et les experts-comptables sont également visés dès le seuil de 50 salariés. Les entités exclues du champ sont limitées : auto-entrepreneurs sans salarié, associations sans budget dédié, et certaines entités étatiques relevant d'un régime spécial.

Obligations documentaires : les quatre piliers

Un programme de conformité lanceurs d'alerte repose sur quatre obligations documentaires que tout service conformité doit maîtriser.

1. Le registre des signalements

La loi exige la tenue d'un registre sécurisé de chaque signalement reçu. Ce registre doit consigner la date de réception, la nature du signalement, les mesures de traitement prises, et la date de clôture. Le Défenseur des droits recommande une architecture à accès restreint, journalisée et horodatée.

La durée minimale de conservation est de trois ans après la clôture de la procédure (Article 20 de la Loi 2022-401). Pour les signalements impliquant des procédures judiciaires ou disciplinaires en cours, le délai est prorogé jusqu'à l'issue définitive de ces procédures.

2. La politique de confidentialité interne

La confidentialité de l'identité du lanceur d'alerte est absolue sous peine de sanctions pénales. L'Article 9 de la Loi 2022-401 dispose qu'est puni de deux ans d'emprisonnement et 30 000 € d'amende le fait de révéler l'identité du lanceur d'alerte. Cette protection s'étend aux personnes impliquées dans le traitement du signalement.

La politique documentaire doit préciser :

• La liste nominative des personnes habilitées à accéder aux signalements
• Les conditions de pseudonymisation des données identifiantes
• Le protocole de destruction sécurisée des données après expiration de la période de conservation
• Les mesures techniques : chiffrement, authentification forte, journaux d'accès

3. Les délais de traitement et accusés de réception

La Directive 2019/1937 (Article 9) impose des délais stricts, repris dans la loi française :

Chaque accusé de réception et chaque communication de suivi doit être archivée avec horodatage. Une plateforme de gestion documentaire traçable — comme celle proposée par CheckFile — simplifie cette chaîne de traçabilité en générant automatiquement des journaux d'événements auditables.

4. L'analyse d'impact relative à la protection des données (AIPD)

La CNIL considère que les dispositifs de signalement interne constituent un traitement à risque élevé au sens de l'Article 35 du RGPD. Une AIPD est donc obligatoire avant la mise en place du canal.

L'AIPD doit documenter : base légale du traitement, catégories de données traitées (identité du lanceur d'alerte, données des personnes mises en cause), durées de conservation, mesures de sécurité techniques et organisationnelles, et transferts éventuels hors UE.

Les canaux de signalement : interne d'abord, externe ensuite

La Directive 2019/1937 instaure une hiérarchie des canaux. Le lanceur d'alerte doit en principe commencer par le canal interne, sauf s'il a des motifs raisonnables de penser que cela serait inefficace ou risqué.

Canal interne : géré par un responsable désigné (compliance officer, DRH, ou tiers externe mandaté). Il peut être oral (téléphone, entretien) ou écrit (formulaire sécurisé, e-mail dédié). Les deux options doivent être proposées selon la Recommandation CNIL n° 2022-118.

Canal externe : le Défenseur des droits est l'autorité nationale désignée en France. Sectoriellement, les signalements financiers peuvent transiter par l'AMF (Autorité des marchés financiers) ou l'ACPR.

Divulgation publique : réservée aux cas extrêmes où les canaux internes et externes ont échoué, ou en cas de danger imminent.

Une documentation claire de la hiérarchie des canaux dans la politique interne protège l'entreprise en cas de litige sur le choix du canal par le lanceur d'alerte.

Vérification d'identité et protection documentaire

Les entreprises se posent souvent cette question : peut-on exiger que le lanceur d'alerte s'identifie ? La réponse est nuancée.

La directive européenne autorise les signalements anonymes mais ne les oblige pas. En France, la loi 2022-401 protège les signalements anonymes si l'entreprise choisit de les traiter. En pratique, un canal permettant à la fois les signalements identifiés et anonymes est recommandé.

Lorsqu'une identification est fournie, la vérification documentaire doit être proportionnée : vérifier l'appartenance à l'organisation (badge salarié, e-mail professionnel) sans demander de pièce d'identité supplémentaire qui pourrait décourager le signalement. Pour les tiers (fournisseurs, sous-traitants) qui souhaitent signaler, la vérification de leur relation contractuelle avec l'entreprise peut nécessiter un contrôle documentaire standardisé.

La plateforme CheckFile prend en charge plus de 3 200 types de documents dans 32 juridictions, permettant une vérification fluide des justificatifs relationnels sans friction excessive pour le déclarant.

Sanctions : ce que risquent les entreprises non conformes

L'absence de canal interne ou son dysfonctionnement expose à des sanctions cumulées.

Sanctions pénales : représailles contre un lanceur d'alerte (licenciement abusif, discrimination) = 1 an d'emprisonnement et 15 000 € d'amende (Article 10-1 du Code pénal). Révélation de l'identité = 2 ans et 30 000 €.

Sanctions administratives : selon le secteur, l'ACPR peut prononcer des sanctions disciplinaires et pécuniaires pour absence de dispositif interne conforme. Le Défenseur des droits peut saisir le parquet en cas de violation grave.

Risque de réputation : les affaires médiatisées de lanceurs d'alerte mal traités (Volkswagen, UBS, Boeing) illustrent l'impact durable sur la valeur boursière et les relations client.

Pour les groupes opérant dans plusieurs pays de l'UE, la directive harmonise les exigences minimales mais chaque État membre peut aller plus loin. Une approche de gouvernance, risques et conformité structurée intègre les variantes nationales dans un framework documentaire unifié.

Bonnes pratiques de gestion documentaire

Les retours d'expérience de compliance officers (forums spécialisés comme Compliance et Risques, MEDEF compliance) convergent sur cinq recommandations opérationnelles :

1. Automatiser les accusés de réception : un workflow documentaire déclenche automatiquement l'envoi de l'accusé dans les 7 jours, journalise l'envoi et archive la preuve.
2. Séparer les droits d'accès : le référent signalement n'accède qu'aux dossiers actifs ; l'archiviste n'accède qu'aux dossiers clos. Aucun profil ne voit l'ensemble des données.
3. Tester le canal annuellement : un test de fonctionnalité documenté (scénario fictif traité de bout en bout) démontre la conformité opérationnelle aux auditeurs externes.
4. Former les référents : une formation documentée des personnes désignées (contenu, date, participants) constitue une preuve de diligence en cas d'enquête.
5. Inclure le dispositif dans la checklist d'audit de conformité : intégrer la revue annuelle du dispositif lanceurs d'alerte dans le plan d'audit interne.

Lien avec l'Agence Française Anticorruption (AFA)

Les entreprises de plus de 500 salariés réalisant 100 M€ de CA sont également soumises à la Loi Sapin II (Loi n° 2016-1691), qui exige un dispositif d'alerte spécifique à la corruption. L'AFA publie des recommandations détaillées et contrôle la mise en œuvre.

As of June 2026, les deux dispositifs sont complémentaires : le canal Directive 2019/1937 couvre toutes les violations du droit de l'UE (fraude, LCB-FT, concurrence, environnement), tandis que le canal Sapin II est spécifique à la corruption et au trafic d'influence. Une architecture documentaire unifiée évite la confusion entre les deux canaux et simplifie les audits. Découvrez notre guide de vérification documentaire pour structurer votre programme complet.

Pour les entités financières, la déclaration de soupçon auprès de Tracfin reste distincte du dispositif lanceurs d'alerte : ces deux obligations documentaires ne doivent pas être confondues dans les procédures internes.

Questions fréquemment posées

Une PME de 50 salariés est-elle vraiment obligée de mettre en place un canal de signalement ?

Oui. Depuis le 1er décembre 2023, toute entreprise ou association d'au moins 50 salariés est tenue de disposer d'un canal interne de signalement conforme à la Loi 2022-401. L'absence de canal expose l'entreprise à des sanctions pénales en cas de représailles contre un lanceur d'alerte. Les micro-entreprises (moins de 11 salariés) ne sont pas concernées.

Peut-on externaliser la gestion des signalements à un tiers ?

Oui. La loi autorise les entreprises de 50 à 249 salariés à mutualiser le traitement avec d'autres entreprises ou à confier la réception des signalements à un tiers (cabinet d'avocats, prestataire spécialisé). L'entreprise reste néanmoins responsable de la conformité du dispositif et doit conclure un contrat de sous-traitance de données conforme au RGPD.

Combien de temps conserver les dossiers de signalement ?

La durée légale est de trois ans après la clôture de la procédure. Si une procédure judiciaire ou disciplinaire est en cours à la date de clôture, la conservation est prolongée jusqu'à l'issue définitive. La politique de conservation doit être documentée dans le registre de traitement RGPD de l'entreprise.

Que faire si un signalement est manifestement infondé ?

Le responsable du signalement doit notifier le lanceur d'alerte de la décision de non-suite dans le délai de 3 mois, en indiquant les motifs (sans révéler d'informations confidentielles sur d'éventuelles personnes mises en cause). Le dossier est ensuite archivé selon les durées légales, même en cas de non-suite.

Le dispositif lanceurs d'alerte est-il obligatoire pour les associations ?

Les associations et fondations d'au moins 50 salariés sont soumises aux mêmes obligations que les entreprises privées. Les associations cultuelles et certaines entités publiques bénéficient de régimes spéciaux. L'Agence Française Anticorruption publie des guides adaptés aux différents types d'entités.