Comment recueillir et traiter un signalement de lanceur d'alerte en entreprise ?

Mis à jour le 9 novembre 2026

Référents : Pascal-André Gérinier (Avocat - Fondateur), William Mak (Avocat - Fondateur)

Les entreprises d'au moins cinquante salariés doivent établir une procédure interne de recueil et de traitement des signalements, après consultation du CSE (loi Sapin II, article 8). L'auteur reçoit un accusé de réception dans les sept jours ouvrés et un retour d'information dans les trois mois (décret n° 2022-1284 du 3 octobre 2022, article 4). Son identité est confidentielle, sous peine de deux ans d'emprisonnement et de 30 000 euros d'amende (article 9), et toute représaille est nulle de plein droit (article 10-1). Le signalement n'est pas l'enquête : il appelle une vérification de sa recevabilité, puis l'évaluation de l'exactitude des allégations, en pratique par une enquête interne lorsque les faits sont graves.

À retenir

• Cinquante salariés : le seuil au-delà duquel la procédure interne est obligatoire ; en dessous, le salarié peut alerter son supérieur ou l'employeur et reste protégé.
• Sept jours ouvrés pour accuser réception, trois mois pour informer l'auteur des suites.
• Confidentialité stricte de l'identité de l'auteur, des personnes visées et des tiers ; l'identité de la personne mise en cause n'est révélée qu'une fois l'alerte établie.
• Toute mesure de représailles est nulle de plein droit, et l'obstacle au signalement est un délit.
• Le signalement n'est pas l'enquête : il peut y conduire, selon la gravité et la vraisemblance des faits, et c'est alors la rigueur de l'enquête qui permettra d'établir les faits.

Dès cinquante salariés, une procédure interne de recueil des signalements est obligatoire (article 8 de la loi Sapin II). Ce canal permet aussi de détecter tôt des faits qui appellent une intervention. Un dispositif accessible favorise leur traitement au sein de l'entreprise, sans exclure la voie externe. L'existence d'un moyen de signalement interne efficace fait partie des critères d'appréciation d'une divulgation publique (Cass. crim. 13 janvier 2026, n° 24-86.344). Le canal organise la réception des alertes et facilite leur examen.

Qui est lanceur d'alerte ?

Un lanceur d'alerte est une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général, ou sur la violation d'un engagement international, du droit de l'Union européenne, de la loi ou du règlement (loi Sapin II, article 6). Sont exclus les faits couverts par le secret de la défense nationale, le secret médical, le secret des délibérations judiciaires, le secret de l'enquête ou de l'instruction et le secret professionnel de l'avocat. Peuvent signaler par la voie interne les membres du personnel, les anciens salariés et les candidats, les actionnaires et associés, les membres des organes de direction, les collaborateurs extérieurs et occasionnels, les cocontractants et leurs sous-traitants (article 8). Le salarié qui relate ou témoigne de bonne foi d'un harcèlement bénéficie, outre l'interdiction des mesures de rétorsion et leur nullité, de l'irresponsabilité, de l'aménagement de la preuve et de la provision pour frais prévus par l'article 10-1, I et III, ainsi que des articles 12 à 13-1 de la loi Sapin II (article L. 1152-2 du code du travail).

Le canal interne : qui doit l'avoir, et comment

Dès cinquante salariés, vous devez établir une procédure interne de recueil des alertes, après consultation du CSE ou des autres instances de dialogue social (article 8, I, B, de la loi Sapin II). Un référent interne ou un tiers peut recueillir les alertes. La procédure prévoit un signalement écrit ou oral, ou les deux ; si elle admet l'oral, celui-ci peut se faire par téléphone ou par messagerie vocale et, à la demande de l'auteur, lors d'une visioconférence ou d'une rencontre physique organisée au plus tard vingt jours ouvrés après la demande (article 4 du décret du 3 octobre 2022). Informez les salariés du dispositif et de ses modalités. Les entités de moins de deux cent cinquante salariés peuvent mettre leurs procédures en commun. Une procédure commune est possible dans un groupe (article 8, I, C). Pour les grandes sociétés concernées, articulez ce canal avec le dispositif anticorruption (article 17).

Recevoir le signalement : sept jours ouvrés

La procédure informe l'auteur par écrit de la réception de son signalement dans un délai de sept jours ouvrés (décret, article 4). L'entreprise vérifie ensuite que le signalement entre dans le champ de la loi : nature des faits, qualité de l'auteur, obtention des informations dans le cadre professionnel. Elle peut demander tout complément à l'auteur, et, si elle estime que le signalement ne remplit pas les conditions, lui en indique les raisons. Pour un signalement anonyme, la vérification de la qualité de l'auteur ne s'applique pas, mais la procédure doit préciser les suites qui lui sont données ; l'auteur anonyme dont l'identité est révélée ensuite bénéficie des mêmes protections, et l'obligation de retour d'information ne lui est pas due (article 7-1). Lorsque les faits concernent une autre société du groupe, l'entreprise peut inviter l'auteur à lui adresser aussi son signalement.

Traiter : de la vérification à l'enquête

Après réception, vous vérifiez si les allégations paraissent exactes et pouvez demander à leur auteur des informations complémentaires. Si les faits paraissent vraisemblables, l'entreprise en évalue l'exactitude, au besoin par une enquête interne. Lorsque les allégations paraissent avérées, vous devez mettre en œuvre les moyens permettant de remédier aux faits signalés. L'auteur reçoit un retour écrit, dans un délai raisonnable n'excédant pas trois mois à compter de l'accusé de réception, sur les mesures envisagées ou prises et leurs motifs. Si les allégations sont inexactes, infondées ou sans objet, vous clôturez le signalement et en informez l'auteur par écrit (article 4, III, du décret du 3 octobre 2022). Le guide Comment mener une enquête interne pour harcèlement ou discrimination ? décrit la méthode de l'enquête elle-même.

Deux précautions évitent les contestations les plus fréquentes. D'abord, le référent qui reçoit l'alerte ne doit être ni concerné par les faits ni placé sous l'autorité de la personne mise en cause : la procédure désigne un suppléant ou un tiers pour ce cas. Ensuite, la personne mise en cause est informée des faits qui lui sont reprochés et de l'usage fait de ses données, sans que l'identité de l'auteur lui soit révélée, sauf consentement de celui-ci ; cette information, due en principe dans le mois, peut être différée tant qu'elle compromettrait gravement l'enquête, par exemple en cas de risque de destruction de preuves, et doit être délivrée aussitôt le risque écarté (référentiel de la CNIL sur les dispositifs d'alerte professionnelle, délibération n° 2023-064 du 6 juillet 2023). Chaque décision, de la qualification à la clôture, est datée et motivée dans un dossier à accès restreint : c'est ce dossier qui démontrera, devant le juge ou l'autorité, que l'alerte a été traitée sérieusement.

Confidentialité et données

La procédure garantit une stricte confidentialité de l'identité de l'auteur, des personnes visées, de tout tiers mentionné et des informations recueillies (article 9). Les éléments qui identifient le lanceur d'alerte ne peuvent être divulgués qu'avec son consentement, sauf à l'autorité judiciaire lorsque les personnes chargées du traitement sont tenues de dénoncer les faits. Ceux qui identifient la personne mise en cause ne peuvent l'être, sauf à l'autorité judiciaire, qu'une fois établi le caractère fondé de l'alerte. Divulguer ces éléments est puni de deux ans d'emprisonnement et de 30 000 euros d'amende. Les signalements ne sont conservés que le temps strictement nécessaire à leur traitement et à la protection des personnes, dans le respect du RGPD. En pratique, cela impose un cercle de destinataires fermé, des accès informatiques restreints et une enquête conduite par des personnes qui ne rendent compte qu'au référent et à l'organe mandant.

Protéger l'auteur : les représailles sont nulles

La protection suppose la bonne foi et l'absence de contrepartie financière directe (article 6 de la loi Sapin II). Le lanceur d'alerte n'est pas civilement responsable des dommages causés par son signalement s'il avait des motifs raisonnables de croire qu'il était nécessaire à la sauvegarde des intérêts en cause, et il bénéficie de l'irresponsabilité pénale prévue par l'article 122-9 du code pénal (article 10-1). Les représailles sont interdites : licenciement, suspension, sanction, rétrogradation, refus de promotion, mutation, baisse de salaire, évaluation négative, harcèlement, discrimination ou mise sur liste noire. Elles sont nulles de plein droit. En cas de litige, la preuve est aménagée en faveur du lanceur d'alerte et une provision pour frais d'instance peut lui être accordée (article 10-1, III). En cas de rupture du contrat consécutive à l'alerte, le salarié peut saisir le conseil de prud'hommes en référé, et un abondement de son compte personnel de formation est possible (article 12). Faire obstacle au signalement expose à un an d'emprisonnement et 15 000 euros d'amende ; une procédure abusive contre un lanceur d'alerte peut entraîner une amende civile jusqu'à 60 000 euros (article 13).

Signalement externe et divulgation publique

Le lanceur d'alerte peut aussi, après un signalement interne ou directement, saisir une autorité externe compétente, le Défenseur des droits, l'autorité judiciaire ou un organe de l'Union européenne (article 8, II). Il peut divulguer publiquement les informations si, après un signalement externe, précédé ou non d'un signalement interne, aucune mesure appropriée n'a été prise dans les délais, en cas de danger grave et imminent, ou lorsque la saisine d'une autorité l'exposerait à des représailles ou ne permettrait pas de remédier efficacement aux faits, par exemple si des preuves risquent d'être détruites (article 8, III). La chambre criminelle a jugé en janvier 2026 que le fait justificatif du lanceur d'alerte prévu par le code pénal ne s'applique pas aux poursuites en diffamation, mais que la bonne foi de celui qui divulgue, en violation des règles qui lui sont applicables, des informations confidentielles obtenues dans le cadre de son activité professionnelle s'apprécie selon les critères de la Cour européenne des droits de l'homme : l'existence d'autres moyens qu'une divulgation publique, des motifs raisonnables de croire l'information authentique, l'absence de gain personnel, et l'intérêt public mis en balance avec le dommage causé. Dans cette affaire, les juges avaient relevé que l'intéressé ne disposait d'aucun moyen de signalement efficace en interne ; la condamnation pour diffamation a pourtant été confirmée, parce qu'il avait publié de graves accusations sans les vérifier et pour atteindre personnellement son ancien associé (Cass. crim. 13 janvier 2026, n° 24-86.344). Pour l'entreprise, la leçon reste la même : un canal interne qui fonctionne, répond dans les délais et protège son auteur retire à la divulgation publique l'un de ses principaux fondements.

Externaliser le recueil des signalements : ce que le cabinet peut mettre en place

La loi permet de confier le recueil des signalements à un tiers externe, et beaucoup d'entreprises y gagnent : l'auteur parle plus librement à un interlocuteur extérieur, la confidentialité est plus facile à tenir, et la direction n'est saisie que de ce qu'elle est habilitée à connaître. MOSAIK peut organiser ce canal pour l'entreprise : une adresse externe sécurisée accessible à tous les salariés, un accusé de réception et une première réponse sous 24 heures ouvrées, l'examen de l'urgence, de la confidentialité et des conflits d'intérêts, puis l'activation du protocole convenu avec l'entreprise, qui alerte les seules personnes habilitées et déclenche les mesures immédiates. Une synthèse mensuelle agrégée donne à la direction une vision des tendances et des actions de prévention à conduire, sans lui transmettre chaque dénonciation.

Un canal n'est utilisé que s'il est connu et crédible. Le lancement s'accompagne d'une campagne d'information des salariés, réunions, affiches, messages internes, codes à flasher, qui présente les risques, les droits, les règles de confidentialité et la démarche de signalement, et de la formation des référents et des managers à la réception d'une alerte : accueillir, ne pas enquêter soi-même, protéger, orienter et tracer. L'efficacité se mesure ensuite : taux de participation, compréhension des canaux, retours anonymisés, et mise à jour annuelle des supports. Le dispositif est pensé pour les groupes qui ont des équipes à l'étranger, dans la langue des salariés concernés.

Dans un groupe international

Dans un groupe international, vous pouvez prévoir une procédure commune de recueil des alertes (article 8, I, C, de la loi Sapin II). L'entreprise qui reçoit un signalement concernant une autre société du périmètre de consolidation peut inviter l'auteur à le lui adresser également (article 4, II, du décret du 3 octobre 2022) ; toute communication d'informations à un tiers reste limitée à ce qui est nécessaire au traitement (article 6, I). Les transferts de données personnelles hors de l'Union européenne restent soumis au RGPD. Prévoyez un canal accessible dans les langues des salariés concernés. Vérifiez aussi son articulation avec les législations étrangères relatives aux lanceurs d'alerte. Le guide Comment conduire une enquête interne dans un groupe international ? détaille ces règles.

Ce qui change selon les faits

En dessous de cinquante salariés, aucune procédure n'est imposée au titre de l'effectif, sauf réglementation sectorielle, mais un salarié peut signaler les faits à son supérieur hiérarchique, à l'employeur ou à un référent, et il bénéficie des mêmes protections (article 8, I, B). Dans les sociétés d'au moins cinq cents salariés dont le chiffre d'affaires, le cas échéant consolidé, dépasse cent millions d'euros, le dispositif d'alerte interne fait partie des huit mesures anticorruption imposées par la loi Sapin II, article 17, contrôlées par l'Agence française anticorruption. Lorsqu'un régime spécifique de signalement existe pour un secteur, il s'applique en priorité, les mesures de la loi Sapin II plus favorables à l'auteur, notamment la protection contre les représailles et le recours prud'homal (articles 10-1, 12 et 12-1), restant applicables (article 6, III). Et lorsque le signalement porte sur un harcèlement, les règles de l'enquête décrites dans le guide Comment mener une enquête interne pour harcèlement ou discrimination ? s'ajoutent à celles du dispositif d'alerte ; le guide Quels sont les droits du salarié victime ou mis en cause ? décrit la protection de l'auteur, et la page Enquêtes internes l'ensemble de la démarche du cabinet.