Lanceurs d’alerte en entreprise : obligations de l’employeur et rôle des RH en 2026
Mis à jour le 13 août 2026 · Par RÉMA CONSEIL
Procédure de signalement, confidentialité, sanctions : le cadre issu de la loi Sapin II, profondément réformé en 2022 et ajusté en 2026, impose aux employeurs des obligations précises. Décryptage pour les dirigeants de TPE/PME et les professionnels RH.
Sommaire
Dans une direction des ressources humaines, la protection des lanceurs d’alerte en entreprise fait partie des sujets qui arrivent sans prévenir. Un courriel bref. Un message déposé sur une plateforme interne. Un collaborateur qui demande à échanger en dehors des circuits habituels. À cet instant, l’entreprise entre dans une zone sensible où se croisent conformité réglementaire, confiance managériale et sécurité juridique des décisions.
La protection des lanceurs d’alerte n’est plus un sujet réservé aux grands groupes ou aux directions juridiques. Elle concerne les entreprises quelle que soit leur taille, tandis que certaines obligations organisationnelles, notamment la mise en place d’une procédure interne formalisée, s’appliquent à partir de 50 salariés. Pour les professionnels RH, la maîtrise de ce cadre est devenue indispensable : une alerte mal reçue, insuffisamment protégée ou traitée sans méthode expose l’employeur à un contentieux prud’homal, à des sanctions pénales ou à une dégradation durable du climat social.
Un cadre juridique consolidé depuis 2022 et ajusté en 2026
En France, le cadre de protection des lanceurs d’alerte repose principalement sur la loi n° 2016-1691 du 9 décembre 2016 dite « Sapin II », profondément remaniée par la loi n° 2022-401 du 21 mars 2022 dite « loi Waserman », ainsi que sur le décret n° 2022-1284 du 3 octobre 2022 relatif aux procédures de recueil et de traitement des signalements. Ce socle transpose en droit interne la directive européenne 2019/1937.
Le dispositif a toutefois connu une évolution récente. Le décret n° 2026-311 du 24 avril 2026, entré en vigueur le 1er juillet 2026, a notamment ajouté Tracfin à la liste des autorités externes susceptibles de recevoir certains signalements et ajusté les champs de compétence de l’Autorité des marchés financiers et de l’Autorité de contrôle prudentiel et de résolution. La fiche Service-Public consacrée aux lanceurs d’alerte, vérifiée le 23 janvier 2026, reste une référence utile pour le cadre général mais elle est antérieure à cette évolution réglementaire.
Au-delà du respect du cadre légal, le dispositif lanceur d’alerte suppose de sécuriser vos obligations de conformité légale : canal de signalement, confidentialité des échanges, protection contre les représailles et traçabilité du traitement des alertes.
Qui peut être reconnu comme lanceur d'alerte en entreprise ?
La loi définit le lanceur d’alerte comme une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, ou sur une violation ou tentative de dissimulation d’une violation du droit applicable. Lorsque les informations ont été obtenues hors du cadre professionnel, leur auteur doit en avoir eu personnellement connaissance.
Certains secrets demeurent exclus du régime de l’alerte : secret de la défense nationale, secret médical, secret des délibérations judiciaires, secret de l’enquête ou de l’instruction judiciaires et secret professionnel de l’avocat.
Le périmètre des personnes susceptibles d’effectuer un signalement interne dépasse largement les seuls salariés. Sont notamment concernés les anciens salariés et les candidats à l’embauche lorsque les informations ont été obtenues dans le cadre de la relation de travail ou de la candidature, les actionnaires et associés, les membres des organes d’administration, de direction ou de surveillance, les collaborateurs extérieurs et occasionnels ainsi que, dans les conditions prévues par la loi, les personnes physiques intervenant pour des cocontractants ou sous-traitants de l’entité. La loi étend également certaines protections aux « facilitateurs » (personnes physiques ou personnes morales de droit privé à but non lucratif qui aident le lanceur d’alerte à effectuer son signalement), ainsi qu’aux personnes physiques en lien avec lui qui risquent de subir des représailles dans le cadre de leurs activités professionnelles et à certaines entités juridiques qu’il contrôle, pour lesquelles il travaille ou avec lesquelles il est en lien dans un contexte professionnel.
Point essentiel pour les RH : le lanceur d’alerte n’a pas à apporter, dès le signalement, une preuve complète et définitive des faits. Pour bénéficier du régime protecteur, il doit notamment agir de bonne foi et sans contrepartie financière directe, dans le respect des conditions prévues par la loi. L’entreprise ne doit donc pas écarter un signalement au seul motif que son auteur ne dispose pas encore de l’ensemble des preuves permettant d’établir définitivement les faits signalés.
Signalement interne ou externe : le lanceur d'alerte choisit
C’est l’un des apports majeurs de la réforme de 2022 : le lanceur d’alerte n’est plus tenu de passer d’abord par le canal interne. Il peut adresser un signalement directement à l’autorité compétente, au Défenseur des droits, à l’autorité judiciaire ou à une institution européenne compétente. Le Défenseur des droits conserve un rôle central d’orientation et de protection.
Pour l’entreprise, cette évolution change la donne. Un canal interne peu lisible ou insuffisamment crédible ne sera pas seulement inefficace : il encouragera le contournement au profit d’une saisine externe immédiate. Investir dans la qualité du dispositif interne relève donc autant de la prévention que de la conformité.
La divulgation publique reste soumise à des conditions plus strictes. Elle peut notamment bénéficier du régime de protection lorsqu’aucune mesure appropriée n’a été prise à la suite d’un signalement externe dans les délais prévus, en cas de danger grave et imminent ou lorsque la saisine d’une autorité externe exposerait l’auteur à un risque de représailles ou ne permettrait pas de remédier efficacement à la situation. Lorsque les informations ont été obtenues dans le cadre professionnel, la loi prévoit également le cas d’un danger imminent ou manifeste pour l’intérêt général, notamment en situation d’urgence ou lorsqu’il existe un risque de préjudice irréversible.
Ce que l'employeur doit mettre en place
Pour les personnes morales de droit privé et les entreprises exploitées en nom propre, l’obligation d’établir une procédure interne de recueil et de traitement des signalements s’applique à partir de 50 salariés, ce seuil étant apprécié à la clôture de deux exercices consécutifs selon les modalités prévues par le code de la sécurité sociale. Cette procédure doit être mise en place après consultation du CSE et diffusée par tout moyen assurant une publicité suffisante, dans des conditions permettant de la rendre accessible de manière permanente aux personnes susceptibles d’effectuer un signalement interne. Dans les entités où il n’existe pas de procédure interne de recueil et de traitement des signalements, les personnes concernées peuvent adresser leur signalement à leur supérieur hiérarchique direct ou indirect, à l’employeur ou à un référent désigné par celui-ci.
Dans les entreprises tenues d’établir un règlement intérieur, celui-ci doit rappeler l’existence du dispositif de protection des lanceurs d’alerte en entreprise (article L.1321-2 du Code du travail, version applicable depuis le 1er septembre 2022). Ce point est régulièrement négligé lors des audits de conformité. Pour sécuriser vos pratiques, RÉMA CONSEIL propose une formation sur les obligations de l’employeur permettant de mettre en conformité vos documents internes.
Sur le plan opérationnel, le décret du 3 octobre 2022 impose un cadre précis. Le canal interne doit permettre d’adresser un signalement par écrit ou par oral, selon les modalités prévues par la procédure. Lorsque la procédure prévoit la possibilité d’un signalement oral, celui-ci peut être effectué par téléphone ou par tout autre système de messagerie vocale. À la demande de l’auteur du signalement et selon son choix, une visioconférence ou une rencontre physique doit également pouvoir être organisée au plus tard dans les vingt jours ouvrés suivant la réception de sa demande. L’auteur du signalement doit être informé par écrit de sa réception dans un délai de sept jours ouvrés. Il doit ensuite recevoir, dans un délai raisonnable n’excédant pas trois mois à compter de l’accusé de réception ou, à défaut d’accusé de réception, à compter de l’expiration d’une période de sept jours ouvrés suivant le signalement, des informations sur les mesures envisagées ou prises pour évaluer l’exactitude des faits et, le cas échéant, remédier à l’objet du signalement ainsi que sur les motifs de ces mesures. La procédure doit également préciser les suites données aux signalements anonymes. Lorsque les allégations se révèlent inexactes ou infondées, ou lorsque le signalement est devenu sans objet, l’entité procède à sa clôture et en informe par écrit l’auteur du signalement.
Les entités employant moins de 250 salariés peuvent, sous certaines conditions, partager entre elles les ressources affectées au canal de réception des signalements et à l’évaluation de l’exactitude des allégations. Cette mutualisation ne les dispense pas des autres obligations qui incombent à chacune, notamment en matière de traitement, de confidentialité et de suivi du signalement.
Confidentialité et protection des données
La confidentialité constitue le pilier du dispositif. Les procédures doivent garantir une stricte confidentialité de l’identité de l’auteur du signalement, des personnes visées, des tiers mentionnés et des informations recueillies. Les éléments de nature à identifier le lanceur d’alerte ne peuvent être divulgués qu’avec son consentement. Ils peuvent toutefois être communiqués à l’autorité judiciaire lorsque les personnes chargées du recueil ou du traitement des signalements sont tenues de dénoncer les faits à celle-ci. Le lanceur d’alerte en est alors informé, sauf si cette information risque de compromettre la procédure judiciaire, et des explications écrites sont jointes à cette information. L’identité de la personne mise en cause ne peut être révélée, hors autorité judiciaire, qu’une fois le caractère fondé de l’alerte établi.
La violation de cette confidentialité est punie de deux ans d’emprisonnement et de 30 000 euros d’amende.
À cette exigence s’ajoute la conformité au RGPD. La CNIL met à disposition un référentiel dédié aux alertes professionnelles, qui encadre notamment les accès aux données, leur conservation, l’information des personnes concernées et la sécurité du traitement. Le traitement de données lié au dispositif d’alerte doit être documenté et inscrit au registre des activités de traitement. Lorsqu’un délégué à la protection des données a été désigné, celui-ci doit être consulté.
En pratique, le danger ne réside pas toujours dans une volonté délibérée de nuire. Il provient plus souvent d’une banalisation des échanges autour d’un dossier sensible : transmissions informelles, accès au dossier insuffisamment restreints, enquêtes internes dans lesquelles l’information circule trop largement. La discipline organisationnelle doit être pensée dès la conception du dispositif.
Protection contre les représailles : ce que dit la loi
Le droit interdit expressément les mesures de rétorsion prises à raison d’un signalement protégé. La liste légale est étendue : licenciement, mise à pied, rétrogradation, refus de promotion, mutation défavorable, réduction de rémunération, modification des horaires, suspension de la formation, évaluation négative, sanction disciplinaire, intimidation, harcèlement, atteinte à la réputation, pertes financières, résiliation d’un contrat commercial, retrait d’autorisation ou orientation abusive vers un traitement médical. Tout acte pris en violation de cette protection est nul de plein droit.
En contentieux, le lanceur d’alerte bénéficie d’un aménagement favorable de la charge de la preuve. Dès lors qu’il présente des éléments de fait permettant de supposer qu’il a signalé ou divulgué des informations dans les conditions prévues par la loi, il appartient à la partie défenderesse, en pratique souvent l’employeur, de prouver que la décision contestée est dûment justifiée.
Les sanctions pénales complètent le dispositif. Faire obstacle à la transmission d’un signalement est puni d’un an d’emprisonnement et de 15 000 euros d’amende. Engager une procédure abusive ou dilatoire contre un lanceur d’alerte expose à une amende civile pouvant atteindre 60 000 euros.
Quelles conséquences pour votre stratégie RH ?
Au-delà de la conformité, l’enjeu en 2026 est de former l’encadrement à l’identification et au traitement des alertes. Un signalement peut être exprimé de manière informelle auprès d’un manager ou de la fonction RH : savoir en apprécier la nature, préserver sa confidentialité et l’orienter vers le dispositif approprié permet de sécuriser son traitement et de prévenir les risques de représailles ou d’entrave à sa transmission.
En installant un canal interne sécurisé, accessible et impartial, l’employeur favorise le traitement rapide des dysfonctionnements signalés et démontre la crédibilité de son dispositif d’alerte. Une procédure claire permet d’analyser les faits, de prendre les mesures correctrices nécessaires et de renforcer la confiance des salariés dans les mécanismes internes, sans remettre en cause leur faculté de recourir aux voies de signalement externes prévues par la loi.
Les réflexes à adopter pour une DRH de TPE/PME
Un dispositif d’alerte ne se résume jamais à un formulaire sur l’intranet ou à une adresse électronique générique. Sa crédibilité dépend de la qualité de son pilotage quotidien.
Distinguer l’alerte d’un conflit individuel sans pour autant minimiser le signalement reçu. Le premier réflexe consiste à apprécier si les faits rapportés entrent dans le champ de la loi, sans porter de jugement prématuré sur leur fondement.
Confier le traitement à des interlocuteurs identifiés, formés et capables d’agir avec impartialité. L’articulation entre RH, direction juridique, management et DPO doit être clarifiée en amont, pas improvisée au moment de la réception.
Piloter et tracer le respect des échéances réglementaires dès la réception du signalement.
Documenter chaque décision concernant la carrière, la rémunération, l’affectation ou la discipline d’une personne protégée.
Lorsque l’entreprise ne dispose pas d’une fonction RH structurée ou d’un appui juridique interne, il peut être utile de structurer la fonction RH dans une TPE ou PME afin de sécuriser le traitement des alertes, la traçabilité des décisions et la conformité des documents internes.
Au fond, la maturité d’une organisation sur ce sujet se mesure à une question simple : cherche-t-elle d’abord à savoir qui a parlé, ou à vérifier ce qui doit être corrigé ? C’est souvent là que se joue la différence entre une politique d’alerte de façade et une véritable culture de prévention.
- Passez à l'action
Votre dispositif d'alerte est-il conforme aux exigences légales ?
Diagnostic gratuit de 30 minutes pour évaluer votre conformité et identifier les points de vigilance.
Sans engagement • Réponse sous 24 h • 100 % confidentiel
FAQ - Questions fréquentes sur les lanceurs d'alerte en entreprise
Les entreprises de moins de 50 salariés sont-elles concernées par la protection des lanceurs d'alerte en entreprise ?
Oui. L’obligation de mettre en place une procédure formalisée de recueil des signalements ne s’applique qu’à partir de 50 salariés. En revanche, le bénéfice du régime de protection du lanceur d’alerte n’est pas conditionné à l’effectif de l’entreprise : il comprend notamment l’interdiction des représailles, les garanties de confidentialité et, lorsque les conditions légales sont réunies, les régimes d’irresponsabilité civile et pénale prévus par la loi. En l’absence de procédure interne, le signalement peut être adressé au supérieur hiérarchique direct ou indirect, à l’employeur ou à un référent désigné, ou être effectué par la voie externe dans les conditions prévues par la loi.
Le lanceur d'alerte doit-il prouver les faits qu'il signale ?
Non. La loi n’exige pas du lanceur d’alerte qu’il apporte, dès le signalement, une preuve complète et définitive des faits. Pour bénéficier du régime de protection, il doit notamment agir de bonne foi et sans contrepartie financière directe. L’entreprise ne doit donc pas écarter un signalement au seul motif que son auteur ne dispose pas encore de l’ensemble des preuves permettant d’établir définitivement les faits signalés.
Quelles sanctions l'employeur encourt-il en cas d'entrave ou de représailles ?
Faire obstacle à un signalement est puni d’un an d’emprisonnement et de 15 000 euros d’amende. La violation de la confidentialité est punie de deux ans d’emprisonnement et de 30 000 euros d’amende. En cas de procédure abusive dirigée contre un lanceur d’alerte, l’amende civile peut atteindre 60 000 euros. Tout acte de représailles est nul de plein droit.
Est-il obligatoire de désigner un référent lanceur d'alerte ?
Non. La réglementation n’impose pas de désigner une personne portant spécifiquement le titre de « référent lanceur d’alerte ». Dans les entreprises d’au moins 50 salariés soumises à l’obligation d’établir une procédure interne, celle-ci doit toutefois préciser la ou les personnes, le ou les services chargés de recueillir et de traiter les signalements. En pratique, identifier clairement des interlocuteurs compétents, impartiaux et tenus à la confidentialité permet de sécuriser la gouvernance du dispositif et le traitement des alertes.
Quels délais respecter après la réception d’un signalement interne ?
La procédure interne doit prévoir que l’auteur du signalement est informé par écrit de sa réception dans un délai de 7 jours ouvrés. Il doit ensuite recevoir, dans un délai raisonnable n’excédant pas 3 mois à compter de l’accusé de réception ou, à défaut d’accusé de réception, à compter de l’expiration d’une période de 7 jours ouvrés suivant le signalement, des informations sur les mesures envisagées ou prises pour évaluer l’exactitude des faits et, le cas échéant, remédier à l’objet du signalement ainsi que sur les motifs de ces mesures. Ces délais imposent à l’employeur d’organiser à l’avance le circuit de traitement des alertes.