Le cadre français de protection des lanceurs d'alerte a été profondément remanié par la loi n° 2022-401 dite loi Waserman, qui modifie la loi n° 2016-1691 dite loi Sapin II, complétée par le décret n° 2022-1284. L'objectif de cet article est de restituer, de manière opérationnelle, ce qu'un dispositif d'alerte doit permettre à une organisation française, et ce qui reste hors du périmètre d'un logiciel de lancement d'alerte. La référence de synthèse la plus accessible pour ce cadre est la fiche publiée sur le Portail RSE — Dispositif d'alerte.
Qui est concerné
L'obligation d'établir une procédure interne de recueil et de traitement des signalements pèse notamment sur les personnes morales de droit privé d'au moins 50 salariés, sur les administrations d'État, sur les communes et EPCI selon leur taille, ainsi que sur d'autres entités publiques prévues par la loi. Les entités de plus petite taille peuvent également décider volontairement de mettre en place un dispositif, ce qui est fréquent lorsque l'organisation est exposée à des enjeux réglementaires ou réputationnels.
Qui peut lancer une alerte
La loi Waserman élargit sensiblement le champ des personnes protégées : salariés, anciens salariés, candidats, actionnaires, collaborateurs occasionnels, cocontractants et sous-traitants peuvent lancer une alerte. Le lanceur d'alerte bénéficie d'une protection contre les représailles dès lors que le signalement respecte les conditions posées par la loi. La bonne foi est présumée.
Ce qui doit être signalable
Le champ matériel couvre les crimes, délits, menaces ou préjudices pour l'intérêt général, violations ou tentatives de dissimulation de violation du droit de l'Union, de la loi ou d'engagements internationaux. Il exclut les informations couvertes par le secret national, le secret médical ou le secret professionnel de l'avocat.
Les canaux prévus par la loi
La loi organise trois voies : le signalement interne, le signalement externe auprès des autorités compétentes (dont le Défenseur des droits) et, dans certaines conditions, la divulgation publique. Le lanceur d'alerte peut choisir directement le signalement externe. L'organisation est libre d'organiser son canal interne (formulaire en ligne, adresse dédiée, canal téléphonique, rendez-vous physique sur demande), à condition d'offrir un accès sécurisé et confidentiel.
Les délais imposés
Le décret n° 2022-1284 impose :
- un accusé de réception dans un délai de sept jours ouvrés à compter de la réception du signalement ;
- un retour d'information sur les mesures envisagées ou prises, dans un délai raisonnable qui ne peut excéder trois mois à compter de l'accusé de réception.
Ces délais s'imposent à l'organisation. Un logiciel de lancement d'alerte peut aider à les respecter en générant automatiquement les accusés de réception et en journalisant les échanges. Il ne remplace pas la responsabilité opérationnelle de la personne ou du service désigné.
La confidentialité et l'interdiction des représailles
La loi impose la confidentialité de l'identité du lanceur d'alerte, des personnes visées et des informations recueillies. Toute forme de représailles est interdite : rupture de contrat, mesure disciplinaire, mesure discriminatoire directe ou indirecte, intimidation, atteinte à la réputation. Les représailles sont sanctionnées et peuvent donner lieu à réparation. La politique d'alerte doit rappeler ces règles et les décliner opérationnellement.
Le rôle du logiciel
Un logiciel de lancement d'alerte contribue directement à quatre points souvent contrôlés :
- La capacité à recevoir un signalement anonyme et à ouvrir un échange sécurisé avec son auteur — la communication anonyme bidirectionnelle permet de demander des précisions sans exposer le lanceur d'alerte.
- La gestion des cas structurée, avec attribution, statuts, notes et pièces jointes.
- La piste d'audit exportable, condition d'une reprise de l'historique en cas de contrôle.
- Le respect matériel des délais grâce à l'automatisation des accusés de réception et aux rappels d'échéance.
Aucun logiciel ne peut, à lui seul, garantir la conformité de l'organisation. La procédure interne, la désignation d'une personne ou d'un service impartial, la formation et la revue régulière de la politique restent des obligations qui pèsent sur l'organisation.
Que faire si vous démarrez de zéro
Si votre organisation ne dispose pas encore de dispositif d'alerte, procédez dans cet ordre : rédigez la politique d'alerte, désignez la personne ou le service responsable, choisissez un logiciel qui portera le canal et la gestion des cas, formez les rôles internes, communiquez le nouveau canal aux publics concernés, mettez en production. Notre grille d'évaluation des fournisseurs aide à cadrer l'étape « choix du logiciel » ; le guide acheteurs approfondit les critères d'exploitation.
Comment Disclosurely s'inscrit dans ce cadre
Disclosurely est un logiciel de lancement d'alerte structuré pour être opéré par Conformité, RH ou Juridique, avec canal de signalement anonyme, échanges anonymes bidirectionnels, gestion des cas et piste d'audit exportable. Notre tarification est publiée sans négociation (Professional : £39.99/mois ou £399.90/an, en GBP), la mise en service est en auto-souscription, et la responsabilité opérationnelle du dispositif reste entre les mains de l'organisation, comme le prévoit le cadre français.