https://ethicsportal.eu/fr/blog/EthicsPortal is a secure, anonymous whistleblower reporting platform that helps organizations comply with EU Directive 2019/1937.fr-FRMon, 25 May 2026 19:36:28 +0000https://ethicsportal.eu/images/logo.svghttps://ethicsportal.eu/https://ethicsportal.eu/fr/blog/what-to-look-for-in-whistleblower-compliance-software/Sun, 05 Apr 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/what-to-look-for-in-whistleblower-compliance-software/Ce qu'un outil de signalement doit réellement faire selon la Directive UE 2019/1937 — et quelles fonctionnalités comptent vraiment.<h1 id="comment-choisir-un-logiciel-de-conformité-pour-les-lanceurs-dalerte"> Comment choisir un logiciel de conformité pour les lanceurs d’alerte <a href="#comment-choisir-un-logiciel-de-conformit%c3%a9-pour-les-lanceurs-dalerte" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>La Directive européenne sur la protection des lanceurs d’alerte impose à votre organisation de disposer d’un canal de signalement interne sécurisé. Mais tous les outils qui revendiquent la conformité à la Directive ne la garantissent pas réellement.</p> <p>Voici comment évaluer ce qui compte.</p> <hr> <h2 id="ce-quun-outil-de-signalement-doit-réellement-faire"> Ce qu’un outil de signalement doit réellement faire <a href="#ce-quun-outil-de-signalement-doit-r%c3%a9ellement-faire" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Les exigences de la Directive se traduisent en cinq fonctions essentielles :</p> <ol> <li>Un signaleur soumet un rapport via un canal sécurisé.</li> <li>Le signalement est stocké de manière confidentielle dans un système chiffré.</li> <li>Un gestionnaire désigné l’examine et y répond.</li> <li>Le système suit les délais d’accusé de réception (7 jours) et de retour d’information (3 mois).</li> <li>Chaque action est enregistrée dans une piste d’audit en ajout seul.</li> </ol> <p>Ces cinq fonctions constituent le socle de conformité. Tout outil que vous évaluez doit démontrer comment il gère chacune d’entre elles.</p> <hr> <h2 id="les-fonctionnalités-essentielles-pour-la-conformité"> Les fonctionnalités essentielles pour la conformité <a href="#les-fonctionnalit%c3%a9s-essentielles-pour-la-conformit%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Lors de l’évaluation des plateformes, concentrez-vous sur ce que la Directive exige réellement :</p> <ul> <li><strong>Signalement anonyme</strong> — L’Article 6(1) exige la confidentialité. L’implémentation la plus robuste signifie l’absence de journalisation IP, de suivi, et la suppression automatique des métadonnées des fichiers (EXIF, GPS, auteur).</li> <li><strong>Communication bidirectionnelle</strong> — L’Article 9(1)(b) exige un suivi avec le signaleur. Cela implique une messagerie sécurisée sans que le signaleur ait besoin de créer un compte.</li> <li><strong>Suivi des délais</strong> — Les Articles 9(1)(b) et 9(1)(f) fixent les délais de 7 jours et 3 mois. Le suivi automatisé avec notifications prévient les manquements.</li> <li><strong>Piste d’audit</strong> — L’Article 18 exige une documentation. Un journal en ajout seul de toutes les actions fournit les preuves attendues par les régulateurs.</li> <li><strong>Résidence des données dans l’UE</strong> — Le RGPD s’applique à toutes les données de signalement. L’hébergement au sein de l’UE simplifie la conformité.</li> <li><strong>Contrôle de la rétention des données</strong> — L’Article 17(1)(d) exige des périodes de conservation définies. La suppression automatique configurable garantit que les données ne sont pas conservées au-delà du nécessaire.</li> </ul> <hr> <h2 id="les-fonctionnalités-impressionnantes-mais-absentes-de-la-directive"> Les fonctionnalités impressionnantes mais absentes de la Directive <a href="#les-fonctionnalit%c3%a9s-impressionnantes-mais-absentes-de-la-directive" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Certaines plateformes mettent en avant des capacités qui vont au-delà des exigences de conformité :</p> <ul> <li>« Scoring de risque alimenté par l’IA »</li> <li>« Analyse de sentiment »</li> <li>« Tableaux de bord d’analyses prédictives »</li> <li>« Benchmarking avec plus de 10 000 organisations »</li> </ul> <p>Ces fonctionnalités peuvent servir les grandes organisations ayant des programmes de conformité matures. Mais elles ne sont pas exigées par la Directive, et leur présence ne rend pas un outil plus conforme.</p> <hr> <h2 id="la-transparence-tarifaire-comme-indicateur"> La transparence tarifaire comme indicateur <a href="#la-transparence-tarifaire-comme-indicateur" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La Directive s’applique à des organisations de tailles très différentes. L’outil que vous choisissez doit correspondre à votre échelle.</p> <p>Certaines plateformes publient leurs tarifs ouvertement. D’autres nécessitent un processus commercial. La transparence tarifaire vous permet d’évaluer l’adéquation plus rapidement.</p> <hr> <h2 id="questions-à-poser-lors-de-lévaluation"> Questions à poser lors de l’évaluation <a href="#questions-%c3%a0-poser-lors-de-l%c3%a9valuation" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <ol> <li><strong>Où sont stockées les données ?</strong> Confirmez l’hébergement et la résidence dans l’UE.</li> <li><strong>Comment les signaleurs sont-ils protégés ?</strong> Vérifiez l’anonymisation IP et la suppression des métadonnées.</li> <li><strong>Comment les délais sont-ils suivis ?</strong> Confirmez le suivi automatique avec notifications.</li> <li><strong>La piste d’audit est-elle en ajout seul ?</strong> Assurez-vous que les entrées ne peuvent pas être modifiées après création.</li> <li><strong>Que se passe-t-il en cas de résiliation ?</strong> Comprenez les politiques d’export et de suppression des données.</li> <li><strong>Un DPA est-il disponible ?</strong> Requis pour la conformité RGPD.</li> </ol> <hr> <h2 id="comment-ethicsportal-répond-à-ces-exigences"> Comment EthicsPortal répond à ces exigences <a href="#comment-ethicsportal-r%c3%a9pond-%c3%a0-ces-exigences" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p><a href="https://ethicsportal.eu">EthicsPortal</a> est conçu spécifiquement pour la conformité à la Directive UE 2019/1937 :</p> <ul> <li>60 €/mois, toutes les fonctionnalités incluses</li> <li>Signalement anonyme avec anonymisation IP et suppression des métadonnées</li> <li>Messagerie sécurisée bidirectionnelle via code d’accès</li> <li>Suivi automatique des délais avec notifications de retard</li> <li>Piste d’audit en ajout seul et export PDF des dossiers</li> <li>Hébergé chez Hetzner à Nuremberg, Allemagne — toutes les données restent dans l’UE</li> </ul> <p>Consultez notre <a href="/fr/directive-coverage/">analyse de conformité article par article</a> pour les détails.</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/if-employees-have-to-ask-you-dont-have-a-channel/Sat, 04 Apr 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/if-employees-have-to-ask-you-dont-have-a-channel/La législation européenne oblige les employeurs à informer les travailleurs de l'existence de leur canal de signalement. Mais si le trouver nécessite de demander à quelqu'un, le canal est déjà compromis.<h1 id="si-les-employés-doivent-demander-ou-se-trouve-le-canal-de-signalement-vous-nen-avez-pas"> Si les employés doivent demander ou se trouve le canal de signalement, vous n’en avez pas <a href="#si-les-employ%c3%a9s-doivent-demander-ou-se-trouve-le-canal-de-signalement-vous-nen-avez-pas" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>Un employé soupconnne une fraude. Il veut faire un signalement. Sa première action ne devrait pas être de se rendre aux RH et de demander : « est-ce qu’on à un canal de signalement ? »</p> <p>Le simple fait de poser la question est en soi un signal. Dans le type exact d’entreprise que la Directive vise à encadrer — là où des fautes sont commises et quelqu’un souhaite les signaler — se renseigner sur un canal de signalement indique aux gens que vous envisagez de signaler quelque chose. Avant même d’avoir tapé un seul mot, vous êtes exposé.</p> <hr> <h2 id="la-loi-est-claire--vous-devez-informer-les-employés"> La loi est claire : vous devez informer les employés <a href="#la-loi-est-claire--vous-devez-informer-les-employ%c3%a9s" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La <a href="https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045388745" rel="nofollow">Loi Waserman</a> et la Directive UE 2019/1937 n’exigent pas seulement que les organisations mettent en place un canal de signalement. Elles exigent qu’elles s’assurent que les travailleurs en connaissent l’existence.</p> <p><strong>L’article 9(1)(g)</strong> impose des « informations claires et facilement accessibles » sur les procédures de signalement — tant internes qu’externes. Ce n’est pas facultatif. Si vous disposez d’un canal de signalement mais que vos employés ignorent son existence, vous n’êtes pas en conformité avec la Loi Waserman.</p> <p>Les transpositions nationales vont plus loin :</p> <ul> <li><strong>Allemagne (HinSchG §13) :</strong> Les employeurs doivent fournir des « informations claires et facilement accessibles sur l’utilisation du canal de signalement interne ».</li> <li><strong>France (Sapin II, Loi Waserman) :</strong> Les entreprises doivent informer les employés des procédures de signalement et publier ces informations par des moyens accessibles.</li> <li><strong>Pologne (Ustawa o ochronie sygnalistow) :</strong> Les employeurs doivent informer les employés des procédures de signalement au moins une fois par an.</li> </ul> <p>Le schema est le même partout : mettre en place le canal, c’est la moitie du travail. Faire en sorte que les employés en aient connaissance, c’est l’autre moitie.</p> <hr> <h2 id="le-problème-de-conception-dont-personne-ne-parle"> Le problème de conception dont personne ne parle <a href="#le-probl%c3%a8me-de-conception-dont-personne-ne-parle" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La plupart des discussions sur la conformité s’arrêtent a « informer les employés » et supposent qu’un email à l’échelle de l’entreprise ou une page intranet suffit. Ce n’est pas le cas.</p> <p>Pensez à ce qui se passe concrètement :</p> <p><strong>Scenario 1 : Le canal est sur l’intranet de l’entreprise.</strong> L’employé doit utiliser son ordinateur professionnel, se connecter au réseau d’entreprise, naviguer jusqu’à la section conformité et cliquer pour accéder au portail de signalement. Chaque étape laisse une trace numérique sur un appareil contrôlé par l’employeur. Le service informatique peut voir quelles pages vous consultez sur l’intranet.</p> <p><strong>Scenario 2 : Le canal nécessite une application d’entreprise.</strong> L’employé doit télécharger une application, éventuellement via un système MDM (Mobile Device Management) d’entreprise, et créer un compte. Le simple fait d’installer une application de signalement sur son téléphone professionnel est en soi une declaration.</p> <p><strong>Scenario 3 : Le canal est mentionne une seule fois dans le règlement intérieur.</strong> Page 47, section 12.3, entre la politique de stationnement et le code vestimentaire. Personne ne se souvient qu’il existe. Quand quelqu’un en a besoin, il doit demander. Et demander, c’est le problème.</p> <hr> <h2 id="ce-que--facilement-accessible--signifie-réellement"> Ce que « facilement accessible » signifie réellement <a href="#ce-que--facilement-accessible--signifie-r%c3%a9ellement" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Si vous prenez au sérieux l’intention de la Directive — protéger les personnes qui signalent des fautes — alors « facilement accessible » signifie :</p> <p><strong>L’employé doit pouvoir accéder au canal sans :</strong></p> <ul> <li>Utiliser un appareil de l’entreprise</li> <li>Être sur le réseau de l’entreprise</li> <li>Installer une application</li> <li>Créer un compte</li> <li>Demander à quiconque ou le trouver</li> <li>Laisser la moindre trace de sa recherche</li> </ul> <p>Cela reduit considérablement les options. Le canal doit être une <strong>URL publique</strong> qui fonctionne dans n’importe quel navigateur sur n’importe quel appareil — y compris un téléphone personnel en 4G, complètement en dehors de l’infrastructure de l’employeur.</p> <hr> <h2 id="comment-rendre-le-canal-véritablement-accessible"> Comment rendre le canal véritablement accessible <a href="#comment-rendre-le-canal-v%c3%a9ritablement-accessible" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p><strong>1. Une URL publique, pas une page intranet.</strong> Le portail de signalement doit être accessible depuis n’importe quel navigateur, sur n’importe quel appareil, sans authentification. Un employé chez lui, sur son téléphone personnel, à 23 h, doit pouvoir saisir une URL et commencer un signalement. Pas de VPN, pas de connexion, pas d’email d’entreprise requis.</p> <p><strong>2. Des QR codes dans les espaces prives.</strong> Imprimez le QR code et placez-le là où les gens peuvent le scanner sans être observés : toilettes, salles de pause, vestiaires, dos des portes d’ascenseur. Un employé qui scanne un QR code sur le mur des toilettes ne laisse aucune trace numérique et n’attire aucune attention.</p> <p><strong>3. Des affiches physiques, pas seulement des emails.</strong> Un email à l’échelle de l’entreprise sur le canal de signalement est facilement manqué et difficile à retrouver six mois plus tard. Une affiche sur le mur de chaque cuisine de bureau avec un QR code et une URL est toujours la quand quelqu’un en a besoin.</p> <p><strong>4. Le mentionner lors de chaque intégration.</strong> L’accueil des nouveaux employés doit inclure l’URL du canal de signalement et une carte imprimee avec le QR code. Pas enfoui dans un règlement. Remis directement en main propre.</p> <p><strong>5. Pas de compte requis.</strong> Si l’outil de signalement exige que l’employé crée un compte avec son adresse email pour deposer un signalement, il n’est ni anonyme ni sur. Le lanceur d’alerte doit pouvoir soumettre sans fournir aucune information identifiante et recevoir un code d’accès pour consulter les suites ulterieurement.</p> <hr> <h2 id="cest-ainsi-que-fonctionne-ethicsportal"> C’est ainsi que fonctionne EthicsPortal <a href="#cest-ainsi-que-fonctionne-ethicsportal" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Chaque organisation EthicsPortal obtient une URL de signalement publique. Elle fonctionne sur n’importe quel navigateur, n’importe quel appareil. Pas d’application, pas de compte, pas de réseau d’entreprise.</p> <p>Le portail genere un <strong>QR code</strong> qui peut être imprime et affiche n’importe ou. Scannez-le, et vous êtes sur la page de signalement. Pas de connexion, pas de trace.</p> <p>Les lanceurs d’alerte soumettent anonymement — pas de nom, pas d’email, pas d’enregistrement d’IP. Ils reçoivent un code d’accès pour consulter les mises à jour. L’ensemble de l’interaction se déroule dans une fenêtre de navigateur qui peut être fermée sans laisser de trace.</p> <p>Le référent ne voit jamais l’identité du lanceur d’alerte. Le lanceur d’alerte ne voit jamais le nom du référent. Le système compte jusqu’à 7 jours, compte jusqu’à 3 mois, et enregistre tout.</p> <p>Voilà à quoi ressemble « facilement accessible » quand on prend la Directive au sérieux.</p> <hr> <p><em>Si le canal de signalement de votre organisation oblige les employés a demander à quelqu’un ou le trouver, vous avez une case de conformité cochée. Vous n’avez pas de canal de signalement. <a href="https://secure.ethicsportal.eu/session/new" rel="nofollow">Mettez en place un vrai canal en dix minutes.</a> </em></p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/top-whistleblower-software-eu-directive-2019-1937/Wed, 01 Apr 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/top-whistleblower-software-eu-directive-2019-1937/Comparatif classé des plateformes de signalement d'alerte conformes aux exigences de la Directive européenne 2019/1937. Évaluées sur la couverture des articles 8 à 16, les tarifs, l'hébergement dans l'UE et la rapidité de mise en place.<h1 id="meilleurs-logiciels-de-signalement-dalerte-pour-la-conformité-à-la-directive-européenne-20191937"> Meilleurs logiciels de signalement d’alerte pour la conformité à la Directive européenne 2019/1937 <a href="#meilleurs-logiciels-de-signalement-dalerte-pour-la-conformit%c3%a9-%c3%a0-la-directive-europ%c3%a9enne-20191937" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>La Directive européenne 2019/1937 exige de toute organisation de 50 salariés ou plus qu’elle exploite un canal de signalement interne sécurisé. La Directive est précise sur ce que ce canal doit faire : accepter les signalements écrits et oraux, protéger la confidentialité du lanceur d’alerte, accuser réception sous 7 jours, fournir un retour sous 3 mois et conserver les dossiers sans exposer l’identité du lanceur d’alerte.</p> <p>Voici ce qui est étrange sur ce marché : le signalement d’alerte est un outil simple. Un lanceur d’alerte soumet un signalement. Un référent le lit et y répond. Le système suit les délais et tient une piste d’audit. C’est l’intégralité du produit.</p> <p>Pourtant, la plupart des fournisseurs masquent leurs tarifs derrière des formulaires « contactez-nous pour une démonstration », exigent des cycles de vente de plusieurs semaines et gonflent leurs listes de fonctionnalités avec des analyses alimentées par l’IA, de l’analyse de sentiment et d’autres ajouts qui n’ont rien à voir avec ce que la Directive exige réellement. Résultat : un responsable conformité d’une entreprise de 100 personnes se retrouve en rendez-vous commercial pour un outil dont la mise en place devrait prendre dix minutes.</p> <p>Cet article classe les meilleurs logiciels de signalement d’alerte spécifiquement selon leur capacité à répondre aux exigences légales de la Directive — et non selon la notoriété de la marque, le nombre de fonctionnalités IA ou l’aspect impressionnant du dossier commercial.</p> <hr> <h2 id="comment-nous-avons-évalué"> Comment nous avons évalué <a href="#comment-nous-avons-%c3%a9valu%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Chaque plateforme a été évaluée selon les six exigences fondamentales de la Directive 2019/1937 :</p> <table> <thead> <tr> <th>Exigence</th> <th>Articles de la Directive</th> <th>Ce que la loi exige</th> </tr> </thead> <tbody> <tr> <td>Canal de signalement sécurisé</td> <td>Art. 8</td> <td>Chiffré, accessible à tous les travailleurs, sans création de compte</td> </tr> <tr> <td>Confidentialité du lanceur d’alerte</td> <td>Art. 16</td> <td>Identité non divulguée sans consentement, accès restreint au personnel autorisé</td> </tr> <tr> <td>Accusé de réception</td> <td>Art. 9(1)(b)</td> <td>Confirmation écrite sous 7 jours</td> </tr> <tr> <td>Délai de retour</td> <td>Art. 9(1)(f)</td> <td>Retour substantiel sous 3 mois</td> </tr> <tr> <td>Communication bidirectionnelle</td> <td>Art. 9(1)(b)</td> <td>Possibilité de communiquer avec le lanceur d’alerte, y compris les lanceurs d’alerte anonymes</td> </tr> <tr> <td>Conservation des dossiers</td> <td>Art. 18</td> <td>Signalements stockés de manière sécurisée, conservés selon les exigences légales, suppressibles lorsqu’ils ne sont plus nécessaires</td> </tr> </tbody> </table> <p>Nous avons également pris en compte des facteurs pratiques : transparence tarifaire, résidence des données dans l’UE, rapidité de mise en place et possibilité de démarrer sans rendez-vous commercial.</p> <hr> <h2 id="le-classement"> Le classement <a href="#le-classement" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <h3 id="1-ethicsportal--le-meilleur-pour-les-pme-qui-ont-besoin-dun-canal-directive-ciblé"> 1. EthicsPortal — le meilleur pour les PME qui ont besoin d’un canal Directive ciblé <a href="#1-ethicsportal--le-meilleur-pour-les-pme-qui-ont-besoin-dun-canal-directive-cibl%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète.</strong> EthicsPortal a été conçu spécifiquement pour la Directive européenne 2019/1937. Chaque fonctionnalité correspond à un article.</p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Comment EthicsPortal y répond</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Portail web chiffré, URL unique par organisation, pas d’application requise</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Pas d’enregistrement d’IP, suppression des métadonnées de fichiers (EXIF, GPS, auteur), données chiffrées au repos</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Suivi automatique des délais avec notifications au référent</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Suivi automatique des délais avec alertes de dépassement</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Fil de messages anonyme via code d’accès — les noms des référents ne sont jamais révélés</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Piste d’audit en ajout seul, export PDF pour les auditeurs</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> 60 EUR/mois forfaitaire (ou 500 EUR/an). Pas de frais par salarié, pas de suppléments. <strong>Hébergement UE :</strong> Oui — Hetzner, Nuremberg, Allemagne. <strong>Délai de mise en place :</strong> Quelques minutes. Inscription en libre-service sur une offre publiée.</p> <p><strong>Pourquoi il est premier :</strong> EthicsPortal est construit pour le workflow de la Directive : intake sécurisé, communication anonyme bidirectionnelle, suivi des délais, conservation des dossiers et export d’audit. Il n’ajoute pas d’analyse de sentiment par IA, de notation de risque ni de modules GRC adjacents au canal de signalement. La couverture des articles 8 à 18 est disponible à 60 EUR/mois, tarif publié sur le site.</p> <p>Le compromis : EthicsPortal est plus récent et ne dispose pas encore de la certification ISO 27001 ni de services de ligne téléphonique.</p> <p>EthicsPortal est notre produit. Nous l’avons conçu pour offrir une conformité complète à la Directive avec une tarification transparente et une mise en service immédiate.</p> <hr> <h3 id="2-formalize-whistleblowersoftwarecom--le-meilleur-pour-les-entreprises-de-taille-moyenne-souhaitant-un-produit-abouti"> 2. Formalize (WhistleblowerSoftware.com) — le meilleur pour les entreprises de taille moyenne souhaitant un produit abouti <a href="#2-formalize-whistleblowersoftwarecom--le-meilleur-pour-les-entreprises-de-taille-moyenne-souhaitant-un-produit-abouti" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète.</strong> Conçu au Danemark avec la Directive européenne comme principal moteur de conception.</p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Couverture</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Oui — portail web avec chiffrement</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Oui — contrôles d’accès, chiffrement des données</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Oui — suivi automatisé</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Oui — suivi automatisé</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Oui — messagerie anonyme</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Oui — piste d’audit</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> Devis personnalisé requis. Tarification par salarié précédemment publiée ; plus accessible publiquement. <strong>Hébergement UE :</strong> Oui — Danemark. <strong>Délai de mise en place :</strong> Quelques jours — implique une démonstration et un cycle de vente.</p> <p><strong>Pourquoi il est classé ici :</strong> Forte conformité à la Directive, certifié ISO 27001 et ISAE 3000, plus de 80 langues. Formalize publiait auparavant ses tarifs sur son site — ce n’est plus le cas, ce qui en dit long sur la direction prise. Vous devez désormais demander un devis et passer par un cycle commercial pour connaître le prix. Si vous avez besoin de certifications et d’un écosystème de partenaires (PwC, Baker McKenzie), Formalize est un choix solide — mais préparez-vous à négocier un prix que vous ne pouvez pas voir à l’avance.</p> <hr> <h3 id="3-hintbox--le-meilleur-pour-les-marchés-germanophones"> 3. Hintbox — le meilleur pour les marchés germanophones <a href="#3-hintbox--le-meilleur-pour-les-march%c3%a9s-germanophones" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète.</strong> Plateforme allemande avec plus de 1 000 clients. Fait partie de la suite lawcode.</p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Couverture</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Oui — portail chiffré, hébergé chez Hetzner (Allemagne)</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Oui — suppression des métadonnées, 2FA, analyse antivirus</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Oui — suivi des délais</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Oui — suivi des délais</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Oui — messagerie anonyme, robot vocal en option (+49 EUR/mois)</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Oui — piste d’audit</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> À partir de 49 EUR/mois. Évolutif jusqu’à 149+ EUR/mois selon le nombre de salariés. Options : robot vocal (+49 EUR/mois), intégration e-mail (+29 EUR/mois), domaine personnalisé (+29 EUR/mois). <strong>Hébergement UE :</strong> Oui — Hetzner, Allemagne. Certifié ISO 27001. <strong>Délai de mise en place :</strong> Quelques jours.</p> <p><strong>Pourquoi il est classé ici :</strong> Produit mature, large base de clients (Rewe, s.Oliver, FC Bayern), certifié ISO 27001. La tarification par salarié et les coûts supplémentaires font que le prix effectif est nettement supérieur au tarif de départ de 49 EUR pour la plupart des organisations. Centré sur la région DACH — présence limitée en dehors des marchés germanophones.</p> <hr> <h3 id="4-faceup--le-meilleur-pour-les-organisations-multilingues"> 4. FaceUp — le meilleur pour les organisations multilingues <a href="#4-faceup--le-meilleur-pour-les-organisations-multilingues" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète.</strong></p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Couverture</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Oui</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Oui — contrôles d’accès</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Oui — automatisé</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Oui — automatisé</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Oui — piste d’audit</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> Non publiés. Trois paliers (Starter, Professional, Enterprise) mais tous affichent « Demander un devis » — aucun prix visible sur le site. Tarification en USD. <strong>Hébergement UE :</strong> Oui — République tchèque. <strong>Délai de mise en place :</strong> Quelques heures.</p> <p><strong>Pourquoi il est classé ici :</strong> FaceUp prend en charge 113 langues — parmi les plus nombreuses du marché — et propose une application mobile pour les lanceurs d’alerte. Conçu à l’origine pour les écoles en République tchèque, il s’est étendu à la conformité d’entreprise dans plus de 70 pays. La tarification est en dollars américains et non publiée — les trois paliers (Starter, Professional, Enterprise) affichent des boutons « Demander un devis » au lieu de prix, ce qui rend impossible toute budgétisation sans échange commercial.</p> <hr> <h3 id="5-whistlelink--le-meilleur-pour-les-entreprises-nordiques"> 5. Whistlelink — le meilleur pour les entreprises nordiques <a href="#5-whistlelink--le-meilleur-pour-les-entreprises-nordiques" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète.</strong></p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Couverture</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Oui</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Oui</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Oui</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> À partir de 79 EUR/mois (facturation annuelle). Évolutif par tranche de salariés : 79 EUR → 99 EUR → 149 EUR → 199 EUR → 299 EUR/mois. Plus de 1 000 salariés : sur devis. <strong>Hébergement UE :</strong> Oui — Suède. <strong>Délai de mise en place :</strong> Quelques jours. Essai gratuit de 30 jours disponible.</p> <p><strong>Pourquoi il est classé ici :</strong> Conformité solide à la Directive avec plus de 50 langues et une bonne gestion des dossiers. Toutes les offres incluent le même ensemble de fonctionnalités — pas de restriction par palier. À partir de 79 EUR/mois, la tarification est supérieure aux options les moins chères mais transparente. Forte présence régionale dans les pays nordiques.</p> <hr> <h3 id="6-speakup-people-intouch--le-meilleur-pour-lexternalisation-du-traitement-des-dossiers"> 6. SpeakUp (People Intouch) — le meilleur pour l’externalisation du traitement des dossiers <a href="#6-speakup-people-intouch--le-meilleur-pour-lexternalisation-du-traitement-des-dossiers" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète.</strong> L’une des plus anciennes plateformes européennes de signalement d’alerte (Pays-Bas).</p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Couverture</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Oui — signalement web + téléphonique</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Oui</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Oui</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> À partir d’environ 3 000 EUR/an pour les entreprises de moins de 1 000 salariés. Sur mesure pour les plus grandes. <strong>Hébergement UE :</strong> Oui — Pays-Bas. <strong>Délai de mise en place :</strong> Quelques jours.</p> <p><strong>Pourquoi il est classé ici :</strong> Proposition de valeur unique : traitement externalisé des dossiers par des professionnels formés. Si votre organisation ne dispose pas des ressources internes pour gérer les signalements, SpeakUp s’en charge pour vous. Le compromis, c’est le prix — vous payez pour des opérateurs humains, pas seulement pour un logiciel.</p> <hr> <h3 id="7-eqs-integrity-line--le-meilleur-pour-les-grandes-entreprises"> 7. EQS Integrity Line — le meilleur pour les grandes entreprises <a href="#7-eqs-integrity-line--le-meilleur-pour-les-grandes-entreprises" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète.</strong> Le standard européen pour les grandes entreprises.</p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Couverture</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Oui — plus de 70 langues</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Oui — contrôles d’accès de niveau grand compte</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Oui — intégration avec les suites GRC</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> Non publiés. Estimés à plus de 2 000 EUR/mois. Cycle commercial requis. <strong>Hébergement UE :</strong> Oui. <strong>Délai de mise en place :</strong> Plusieurs semaines.</p> <p><strong>Pourquoi il est classé ici :</strong> Si vous êtes une banque, un assureur ou une société cotée avec plus de 5 000 salariés, EQS est le choix grand compte sûr. Pour tous les autres, vous payez pour des fonctionnalités et une envergure dont vous n’avez pas besoin. La mise en œuvre prend des semaines, pas des minutes.</p> <hr> <h3 id="8-navex-global--le-meilleur-pour-les-multinationales-américaines-avec-des-activités-en-europe"> 8. NAVEX Global — le meilleur pour les multinationales américaines avec des activités en Europe <a href="#8-navex-global--le-meilleur-pour-les-multinationales-am%c3%a9ricaines-avec-des-activit%c3%a9s-en-europe" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Couverture de la Directive : complète, mais la conformité européenne semble ajoutée après coup.</strong></p> <table> <thead> <tr> <th>Exigence de la Directive</th> <th>Couverture</th> </tr> </thead> <tbody> <tr> <td>Canal sécurisé (Art. 8)</td> <td>Oui — web + ligne téléphonique</td> </tr> <tr> <td>Confidentialité (Art. 16)</td> <td>Oui</td> </tr> <tr> <td>Accusé de réception sous 7 jours (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Retour sous 3 mois (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Communication bidirectionnelle (Art. 9)</td> <td>Oui</td> </tr> <tr> <td>Conservation des dossiers (Art. 18)</td> <td>Oui — analyses solides</td> </tr> </tbody> </table> <p><strong>Tarifs :</strong> Sur mesure. Généralement plus de 5 000 EUR/an. Cycle commercial requis. <strong>Hébergement UE :</strong> Disponible en option, pas par défaut. <strong>Délai de mise en place :</strong> Plusieurs semaines.</p> <p><strong>Pourquoi il est classé ici :</strong> NAVEX est la plateforme de conformité américaine dominante avec des décennies d’historique et des milliers de clients. Leur produit EthicsPoint couvre la Directive, mais la plateforme a été conçue d’abord pour les cadres réglementaires américains. L’hébergement dans l’UE est disponible mais pas le choix par défaut. Les tarifs grand compte et les longs cycles de mise en œuvre la rendent inaccessible pour les PME.</p> <hr> <h2 id="quelle-plateforme-choisir-"> Quelle plateforme choisir ? <a href="#quelle-plateforme-choisir-" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <table> <thead> <tr> <th>Votre situation</th> <th>Meilleur choix</th> </tr> </thead> <tbody> <tr> <td>PME avec une obligation Directive définie et un processus d’achat limité</td> <td><strong>EthicsPortal</strong> (60 EUR/mois, opérationnel en quelques minutes)</td> </tr> <tr> <td>Entreprise de taille moyenne, besoin de certifications et d’un écosystème de partenaires</td> <td><strong>Formalize</strong> (tarifs sur devis, certifié ISO)</td> </tr> <tr> <td>Marché germanophone, besoin d’ISO 27001</td> <td><strong>Hintbox</strong> (49+ EUR/mois, ISO 27001)</td> </tr> <tr> <td>Besoin de 113 langues ou d’une application mobile de signalement</td> <td><strong>FaceUp</strong> (sur devis, USD)</td> </tr> <tr> <td>Entreprise nordique, préférence pour un fournisseur régional</td> <td><strong>Whistlelink</strong> (79+ EUR/mois)</td> </tr> <tr> <td>Besoin d’un traitement externalisé des dossiers</td> <td><strong>SpeakUp</strong> (~3 000 EUR/an)</td> </tr> <tr> <td>Grande entreprise (500+ salariés), suite GRC complète</td> <td><strong>EQS Integrity Line</strong> (tarifs sur devis)</td> </tr> <tr> <td>Multinationale américaine avec filiale européenne</td> <td><strong>NAVEX Global</strong> (tarifs sur devis)</td> </tr> </tbody> </table> <hr> <h2 id="pourquoi-les-prix-varient-selon-les-plateformes"> Pourquoi les prix varient selon les plateformes <a href="#pourquoi-les-prix-varient-selon-les-plateformes" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Chaque plateforme de cette liste couvre les exigences fondamentales de la Directive 2019/1937. Un lanceur d’alerte soumet un signalement. Un référent le lit et y répond. Le système suit les délais et enregistre une piste d’audit.</p> <p>L’écart de prix entre 60 EUR/mois et plus de 5 000 EUR/an s’explique généralement par le périmètre : vente grand compte, services managés, hotlines mondiales, modules GRC adjacents, analytics avancées, intégrations et accompagnement procurement. Certaines organisations en ont besoin. D’autres ont uniquement besoin du canal Directive.</p> <p>Six des huit plateformes de cette liste ne publient pas leurs tarifs. Le budget et le calendrier de déploiement peuvent nécessiter un contact procurement avant de comparer les options.</p> <p>Si vous évaluez des plateformes, concentrez-vous sur trois points :</p> <ol> <li><strong>Couvre-t-elle les articles 8 à 18 ?</strong> Toutes les plateformes ci-dessus le font, dans leurs paliers payants.</li> <li><strong>Les données sont-elles hébergées dans l’UE ?</strong> Non négociable pour la conformité RGPD et Directive.</li> <li><strong>Pouvez-vous voir le prix et vous inscrire aujourd’hui ?</strong> Si un fournisseur ne vous montre pas le prix, demandez-vous ce qu’il cherche à optimiser.</li> </ol> <p>Aucune plateforme de signalement d’alerte ne peut rendre votre organisation conforme à elle seule. La conformité exige aussi des politiques internes, des référents désignés, de la formation et des procédures documentées. Le logiciel est le canal de signalement — une pièce d’un dispositif de conformité plus large. Ce ne devrait pas être la pièce la plus coûteuse ni la plus chronophage.</p> <p>Pour une analyse détaillée article par article de la façon dont EthicsPortal répond à chaque exigence, consultez notre <a href="/fr/directive-coverage/">page de conformité</a> .</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/gdpr-and-whistleblower-reporting/Fri, 20 Mar 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/gdpr-and-whistleblower-reporting/Comment le RGPD s'applique aux signalements d'alerte. Base juridique du traitement, données anonymes ou pseudonymisées, durées de conservation et droit a l'effacement.<h1 id="rgpd-et-signalement-dalerte--ce-que-vous-devez-savoir"> RGPD et signalement d’alerte : ce que vous devez savoir <a href="#rgpd-et-signalement-dalerte--ce-que-vous-devez-savoir" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>Chaque signalement d’alerte contient des données personnelles. Le lanceur d’alerte peut indiquer son nom. Le signalement nommera probablement la personne accusée de faute. Les actions du référent sont enregistrees. Tout cela constitue des données personnelles au sens du RGPD.</p> <p>Cela crée une tension à laquelle les responsables conformité font face au quotidien : la Directive sur la protection dès lanceurs d’alerte (2019/1937) vous oblige à collecter et conserver les signalements, et le RGPD exige que vous disposiez d’une base légale pour le faire, que vous minimisiez les données collectées et que vous les supprimiez lorsqu’elles ne sont plus nécessaires.</p> <p>Voici comment ces deux cadres interagissent et ce que cela signifie en pratique.</p> <hr> <h2 id="quelles-données-personnelles-contient-un-signalement-dalerte-"> Quelles données personnelles contient un signalement d’alerte ? <a href="#quelles-donn%c3%a9es-personnelles-contient-un-signalement-dalerte-" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Plus que vous ne le pensez :</p> <table> <thead> <tr> <th>Donnée</th> <th>Source</th> <th>Catégorie RGPD</th> </tr> </thead> <tbody> <tr> <td>Nom du lanceur d’alerte (si fourni)</td> <td>Volontaire</td> <td>Données personnelles</td> </tr> <tr> <td>Coordonnees du lanceur d’alerte (si fournies)</td> <td>Volontaire</td> <td>Données personnelles</td> </tr> <tr> <td>Nom de la personne accusée</td> <td>Contenu du signalement</td> <td>Données personnelles (tiers)</td> </tr> <tr> <td>Détails de la faute présumée</td> <td>Contenu du signalement</td> <td>Peut inclure des données de catégorie spéciale (Art. 9)</td> </tr> <tr> <td>Fichiers téléchargés (documents, photos)</td> <td>Lanceur d’alerte</td> <td>Peut contenir des métadonnées (GPS, auteur, horodatages)</td> </tr> <tr> <td>Actions et notes du référent</td> <td>Gestion des dossiers</td> <td>Données personnelles (référent)</td> </tr> <tr> <td>Horodatages et piste d’audit</td> <td>Système</td> <td>Données personnelles</td> </tr> </tbody> </table> <p>Si un signalement décrit du harcèlement, de la discrimination, des problèmes de santé ou une activite criminelle, il peut contenir des <strong>données de catégorie spéciale</strong> au sens de l’article 9 du RGPD — ce qui déclenche des conditions de traitement plus strictes.</p> <hr> <h2 id="quelle-est-la-base-juridique-du-traitement-"> Quelle est la base juridique du traitement ? <a href="#quelle-est-la-base-juridique-du-traitement-" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Vous avez besoin d’une base légale au titre de l’article 6 du RGPD pour traiter les données personnelles contenues dans les signalements d’alerte. Les bases les plus couramment utilisees :</p> <h3 id="article-61c--obligation-légale"> Article 6(1)(c) — Obligation légale <a href="#article-61c--obligation-l%c3%a9gale" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>C’est la base principale. La Directive européenne 2019/1937 et ses transpositions nationales imposent une obligation légale d’exploiter un canal de signalement. Le traitement des données personnelles est nécessaire pour se conformer à cette obligation.</p> <p>Cela couvre :</p> <ul> <li>La réception du signalement</li> <li>Son stockage sécurisé</li> <li>L’investigation des allégations</li> <li>La communication avec le lanceur d’alerte</li> <li>La tenue d’une piste d’audit</li> </ul> <h3 id="article-61f--intérêt-legitime"> Article 6(1)(f) — Intérêt legitime <a href="#article-61f--int%c3%a9r%c3%aat-legitime" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Certaines organisations utilisent l’intérêt legitime comme base secondaire, en particulier pour les traitements allant au-delà des exigences minimales de la Directive (par exemple, analyses internes, rapports de tendances). Cela nécessite une évaluation de l’intérêt legitime (LIA) et un test de mise en balance.</p> <h3 id="article-61e--intérêt-public-secteur-public"> Article 6(1)(e) — Intérêt public (secteur public) <a href="#article-61e--int%c3%a9r%c3%aat-public-secteur-public" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Les organisations du secteur public peuvent s’appuyer sur la base de l’intérêt public, en particulier lorsque la législation nationale autorisé explicitement le traitement aux fins de la protection dès lanceurs d’alerte.</p> <h3 id="quen-est-il-du-consentement-"> Qu’en est-il du consentement ? <a href="#quen-est-il-du-consentement-" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Ne vous appuyez pas sur le consentement.</strong> Le déséquilibre de pouvoir entre le lanceur d’alerte et l’employeur signifie que le consentement ne sera probablement pas donné librement (considérant 43 du RGPD). Un lanceur d’alerte ne peut pas consentir de manière significative lorsque son emploi peut dependre du resultat. Utilisez l’obligation légale (Art. 6(1)(c)) à la place.</p> <hr> <h2 id="signalements-anonymes-et-rgpd"> Signalements anonymes et RGPD <a href="#signalements-anonymes-et-rgpd" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>C’est la question que posent le plus souvent les responsables conformité : si un signalement est véritablement anonyme, le RGPD s’applique-t-il ?</p> <h3 id="si-le-lanceur-dalerte-nest-pas-identifiable--le-rgpd-ne-sapplique-pas-à-lui"> Si le lanceur d’alerte n’est pas identifiable : le RGPD ne s’applique pas à lui <a href="#si-le-lanceur-dalerte-nest-pas-identifiable--le-rgpd-ne-sapplique-pas-%c3%a0-lui" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Le RGPD s’applique aux données personnelles relatives à une personne identifiée ou identifiable (Art. 4(1)). Si un lanceur d’alerte soumet un signalement sans fournir de nom, d’email ou toute information identifiante — et que le système n’enregistre pas son adresse IP ni aucun autre identifiant — le contenu du signalement ne constitue pas des données personnelles <em>concernant le lanceur d’alerte</em>.</p> <p>Toutefois :</p> <ul> <li>La <strong>personne accusée</strong> nommee dans le signalement reste identifiable. Le RGPD s’applique pleinement à ses données.</li> <li>Si le contenu du signalement contient des détails permettant d’identifier indirectement le lanceur d’alerte (« je suis la seule femme au troisieme étage »), il peut tout de même constituer des données personnelles.</li> </ul> <h3 id="ce-que--anonyme--exige-techniquement"> Ce que « anonyme » exige techniquement <a href="#ce-que--anonyme--exige-techniquement" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Pour que l’anonymat résiste à un examen au regard du RGPD, votre outil de signalement doit :</p> <ul> <li><strong>Ne pas enregistrer les adresses IP.</strong> Tout enregistrement d’IP rend le lanceur d’alerte pseudonymisé, et non anonyme.</li> <li><strong>Ne pas exiger de compte ni d’email.</strong> Si le lanceur d’alerte s’authentifié, il est identifiable.</li> <li><strong>Supprimer les métadonnées des fichiers.</strong> Les photos et documents téléchargés contiennent des données EXIF (coordonnees GPS, nom de l’auteur, informations sur l’appareil) qui peuvent identifier le lanceur d’alerte.</li> <li><strong>Ne pas utiliser de cookies analytiques ou de suivi</strong> sur le portail de signalement.</li> </ul> <p>Si votre outil fait l’une de ces choses, vous collectez des données pseudonymisées, pas anonymes, et le RGPD s’applique intégralement.</p> <hr> <h2 id="minimisation-des-données-art-51c"> Minimisation des données (Art. 5(1)(c)) <a href="#minimisation-des-donn%c3%a9es-art-51c" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La Directive exige un canal de signalement. Elle n’exige pas de collecter plus de données que nécessaire.</p> <p>En pratique :</p> <ul> <li><strong>L’identité du lanceur d’alerte doit être facultative.</strong> Le lanceur d’alerte doit pouvoir soumettre un signalement sans fournir son nom ni ses coordonnees.</li> <li><strong>Les formulaires d’accueil ne doivent collecter que le nécessaire.</strong> Une description de la faute, la catégorie et des pieces justificatives optionnelles. N’exigez pas le service, le numero d’employé ou d’autres identifiants, sauf si le lanceur d’alerte choisit de les fournir.</li> <li><strong>Les notes du référent doivent être pertinentes pour l’enquete.</strong> Ne consignez pas de détails personnels superflus sur le lanceur d’alerte ou la personne accusée.</li> </ul> <hr> <h2 id="les-droits-de-la-personne-accusée"> Les droits de la personne accusée <a href="#les-droits-de-la-personne-accus%c3%a9e" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>C’est ici que les choses se compliquent. La personne accusée dans un signalement d’alerte a des droits au titre du RGPD — y compris le droit d’être informée (Art. 14), le droit d’accès (Art. 15) et le droit à l’effacement (Art. 17).</p> <p>Mais l’exercice de ces droits ne peut pas compromettre la confidentialité du lanceur d’alerte (Art. 16 de la Directive).</p> <h3 id="droit-dêtre-informe-art-14"> Droit d’être informe (Art. 14) <a href="#droit-d%c3%aatre-informe-art-14" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>En vertu du RGPD, vous devez informer les personnes lorsque vous traitez leurs données. Mais l’article 16(1) de la Directive exige la protection de l’identité du lanceur d’alerte. La solution :</p> <ul> <li>Vous <strong>pouvez</strong> informer la personne accusée qu’un signalement a été effectué — mais uniquement si cela ne risque pas de révéler l’identité du lanceur d’alerte.</li> <li><strong>Le moment est important.</strong> De nombreux États membres autorisent le report de la notification jusqu’à ce qu’elle ne compromette plus l’enquete. Le HinSchG allemand restreint explicitement la divulgation pendant la periode d’investigation.</li> <li>Les autorités nationales de protection des données acceptent generalement que les exigences de confidentialité de la Directive priment sur l’obligation de notification immediate.</li> </ul> <h3 id="droit-daccès-art-15"> Droit d’accès (Art. 15) <a href="#droit-dacc%c3%a8s-art-15" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>La personne accusée peut demander l’accès aux données détenues à son sujet. Vous devez les fournir — mais vous devez caviarder toute information qui permettrait d’identifier le lanceur d’alerte. Cela inclut le nom du lanceur d’alerte, mais aussi les détails contextuels qui pourraient le révéler indirectement.</p> <h3 id="droit-à-leffacement-art-17"> Droit à l’effacement (Art. 17) <a href="#droit-%c3%a0-leffacement-art-17" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>La personne accusée ne peut pas exiger la suppression d’un signalement qui fait partie d’une enquete en cours ou qui doit être conserve en vertu d’obligations légales. L’article 17(3)(b) et (e) du RGPD prévoit des exceptions pour les obligations légales et les actions en justice.</p> <hr> <h2 id="durées-de-conservation"> Durées de conservation <a href="#dur%c3%a9es-de-conservation" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La Directive (Art. 18) exige la tenue de registres des signalements. Le RGPD (Art. 5(1)(e)) exige de ne pas conserver les données personnelles plus longtemps que nécessaire.</p> <h3 id="combien-de-temps-faut-il-conserver-les-signalements-"> Combien de temps faut-il conserver les signalements ? <a href="#combien-de-temps-faut-il-conserver-les-signalements-" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>La Directive ne prescrit pas de durée de conservation spécifique. Les transpositions nationales varient :</p> <table> <thead> <tr> <th>Pays</th> <th>Durée de conservation</th> <th>Source</th> </tr> </thead> <tbody> <tr> <td>France</td> <td>5 ans apres la cloture du dossier</td> <td>Décret 2022-1284</td> </tr> <tr> <td>Italie</td> <td>5 ans à compter de la date du signalement</td> <td>D.Lgs. 24/2023</td> </tr> <tr> <td>Allemagne</td> <td>3 ans apres la cloture du dossier (sauf procédure en cours)</td> <td>HinSchG §11</td> </tr> <tr> <td>Espagne</td> <td>Non spécifiée (la minimisation RGPD generale s’applique)</td> <td>Law 2/2023</td> </tr> </tbody> </table> <h3 id="bonnes-pratiques"> Bonnes pratiques <a href="#bonnes-pratiques" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <ul> <li>Définissez une durée de conservation configurable (par exemple, 12, 24, 36 ou 60 mois apres la cloture du dossier).</li> <li>Supprimez automatiquement les dossiers clos lorsque la durée de conservation expire.</li> <li>Permettez la suppression manuelle par les administrateurs pour les dossiers dont la conservation n’est plus nécessaire.</li> <li>Documentez votre politique de conservation et soyez pret à la justifier auprès d’un régulateur.</li> </ul> <hr> <h2 id="transferts-internationaux-de-données"> Transferts internationaux de données <a href="#transferts-internationaux-de-donn%c3%a9es" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Les données relatives aux lanceurs d’alerte doivent rester dans l’UE, sauf si vous disposez d’un mécanisme de transfert valide au titre du chapitre V du RGPD.</p> <p>Cela compte lors du choix d’un outil de signalement :</p> <ul> <li><strong>Plateformes hébergées dans l’UE</strong> (données stockées en Allemagne, France, Pays-Bas, etc.) : pas de problème de transfert.</li> <li><strong>Plateformes hébergées aux États-Unis</strong> ou utilisant des fournisseurs cloud américains (AWS US, Azure US, Google Cloud US) : nécessitent le recours aux clauses contractuelles types (CCT) ou au EU-US Data Privacy Framework — tous deux contestes juridiquement.</li> </ul> <p>Le chemin le plus simple : choisir une plateforme qui hébergé toutes les données dans l’UE. Cela élimine entierement la question du transfert.</p> <hr> <h2 id="analyse-dimpact-relative-à-la-protection-des-données-aipd"> Analyse d’impact relative à la protection des données (AIPD) <a href="#analyse-dimpact-relative-%c3%a0-la-protection-des-donn%c3%a9es-aipd" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>L’article 35 du RGPD exige une AIPD lorsque le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertes des personnes physiques ».</p> <p>Le signalement d’alerte remplit probablement ce critère car :</p> <ul> <li>Il implique des allégations sensibles concernant des personnes identifiées</li> <li>Les signalements peuvent contenir des données de catégorie spéciale (Art. 9)</li> <li>Il existe un déséquilibre de pouvoir inhérent entre le lanceur d’alerte et l’organisation</li> <li>Les manquements à la confidentialité pourraient entraîner des représailles</li> </ul> <p>La plupart des autorités de protection des données recommandent de réaliser une AIPD avant la mise en place d’un système de signalement d’alerte.</p> <hr> <h2 id="ce-que-votre-outil-de-signalement-doit-faire"> Ce que votre outil de signalement doit faire <a href="#ce-que-votre-outil-de-signalement-doit-faire" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Sur la base des exigences RGPD ci-dessus, votre logiciel de signalement d’alerte doit :</p> <table> <thead> <tr> <th>Exigence</th> <th>Pourquoi</th> </tr> </thead> <tbody> <tr> <td>Identité du lanceur d’alerte facultative</td> <td>Minimisation des données (Art. 5(1)(c))</td> </tr> <tr> <td>Pas d’enregistrement d’IP</td> <td>Préserver l’anonymat, éviter de créer des données pseudonymisées</td> </tr> <tr> <td>Suppression des métadonnées des fichiers</td> <td>Empêcher l’identification accidentelle via les données EXIF/GPS</td> </tr> <tr> <td>Chiffrement au repos</td> <td>Intégrité et confidentialité (Art. 5(1)(f))</td> </tr> <tr> <td>Durées de conservation configurables</td> <td>Limitation de la conservation (Art. 5(1)(e))</td> </tr> <tr> <td>Suppression automatique des dossiers expirés</td> <td>Application de la limitation de conservation</td> </tr> <tr> <td>Contrôles d’accès bases sur les roles</td> <td>Confidentialité (Art. 16 de la Directive)</td> </tr> <tr> <td>Piste d’audit en ajout seul</td> <td>Responsabilité (Art. 5(2))</td> </tr> <tr> <td>Hébergement des données dans l’UE</td> <td>Éviter les complications liées àux transferts internationaux (chapitre V)</td> </tr> <tr> <td>Avis de confidentialité sur le formulaire de signalement</td> <td>Transparence (Art. 13/14)</td> </tr> </tbody> </table> <hr> <h2 id="comment-ethicsportal-gere-le-rgpd"> Comment EthicsPortal gere le RGPD <a href="#comment-ethicsportal-gere-le-rgpd" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>EthicsPortal a été conçu dès le premier jour avec la Directive et le RGPD comme contraintes :</p> <ul> <li><strong>Base juridique :</strong> Le traitement est fondé sur l’obligation légale (Art. 6(1)(c)) — conformité à la Directive européenne 2019/1937.</li> <li><strong>Anonymat par défaut :</strong> Pas d’enregistrement d’IP, pas de compte, pas de suivi. Les métadonnées des fichiers (EXIF, GPS, auteur) sont supprimees automatiquement.</li> <li><strong>Minimisation des données :</strong> Le nom et les coordonnees du lanceur d’alerte sont des champs facultatifs. Seules les données essentielles sont collectées.</li> <li><strong>Chiffrement au repos :</strong> Toutes les descriptions de signalements, noms, coordonnees et messages sont chiffrés dans la base de données.</li> <li><strong>Conservation configurable :</strong> Les organisations définissent leur propre durée de conservation (12, 24, 36 ou 60 mois). Les dossiers clos expirés sont supprimes automatiquement.</li> <li><strong>Hébergement dans l’UE :</strong> Toutes les données stockées sur les serveurs Hetzner à Nuremberg, Allemagne. Aucune donnée ne quitte l’UE. Pas de fournisseurs cloud américains.</li> <li><strong>Contrôles d’accès :</strong> Seuls les administrateurs et les référents assignes peuvent consulter les signalements. Les noms des référents ne sont jamais reveles aux lanceurs d’alerte.</li> <li><strong>Piste d’audit :</strong> Journal en ajout seul de chaque action pour la responsabilité et le contrôle réglementaire.</li> <li><strong>DPA disponible :</strong> <a href="/fr/dpa/">Accord de traitement des données</a> conforme à l’article 28 du RGPD disponible pour tous les clients.</li> </ul> <p>Pour l’analyse de conformité article par article, consultez notre <a href="/fr/directive-coverage/">page de conformité</a> .</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/whistleblower-policy-template/Sun, 15 Mar 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/whistleblower-policy-template/Un modèle de politique de lancement d'alerte prêt à l'emploi conforme à la Loi Waserman (transposition française de la Directive UE 2019/1937). Copiez, adaptez et diffusez dans votre organisation.<h1 id="modèle-gratuit-de-politique-de-lancement-dalerte-loi-waserman"> Modèle gratuit de politique de lancement d’alerte (Loi Waserman) <a href="#mod%c3%a8le-gratuit-de-politique-de-lancement-dalerte-loi-waserman" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>Toute organisation de 50 salariés ou plus en France a besoin d’une politique écrite de lancement d’alerte. Ce n’est pas facultatif — c’est une exigence de la <a href="https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045388745" rel="nofollow">Loi Waserman (n° 2022-401)</a> , transposition française de la Directive UE 2019/1937. L’obstruction d’un signalement est punie de 60 000 € d’amende et d’un an d’emprisonnement.</p> <p>Une politique de lancement d’alerte remplit deux fonctions : elle indique aux employés comment signaler des actes répréhensibles, et elle indique à votre organisation comment traiter ces signalements. Sans politique claire, les signalements passent entre les mailles du filet, les gestionnaires improvisent, et votre organisation s’exposé à des risques juridiques et de réputation.</p> <p>Vous trouverez ci-dessous un modèle de politique complet que vous pouvez copier et adapter. Remplacez les mentions entre crochets par les informations de votre organisation. Le modèle couvre chaque élément exigé par la directive.</p> <hr> <h2 id="modèle-de-politique-de-lancement-dalerte"> Modèle de politique de lancement d’alerte <a href="#mod%c3%a8le-de-politique-de-lancement-dalerte" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <hr> <p><strong>[NOM DE L’ORGANISATION]</strong></p> <p><strong>Politique de protection dès lanceurs d’alerte</strong></p> <p><strong>Date d’entrée en vigueur :</strong> [DATE]</p> <p><strong>Approuvé par :</strong> [NOM / FONCTION]</p> <p><strong>Version :</strong> 1.0</p> <hr> <h3 id="1-objet-et-champ-dapplication"> 1. Objet et champ d’application <a href="#1-objet-et-champ-dapplication" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>La présente politique établit un cadre pour le signalement de violations présumées de la loi, de la réglementation ou des règles internes au sein de [NOM DE L’ORGANISATION]. Elle met en oeuvre les exigences de la directive européenne 2019/1937 relative à la protection des personnes qui signalent des violations du droit de l’Union, telle que transposée en droit national [de l’ÉTAT MEMBRE].</p> <p>Cette politique s’applique à l’ensemble des activités, filiales et unités opérationnelles de [NOM DE L’ORGANISATION] au sein de l’Union européenne.</p> <h3 id="2-qui-peut-effectuer-un-signalement"> 2. Qui peut effectuer un signalement <a href="#2-qui-peut-effectuer-un-signalement" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Conformément à l’article 4 de la directive, les personnes suivantes peuvent soumettre un signalement via les canaux décrits dans la présente politique :</p> <ul> <li>Les employés actuels et anciens, y compris ceux en période d’essai ou de préavis</li> <li>Les candidats à l’emploi ayant obtenu des informations au cours du processus de recrutement</li> <li>Les prestataires, sous-traitants et fournisseurs</li> <li>Les actionnaires et membres de l’organe d’administration, de direction ou de surveillance</li> <li>Les bénévoles et stagiaires, rémunérés ou non</li> <li>Toute personne travaillant sous la supervision et la direction de prestataires, sous-traitants ou fournisseurs</li> <li>Les personnes dont la relation de travail n’a pas encore commencé, lorsque des informations sur des violations ont été obtenues au cours du processus de recrutement ou de négociations précontractuelles</li> </ul> <p>La protection s’étend également aux facilitateurs, aux tiers liés à l’auteur du signalement (tels que des collègues ou des proches) et aux entités juridiques que l’auteur du signalement détient, pour lesquelles il travaille ou avec lesquelles il est autrement lié dans un contexte professionnel (article 4(4)).</p> <h3 id="3-ce-qui-peut-être-signalé"> 3. Ce qui peut être signalé <a href="#3-ce-qui-peut-%c3%aatre-signal%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Les signalements peuvent concerner des violations du droit de l’Union dans les domaines couverts par la directive (article 2), notamment :</p> <ul> <li>Irrégularités en matière de marchés publics</li> <li>Violations relatives aux services financiers, à la lutte contre le blanchiment de capitaux et le financement du terrorisme</li> <li>Manquements en matière de sécurité et de conformité des produits</li> <li>Violations de la sécurité des transports</li> <li>Atteintes à la protection de l’environnement</li> <li>Questions relatives à la radioprotection et à la sûreté nucléaire</li> <li>Problèmes de sécurité alimentaire, de santé animale et de bien-être animal</li> <li>Violations de la santé publique</li> <li>Atteintes à la protection des consommateurs</li> <li>Violations de la vie privée et de la protection des données personnelles</li> <li>Sécurité des réseaux et des systèmes d’information</li> <li>Violations des règles de concurrence et des aides d’État</li> <li>Dispositifs fiscaux d’entreprise portant atteinte à l’objet ou à la finalité du droit fiscal applicable</li> <li>Fraude, corruption ou autres infractions pénales portant atteinte aux intérêts financiers de l’UE</li> </ul> <p>Les signalements peuvent également concerner des violations des politiques internes de l’entreprise, des codes de conduite et du droit national applicable, à condition que la loi nationale de transposition [de l’ÉTAT MEMBRE] étende la protection à ces signalements.</p> <h3 id="4-comment-effectuer-un-signalement"> 4. Comment effectuer un signalement <a href="#4-comment-effectuer-un-signalement" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <h4 id="canal-de-signalement-interne"> Canal de signalement interne <a href="#canal-de-signalement-interne" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h4> <p>[NOM DE L’ORGANISATION] met à disposition un canal de signalement interne sécurisé et confidentiel :</p> <ul> <li><strong>Portail en ligne :</strong> [URL DU PORTAIL DE SIGNALEMENT]</li> <li><strong>Personne désignée :</strong> [NOM / FONCTION DE LA PERSONNE OU DU SERVICE DÉSIGNÉ]</li> <li><strong>Méthodes alternatives :</strong> [ADRESSE POSTALE / E-MAIL / PROCÉDURE DE DEMANDE DE RÉUNION EN PERSONNE, selon le cas]</li> </ul> <p>Les signalements peuvent être soumis de manière anonyme. Les lanceurs d’alerte qui choisissent de rester anonymes recevront un code d’accès pour consulter l’état de leur signalement et communiquer de manière sécurisée avec le gestionnaire de cas.</p> <p>[NOM DE L’ORGANISATION] encourage l’utilisation du canal de signalement interne comme première démarche, car cela permet à l’organisation d’enquêter et de traiter les violations rapidement.</p> <h4 id="signalement-externe-auprès-des-autorités-compétentes"> Signalement externe auprès des autorités compétentes <a href="#signalement-externe-aupr%c3%a8s-des-autorit%c3%a9s-comp%c3%a9tentes" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h4> <p>Les auteurs de signalements ont le droit de signaler directement à l’autorité compétente à tout moment, conformément à l’article 10 de la directive. Les auteurs de signalements ne sont pas tenus d’utiliser le canal interne avant de signaler auprès d’une autorité externe.</p> <p>L’autorité compétente [dans l’ÉTAT MEMBRE] est : [NOM ET COORDONNÉES DE L’AUTORITÉ NATIONALE].</p> <h4 id="divulgation-publique"> Divulgation publique <a href="#divulgation-publique" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h4> <p>Dans les circonstances exceptionnelles définies à l’article 15 de la directive, les auteurs de signalements peuvent procéder à une divulgation publique tout en bénéficiant de la protection — par exemple, lorsqu’ils ont des motifs raisonnables de croire que la violation constitue un danger imminent ou manifeste pour l’intérêt public, ou lorsqu’il existe un risque de représailles.</p> <h3 id="5-confidentialité"> 5. Confidentialité <a href="#5-confidentialit%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>L’identité de l’auteur du signalement ne sera divulguée à aucune personne en dehors des membres du personnel autorisés compétents pour recevoir ou assurer le suivi des signalements, sans le consentement explicite de l’auteur du signalement (article 16).</p> <p>Cette obligation de confidentialité s’applique à toute information permettant de déduire directement ou indirectement l’identité de l’auteur du signalement.</p> <p>L’identité de l’auteur du signalement ne peut être divulguée que lorsqu’il s’agit d’une obligation nécessaire et proportionnée imposée par le droit de l’Union ou le droit national dans le cadre d’enquêtes menées par les autorités nationales ou de procédures judiciaires, y compris en vue de sauvegarder les droits de la défense de la personne concernée.</p> <p>Toute personne qui divulgue l’identité d’un auteur de signalement en violation de la présente politique fera l’objet de mesures disciplinaires.</p> <h3 id="6-interdiction-des-représailles"> 6. Interdiction des représailles <a href="#6-interdiction-des-repr%c3%a9sailles" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>[NOM DE L’ORGANISATION] interdit strictement toute forme de représailles contre les auteurs de signalements, conformément aux articles 19 à 21 de la directive. Les représailles comprennent, sans s’y limiter :</p> <ul> <li>La suspension, le licenciement ou les mesures équivalentes</li> <li>La rétrogradation, le refus de promotion ou le changement de fonctions ou de lieu de travail</li> <li>La réduction de salaire ou la modification des horaires de travail</li> <li>Le refus de formation</li> <li>L’évaluation négative des performances ou la référence professionnelle défavorable</li> <li>La coercition, l’intimidation, le harcèlement ou l’ostracisme</li> <li>La discrimination ou le traitement défavorable</li> <li>Le non-renouvellement d’un contrat de travail temporaire en contrat permanent</li> <li>Le non-renouvellement ou la résiliation anticipée d’un contrat de travail temporaire</li> <li>Le préjudice, y compris à la réputation ou les pertes financières</li> <li>L’inscription sur liste noire</li> <li>La résiliation anticipée ou l’annulation d’un contrat de fourniture de biens ou de services</li> <li>L’annulation d’une licence ou d’un permis</li> <li>L’orientation vers un examen psychiatrique ou médical</li> </ul> <p>La charge de la preuve dans les procédures de représailles est inversée : lorsqu’un auteur de signalement établit qu’il a fait un signalement et a ensuite subi un préjudice, il est présumé que le préjudice a été infligé en représailles. La personne ayant pris la mesure préjudiciable doit prouver qu’elle reposait sur des motifs dûment justifiés sans rapport avec le signalement (article 21(5)).</p> <p>Tout employé reconnu coupable de représailles fera l’objet de mesures disciplinaires, pouvant aller jusqu’au licenciement.</p> <h3 id="7-processus-denquête"> 7. Processus d’enquête <a href="#7-processus-denqu%c3%aate" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>À réception d’un signalement, [NOM DE L’ORGANISATION] procédera comme suit :</p> <ol> <li><strong>Accusé de réception</strong> dans les sept jours calendaires suivant la réception du signalement (article 9(1)(b)).</li> <li><strong>Évaluation du signalement</strong> pour déterminer s’il relève du champ d’application de la présente politique et justifie une enquête.</li> <li><strong>Enquête diligente</strong> en recueillant les informations pertinentes, en interrogeant les témoins si nécessaire et en examinant les documents, tout en maintenant la confidentialité.</li> <li><strong>Retour d’information</strong> à l’auteur du signalement dans les trois mois suivant l’accusé de réception. Le retour d’information comprendra des informations sur l’état de l’enquête et, dans la mesure du possible, les conclusions et les mesures prises ou envisagées (article 9(1)(f)).</li> <li><strong>Clôture du dossier</strong> avec des conclusions documentées et, le cas échéant, des recommandations de mesures correctives, de sanctions disciplinaires ou de transmission aux autorités compétentes.</li> </ol> <p>Lorsqu’un signalement est évalué comme ne relevant pas du champ d’application de la présente politique, l’auteur du signalement en sera informé et, le cas échéant, orienté vers la procédure appropriée.</p> <h3 id="8-protection-des-données"> 8. Protection des données <a href="#8-protection-des-donn%c3%a9es" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Les signalements et toutes les données associées seront traités conformément au règlement (UE) 2016/679 (RGPD) et au droit national applicable en matière de protection des données.</p> <p>Les données personnelles manifestement non pertinentes pour le traitement d’un signalement spécifique ne seront pas collectées ou, si elles sont collectées accidentellement, seront supprimées dans les meilleurs délais (article 17(3)).</p> <p>Les données relatives aux signalements ne seront pas conservées plus longtemps que ce qui est nécessaire et proportionné pour se conformer àux exigences de la présente politique et du droit applicable. [NOM DE L’ORGANISATION] définira et documentera des durées de conservation spécifiques conformément à la loi nationale de transposition.</p> <h3 id="9-formation-et-sensibilisation"> 9. Formation et sensibilisation <a href="#9-formation-et-sensibilisation" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>[NOM DE L’ORGANISATION] s’engage à :</p> <ul> <li>Former tous les gestionnaires de cas désignés sur leurs obligations au titre de la présente politique et du droit applicable</li> <li>Informer tous les employés et les autres personnes visées à la section 2 de la disponibilité et de l’utilisation du canal de signalement interne</li> <li>Rendre cette politique facilement accessible, notamment sur l’intranet de l’entreprise et dans le cadre du processus d’accueil des nouveaux employés</li> </ul> <h3 id="10-révision"> 10. Révision <a href="#10-r%c3%a9vision" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>La présente politique sera révisée au moins une fois par an et mise à jour si nécessaire pour refléter les évolutions du droit applicable, de la structure organisationnelle ou des bonnes pratiques.</p> <h3 id="11-contact"> 11. Contact <a href="#11-contact" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Pour toute question relative à cette politique ou au canal de signalement :</p> <ul> <li><strong>Personne désignée :</strong> [NOM / FONCTION]</li> <li><strong>E-mail :</strong> [ADRESSE E-MAIL]</li> <li><strong>Portail de signalement :</strong> [URL]</li> </ul> <hr> <p><em>Fin du document de politique.</em></p> <hr> <h2 id="utilisation-de-ce-modèle"> Utilisation de ce modèle <a href="#utilisation-de-ce-mod%c3%a8le" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Copiez le texte ci-dessus dans le format documentaire de votre entreprise, remplacez chaque mention entre crochets et faites-le relire par votre service juridique. Le modèle couvre les exigences de la directive 2019/1937, mais les lois nationales de transposition de votre État membre peuvent imposer des obligations supplémentaires — consultez un conseil juridique local.</p> <p>Une fois votre politique en place, vous avez besoin d’un canal technique pour recevoir les signalements. <a href="/">EthicsPortal</a> fournit un portail de signalement sécurisé et anonyme conforme aux exigences de la directive pour les canaux internes — mise en place en quelques minutes, à partir de 60 €/mois.</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/who-must-comply-eu-whistleblower-directive/Sun, 15 Mar 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/who-must-comply-eu-whistleblower-directive/Quelles entreprises ont besoin d'un canal de signalement en vertu de la Loi Waserman (transposition française de la Directive UE 2019/1937) ? Le seuil de 50 salariés, les échéances et ce que « se conformer » signifie concrètement.<h1 id="qui-doit-se-conformer-à-la-loi-waserman-lanceurs-dalerte-"> Qui doit se conformer à la Loi Waserman (lanceurs d’alerte) ? <a href="#qui-doit-se-conformer-%c3%a0-la-loi-waserman-lanceurs-dalerte-" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>Réponse courte : si votre organisation compte 50 salariés ou plus et opère en France, vous avez besoin d’un canal de signalement interne. Ce n’est pas facultatif. La <a href="https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045388745" rel="nofollow">Loi Waserman (n° 2022-401)</a> transpose en droit français la Directive UE 2019/1937 et est en vigueur depuis septembre 2022.</p> <p>Voici tout ce que vous devez savoir pour déterminer si vous devez vous conformer, ce que la conformité exige réellement et ce qui se passe si vous ne le faites pas.</p> <hr> <h2 id="le-seuil--50-employés"> Le seuil : 50 employés <a href="#le-seuil--50-employ%c3%a9s" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La Directive européenne 2019/1937, articles 8(3)-(4), établit l’obligation :</p> <ul> <li><strong>250+ employés :</strong> Doivent disposer d’un canal de signalement interne depuis le 17 décembre 2021 (échéance initiale de transposition).</li> <li><strong>50 à 249 employés :</strong> Doivent disposer d’un canal de signalement interne depuis le 17 décembre 2023 (échéance prorogée).</li> </ul> <p>Si vous avez 50 employés ou plus dans l’UE, l’échéance est déjne passée. Vous devriez avoir un canal en place maintenant.</p> <h3 id="comment-les-employés-sont-comptés"> Comment les employés sont comptés <a href="#comment-les-employ%c3%a9s-sont-compt%c3%a9s" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>La Directive ne définit pas « employé » de manière restrictive. Les États membres comptent :</p> <ul> <li>Les salariés à temps plein et à temps partiel (le temps partiel peut être compté proportionnellement dans certains pays)</li> <li>Les travailleurs à durée déterminée et les travailleurs temporaires</li> <li>Dans certains États membres : les travailleurs détachés, les stagiaires et les apprentis</li> </ul> <p>Le décompte est basé sur votre entité juridique, pas sur votre groupe. Si vous faites partie d’un groupe d’entreprises, chaque entité de 50 employés ou plus a besoin de son propre canal — bien que les entités de 50 à 249 employés puissent mutualiser les ressources pour la réception et l’investigation des signalements (Art. 8(6)).</p> <hr> <h2 id="qui-est-concerné-au-delà-de-leffectif"> Qui est concerné au-delà de l’effectif <a href="#qui-est-concern%c3%a9-au-del%c3%a0-de-leffectif" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Plusieurs catégories d’organisations doivent se conformer indépendamment du nombre d’employés :</p> <h3 id="services-financiers-art-84"> Services financiers (Art. 8(4)) <a href="#services-financiers-art-84" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Toutes les entités opérant dans les services financiers — banques, sociétés d’investissement, compagnies d’assurance, établissements de paiement, fournisseurs de crypto-actifs — doivent disposer d’un canal de signalement quelle que soit leur taille. Cela s’applique même si vous avez 5 employés. La Directive renvoie à la législation sectorielle européenne listée dans la partie I.B et la partie II de l’annexe.</p> <h3 id="secteur-public-art-89"> Secteur public (Art. 8(9)) <a href="#secteur-public-art-89" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Les États membres peuvent exiger des municipalités et d’autres organismes publics qu’ils mettent en place des canaux internes. Beaucoup l’ont fait, souvent avec des seuils plus bas, voire aucun seuil.</p> <h3 id="extensions-nationales"> Extensions nationales <a href="#extensions-nationales" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Certains États membres vont au-delà du minimum de la Directive :</p> <ul> <li><strong>Italie :</strong> Les organisations ayant un programme de conformité « Modèle 231 » doivent se conformer quelle que soit leur taille.</li> <li><strong>Belgique :</strong> Les entreprises de 250+ employés doivent accepter les signalements anonymes (plus strict que le seuil de la Directive).</li> <li><strong>France :</strong> La <a href="https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045388745" rel="nofollow">Loi Waserman (2022-401)</a> transposant la Directive a supprimé l’obligation d’utiliser les canaux internes avant les autorités externes — les signalants peuvent désormais choisir l’un ou l’autre. Les obligations anti-corruption plus larges de la <a href="https://www.legifrance.gouv.fr/loda/id/JORFTEXT000033558528" rel="nofollow">Loi Sapin II</a> (distinctes du canal de signalement) s’appliquent toujours aux entreprises de 500+ employés et 100 M EUR+ de chiffre d’affaires.</li> </ul> <hr> <h2 id="qui-peut-signaler"> Qui peut signaler <a href="#qui-peut-signaler" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La Directive protège une large catégorie de « personnes effectuant un signalement » — pas seulement les employés. En vertu de l’article 4, les personnes suivantes sont protégées lorsqu’elles signalent via votre canal :</p> <ul> <li><strong>Travailleurs</strong> (salariés, fonctionnaires, stagiaires, apprentis)</li> <li><strong>Travailleurs indépendants</strong> (prestataires, freelances)</li> <li><strong>Actionnaires et membres du conseil d’administration</strong></li> <li><strong>Bénévoles</strong></li> <li><strong>Fournisseurs et leurs travailleurs</strong> (toute personne dans votre chaîne d’approvisionnement)</li> <li><strong>Candidats à l’emploi</strong> (personnes ayant eu connaissance de fautes pendant le processus de recrutement)</li> <li><strong>Anciens travailleurs</strong> (personnes ayant eu connaissance de fautes pendant un emploi précédent)</li> </ul> <p>Votre canal de signalement doit être accessible à tous ces groupes, pas seulement aux employés actuels.</p> <hr> <h2 id="ce-que-la-conformité-exige-concrètement"> Ce que la conformité exige concrètement <a href="#ce-que-la-conformit%c3%a9-exige-concr%c3%a8tement" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Disposer d’un canal signifie satisfaire aux exigences des articles 8, 9 et 16 de la Directive. Voici le minimum :</p> <h3 id="1-un-canal-de-signalement-sécurisé-art-8"> 1. Un canal de signalement sécurisé (Art. 8) <a href="#1-un-canal-de-signalement-s%c3%a9curis%c3%a9-art-8" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Un canal interne permettant le signalement par écrit (et éventuellement oralement). Il doit :</p> <ul> <li>Être accessible à toutes les personnes couvertes par la Directive (employés, prestataires, fournisseurs, etc.)</li> <li>Protéger la confidentialité de l’identité du lanceur d’alerte</li> <li>Ne pas exiger que le lanceur d’alerte s’identifie (le signalement anonyme est autorisé dans la plupart des États membres)</li> </ul> <h3 id="2-une-procédure-documentée-art-9"> 2. Une procédure documentée (Art. 9) <a href="#2-une-proc%c3%a9dure-document%c3%a9e-art-9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Le canal doit suivre une procédure définie :</p> <table> <thead> <tr> <th>Exigence</th> <th>Délai</th> <th>Article</th> </tr> </thead> <tbody> <tr> <td>Accuser réception du signalement</td> <td>Sous 7 jours</td> <td>Art. 9(1)(b)</td> </tr> <tr> <td>Désigner une personne ou un service impartial pour le traiter</td> <td>À réception</td> <td>Art. 9(1)(a)</td> </tr> <tr> <td>Assurer un suivi diligent</td> <td>En continu</td> <td>Art. 9(1)(c)</td> </tr> <tr> <td>Fournir un retour au lanceur d’alerte</td> <td>Sous 3 mois</td> <td>Art. 9(1)(f)</td> </tr> <tr> <td>Informer le lanceur d’alerte des options de signalement externe</td> <td>À la soumission</td> <td>Art. 9(1)(g)</td> </tr> </tbody> </table> <h3 id="3-protections-de-la-confidentialité-art-16"> 3. Protections de la confidentialité (Art. 16) <a href="#3-protections-de-la-confidentialit%c3%a9-art-16" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>L’identité du lanceur d’alerte ne doit pas être divulguée à quiconque en dehors du personnel chargé du traitement, sans le consentement explicite du lanceur d’alerte. Cela signifie :</p> <ul> <li>Contrôles d’accès : seuls les référents autorisés voient les signalements</li> <li>Pas d’enregistrement d’IP ni de suivi susceptible d’identifier les lanceurs d’alerte anonymes</li> <li>Données chiffrées au repos</li> </ul> <h3 id="4-conservation-des-dossiers-art-18"> 4. Conservation des dossiers (Art. 18) <a href="#4-conservation-des-dossiers-art-18" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Les signalements doivent être stockés de manière sécurisée et conservés conformément à la législation nationale. Vous avez besoin d’une piste d’audit capable de démontrer la conformité aux régulateurs.</p> <h3 id="5-mesures-anti-représailles-art-1921"> 5. Mesures anti-représailles (Art. 19–21) <a href="#5-mesures-anti-repr%c3%a9sailles-art-1921" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Vous ne devez pas exercer de représailles contre les lanceurs d’alerte. Cela inclut le licenciement, la rétrogradation, le blocage de promotion, la modification des fonctions ou toute autre forme de préjudice. Les lanceurs d’alerte doivent être informés de cette protection.</p> <hr> <h2 id="ce-qui-ne-constitue-pas-une-mise-en-conformité"> Ce qui ne constitue PAS une mise en conformité <a href="#ce-qui-ne-constitue-pas-une-mise-en-conformit%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Certaines pratiques que les organisations tentent et qui ne répondent pas aux exigences de la Directive :</p> <ul> <li><strong>Une adresse email générique</strong> (par exemple, conformité@entreprise.com). Cela ne protège pas la confidentialité, ne suit pas les délais et ne crée pas de piste d’audit.</li> <li><strong>Une boîte à suggestions anonyme.</strong> Pas de communication bidirectionnelle, pas d’accusé de réception, pas de mécanisme de retour.</li> <li><strong>Une page dans le règlement intérieur.</strong> Le canal doit être opérationnel, pas seulement documenté.</li> <li><strong>Une ligne téléphonique tierce sans gestion des dossiers.</strong> Si les signalements arrivent par téléphone mais ne sont pas suivis dans un système avec délais et piste d’audit, vous n’êtes pas conforme à l’Art. 9.</li> </ul> <hr> <h2 id="que-se-passe-t-il-en-cas-de-non-conformité"> Que se passe-t-il en cas de non-conformité <a href="#que-se-passe-t-il-en-cas-de-non-conformit%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Chaque État membre a défini des sanctions. Elles varient considérablement :</p> <table> <thead> <tr> <th>Pays</th> <th>Sanction pour absence de canal de signalement</th> <th>Source</th> </tr> </thead> <tbody> <tr> <td>Espagne</td> <td>Jusqu’à 1 000 000 EUR</td> <td><a href="https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513" rel="nofollow">Law 2/2023</a> </td> </tr> <tr> <td>Belgique</td> <td>24 000 à 576 000 EUR + jusqu’à 3 ans de prison</td> <td><a href="https://cms.law/en/int/expert-guides/whistleblower-protection-and-reporting-channels/belgium" rel="nofollow">CMS Expert Guide</a> </td> </tr> <tr> <td>Allemagne</td> <td>20 000 à 500 000 EUR (personnes morales)</td> <td><a href="https://www.gesetze-im-internet.de/hinschg/" rel="nofollow">HinSchG §40</a> </td> </tr> <tr> <td>Italie</td> <td>10 000 à 50 000 EUR</td> <td><a href="https://www.gazzettaufficiale.it/eli/id/2023/03/15/23G00032/sg" rel="nofollow">D.Lgs. 24/2023</a> </td> </tr> <tr> <td>Pologne</td> <td>Jusqu’à 1 080 000 PLN (~250 000 EUR)</td> <td><a href="https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20240000928" rel="nofollow">Act of 14 June 2024</a> </td> </tr> </tbody> </table> <p>L’application n’est pas théorique. En mars 2025, la Cour de justice de l’UE a infligé à cinq États membres des amendes totalisant 39 millions d’euros pour retard de transposition de la Directive. Les autorités nationales de contrôle sont désormais opérationnelles dans la plupart des pays et prononcent activement des sanctions.</p> <p>Consultez notre page complète des <a href="/fr/penalties/">sanctions par pays</a> pour les 27 États membres.</p> <hr> <h2 id="le-chemin-le-plus-rapide-vers-la-conformité"> Le chemin le plus rapide vers la conformité <a href="#le-chemin-le-plus-rapide-vers-la-conformit%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Si votre organisation compte 50 employés ou plus, l’échéance est passée. Voici comment vous mettre en conformité :</p> <ol> <li><strong>Déployez un canal de signalement.</strong> <a href="https://secure.ethicsportal.eu/session/new" rel="nofollow">EthicsPortal</a> fournit la configuration du portail, l’intake sécurisé, le suivi des délais et les exports d’audit pour 60 EUR/mois.</li> <li><strong>Désignez un référent.</strong> Nommez au moins une personne impartiale pour recevoir et investiguer les signalements.</li> <li><strong>Informez les employés.</strong> Partagez l’URL du portail et le QR code via des affiches, des supports d’intégration et des communications internes.</li> <li><strong>Documentez votre procédure.</strong> Adoptez une politique interne de protection des lanceurs d’alerte décrivant le processus, les délais et les protections anti-représailles.</li> </ol> <p>Le logiciel est la partie facile. L’ensemble de la mise en place — canal, configuration, QR code — peut être fait pendant une pause déjeuner. Les étapes organisationnelles (désignation du référent, politique, formation) prennent plus de temps mais sont simples.</p> <p>Pour une analyse article par article de la façon dont EthicsPortal répond aux exigences de la Directive, consultez notre <a href="/fr/directive-coverage/">page de conformité</a> .</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/best-whistleblower-software/Sun, 01 Mar 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/best-whistleblower-software/Un comparatif indépendant des meilleures plateformes de signalement en 2026, incluant tarifs, fonctionnalités et le profil idéal de chaque outil.<h1 id="meilleurs-logiciels-de-lancement-dalerte-en-2026--comparatif-honnête"> Meilleurs logiciels de lancement d’alerte en 2026 : comparatif honnête <a href="#meilleurs-logiciels-de-lancement-dalerte-en-2026--comparatif-honn%c3%aate" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>Si vous cherchez un logiciel de lancement d’alerte pour vous conformer à la directive européenne 2019/1937, vous avez probablement remarqué que chaque éditeur publié un article « meilleur logiciel de lancement d’alerte » — et se classe en première position. Nous n’allons pas faire cela. Voici un comparatif honnête, côte à côte, des plateformes que nous avons évaluées avant de créer EthicsPortal, plus EthicsPortal lui-même.</p> <p>Nous avons examiné la transparence tarifaire, la rapidité de mise en place, l’hébergement dans l’UE, la richesse fonctionnelle et l’adéquation de chaque outil aux petites et moyennes entreprises par rapport aux grandes entreprises.</p> <hr> <h2 id="tableau-comparatif-rapide"> Tableau comparatif rapide <a href="#tableau-comparatif-rapide" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <table> <thead> <tr> <th>Plateforme</th> <th>Tarif de départ</th> <th>Offre gratuite</th> <th>Hébergement UE</th> <th>Délai de mise en place</th> <th>Idéal pour</th> </tr> </thead> <tbody> <tr> <td>EQS Integrity Line</td> <td>~3 000 €/an (devis personnalisé)</td> <td>Non</td> <td>Oui</td> <td>Semaines</td> <td>Grandes entreprises, secteurs réglementés</td> </tr> <tr> <td>Formalize (whistleblowersoftware.com)</td> <td>Personnalisé (sur devis)</td> <td>Oui (14 jours)</td> <td>Oui (Danemark)</td> <td>Jours</td> <td>Entreprises moyennes européennes</td> </tr> <tr> <td>Whistlelink</td> <td>79 €/mois (starter)</td> <td>Non</td> <td>Oui (Suède)</td> <td>Jours</td> <td>Entreprises nordiques, taille moyenne</td> </tr> <tr> <td>FaceUp</td> <td>Sur devis (USD)</td> <td>Non</td> <td>Oui (République tchèque)</td> <td>Heures</td> <td>Écoles, conformité d’entreprise</td> </tr> <tr> <td>NAVEX Global</td> <td>Tarif personnalisé (généralement 5 000 €+/an)</td> <td>Non</td> <td>Oui (en option)</td> <td>Semaines</td> <td>Grandes entreprises US/UE</td> </tr> <tr> <td>Whispli</td> <td>Tarif personnalisé (~3 000 €+/an)</td> <td>Non</td> <td>Oui (en option)</td> <td>Semaines</td> <td>Grandes entreprises, processus complexes</td> </tr> <tr> <td>SpeakUp (People Intouch)</td> <td>3 000 €/an</td> <td>Non</td> <td>Oui (Pays-Bas)</td> <td>Jours</td> <td>Moyennes à grandes entreprises européennes</td> </tr> <tr> <td>Hintbox</td> <td>49-149+ €/mois (+TVA)</td> <td>Oui</td> <td>Oui (Allemagne)</td> <td>Jours</td> <td>Marchés germanophones</td> </tr> <tr> <td>AllVoices</td> <td>Tarif personnalisé (~4 000 $+/an)</td> <td>Non</td> <td>US uniquement</td> <td>Semaines</td> <td>Entreprises US, orienté RH</td> </tr> <tr> <td>EthicsPortal</td> <td>60 €/mois forfaitaire</td> <td>Non</td> <td>Oui (UE)</td> <td>Minutes</td> <td>PME, canal Directive</td> </tr> </tbody> </table> <hr> <h2 id="analyses-détaillées"> Analyses détaillées <a href="#analyses-d%c3%a9taill%c3%a9es" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <h3 id="eqs-integrity-line"> EQS Integrity Line <a href="#eqs-integrity-line" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>EQS est le poids lourd du logiciel de conformité européen. Leur solution Integrity Line est utilisée par des banques, des assureurs et des sociétés cotées à travers l’UE.</p> <p><strong>Points forts :</strong> Intégration approfondie avec des suites GRC (gouvernance, risque, conformité) plus larges. Excellentes pistes d’audit. Forte notoriété de marque auprès des équipes conformité des grandes entreprises. Prise en charge de plus de 70 langues.</p> <p><strong>Points faibles :</strong> La tarification est opaque — vous ne trouverez pas de prix sur leur site web. Comptez plusieurs milliers d’euros par an, et vous devrez passer par un processus commercial. La mise en oeuvre prend généralement des semaines avec un accompagnement dédié. Cela peut dépasser les besoins d’une entreprise de 50 personnes.</p> <p><strong>Idéal pour :</strong> Les grandes entreprises (500+ employés) de secteurs fortement réglementés ayant besoin d’un écosystème GRC complet.</p> <h3 id="formalize-whistleblowersoftwarecom"> Formalize (whistleblowersoftware.com) <a href="#formalize-whistleblowersoftwarecom" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Formalize, commercialisé sous le nom WhistleblowerSoftware.com, est une plateforme danoise soutenue par une série A de 15 M€ avec plus de 500 partenaires consultants dont PwC et Baker McKenzie. Ils se sont repositionnés et élargis à la conformité au sens large (NIS2, DORA, ISO 27001).</p> <p><strong>Points forts :</strong> Plus de 80 langues. Certifié ISO 27001 et ISAE 3000. Solide écosystème de partenaires. Essai gratuit de 14 jours.</p> <p><strong>Points faibles :</strong> Ne publie plus ses tarifs — nécessite de demander un devis personnalisé. L’expansion au-delà du lancement d’alerte vers la conformité NIS2/DORA peut diluer le focus. La mise en place implique un processus de démonstration/vente plutôt qu’une inscription en libre-service.</p> <p><strong>Idéal pour :</strong> Les entreprises européennes de taille moyenne (50–500 employés) qui souhaitent un produit soigné et ne sont pas gênées par une tarification par employé.</p> <h3 id="whistlelink"> Whistlelink <a href="#whistlelink" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Une plateforme suédoise avec une forte présence dans les pays nordiques. Whistlelink se positionne comme facile à utiliser et conforme à la législation européenne.</p> <p><strong>Points forts :</strong> Disponible en plus de 50 langues. Bonne gestion des dossiers. Hébergé en Suède. Interface simple pour les lanceurs d’alerte. Toutes les offres incluent le même ensemble de fonctionnalités. Essai gratuit de 30 jours.</p> <p><strong>Points faibles :</strong> Le tarif de départ de 79 €/mois (facturation annuelle) est raisonnable mais reste supérieur aux options forfaitaires. La tarification par employé monte à 299 €/mois pour les grandes organisations. Au-delà de 1 000 employés, il faut contacter le service commercial.</p> <p><strong>Idéal pour :</strong> Les entreprises nordiques et d’Europe du Nord recherchant un fournisseur régional avec un bon support linguistique.</p> <h3 id="faceup"> FaceUp <a href="#faceup" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>FaceUp est une plateforme d’alerte fondée en République tchèque qui s’est étendue de son orientation initiale vers les écoles à la conformité d’entreprise, servant désormais des organisations dans plus de 70 pays. Ils prennent en charge 113 langues et proposent une application mobile pour les lanceurs d’alerte.</p> <p><strong>Points forts :</strong> Disponible en 113 langues — parmi les plus élevés du marché. Application mobile pour les lanceurs d’alerte. Certifié ISO 27001. Forte présence dans le secteur éducatif en parallèle de la conformité d’entreprise.</p> <p><strong>Points faibles :</strong> La tarification n’est pas publiée — toutes les formules affichent un bouton « Demander un devis » malgré l’affichage de noms de paliers (Starter, Professional, Enterprise). La tarification est en dollars américains, ce qui ajoute un risque de change pour les entreprises européennes. L’origine scolaire se ressent dans certains aspects de l’expérience utilisateur.</p> <p><strong>Idéal pour :</strong> Les organisations qui ont besoin de 113 langues, souhaitent une application mobile de signalement, ou opèrent à la fois dans l’éducation et le secteur privé.</p> <h3 id="navex-global"> NAVEX Global <a href="#navex-global" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>NAVEX est le géant de l’éthique et de la conformité, principalement en Amérique du Nord mais de plus en plus en Europe. Leur produit EthicsPoint existe depuis des décennies.</p> <p><strong>Points forts :</strong> Ensemble de fonctionnalités massif. Données de benchmark issues de milliers de clients. Services de ligne téléphonique (signalement par téléphone). Analyses puissantes.</p> <p><strong>Points faibles :</strong> Tarification entreprise — attendez-vous à des devis personnalisés bien au-dessus de 5 000 €/an. Cycles de mise en oeuvre longs. La plateforme peut sembler datée par rapport aux nouveaux entrants. L’ADN nord-américain signifie que les exigences spécifiques à l’UE semblent parfois ajoutées après coup plutôt que natives.</p> <p><strong>Idéal pour :</strong> Les grandes multinationales (1 000+ employés) qui souhaitent un fournisseur unique pour l’ensemble de leur programme d’éthique et de conformité, y compris les lignes téléphoniques.</p> <h3 id="whispli"> Whispli <a href="#whispli" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Une entreprise fondée en Australie qui s’est étendue en Europe. Whispli met l’accent sur la communication anonyme bidirectionnelle.</p> <p><strong>Points forts :</strong> Système de messagerie anonyme robuste. Bonne expérience mobile. Prise en charge du signalement vocal et vidéo. Configuration de processus souple.</p> <p><strong>Points faibles :</strong> Tarification personnalisée sans chiffrés publics — les retours suggèrent un démarrage autour de 3 000 €/an. La mise en oeuvre implique des appels d’intégration et de configuration. Présence européenne plus limitée par rapport aux fournisseurs natifs de l’UE.</p> <p><strong>Idéal pour :</strong> Les organisations qui privilégient la communication anonyme bidirectionnelle et ont besoin de signalement multimédia (voix, vidéo).</p> <h3 id="speakup-people-intouch"> SpeakUp (People Intouch) <a href="#speakup-people-intouch" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Une plateforme néerlandaise présente dans le domaine du lancement d’alerte depuis avant que la directive européenne ne le rende obligatoire. SpeakUp propose à la fois du logiciel et des services managés (externalisation du traitement des dossiers).</p> <p><strong>Points forts :</strong> Longue expérience. Option d’externalisation complète du traitement des dossiers. Hébergé aux Pays-Bas. Signalement téléphonique inclus.</p> <p><strong>Points faibles :</strong> Les tarifs démarrent à 3 000 €/an pour les entreprises de moins de 1 000 employés, personnalisé au-delà. Le modèle de services managés signifie que vous payez pour des personnes, pas seulement pour un logiciel. L’interface est fonctionnelle mais pas moderne.</p> <p><strong>Idéal pour :</strong> Les moyennes à grandes entreprises européennes qui souhaitent l’option d’externaliser le traitement des signalements à un tiers.</p> <h3 id="hintbox"> Hintbox <a href="#hintbox" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Une plateforme allemande (partie de la suite lawcode) avec plus de 1 000 clients dont Rewe, s.Oliver et le FC Bayern. Certifiée ISO 27001, hébergée chez Hetzner en Allemagne. S’étend au-delà du lancement d’alerte vers la conformité LkSG (loi sur la chaîne d’approvisionnement) et CSRD.</p> <p><strong>Points forts :</strong> Produit mature avec une large base de clients. Certifié ISO 27001. Plus de 30 langues avec traduction IA. 2FA, suppression des métadonnées, analyse antivirus inclus. À partir de 49 €/mois. Essai gratuit disponible.</p> <p><strong>Points faibles :</strong> La tarification par employé monte à 149+ €/mois pour les grandes entreprises. Les coûts d’options s’accumulent : bot vocal (+49 €/mois), intégration e-mail (+29 €/mois), domaine personnalisé (+29 €/mois). Centré sur la région DACH — présence limitée en dehors des marchés germanophones. L’expansion vers plusieurs cadres de conformité peut diluer le focus sur le lancement d’alerte.</p> <p><strong>Idéal pour :</strong> Les entreprises allemandes, autrichiennes et suisses qui souhaitent un fournisseur local avec ISO 27001, une expertise approfondie du HinSchG et un historique éprouvé.</p> <h3 id="allvoices"> AllVoices <a href="#allvoices" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Une plateforme américaine axée sur les relations employés et le signalement orienté RH, pas seulement sur le lancement d’alerte.</p> <p><strong>Points forts :</strong> Forte intégration RH. Analyses et détection de tendances par IA. Adapté aux cas d’usage culturels et d’engagement au-delà de la conformité.</p> <p><strong>Points faibles :</strong> Hébergé aux US sans option de centre de données dans l’UE au début de 2026. Tarification personnalisée et démarrant apparemment autour de 4 000 $/an. Pas conçu avec la directive européenne comme cadre principal.</p> <p><strong>Idéal pour :</strong> Les entreprises basées aux États-Unis qui souhaitent un outil combinant relations employés et lancement d’alerte et n’ont pas besoin d’hébergement dans l’UE.</p> <h3 id="ethicsportal"> EthicsPortal <a href="#ethicsportal" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>EthicsPortal est conçu pour offrir une conformité à la Directive UE 2019/1937 avec une tarification transparente, une inscription en libre-service et un portail opérationnel le jour même.</p> <p><strong>Points forts :</strong> Tarif forfaitaire de 60 €/mois quel que soit le nombre d’employés. Opérationnel en quelques minutes. Hébergé dans l’UE. Couvre les exigences fondamentales de la directive : signalement anonyme chiffré, messagerie bidirectionnelle via codes d’accès, gestion des dossiers, suivi de l’accusé de réception à 7 jours et du retour d’information à 3 mois, génération de QR code et portails multilingues. Tarification ouverte et transparente.</p> <p><strong>Points faibles :</strong> Pas de ligne téléphonique. Pas d’externalisation du traitement des dossiers. Intégrations limitées (pas encore de connecteurs SIRH). Non adapté aux organisations nécessitant une suite GRC complète.</p> <p><strong>Idéal pour :</strong> Les PME et entreprises de taille moyenne (50–1 000 employés) qui ont besoin de la conformité à la directive sans la complexité ni les tarifs entreprise.</p> <hr> <h2 id="notre-méthodologie"> Notre méthodologie <a href="#notre-m%c3%a9thodologie" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Nous avons évalué chaque plateforme selon cinq critères :</p> <ol> <li><strong>Transparence tarifaire.</strong> Peut-on trouver le prix sur le site web sans demander une démonstration ? Points bonus pour la tarification forfaitaire.</li> <li><strong>Rapidité de mise en place.</strong> En combien de temps un responsable conformité non technique peut-il passer de l’inscription à un canal de signalement opérationnel ?</li> <li><strong>Couverture de la directive européenne.</strong> La plateforme prend-elle en charge nativement les exigences clés de la directive 2019/1937 — signalement anonyme, communication bidirectionnelle, délais d’accusé de réception, confidentialité ?</li> <li><strong>Résidence des données.</strong> Les données sont-elles hébergées dans l’UE par défaut, ou est-ce une option payante ?</li> <li><strong>Adéquation au public cible.</strong> La plateforme est-elle conçue pour votre taille d’entreprise, ou payez-vous pour des fonctionnalités conçues pour des organisations dix fois plus grandes ?</li> </ol> <p>Nous avons utilisé les tarifs publiquement disponibles lorsque c’était possible et contacté les équipes commerciales lorsque les tarifs n’étaient pas publiés. Les prix cités correspondent au T1 2026 et peuvent varier selon la région, la durée du contrat et la négociation.</p> <p>Pas de liens d’affiliation. Pas de sponsoring. Nous avons créé EthicsPortal parce que nous avons identifié un manqué — cet article explique où se situe ce manqué, et où d’autres outils peuvent être le meilleur choix pour votre situation.</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/anonymous-vs-confidential-reporting/Sun, 15 Feb 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/anonymous-vs-confidential-reporting/Comprendre la différence entre le signalement anonyme et confidentiel, ce que la directive européenne exige, et comment gérer les deux.<h1 id="signalement-anonyme-ou-confidentiel--quelle-différence-"> Signalement anonyme ou confidentiel : quelle différence ? <a href="#signalement-anonyme-ou-confidentiel--quelle-diff%c3%a9rence-" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>Les responsables conformité utilisent fréquemment « anonyme » et « confidentiel » de manière interchangeable lorsqu’ils parlent de signalement. Ce n’est pourtant pas la même chose, et la distinction compte — tant sur le plan juridique que pratique.</p> <p>Se tromper sur ce point peut saper la confiance dans votre canal de signalement, exposer votre organisation à des risques juridiques ou rendre les enquêtes plus difficiles que nécessaire. Voici ce que chaque terme signifie, ce que la directive européenne prévoit, et comment gérer les deux en pratique.</p> <hr> <h2 id="définitions"> Définitions <a href="#d%c3%a9finitions" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <h3 id="signalement-anonyme"> Signalement anonyme <a href="#signalement-anonyme" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>L’identité du lanceur d’alerte est inconnue de tous, y compris du gestionnaire de cas. L’organisation reçoit le signalement mais n’a aucun moyen de déterminer qui l’a soumis. Le lanceur d’alerte ne fournit ni son nom, ni son e-mail, ni aucune information permettant de l’identifier.</p> <p>Le véritable anonymat signifie que même si l’organisation souhaitait identifier le lanceur d’alerte, elle ne le pourrait pas — le système est conçu pour l’empêcher.</p> <h3 id="signalement-confidentiel"> Signalement confidentiel <a href="#signalement-confidentiel" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>L’identité du lanceur d’alerte est connue du gestionnaire de cas (ou d’un nombre limité de personnes autorisées), mais elle est protégée contre toute divulgation à des tiers. Le gestionnaire sait qui a fait le signalement mais est juridiquement et organisationnellement tenu de ne pas révéler cette identité.</p> <p>La confidentialité est une promesse adossée à des protections juridiques. Le signalement anonyme supprime entièrement la nécessité de cette promesse.</p> <hr> <h2 id="ce-que-la-directive-européenne-prévoit"> Ce que la directive européenne prévoit <a href="#ce-que-la-directive-europ%c3%a9enne-pr%c3%a9voit" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>La directive européenne 2019/1937 aborde les deux concepts, tout en laissant aux États membres une certaine flexibilité sur le signalement anonyme.</p> <p><strong>Confidentialité (article 16) :</strong> La directive est sans ambiguïté sur ce point. L’identité de l’auteur du signalement ne doit être divulguée à personne en dehors du personnel autorisé sans le consentement explicite du lanceur d’alerte. Cela s’applique à tous les signalements, que le lanceur d’alerte s’identifie ou non. La confidentialité est obligatoire.</p> <p><strong>Signalement anonyme (article 6(2–3), considérant 34) :</strong> La directive n’exige pas des États membres qu’ils acceptent les signalements anonymes via les canaux internes. Toutefois, elle indique explicitement que les États membres <em>peuvent</em> décider d’autoriser ou d’exiger le signalement anonyme. Lorsque des signalements anonymes sont acceptés, ils doivent être traités avec la même diligence que les signalements identifiés.</p> <p>En pratique, la majorité des États membres ayant transposé la directive exigent désormais ou encouragent fortement le signalement anonyme. La France, l’Allemagne, l’Italie et plusieurs autres le rendent obligatoire. Même là où ce n’est pas légalement requis, permettre l’anonymat est considéré comme une bonne pratique car cela augmente le taux de signalement.</p> <p><strong>Communication bidirectionnelle (article 9(1)(b)) :</strong> La directive exige que les canaux de signalement permettent la communication avec le lanceur d’alerte, y compris l’accusé de réception et le retour d’information. Pour les lanceurs d’alerte anonymes, cela signifie que le canal doit permettre une messagerie bidirectionnelle sans exiger la divulgation de l’identité — généralement via un code d’accès ou un numéro de référence de dossier.</p> <hr> <h2 id="avantages-et-inconvénients"> Avantages et inconvénients <a href="#avantages-et-inconv%c3%a9nients" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <h3 id="signalement-anonyme-1"> Signalement anonyme <a href="#signalement-anonyme-1" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Avantages :</strong></p> <ul> <li>Supprime entièrement la barrière de la peur — les lanceurs d’alerte ne risquent pas d’être identifiés</li> <li>Taux de signalement plus élevés, notamment pour les sujets sensibles comme la fraude commise par la direction</li> <li>Protège les lanceurs d’alerte même si les mesures de confidentialité de l’organisation échouent</li> <li>Renforce la confiance dans le canal de signalement</li> </ul> <p><strong>Inconvénients :</strong></p> <ul> <li>Le suivi est plus difficile — le gestionnaire ne peut pas contacter le lanceur d’alerte pour des précisions sauf si une messagerie bidirectionnelle est disponible</li> <li>Risque de signalements de moindre qualité si le lanceur d’alerte sait qu’il ne peut pas être contacté</li> <li>Certaines organisations s’inquiètent des signalements frivoles ou malveillants (en pratique, les études montrent systématiquement que c’est rare)</li> <li>L’enquête peut être plus difficile sans connaître le point de vue du lanceur d’alerte</li> </ul> <h3 id="signalement-confidentiel-1"> Signalement confidentiel <a href="#signalement-confidentiel-1" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Avantages :</strong></p> <ul> <li>Suivi plus facile — le gestionnaire peut contacter directement le lanceur d’alerte pour obtenir des informations complémentaires</li> <li>Le point de vue et le rôle du lanceur d’alerte peuvent aider à orienter l’enquête</li> <li>Les signalements tendent à être plus détaillés lorsque le lanceur d’alerte sait qu’il peut être contacté</li> <li>Le gestionnaire peut évaluer la crédibilité plus facilement</li> </ul> <p><strong>Inconvénients :</strong></p> <ul> <li>Nécessite que le lanceur d’alerte fasse confiance au maintien de la confidentialité</li> <li>Une seule fuite de données, un e-mail imprudent ou un accès non autorisé peut exposer le lanceur d’alerte</li> <li>Certains lanceurs d’alerte n’utiliseront pas le canal si l’identification est obligatoire</li> <li>L’organisation supporte le risque juridique du maintien de la confidentialité</li> </ul> <hr> <h2 id="comment-fonctionne-le-signalement-anonyme-en-pratique"> Comment fonctionne le signalement anonyme en pratique <a href="#comment-fonctionne-le-signalement-anonyme-en-pratique" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Le signalement anonyme ne signifie pas que le lanceur d’alerte envoie un message dans le vide et n’a jamais de réponse. Les plateformes modernes de lancement d’alerte résolvent le problème de communication grâce aux codes d’accès.</p> <p>Voici comment cela fonctionne typiquement :</p> <ol> <li><strong>Le lanceur d’alerte soumet un signalement</strong> via le portail sans fournir aucune information personnelle.</li> <li><strong>Le système génère un code d’accès unique</strong> (ou numéro de référence de dossier) et l’affiche au lanceur d’alerte.</li> <li><strong>Le lanceur d’alerte conserve le code d’accès.</strong> C’est sa clé d’accès au dossier.</li> <li><strong>Le gestionnaire de cas examine le signalement</strong> et peut publier dès questions de suivi ou des mises à jour de statut sur le dossier.</li> <li><strong>Le lanceur d’alerte revient sur le portail</strong>, saisit le code d’accès et consulté les messages du gestionnaire. Il peut répondre, fournir des documents supplémentaires ou répondre aux questions — le tout sans révéler son identité.</li> </ol> <p>Cette approche satisfait l’exigence de communication bidirectionnelle de la directive tout en préservant l’anonymat. Le gestionnaire obtient les informations nécessaires à l’enquête ; le lanceur d’alerte reste protégé.</p> <p>Le modèle de code d’accès permet également de respecter les exigences d’accusé de réception de sept jours et de retour d’information de trois mois, car le lanceur d’alerte peut consulter le portail à tout moment pour vérifier si un accusé de réception ou un retour d’information a été fourni.</p> <hr> <h2 id="pourquoi-offrir-les-deux-options-est-la-bonne-approche"> Pourquoi offrir les deux options est la bonne approche <a href="#pourquoi-offrir-les-deux-options-est-la-bonne-approche" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Les canaux de signalement les plus efficaces donnent aux lanceurs d’alerte le choix : soumettre de manière anonyme, ou fournir son identité avec la garantie de confidentialité.</p> <p>Voici pourquoi :</p> <ul> <li><strong>Différentes situations appellent différentes approches.</strong> Un employé subalterne signalant une fraude d’un cadre dirigeant peut choisir l’anonymat. Un responsable de département signalant un problème de sécurité peut préférer s’identifier pour que l’enquête avance plus vite.</li> <li><strong>Le choix renforce la confiance.</strong> Lorsque les lanceurs d’alerte voient que l’anonymat est réellement disponible, ils font davantage confiance au canal — même ceux qui finissent par choisir de s’identifier.</li> <li><strong>Couverture juridique.</strong> Dans les États membres qui exigent le signalement anonyme, vous êtes conforme. Dans ceux qui ne l’exigent pas, vous dépassez le standard minimum.</li> <li><strong>Meilleurs taux de signalement.</strong> Les études montrent systématiquement que les organisations offrant des canaux anonymes reçoivent plus de signalements et détectent les problèmes plus tôt.</li> </ul> <p>Les propres considérants de la directive européenne le reconnaissent : permettre le signalement anonyme <em>encourage</em> les signalements et rend les canaux plus efficaces.</p> <hr> <h2 id="comment-ethicsportal-gère-cela"> Comment EthicsPortal gère cela <a href="#comment-ethicsportal-g%c3%a8re-cela" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>EthicsPortal prend en charge le signalement anonyme et confidentiel :</p> <ul> <li><strong>Anonyme par défaut.</strong> Les lanceurs d’alerte ne sont jamais tenus de fournir leur identité. Pas de nom, pas d’e-mail, pas de compte.</li> <li><strong>Divulgation d’identité facultative.</strong> Les lanceurs d’alerte peuvent choisir de partager leur nom ou leurs coordonnées s’ils le souhaitent. C’est entièrement volontaire.</li> <li><strong>Messagerie par code d’accès.</strong> Chaque signalement génère un code d’accès unique. Le lanceur d’alerte l’utilise pour consulter les mises à jour et communiquer avec le gestionnaire de cas, sans révéler son identité.</li> <li><strong>Confidentialité appliquée.</strong> Lorsqu’un lanceur d’alerte partage son identité, les contrôles d’accès garantissent que seuls les gestionnaires de cas désignés peuvent la consulter.</li> </ul> <p>Cela donne aux lanceurs d’alerte un contrôle total sur leur niveau d’exposition, tout en offrant aux gestionnaires de cas les outils nécessaires pour enquêter efficacement.</p> <hr> <h2 id="lessentiel"> L’essentiel <a href="#lessentiel" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Anonyme signifie que le gestionnaire ne sait pas qui vous êtes. Confidentiel signifie que le gestionnaire le sait mais est juridiquement tenu de ne le révéler à personne. Les deux servent l’objectif de protéger les lanceurs d’alerte, mais de manière différente.</p> <p>La directive européenne impose la confidentialité. Elle laisse le signalement anonyme aux États membres, dont la plupart l’exigent ou le recommandent désormais. L’approche la plus sûre — pour vos lanceurs d’alerte et votre posture de conformité — est d’offrir les deux.</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/how-to-implement-whistleblower-channel/Sun, 01 Feb 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/how-to-implement-whistleblower-channel/Un guide étape par étape pour mettre en place rapidement un canal de signalement conforme à la Loi Waserman, sans des semaines d'intégration ni d'appels commerciaux.<h1 id="comment-mettre-en-place-un-canal-de-signalement-en-5-minutes"> Comment mettre en place un canal de signalement en 5 minutes <a href="#comment-mettre-en-place-un-canal-de-signalement-en-5-minutes" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>La <a href="https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045388745" rel="nofollow">Loi Waserman</a> (transposition française de la Directive UE 2019/1937) impose à toute organisation de 50 salariés ou plus de disposer d’un canal interne de signalement. L’exigence est claire, mais la plupart des mises en oeuvre prennent bien plus de temps qu’elles ne le devraient.</p> <p>Ce guide explique ce que la loi exige réellement du canal lui-même, pourquoi les outils entreprise rendent le processus inutilement long, et comment obtenir un canal opérationnel en quelques minutes.</p> <hr> <h2 id="ce-que-la-directive-exige"> Ce que la directive exige <a href="#ce-que-la-directive-exige" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Les articles 8 et 9 précisent ce qu’un canal de signalement interne doit faire :</p> <ul> <li>Accepter les signalements par écrit ou oralement</li> <li>Permettre le signalement anonyme (obligatoire dans certains États membres, fortement recommandé partout)</li> <li>Permettre la communication bidirectionnelle avec le lanceur d’alerte, même s’il est anonyme</li> <li>Garantir que seules les personnes autorisées peuvent accéder aux signalements</li> <li>Accuser réception dans les sept jours calendaires</li> <li>Fournir un retour d’information dans les trois mois</li> </ul> <p>C’est le minimum légal. Aucune technologie spécifique n’est imposée — la directive est neutre sur le plan technologique. Un portail web, une ligne téléphonique ou même une boîte aux lettres physique verrouillée peuvent convenir, à condition de respecter les exigences ci-dessus.</p> <hr> <h2 id="pourquoi-la-plupart-des-mises-en-oeuvre-prennent-des-semaines"> Pourquoi la plupart des mises en oeuvre prennent des semaines <a href="#pourquoi-la-plupart-des-mises-en-oeuvre-prennent-des-semaines" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Les plateformes entreprise de lancement d’alerte sont conçues pour de grandes organisations avec des processus d’achat complexes. Une mise en oeuvre typique ressemble à ceci :</p> <ol> <li><strong>Demander une démonstration</strong> — remplir un formulaire, attendre qu’un commercial vous rappelle</li> <li><strong>Assister à la démonstration</strong> — un appel de 30 à 60 minutes où le fournisseur vous présente des fonctionnalités dont vous n’avez peut-être pas besoin</li> <li><strong>Recevoir une proposition</strong> — tarification personnalisée basée sur le nombre d’employés, les modules et les options</li> <li><strong>Négocier le contrat</strong> — revue juridique, signature du DPA, approbation des achats</li> <li><strong>Lancement de l’intégration</strong> — un chef de projet est assigné, un autre appel est planifié</li> <li><strong>Configuration</strong> — le fournisseur configure votre portail, vos catégories et votre identité visuelle (ou vous forme pour le faire)</li> <li><strong>Tests et lancement</strong> — revue, validation et mise en production</li> </ol> <p>Pour une entreprise de 100 personnes qui a simplement besoin d’un canal conforme, ce processus représente des semaines de délai et des heures de réunions. Il est conçu pour les grandes entreprises où un cycle d’achat de six semaines est normal. Pour une PME, c’est une friction qui retarde la mise en conformité.</p> <hr> <h2 id="la-mise-en-place-avec-ethicsportal"> La mise en place avec EthicsPortal <a href="#la-mise-en-place-avec-ethicsportal" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>EthicsPortal est conçu pour un scénario précis : votre organisation a besoin d’un canal conforme à la directive sans déployer une suite GRC complète.</p> <h3 id="étape-1--activer-le-portail"> Étape 1 : Activer le portail <a href="#%c3%a9tape-1--activer-le-portail" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Rendez-vous sur <a href="/">ethicsportal.eu</a> , créez le compte de l’organisation, choisissez un plan et accédez à l’espace d’administration du portail.</p> <h3 id="étape-2--configuration-de-votre-portail"> Étape 2 : Configuration de votre portail <a href="#%c3%a9tape-2--configuration-de-votre-portail" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Depuis le tableau de bord, configurez votre portail de signalement :</p> <ul> <li><strong>Nom de l’organisation</strong> — apparaît sur le portail pour que les lanceurs d’alerte sachent qu’ils sont au bon endroit</li> <li><strong>Catégories de signalement</strong> — définissez les types de problèmes pouvant être signalés (fraude, harcèlement, violations de sécurité, etc.). Des valeurs par défaut pertinentes sont proposées.</li> <li><strong>Texte d’accueil</strong> — le message que voient les lanceurs d’alerte lorsqu’ils arrivent sur le portail. Un texte par défaut clair et rassurant est pré-rempli.</li> <li><strong>Logo</strong> — adaptez l’identité visuelle de votre organisation</li> <li><strong>Langue</strong> — choisissez la langue du portail pour vos lanceurs d’alerte</li> </ul> <p>Le portail est en ligne à une URL unique dès que vous enregistrez. Pas de déploiement, pas d’attente.</p> <h3 id="étape-3--partagez-le-portail-avec-les-employés-1-minute"> Étape 3 : Partagez le portail avec les employés (1 minute) <a href="#%c3%a9tape-3--partagez-le-portail-avec-les-employ%c3%a9s-1-minute" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Chaque portail dispose d’un lien partageable et d’un QR code. Vous pouvez :</p> <ul> <li>Envoyer le lien par e-mail à tous les employés</li> <li>Imprimer le QR code et l’afficher dans les salles de pause, les bureaux ou les espaces communs</li> <li>Ajouter le lien à votre intranet ou livret d’accueil</li> <li>L’inclure dans votre politique écrite de lancement d’alerte</li> </ul> <h3 id="étape-4--commencez-à-recevoir-et-gérer-les-signalements-1-minute"> Étape 4 : Commencez à recevoir et gérer les signalements (1 minute) <a href="#%c3%a9tape-4--commencez-%c3%a0-recevoir-et-g%c3%a9rer-les-signalements-1-minute" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Lorsqu’un signalement est soumis via le portail, vous recevez une notification. Depuis le tableau de bord, vous pouvez :</p> <ul> <li>Lire le signalement</li> <li>Communiquer avec le lanceur d’alerte via une messagerie bidirectionnelle sécurisée (même s’il est anonyme — il utilise un code d’accès)</li> <li>Suivre le délai d’accusé de réception de sept jours</li> <li>Suivre le délai de retour d’information de trois mois</li> <li>Mettre à jour le statut du dossier et ajouter des notes internes</li> <li>Clôturer le dossier avec un résultat documenté</li> </ul> <p>C’est tout. Votre canal est en ligne, conforme et prêt à recevoir des signalements.</p> <hr> <h2 id="que-faire-après-la-mise-en-place"> Que faire après la mise en place <a href="#que-faire-apr%c3%a8s-la-mise-en-place" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Un canal de signalement est le socle technique, mais la conformité nécessite aussi des mesures organisationnelles :</p> <h3 id="désigner-un-gestionnaire-de-cas"> Désigner un gestionnaire de cas <a href="#d%c3%a9signer-un-gestionnaire-de-cas" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Nommez une ou plusieurs personnes pour recevoir et enquêter sur les signalements. Cette personne doit être impartiale et ne pas être susceptible de faire l’objet de signalements. Un responsable conformité, un conseiller juridique ou un cadre supérieur des RH remplit généralement ce rôle. Pour les petites organisations, le dirigeant peut servir de gestionnaire.</p> <h3 id="former-vos-gestionnaires"> Former vos gestionnaires <a href="#former-vos-gestionnaires" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Les gestionnaires de cas doivent comprendre : comment utiliser la plateforme, les obligations de confidentialité, les délais de sept jours et trois mois, les bases de la conduite d’une enquête interne et les règles anti-représailles.</p> <h3 id="rédiger-une-politique-de-lancement-dalerte"> Rédiger une politique de lancement d’alerte <a href="#r%c3%a9diger-une-politique-de-lancement-dalerte" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>Documentez la manière dont votre organisation traite les signalements. Couvrez le champ d’application, qui peut signaler, la confidentialité, la protection contre les représailles et le processus d’enquête. Consultez notre <a href="/fr/blog/whistleblower-policy-template/">modèle gratuit de politique</a> pour un document prêt à l’emploi.</p> <h3 id="informer-les-employés"> Informer les employés <a href="#informer-les-employ%c3%a9s" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p>La directive exige que vous informiez proactivement les employés de l’existence du canal. Envoyez un e-mail, publiez sur l’intranet, mentionnez-le en réunion d’équipe et intégrez-le dans le processus d’accueil. Le QR code facilite les choses — imprimez-le et placez-le là où les gens le verront.</p> <hr> <h2 id="erreurs-courantes-à-éviter"> Erreurs courantes à éviter <a href="#erreurs-courantes-%c3%a0-%c3%a9viter" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p><strong>Utiliser une adresse e-mail générique.</strong> Une adresse comme conformité@entreprise.com ne répond pas aux exigences de la directive dans la plupart des cas. L’e-mail ne dispose pas de chiffrement, ne permet pas le signalement anonyme et ne fournit pas de communication bidirectionnelle avec les lanceurs d’alerte anonymes.</p> <p><strong>Exiger l’identification dès lanceurs d’alerte.</strong> Bien que la directive n’impose pas uniformément le signalement anonyme dans tous les États membres, plusieurs lois nationales de transposition le font, et rendre l’identification obligatoire décourage les signalements. Permettez l’anonymat par défaut.</p> <p><strong>Oublier les délais.</strong> Sept jours pour l’accusé de réception, trois mois pour le retour d’information. Ce ne sont pas des suggestions — ce sont des obligations légales. Les manquer constitue un manquement à la conformité. Utilisez un système qui suit automatiquement ces délais.</p> <p><strong>Ne pas désigner de gestionnaire.</strong> Le canal est une boîte aux lettres. Quelqu’un doit l’ouvrir, lire les signalements et agir en conséquence. Si personne n’est désigné, les signalements restent sans réponse et les délais sont dépassés.</p> <p><strong>Sur-dimensionner la mise en place.</strong> Vous n’avez pas besoin d’une suite GRC complète, d’intégrations personnalisées ou d’un déploiement de six mois pour être conforme. Un canal fonctionnel avec signalement anonyme, communication bidirectionnelle et suivi des délais couvre les exigences légales. Commencez simplement, ajoutez de la complexité uniquement si nécessaire.</p> <hr> <h2 id="lancez-vous"> Lancez-vous <a href="#lancez-vous" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p><a href="/">EthicsPortal</a> coûte 60 €/mois tout compris — sans tarification par employé. Mettez en place votre canal de signalement conforme en quelques minutes et concentrez-vous sur l’essentiel : protéger ceux qui osent prendre la parole.</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/compliance-checklist/Thu, 15 Jan 2026 00:00:00 +0000https://ethicsportal.eu/fr/blog/compliance-checklist/Une liste de contrôle pratique en 12 étapes pour se conformer à la Loi Waserman (transposition française de la Directive UE 2019/1937), avec références aux articles, conseils et guide de mise en oeuvre.<h1 id="liste-de-contrôle-de-conformité-à-la-loi-waserman-lanceurs-dalerte"> Liste de contrôle de conformité à la Loi Waserman (lanceurs d’alerte) <a href="#liste-de-contr%c3%b4le-de-conformit%c3%a9-%c3%a0-la-loi-waserman-lanceurs-dalerte" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>La <a href="https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045388745" rel="nofollow">Loi Waserman (n° 2022-401)</a> transpose en droit français la Directive UE 2019/1937 et impose aux organisations de 50 salariés ou plus de mettre en place des canaux internes de signalement et de protéger les lanceurs d’alerte. La loi est en vigueur depuis septembre 2022, et son application est effective.</p> <p>Cette liste de contrôle vous guide à travers les douze étapes vers une conformité complète. Pour chaque point, nous citons l’article pertinent de la directive, partageons des conseils pratiques et indiquons comment les outils peuvent vous aider. Consultez notre <a href="/fr/whistleblower-laws/france/">page dédiée à la législation française</a> pour les spécificités nationales.</p> <hr> <h2 id="la-liste-de-contrôle"> La liste de contrôle <a href="#la-liste-de-contr%c3%b4le" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <h3 id="1-déterminer-si-votre-organisation-est-concernée"> 1. Déterminer si votre organisation est concernée <a href="#1-d%c3%a9terminer-si-votre-organisation-est-concern%c3%a9e" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 8(3–4)</p> <p>Toutes les entités juridiques du secteur privé employant 50 travailleurs ou plus doivent établir des canaux de signalement internes. Les entités du secteur public, les municipalités et les entités de certains secteurs réglementés (services financiers, sécurité aérienne, maritime, etc.) sont concernées quelle que soit leur taille.</p> <p><strong>Conseil pratique :</strong> Comptez tous les travailleurs, pas seulement les salariés à temps plein. Le personnel à temps partiel, les prestataires travaillant sur site et les intérimaires peuvent être pris en compte dans le seuil selon la loi de transposition de votre État membre.</p> <hr> <h3 id="2-mettre-en-place-un-canal-de-signalement-interne"> 2. Mettre en place un canal de signalement interne <a href="#2-mettre-en-place-un-canal-de-signalement-interne" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 8(1), Article 9(1)(a)</p> <p>Le canal doit permettre les signalements par écrit (formulaire en ligne, e-mail, courrier postal) ou oralement (téléphone, messagerie vocale), ou les deux. Sur demande, il doit également permettre des réunions en personne dans un délai raisonnable.</p> <p><strong>Conseil pratique :</strong> Un portail en ligne est l’option la plus pratique — il est accessible 24h/24, crée un enregistrement automatique et permet une communication anonyme bidirectionnelle. Évitez d’utiliser des adresses e-mail génériques ; elles ne disposent ni de chiffrement, ni d’anonymat, ni de piste d’audit.</p> <p><strong>Comment EthicsPortal vous aide :</strong> Fournit un portail en ligne personnalisé avec signalement anonyme chiffré et messagerie bidirectionnelle, prêt en quelques minutes.</p> <hr> <h3 id="3-désigner-une-personne-ou-un-service-impartial-pour-traiter-les-signalements"> 3. Désigner une personne ou un service impartial pour traiter les signalements <a href="#3-d%c3%a9signer-une-personne-ou-un-service-impartial-pour-traiter-les-signalements" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 9(1)(c)</p> <p>Vous devez désigner une personne ou un service compétent pour assurer le suivi des signalements. Cette personne doit être impartiale — elle ne doit pas avoir de conflit d’intérêts avec l’objet des signalements.</p> <p><strong>Conseil pratique :</strong> Les choix courants incluent un responsable conformité, un conseiller juridique, un directeur des ressources humaines ou un médiateur externe. Pour les petites organisations, le dirigeant peut remplir ce rôle s’il est peu probable qu’il fasse l’objet de signalements. Envisagez de désigner un suppléant.</p> <hr> <h3 id="4-mettre-en-place-le-processus-daccusé-de-réception-délai-de-7-jours"> 4. Mettre en place le processus d’accusé de réception (délai de 7 jours) <a href="#4-mettre-en-place-le-processus-daccus%c3%a9-de-r%c3%a9ception-d%c3%a9lai-de-7-jours" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 9(1)(b)</p> <p>Vous devez accuser réception d’un signalement dans les sept jours calendaires. Cela s’applique à tous les signalements, y compris les signalements anonymes.</p> <p><strong>Conseil pratique :</strong> Automatisez ce processus. Un traitement manuel risque de dépasser le délai de sept jours pendant les vacances ou les absences.</p> <p><strong>Comment EthicsPortal vous aide :</strong> Suit le délai d’accusé de réception pour chaque signalement et indique aux gestionnaires de cas quels signalements nécessitent une attention.</p> <hr> <h3 id="5-définir-le-processus-de-retour-dinformation-délai-de-3-mois"> 5. Définir le processus de retour d’information (délai de 3 mois) <a href="#5-d%c3%a9finir-le-processus-de-retour-dinformation-d%c3%a9lai-de-3-mois" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 9(1)(f)</p> <p>Vous devez fournir un retour d’information à l’auteur du signalement dans les trois mois suivant l’accusé de réception. Ce retour comprend : si le signalement est en cours d’évaluation, fait l’objet d’une enquête ou a été clôturé, ainsi que le résultat de toute enquête.</p> <p><strong>Conseil pratique :</strong> Le « retour d’information » n’exige pas de divulguer l’intégralité des conclusions de l’enquête. Informer le lanceur d’alerte que l’affaire a fait l’objet d’une enquête et que des mesures appropriées ont été prises est suffisant. Pour les lanceurs d’alerte anonymes, le retour d’information doit être disponible via le canal de signalement (par exemple, via un code d’accès).</p> <p><strong>Comment EthicsPortal vous aide :</strong> Suit le délai de retour d’information de trois mois par dossier et permet la messagerie bidirectionnelle avec les lanceurs d’alerte anonymes via des codes d’accès.</p> <hr> <h3 id="6-mettre-en-oeuvre-des-mesures-de-confidentialité"> 6. Mettre en oeuvre des mesures de confidentialité <a href="#6-mettre-en-oeuvre-des-mesures-de-confidentialit%c3%a9" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 16</p> <p>L’identité de l’auteur du signalement ne doit être divulguée à personne en dehors des gestionnaires de cas autorisés sans le consentement explicite du lanceur d’alerte. Cela couvre également les informations permettant de déduire indirectement l’identité du lanceur d’alerte.</p> <p><strong>Conseil pratique :</strong> Limitez strictement l’accès aux signalements. Ne partagez pas les détails des signalements lors de réunions où des personnes non autorisées sont présentes. Lorsque vous transmettez des dossiers en interne, anonymisez les informations identifiant le lanceur d’alerte. Assurez-vous que vos systèmes informatiques appliquent des contrôles d’accès.</p> <p><strong>Comment EthicsPortal vous aide :</strong> Le contrôle d’accès basé sur les rôles garantit que seuls les gestionnaires de cas désignés peuvent consulter les signalements. L’identité du lanceur d’alerte n’est jamais exposée sauf si celui-ci la partage volontairement.</p> <hr> <h3 id="7-établir-des-protections-contre-les-représailles"> 7. Établir des protections contre les représailles <a href="#7-%c3%a9tablir-des-protections-contre-les-repr%c3%a9sailles" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Articles 19, 20, 21</p> <p>Les auteurs de signalements, les facilitateurs et les tiers liés doivent être protégés contre les représailles. La directive définit les représailles de manière large : licenciement, rétrogradation, intimidation, inscription sur liste noire, et plus encore. La charge de la preuve est inversée — si un lanceur d’alerte subit un préjudice après avoir fait un signalement, l’employeur doit prouver que le préjudice n’est pas lié au signalement.</p> <p><strong>Conseil pratique :</strong> Documentez cette protection dans votre politique de lancement d’alerte. Formez les managers sur ce qui constitue une représaille. Suivez les décisions concernant le personnel impliquant toute personne ayant fait un signalement, afin de pouvoir démontrer que les décisions ont été prises sur des bases légitimes.</p> <hr> <h3 id="8-former-les-gestionnaires-de-cas"> 8. Former les gestionnaires de cas <a href="#8-former-les-gestionnaires-de-cas" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 9(1)(c–f) (implicite)</p> <p>La directive ne prescrit pas de formation spécifique, mais les gestionnaires de cas doivent être compétents pour remplir les obligations qu’elle crée : maintenir la confidentialité, fournir un accusé de réception dans les sept jours, assurer un suivi diligent et fournir un retour d’information dans les trois mois.</p> <p><strong>Conseil pratique :</strong> Au minimum, formez les gestionnaires de cas sur : l’utilisation du canal de signalement, les obligations de confidentialité, les bases de l’enquête, les règles anti-représailles et la protection des données. Documentez la formation. Renouvelez-la chaque année.</p> <hr> <h3 id="9-informer-les-employés-de-lexistence-du-canal-de-signalement"> 9. Informer les employés de l’existence du canal de signalement <a href="#9-informer-les-employ%c3%a9s-de-lexistence-du-canal-de-signalement" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 9(1)(g)</p> <p>Vous devez fournir des informations claires et facilement accessibles sur la manière d’utiliser le canal de signalement interne. Vous devez également informer les employés de leur droit de signaler directement aux autorités compétentes.</p> <p><strong>Conseil pratique :</strong> Publiez les informations sur votre intranet, intégrez-les dans les documents d’accueil et affichez-les dans les espaces communs. Un QR code renvoyant vers le portail de signalement est un moyen efficace de rendre le canal facilement accessible.</p> <p><strong>Comment EthicsPortal vous aide :</strong> Génère un QR code et un lien partageable pour votre portail que vous pouvez imprimer et distribuer.</p> <hr> <h3 id="10-mettre-en-place-la-conservation-et-la-suppression-des-données"> 10. Mettre en place la conservation et la suppression des données <a href="#10-mettre-en-place-la-conservation-et-la-suppression-des-donn%c3%a9es" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 17(1–3)</p> <p>Les données personnelles contenues dans les signalements ne doivent pas être conservées plus longtemps que nécessaire. Les données manifestement non pertinentes doivent être supprimées rapidement. Les durées de conservation spécifiques dépendent de la législation de votre État membre, mais le principe est : conserver aussi longtemps que nécessaire pour l’enquête et les procédures qui en résultent, puis supprimer.</p> <p><strong>Conseil pratique :</strong> Définissez une durée de conservation dans votre politique (les choix courants sont de deux à cinq ans après la clôture du dossier, selon la législation nationale). Programmez des rappels pour examiner et supprimer les dossiers clôturés.</p> <hr> <h3 id="11-rédiger-une-politique-écrite-de-lancement-dalerte"> 11. Rédiger une politique écrite de lancement d’alerte <a href="#11-r%c3%a9diger-une-politique-%c3%a9crite-de-lancement-dalerte" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Articles 8, 9 (implicite), ainsi que la plupart des lois nationales de transposition</p> <p>Bien que la directive n’impose pas explicitement un document de politique distinct, la plupart des lois nationales de transposition le font, et c’est pratiquement nécessaire pour remplir les obligations d’information de l’article 9(1)(g).</p> <p><strong>Conseil pratique :</strong> Votre politique devrait couvrir : le champ d’application, qui peut signaler, ce qui peut être signalé, comment signaler, la confidentialité, la protection contre les représailles, le processus d’enquête, les délais de retour d’information et la protection des données. Consultez notre <a href="/fr/blog/whistleblower-policy-template/">modèle gratuit de politique de lancement d’alerte</a> pour un document prêt à l’emploi.</p> <hr> <h3 id="12-documenter-la-conformité-pour-les-contrôles-réglementaires"> 12. Documenter la conformité pour les contrôles réglementaires <a href="#12-documenter-la-conformit%c3%a9-pour-les-contr%c3%b4les-r%c3%a9glementaires" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h3> <p><strong>Référence directive :</strong> Article 11(2) (canaux externes), lois nationales de transposition (internes)</p> <p>Plusieurs États membres exigent des organisations qu’elles documentent le respect de leurs obligations et mettent cette documentation à disposition des régulateurs sur demande.</p> <p><strong>Conseil pratique :</strong> Conservez des traces de : la date de mise en place du canal de signalement, l’identité des gestionnaires de cas désignés, les registres de formation, la politique de lancement d’alerte (avec historique des versions) et les statistiques agrégées sur les signalements reçus et traités. Ne conservez pas les détails individuels des dossiers au-delà de la durée de conservation autorisée.</p> <hr> <h2 id="prochaines-étapes"> Prochaines étapes <a href="#prochaines-%c3%a9tapes" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Si vous avez coché chaque case ci-dessus, votre organisation est conforme aux exigences fondamentales de la directive 2019/1937. La conformité n’est pas un événement ponctuel — révisez votre dispositif chaque année, reformez les gestionnaires et mettez à jour votre politique à mesure que la législation nationale évolue.</p> <p>Besoin d’un canal de signalement ? <a href="/">EthicsPortal</a> fournit un portail de signalement anonyme et conforme — 60 €/mois tout compris, sans tarification par employé. <a href="/pricing/">Déployer votre canal de signalement</a> .</p>support@ethicsportal.eu (EthicsPortal)https://ethicsportal.eu/fr/blog/eu-whistleblower-directive-2019-1937-adopted/Wed, 23 Oct 2019 00:00:00 +0000https://ethicsportal.eu/fr/blog/eu-whistleblower-directive-2019-1937-adopted/Le Parlement européen et le Conseil adoptent la Directive (UE) 2019/1937, établissant une protection à l'échelle de l'UE pour les personnes signalant des violations du droit de l'Union.<h1 id="adoption-de-la-directive-ue-20191937-sur-la-protection-dès-lanceurs-dalerte"> Adoption de la Directive UE 2019/1937 sur la protection dès lanceurs d’alerte <a href="#adoption-de-la-directive-ue-20191937-sur-la-protection-d%c3%a8s-lanceurs-dalerte" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h1> <p>Le 23 octobre 2019, le Parlement européen et le Conseil ont formellement adopté la <a href="https://eur-lex.europa.eu/eli/dir/2019/1937/oj/fra" rel="nofollow">Directive (UE) 2019/1937</a> relative à la protection des personnes qui signalent des violations du droit de l’Union. Le vote en séance plénière a été adopté par 591 voix pour, 29 contre et 33 abstentions.</p> <p>La Directive impose à toute organisation de plus de 50 employés de mettre en place des canaux de signalement internes sécurisés, de protéger les signaleurs contre les représailles et de fournir un retour dans un délai de trois mois. Les États membres avaient jusqu’au 17 décembre 2021 pour la transposer en droit national.</p> <a href="https://multimedia.europarl.europa.eu/fr/video/protecting-democracy-by-protecting-whistleblowers_N01-PUB-190408-BLOW" style="display: block; padding: 1.5rem; border: 1px solid #ddd; border-radius: 0.5rem; text-decoration: none; color: inherit; margin: 2rem 0;"> <strong>▶ Regarder : Protéger la démocratie en protégeant les lanceurs d'alerte</strong><br> <span style="color: #666; font-size: 0.875rem;">Centre multimédia du Parlement européen · 1:28</span> </a> <h2 id="ce-que-la-directive-exige"> Ce que la directive exige <a href="#ce-que-la-directive-exige" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <ul> <li><strong>Canaux de signalement internes</strong> (Art. 8) — canaux sécurisés et confidentiels accessibles à tous les travailleurs, y compris les sous-traitants et fournisseurs</li> <li><strong>Accusé de réception sous 7 jours</strong> (Art. 9) — les organisations doivent confirmer la réception d’un signalement dans les sept jours calendaires</li> <li><strong>Délai de retour de 3 mois</strong> (Art. 9) — les signaleurs doivent recevoir un retour sur les mesures prises dans un délai de trois mois</li> <li><strong>Protection contre les représailles</strong> (Art. 19–21) — le licenciement, la rétrogradation, l’intimidation et toute autre forme de représailles sont interdits</li> <li><strong>Renversement de la charge de la preuve</strong> (Art. 21(5)) — dès qu’un signaleur démontre qu’il a effectué un signalement et subi un préjudice, l’employeur doit prouver que la mesure était sans rapport</li> <li><strong>Signalement externe et public</strong> (Art. 10, 15) — les signaleurs conservent leur protection lorsqu’ils s’adressent aux autorités compétentes ou, en dernier recours, font des divulgations publiques</li> </ul> <hr> <h2 id="débat-en-séance-plénière"> Débat en séance plénière <a href="#d%c3%a9bat-en-s%c3%a9ance-pl%c3%a9ni%c3%a8re" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <p>Le Parlement européen a débattu de la directive lors de sa session plénière à Strasbourg. Des extraits du débat sont disponibles sur le Centre multimédia du Parlement européen :</p> <p><a href="https://multimedia.europarl.europa.eu/fr/video/protection-of-whistle-blowers-extracts-from-the-debate_I123987" rel="nofollow">Regarder le débat en plénière sur la protection dès lanceurs d’alerte</a> </p> <hr> <h2 id="ressources-officielles"> Ressources officielles <a href="#ressources-officielles" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Link to this section">#</a> </h2> <ul> <li><a href="https://eur-lex.europa.eu/eli/dir/2019/1937/oj/fra" rel="nofollow">Texte intégral de la Directive (UE) 2019/1937</a> — EUR-Lex</li> <li><a href="https://commission.europa.eu/aid-development-cooperation-fundamental-rights/your-fundamental-rights-eu/protection-whistleblowers_fr" rel="nofollow">Protection dès lanceurs d’alerte</a> — Commission européenne</li> <li><a href="https://www.europarl.europa.eu/news/fr/press-room/20190410IPR37529/protecting-whistle-blowers-new-eu-wide-rules-approved" rel="nofollow">Nouvelles règles à l’échelle de l’UE approuvées</a> — Communiqué du Parlement européen</li> <li><a href="https://multimedia.europarl.europa.eu/fr/topic/protection-of-whistleblowers-8th-parliamentary-term_9901" rel="nofollow">Tous les contenus multimédias sur la protection dès lanceurs d’alerte</a> — Centre multimédia du Parlement européen</li> <li><a href="https://www.europarl.europa.eu/legislative-train/theme-area-of-justice-and-fundamental-rights/file-whistle-blower-protection-proposal" rel="nofollow">Calendrier législatif</a> — Parlement européen</li> </ul>support@ethicsportal.eu (EthicsPortal)