La Suisse n’a pas de loi sur les lanceurs d’alerte. Les entreprises suisses ont pourtant besoin d’un dispositif d’alerte #
La Suisse n’a pas de loi de protection des lanceurs d’alerte. La révision du Code des obligations proposée par le Conseil fédéral a été rejetée par le Conseil national le 5 mars 2020, par 147 voix contre 42. Une motion demandant un nouveau cadre pour le secteur privé a été rejetée le 27 février 2024, le Conseil fédéral s’y étant opposé. La directive européenne 2019/1937 ne s’étend pas à la Suisse par le biais des accords bilatéraux.
Pour la plupart des entreprises suisses, aucune loi n’impose de dispositif d’alerte. La jurisprudence et le Code pénal le rendent pourtant nécessaire, et certaines entreprises sont tenues d’en exploiter un. Le détail des textes figure sur notre page consacrée au droit suisse .
La jurisprudence suisse veut que le signalement passe d’abord par l’interne #
Faute de loi, c’est le Tribunal fédéral qui décide quand un signalement est licite. Il applique un système en cascade. Le travailleur doit d’abord soulever la question au sein de l’entreprise. Un signalement à une autorité n’est justifié que si la tentative interne échoue ou serait manifestement vaine. La divulgation publique vient en dernier.
La FINMA énonce la règle dans ses propres indications à l’intention des lanceurs d’alerte : « vous êtes tenu, selon la jurisprudence, de toujours tenter d’abord de signaler le dysfonctionnement présumé au sein de l’établissement concerné ». Elle avertit que le lanceur d’alerte qui saute cette étape s’expose à des poursuites pénales pour violation de ses obligations de confidentialité.
Une entreprise dotée d’un dispositif d’alerte interne qui fonctionne est l’endroit où les signalements arrivent. Une entreprise qui n’en a pas a rendu la démarche interne vaine, et c’est précisément la condition qui justifie de s’adresser à une autorité ou à la presse. L’entreprise est alors la dernière informée.
Côté travailleur, l’art. 321a CO l’astreint à la fidélité et à la confidentialité. S’il est licencié pour un signalement, l’art. 336a CO plafonne l’indemnité à six mois de salaire, et le congé reste valable. C’est un dispositif d’alerte dont le fonctionnement est visible qui fait que signaler en interne vaut le risque.
Le droit pénal demande ce que l’entreprise a organisé #
L’art. 102, al. 2, CP punit l’entreprise elle-même pour la corruption, le blanchiment d’argent, le financement du terrorisme et les infractions liées aux organisations criminelles, s’il doit lui être reproché « de ne pas avoir pris toutes les mesures d’organisation raisonnables et nécessaires pour empêcher une telle infraction ». L’amende peut atteindre 5 millions de francs, qu’une personne physique soit condamnée ou non.
Le droit suisse n’énumère pas ces mesures. Une entreprise dont le personnel n’avait aucun moyen de lui signaler un pot-de-vin argumente en position de faiblesse sur les mesures qu’elle a prises. Le Code suisse de bonnes pratiques pour la gouvernance d’entreprise de 2023 le formule en une ligne à l’intention des conseils d’administration : les collaborateurs doivent pouvoir dénoncer les probables irrégularités « à un organisme indépendant interne ou externe sans devoir s’attendre à en subir des inconvénients ».
Deux cas où le dispositif d’alerte est obligatoire #
Devoir de diligence dans la chaîne d’approvisionnement. Les entreprises qui importent ou traitent de l’étain, du tantale, du tungstène ou de l’or au-delà des seuils de l’ordonnance, ou qui offrent des biens ou des services pour lesquels il existe un soupçon fondé de recours au travail des enfants, doivent exploiter une procédure de signalement en vertu de l’art. 14 de l’ordonnance sur les devoirs de diligence et de transparence (ODiTr, RS 221.433). Elle doit être à la disposition de « toutes les personnes intéressées », de sorte que des personnes extérieures à l’entreprise peuvent aussi l’utiliser. Les signalements doivent être documentés.
Filiales dans l’UE. Le seuil de 50 travailleurs de la directive s’apprécie par entité juridique. Un groupe suisse ayant une filiale de 120 personnes en Allemagne doit doter cette filiale d’un dispositif d’alerte au titre du HinSchG allemand, quoi que fasse la société mère. Le groupe peut desservir plusieurs entités à partir d’un seul système, mais chaque entité de l’UE entrant dans le champ d’application porte ses propres obligations nationales. Le détail pays par pays figure sur les pages consacrées aux législations .
Ce qu’un dispositif d’alerte suisse doit traiter correctement #
Un modèle européen repris tel quel donne au personnel suisse de mauvaises indications sur quatre points.
- La voie externe. Les politiques d’alerte rédigées pour l’UE indiquent aux lanceurs d’alerte qu’ils peuvent s’adresser à tout moment à l’autorité compétente, sans obligation de signaler d’abord en interne. Cela inverse la cascade suisse et pourrait exposer le travailleur qui s’y fie. Une politique suisse explique la cascade. La Suisse n’a pas d’autorité externe générale : la FINMA reçoit les signalements relatifs au droit des marchés financiers, le Contrôle fédéral des finances (CDF) ceux qui concernent l’administration fédérale, et les autorités de poursuite pénale ceux qui portent sur des infractions.
- Représailles. Le renversement de la charge de la preuve et l’exonération de responsabilité prévus par la directive n’existent pas en droit suisse. Une politique suisse peut néanmoins interdire les représailles en tant qu’engagement propre de l’entreprise, et elle devrait dire que c’est de cela qu’il s’agit.
- Protection des données. Le droit applicable est la loi fédérale sur la protection des données (LPD), et l’autorité de surveillance est le PFPDT. L’art. 19, al. 4, LPD exige que la déclaration de protection des données indique chaque État vers lequel les données sont communiquées ; « hébergé dans l’UE » ne suffit donc pas.
- Où vont les signalements. L’art. 273 CP punit quiconque rend accessible un secret d’affaires à un organisme officiel étranger ou à une entreprise privée étrangère. Un groupe qui achemine les signalements concernant une entité suisse vers un service de réception à l’étranger doit trancher cette question avant de choisir un système.
La directive reste la meilleure référence disponible pour les points que le droit suisse laisse ouverts. Accuser réception d’un signalement sous sept jours et fournir un retour d’information sous trois mois, c’est ce qui rend un dispositif d’alerte interne crédible aux yeux des personnes que la cascade y envoie.
EthicsPortal pour les entités suisses #
EthicsPortal exploite désormais des dispositifs d’alerte pour les organisations immatriculées en Suisse. Lorsque l’entité exploitante est suisse, les documents générés suivent le droit suisse :
- La politique de protection des lanceurs d’alerte explique la cascade et les autorités sectorielles, et présente la protection contre les représailles comme un engagement propre de l’organisation.
- La déclaration de protection des données est rédigée selon la LPD, nomme le PFPDT et indique l’Allemagne comme État où les signalements sont stockés, ainsi que la France et les Pays-Bas, où sont établis les fournisseurs de messagerie électronique et de supervision. Le Conseil fédéral reconnaît à ces trois États un niveau de protection des données adéquat.
- Le certificat et le rapport de conformité présentent la directive comme une norme appliquée volontairement et ne revendiquent aucune conformité à une loi suisse sur les lanceurs d’alerte.
- L’accord de traitement des données comprend les clauses que la LPD exige pour les sous-traitants.
Les signalements sont stockés par Hetzner en Allemagne dans le cadre d’un contrat de sous-traitance, et le texte des signalements, les données de l’auteur du signalement, les réponses aux questions de saisie et les pièces jointes sont chiffrés dans l’application. Nous n’avons connaissance d’aucune décision de justice sur la question de savoir si la conservation par un sous-traitant lié par contrat à l’étranger revient à « rendre accessible » un secret au sens de l’art. 273 CP. Le Tribunal fédéral considère qu’un secret est rendu accessible dès que le destinataire peut en prendre connaissance, mais exige un lien avec la Suisse et relève que la doctrine dominante plaide pour une application retenue de l’art. 273 (ATF 141 IV 155 ). Ce qui relève de l’organisation, c’est qui lit les signalements : seules les personnes qu’elle ajoute peuvent les ouvrir, de sorte qu’une entité suisse peut garder le traitement des dossiers en Suisse.
Les lanceurs d’alerte peuvent effectuer un signalement dans l’une des 14 langues de l’interface, dont l’allemand, le français et l’italien, de manière anonyme et sans compte, et en assurer le suivi grâce à un code d’accès.
Déployer votre dispositif d’alerte →
Dernière mise à jour: