Protection des lanceurs d’alerte en Suisse #

La Suisse n’a pas de loi générale de protection des lanceurs d’alerte. La révision partielle du Code des obligations proposée par le Conseil fédéral, Protection en cas de signalement d’irrégularités par le travailleur, a été rejetée par le Conseil national le 5 mars 2020 par 147 voix contre 42, après qu’une version antérieure eut déjà été renvoyée au Conseil fédéral pour être remaniée. L’objet a été liquidé le jour même. Une motion visant à renforcer la mise en œuvre de la Convention de l’OCDE sur la lutte contre la corruption, qui demandait notamment un cadre légal pour protéger les lanceurs d’alerte du secteur privé (23.3844) a été rejetée par le Conseil national le 27 février 2024, le Conseil fédéral s’y étant opposé. Le Groupe de travail de l’OCDE sur la corruption a relevé « l’absence de propositions concrètes pour mener à bien les réformes législatives nécessaires » et attend un rapport de mise en œuvre de la Suisse en décembre 2026. S’appliquent à la place le droit ordinaire du travail et le droit pénal, un régime légal distinct pour le personnel de la Confédération et la surveillance sectorielle.

Droit applicable #

La directive (UE) 2019/1937 s’applique-t-elle ? #

Non. La Suisse n’est membre ni de l’UE ni de l’EEE, et la directive ne s’étend pas à elle par le biais des accords bilatéraux.

L’exposition passe par les filiales, dans les deux sens, et les deux sens ne sont pas symétriques :

Un groupe suisse ayant des filiales dans l’UE entre dans le champ d’application par ces filiales. Le seuil de 50 travailleurs s’apprécie par entité juridique, non par groupe, de sorte que chaque filiale dans l’UE relève de sa propre loi nationale de transposition, quel que soit le siège de la société mère. Voir notre lecture du seuil et les obligations pays par pays.
Un groupe de l’UE ayant une entité suisse n’a aucune obligation découlant de la directive pour cette entité. Un dispositif d’alerte de groupe qui s’arrête à la frontière suisse satisfait toujours à la directive ; l’entité suisse est simplement régie par les règles exposées ci-dessous.

Qui doit mettre en place un dispositif d’alerte interne #

Aucune loi suisse générale ne l’impose. Une ordonnance le fait, pour un cercle restreint d’entreprises, et deux autres dispositions rendent l’absence de dispositif coûteuse pour toutes les autres.

Devoir de diligence dans la chaîne d’approvisionnement (art. 964j à 964k CO et art. 14 de l’ordonnance, RS 221.433). Les entreprises dont le siège, l’administration centrale ou l’établissement principal se trouve en Suisse et qui mettent en libre circulation ou traitent de l’étain, du tantale, du tungstène ou de l’or au-delà des volumes annuels d’importation fixés par l’ordonnance, ou qui offrent des biens ou des services pour lesquels il existe un soupçon fondé de recours au travail des enfants, doivent mettre « à la disposition de toutes les personnes intéressées une procédure de signalement qui, à titre de mécanisme d’alerte aux fins de détection précoce des risques, leur permet de faire part de tout doute fondé » concernant des effets néfastes dans ces domaines. « Les signalements sont documentés. » La procédure se limite aux minerais, aux métaux et au travail des enfants, et le volet relatif au travail des enfants exempte les petites et moyennes entreprises (art. 6) ainsi que les entreprises présentant de faibles risques en matière de travail des enfants (art. 7). Elle est ouverte à toute personne, et pas seulement au personnel.

Responsabilité pénale de l’entreprise (art. 102, al. 2, CP). Pour la corruption, le blanchiment d’argent, le financement du terrorisme et les infractions liées aux organisations criminelles, l’entreprise est punie indépendamment de la punissabilité des personnes physiques, « s’il doit lui être reproché de ne pas avoir pris toutes les mesures d’organisation raisonnables et nécessaires pour empêcher une telle infraction ». L’art. 102, al. 1, plafonne l’amende de l’entreprise à 5 millions de francs. Le droit suisse n’énumère pas ces mesures ; une organisation qui n’a aucun moyen d’apprendre l’existence des agissements se trouve donc en position de faiblesse pour argumenter.

Le système en cascade. Selon la jurisprudence suisse, un signalement à une autorité n’est admissible qu’après l’échec d’une tentative interne, ou lorsque celle-ci serait manifestement vaine. La FINMA le précise dans ses propres indications : « Veuillez noter que vous êtes tenu, selon la jurisprudence, de toujours tenter d’abord de signaler le dysfonctionnement présumé au sein de l’établissement concerné pour être autorisés à lancer une alerte. Ce n’est que si cette démarche n’aboutit pas ou semble vouée à l’échec qu’il est justifié de soumettre une alerte externe à la FINMA en tant qu’autorité de surveillance (système dit en cascade du lancement d’alerte autorisé). » L’autorité de surveillance avertit en outre les lanceurs d’alerte : « Dans le cas contraire, vous risquez, dans certaines circonstances, de vous exposer à des sanctions pénales pour potentielle violation de vos obligations de confidentialité en soumettant une alerte à la FINMA. »

Un employeur dépourvu de voie interne ne garde pas pour autant les signalements en interne. Il pousse les travailleurs directement vers l’étape qui comporte pour eux le plus grand risque juridique, et pour l’employeur le moins de maîtrise.

Droit souple. La recommandation 12 du Code suisse de bonnes pratiques pour la gouvernance d’entreprise de 2023 prévoit que « le conseil d’administration veille à ce que les collaborateurs/collaboratrices témoins de probables irrégularités commises au sein de l’entreprise puissent les dénoncer à un organisme indépendant interne ou externe sans devoir s’attendre à en subir des inconvénients. Ces signalements seront examinés. » Il ne lie personne, mais c’est la référence à l’aune de laquelle sont jugés les organes de révision et les conseils d’administration des sociétés cotées.

Quelle protection pour le lanceur d’alerte du secteur privé #

Très peu, et mieux vaut le dire clairement que laisser entendre le contraire.

L’art. 321a CO oblige le travailleur à sauvegarder « fidèlement les intérêts légitimes de l’employeur » et, à l’al. 4, à ne pas révéler des faits destinés à rester confidentiels. C’est à l’aune de ce devoir qu’un signalement est apprécié.
L’art. 336 CO qualifie certains congés d’abusifs, et les tribunaux y ont rattaché le licenciement consécutif à un signalement licite. La disposition ne mentionne pas le lancement d’alerte.
L’art. 336a, al. 2, CO plafonne la réparation : l’indemnité « ne peut dépasser le montant correspondant à six mois de salaire du travailleur ». Le congé lui-même reste valable. Il n’y a pas de réintégration.
L’art. 162 CP punit la révélation d’un secret de fabrication ou d’un secret commercial que la personne est tenue de garder en vertu d’une obligation légale ou contractuelle.
L’art. 273 CP punit quiconque rend accessible un secret de fabrication ou d’affaires à un organisme officiel ou privé étranger, ou à une entreprise privée étrangère, ou à leurs agents.

L’art. 273 est la disposition que les groupes multinationaux sous-estiment. Lorsqu’un signalement franchit la frontière suisse — vers un service de réception du groupe à l’étranger ou vers une autorité étrangère —, le choix de son acheminement relève du droit pénal suisse, et non de l’architecture du système.

La conservation par un sous-traitant lié par contrat à l’étranger reste la question ouverte ; nous n’avons connaissance d’aucune décision de justice à ce sujet. Selon le Tribunal fédéral, un secret est rendu accessible dès que le destinataire a la possibilité d’en prendre connaissance, et l’information doit présenter un lien avec la Suisse ; il relève en outre que la doctrine dominante plaide pour une application retenue de l’art. 273 CP (ATF 141 IV 155, consid. 4.2.2 à 4.2.4). La doctrine suisse relative à l’informatique en nuage suit une approche fondée sur les risques : ce qui compte est de savoir si un accès par une autorité étrangère doit encore raisonnablement être envisagé (Rosenthal, Jusletter IT, 15 février 2024, en allemand).

Le secteur public fédéral #

Le personnel de la Confédération bénéficie d’un véritable régime légal. L’art. 22a de la loi sur le personnel de la Confédération oblige les employés à dénoncer aux autorités de poursuite pénale, à leurs supérieurs ou au Contrôle fédéral des finances (CDF) les crimes et délits poursuivis d’office dont ils ont connaissance dans l’exercice de leur fonction. L’al. 4 leur donne le droit de signaler d’autres irrégularités au CDF, qui établit alors les faits et prend les mesures nécessaires. L’al. 5 prévoit que nul ne doit subir un désavantage sur le plan professionnel pour avoir, de bonne foi, dénoncé une infraction ou annoncé une irrégularité, ou pour avoir déposé comme témoin.

Le CDF exploite une plateforme externe de signalement sur whistleblowing.admin.ch, ouverte au personnel de la Confédération et au public, qui couvre l’administration fédérale, les organisations qui lui sont rattachées et les bénéficiaires de subventions.

Une révision du 20 juin 2025 réécrit l’art. 22a avec effet au 1er janvier 2027. L’obligation de dénoncer s’attachera alors à un soupçon fondé en lien avec une tâche fédérale, et un nouvel alinéa fait primer la protection de la sphère privée de l’auteur du signalement sur les demandes d’accès fondées sur la transparence.

L’art. 22a vise les employeurs soumis à la loi sur le personnel de la Confédération. Les employés cantonaux et communaux relèvent quant à eux du droit cantonal du personnel, qui varie d’un canton à l’autre.

Autorité de signalement externe #

Il n’existe pas d’autorité externe générale de signalement pour le secteur privé suisse. Les signalements passent par l’organe de surveillance compétent pour la matière concernée :

La FINMA pour les violations du droit des marchés financiers, au moyen d’une plateforme externe sécurisée où la communication de l’identité est facultative.
Le Contrôle fédéral des finances pour l’administration fédérale et les entités qui lui sont liées.
Les autorités de poursuite pénale pour les comportements pénalement répréhensibles.

Autorité de protection des données #

L’autorité compétente est le Préposé fédéral à la protection des données et à la transparence (PFPDT), en vertu de la loi fédérale sur la protection des données du 25 septembre 2020, en vigueur depuis le 1er septembre 2023.

Points clés de conformité #

« Pas d’obligation générale en Suisse » ne signifie pas « pas d’exposition en Suisse ». L’art. 102, al. 2, CP rattache la responsabilité de l’entreprise à l’absence de mesures d’organisation raisonnables, et les filiales dans l’UE d’un groupe suisse sont elles-mêmes soumises aux obligations de la directive.
Qui reçoit les signalements concernant l’entité suisse, et où, est une question relevant de l’art. 273 CP. Le risque le plus net est leur transmission à un service de réception ou à une autorité à l’étranger ; la question de la conservation par un sous-traitant lié par contrat à l’étranger n’est pas tranchée. Le lieu de conservation est aussi un devoir d’information : en vertu de l’art. 19, al. 4, LPD, la déclaration de protection des données doit indiquer l’État vers lequel des données personnelles sont communiquées. Le Conseil fédéral reconnaît à tous les États de l’UE et de l’EEE un niveau de protection adéquat (annexe 1 de l’ordonnance sur la protection des données), de sorte qu’un hébergement dans l’UE ne requiert pas de garanties supplémentaires pour la communication, mais il doit tout de même être indiqué.
Une entreprise soumise à l’ordonnance sur la chaîne d’approvisionnement doit disposer d’une procédure de signalement documentée, ouverte aux tiers. Un dispositif d’alerte qui reçoit les signalements des fournisseurs et d’autres tiers peut tenir lieu de cette procédure.
Le droit suisse ne connaît aucun équivalent aux délais de la directive : accusé de réception sous sept jours, retour d’information sous trois mois. Un groupe qui applique ces délais de manière uniforme se situe au-dessus du minimum suisse, et non en dessous.
Un employé suisse qui se demande s’il doit signaler arbitre entre un devoir de fidélité aux confins du droit pénal et une indemnité plafonnée à six mois de salaire si l’employeur le licencie. C’est un traitement interne dont l’efficacité est visible qui modifie ce calcul.

Sources officielles #

Droit primaire

Parlement et autorités

Activer votre dispositif d’alerte →

Dernière mise à jour: 12 octobre 2026