Généralités

Les violations des règles de droit qu’elles soient d’ordre administratif, pénal ou autre peuvent porter gravement atteinte à l’intérêt public et s’avérer préjudiciables pour la société en général. Les lanceurs d’alerte ("whistle-blowers") qui signalent ces violations servent donc l’intérêt public et sont à ce titre protégés contre toutes formes de représailles.

La directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l’Union vise à créer un cadre juridique européen uniforme pour protéger les lanceurs d’alerte dans certains domaines d’action de l’Union européenne. Au Luxembourg, par souci de cohérence et d’accessibilité, la protection des lanceurs d’alerte s’étend aux violations de l’ensemble du droit national.

Chacun peut s’adresser à l’office des signalements qui a été mis en place en 2023 pour obtenir des informations générales sur l’autorité compétente selon le type de signalement visé.

Le Luxembourg compte 22 autorités compétentes dont le Contrôle externe des lieux privatifs de liberté (ci-après « CELPL ») qui recueille les signalements concernant les violations potentielles survenues dans ou en lien avec les lieux privatifs de liberté.

Les personnes qui exercent des mesures de représailles ou intentent des procédures abusives contre les lanceurs d’alerte s’exposent à une amende de 1.250 à 25.000 euros.

Qui est concerné ?

La loi protège les lanceurs d’alerte travaillant dans le secteur privé ou public qui ont obtenu des informations sur des violations dans un contexte professionnel (relation de travail actuelle, passée ou future), y compris :

• les travailleurs (y compris les fonctionnaires et employés de l’Etat) ;
• les travailleurs indépendants ;
• les actionnaires et les membres de l’organe d’administration, de direction ou de surveillance d’une entreprise y compris les membres non exécutifs ainsi que les bénévoles et les stagiaires rémunérés ou non ;
• toute personne travaillant sous la supervision et la direction de contractants, de sous-traitants et de fournisseurs.

Elle protège également :

• les facilitateurs (personne physique qui aide un lanceur d’alerte de façon confidentielle) ;
• les collègues ou proches du lanceur d’alerte qui risquent de faire l’objet de représailles ; et
• les entités juridiques appartenant au lanceur d’alerte ou pour lesquelles il travaille ou encore avec lesquelles il a des liens professionnels ;
• les personnes qui ont signalé ou divulgué des informations sur des violations de manière anonyme mais qui sont identifiées par la suite ;
• les personnes qui signalent des violations auprès des institutions, organes ou organismes de l’Union européenne compétents.

Ne sont pas concernés par cette protection :

• les signalements de violations relatives à la sécurité nationale ;
• les lanceurs d’alerte dont les relations sont couvertes par : le secret médical,le secret des relations entre un avocat et son client, le secret professionnel auquel un notaire ou un huissier de justice sont tenus, le secret des délibérations judiciaires, les règles en matière de procédures pénales.

Qu'est-ce qui peut être signalé ?

Le lanceur d’alerte peut signaler toute violation du droit national et/ou du droit de l’Union c’est-à-dire les actes ou omissions qui :

• sont illicites ; ou
• vont à l’encontre de l’objet ou de la finalité des dispositions du droit national ou européen d’application directe.

Il peut communiquer toute information y compris des soupçons raisonnables concernant :

• des violations effectives ou potentielles ; et
• des tentatives de dissimulation de ces violations ;
• des événements qui se sont produits ou sont très susceptibles de se produire : dans l’organisation dans laquelle il travaille ou a travaillé, ou dans une autre organisation avec laquelle il est ou a été en contact dans le cadre de son travail.

Attention : le lanceur d’alerte ne peut pas divulguer des informations qu’il a obtenues ou auxquelles il a eu accès en commettant une infraction pénale.

Quelles sont les conditions pour être protégé ?

Pour être protégé contre toutes formes de représailles, le lanceur d’alerte doit :

• avoir eu des motifs raisonnables de croire que les informations signalées sur les violations étaient véridiques au moment du signalement et qu’elles relèvent du champ d’application de la loi ; et
• avoir effectué un signalement soit interne (via les canaux de signalement de son entreprise ou administration) soit externe (via les canaux de signalement de l’autorité compétente) soit public (à la suite d’un signalement externe sans résultat).

Confidentialité et traitement des données

Le CELPL traite tout signalement dans le strict respect de la confidentialité quant à l’identité du lanceur d’alerte. Il ne divulguera en aucun cas :

• l’identité du lanceur d’alerte sans son consentement exprès ;
• toute autre information à partir de laquelle l’identité du lanceur d’alerte peut être directement ou indirectement déduite.

La confidentialité quant à l’identité du lanceur d’alerte ne peut être levée que dans le cas d’une obligation nécessaire et proportionnée imposée par la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias ou le droit de l’Union européenne dans le cadre d’enquêtes menées par des autorités nationales ou dans le cadre de procédures judiciaires notamment en vue de sauvegarder les droits de la défense de la personne concernée.

Dans un tel cas, le CELPL informe le lanceur d’alerte par écrit avec une explication des motifs avant que son identité ne soit divulguée à moins qu’une telle information ne risque de compromettre les enquêtes ou les procédures judiciaires concernées.

Traitement des données à caractère personnel

Aux fins de l’accomplissement des missions qui lui sont confiées par la loi du 16 mai 2023 sur la protection des personnes qui signalent des violations du droit de l’Union (lanceurs d’alerte) et plus précisément concernant le traitement des signalements, le CELPL peut être amené à traiter des données personnelles concernant le lanceur d’alerte.

Tout traitement de données à caractère personnel effectué en vertu de la loi sur la protection des lanceurs d’alerte y compris l’échange ou la transmission de données à caractère personnel par les autorités compétentes est effectué conformément au règlement (UE) 2016/679 ci-après « règlement général sur la protection des données » ou « RGPD ».

En tant qu’administration traitant des données à caractère personnel, le CELPL est tenu de respecter les obligations qui lui incombent en sa qualité de responsable de traitement.

Pour toute question concernant les traitements de vos données à caractère personnel effectués par le CELPL, vous pouvez contacter le délégué à la protection des données (DPO) du CELPL par courrier à l’attention du DPO, par téléphone (+352 26 27 01 01) ou par e-mail à l’adresse suivante : dpo@celpl.lu.

Finalités et base juridique du traitement

Le CELPL peut être sollicité par tout lanceur d’alerte souhaitant effectuer un signalement externe à son entreprise ou administration. Après examen, si nécessaire et sous réserve des obligations tenant à la confidentialité ci-dessus, les données personnelles ainsi obtenues peuvent être traitées dans le cadre de l’exercice des missions ou d’enquêtes relevant du champ de compétence du CELPL.

Dans ce contexte, le traitement de vos données est nécessaire à l’exercice de la puissance publique dont le CELPL est investi (article 6 paragraphe 1 sous e) du RGPD).

Données traitées

Les signalements peuvent se faire via courriel, téléphone, courrier, en personne ou par le formulaire mis en ligne. Dans le premier cas, le traitement du signalement requiert la fourniture d’une adresse électronique pour permettre au CELPL de fournir un retour d’informations et d’assurer un suivi des signalements. Dans le cadre d’un signalement fait par téléphone ou en personne, d’autres coordonnées de contact pourront être collectées si le lanceur d’alerte souhaite recevoir des mises à jour quant à sa dénonciation. La fourniture d’une adresse électronique n’est pas indispensable.

Dans tous les cas, le lanceur d’alerte potentiel doit également fournir une description de la violation alléguée et préciser qui l’aurait commise. Il est donc possible que des informations relatives au comportement d’autres personnes et notamment de l’auteur de la violation ou de témoins soient traitées.

Il est conseillé dans la description de la violation de ne mentionner que les éléments d’information nécessaires au traitement du signalement et en particulier d’éviter d’y inclure si cela n’est pas indispensable des données sensibles (au sens de l’article 9 du RGPD) concernant le lanceur d’alerte ou des personnes tierces (par exemple des données relatives à la santé, aux opinions politiques ou aux convictions religieuses).

Catégories de destinataires

Destinataires

Seuls les membres habilités du CELPL ont accès à la plateforme de signalement ou aux procès-verbaux selon le cas.

En cas de signalement par d’autres canaux ou via d’autres membres du personnel, ces derniers sont également tenus de respecter le secret quant à l’identité du lanceur d’alerte ou de la personne concernée et transmettent le signalement au plus vite aux membres du personnel du CELPL en charge du traitement.

Destinataires potentiels

Si un signalement ne tombe pas dans le champ de compétence du CELPL, les données collectées peuvent être transmises à d’autres autorités nationales compétentes ou à des institutions, organes ou organismes de l’Union européenne compétents dans le cadre de la coopération prévue par l’article 19 de la loi.

Durée de conservation

Les données à caractère personnel qui ne sont manifestement pas pertinentes pour le traitement d’un signalement spécifique ne sont pas collectées ou, si elles le sont accidentellement, sont effacées sans retard injustifié.

Les données personnelles obtenues par le biais d’un signalement jugé infondé, tombant en dehors du champ de compétence du CELPL, sont effacées sans délai par les agents habilités.

Les données personnelles obtenues par le biais d’un signalement sont conservées pendant deux mois suivant la clôture de l'enquête menée par le CELPL dans l’exercice de ses missions respectives ou de la procédure concernant les faits allégués dans le signalement jusqu'à la fin de la période de recours.

Conformément à la loi du 17 août 2018 relative à l’archivage, les dossiers présentant un intérêt historique, scientifique, culturel, économique ou sociétal doivent être conservés au-delà de ces durées d’utilité administrative.

Droits des personnes concernées

Vous pouvez accéder aux données vous concernant et en obtenir une copie (article 15 du RGPD), obtenir la rectification de données inexactes ou incomplètes (article 16 du RGPD), vous opposer au traitement de vos données dans les conditions prévues par l’article 21 du RGPD, obtenir l’effacement de celles-ci dans les conditions prévues par l’article 17 du RGPD et la limitation du traitement dans les conditions prévues par l’article 18 du RGPD.

Pour toute question concernant les traitements de vos données à caractère personnel effectués par le CELPL et pour toute demande relative à l’exercice de vos droits, vous pouvez vous adresser au DPO.

Réclamation: Si vous estimez que le traitement de vos données effectué par le CELPL constitue une violation du règlement général sur la protection des données, vous pouvez introduire une réclamation auprès de la CNPD.

Signalement interne

Chaque entité du secteur privé (à partir de 50 salariés) et du secteur public (sauf communes de moins de 10.000 habitants et entités de moins de 50 travailleurs) doit proposer des canaux et procédures de signalement interne et en assurer le suivi.

Les entités du secteur privé qui comptent 50 à 249 travailleurs peuvent partager des ressources pour la réception et le suivi des signalements internes.

Les personnes désirant signaler des violations de la loi sont encouragées à privilégier le signalement interne avant de recourir à un signalement externe à moins que le signalement interne risque de leur porter préjudice (représailles de l’employeur par exemple).

L’office des signalements qui a été mis en place en décembre 2023 pourra informer et aider toute personne souhaitant effectuer un signalement.

Signalement externe

Les personnes désirant signaler des violations de la loi peuvent effectuer un signalement externe auprès de l’autorité compétente soit directement soit après avoir effectué un signalement interne.

Signalement auprès du CELPL

Le lanceur d’alerte qui souhaite signaler des violations de législation entrant dans le domaine de compétences du CELPL peut s’adresser à lui en français, luxembourgeois, allemand ou en anglais :

• par e-mail à l’adresse : alerte@celpl.lu ;
• par téléphone au numéro : (+352) 26 27 01 01 ;
• en personne au siège du CELPL.

La plateforme de signalement du CELPL garantit l’exhaustivité, l’intégrité et la confidentialité des informations transmises au CELPL. Seuls les membres du personnel habilités y ont accès et sont tenus de respecter le secret professionnel conformément à leur loi organique et au serment qu’ils ont prêté lors de leur entrée en fonction.

Le CELPL n’enregistre pas les signalements par téléphone mais il peut rédiger un procès-verbal précis relatant les principaux éléments de la conversation que le lanceur d’alerte pourra par la suite vérifier, rectifier et signer pour approbation.

De même, le CELPL veille avec le consentement du lanceur d’alerte à conserver des comptes rendus complets et précis des signalements effectués en personne sous forme d’enregistrement ou de procès-verbal.

En cas de signalement par d’autres canaux ou via d’autres membres du personnel, ces derniers sont également tenus de respecter le secret quant à l’identité du lanceur d’alerte ou de la personne concernée et transmettent le signalement au plus vite aux membres du personnel en charge du traitement.

Suivi et traitement du signalement par le CELPL

Le CELPL reçoit et assure le suivi des signalements tombant dans son champ de compétence. Il peut demander par écrit à l’entité visée par le signalement la communication de tous les renseignements qu’elle juge nécessaires dans le strict respect de la confidentialité de l’identité du lanceur d’alerte.

Le CELPL s’assure notamment :

• d’accuser réception du signalement dans un délai de 7 jours à compter de sa réception sauf en cas : de demande contraire expresse du lanceur d’alerte ; ou de motifs raisonnables de croire qu’accuser réception du signalement compromettrait la protection de l’identité du lanceur d’alerte ;
• d’en assurer un suivi diligent ;
• de fournir au lanceur d’alerte un retour d’informations endéans 3 mois ou 6 mois dans des cas dûment justifiés ;
• de communiquer au lanceur d’alerte le résultat final des démarches auxquelles le signalement a donné lieu sous réserve des informations tombant dans le champ d’application d’une obligation légale de secret pénalement sanctionnée.

Lorsque le CELPL reçoit un signalement pour lequel il n’est pas compétent, il le transmet dans un délai raisonnable et de manière confidentielle et sécurisée à l’autorité nationale compétente. Cette dernière en informe le lanceur d’alerte.

Décisions et sanctions du CELPL

Après examen, le CELPL peut décider de clôturer la procédure :

• en cas de violation manifestement mineure (sans préjudice d’autres obligations ou d’autres procédures applicables visant à remédier à la violation signalée) ;
• en cas de signalements répétitifs qui ne contiennent aucune nouvelle information significative par rapport à un signalement antérieur dont la procédure est close ; le CELPL notifie alors sa décision et les motifs à son fondement au lanceur d’alerte.

Absence de responsabilité des lanceurs d’alerte

Les lanceurs d’alerte qui répondent aux conditions de protection n’enfreignent pas la loi quant à la divulgation d’informations et n’encourent aucune responsabilité :

• concernant le signalement (interne et/ou externe) ou la divulgation publique pour autant qu’ils aient eu des motifs raisonnables de croire que le signalement ou la divulgation publique était nécessaire pour révéler une violation du droit ;
• en ce qui concerne l’obtention des informations qui sont signalées ou divulguées publiquement ou l’accès à ces informations (sauf si cette obtention ou accès constitue une infraction pénale autonome) ;
• du fait des signalements ou des divulgations publiques effectués y compris dans les procédures judiciaires pour diffamation, violation du droit d’auteur, violation du secret, violation des règles en matière de protection des données ou divulgation de secrets d’affaires ou pour des demandes d’indemnisation fondées sur le droit privé, le droit public ou le droit collectif du travail.

Ils peuvent alors invoquer ce signalement ou cette divulgation publique pour demander l’abandon de la procédure.

Mesures de représailles interdites

Toutes formes de représailles y compris les menaces et tentatives de représailles sont évidemment interdites à l’égard des lanceurs d’alerte en raison du signalement qu’ils ont effectué.

Sont notamment interdites et nulles de plein droit :

• la suspension d’un contrat de travail, la mise à pied, le licenciement, le non-renouvellement ou la résiliation anticipée d’un contrat de travail à durée déterminée ou des mesures équivalentes ;
• la rétrogradation ou le refus de promotion ;
• le transfert de fonctions, le changement de lieu de travail, la réduction de salaire, la modification des horaires de travail ;
• la suspension de la formation ;
• les mesures disciplinaires imposées ou administrées, réprimande ou autre sanction y compris une sanction financière ;
• la non-conversion d’un contrat de travail temporaire en un contrat permanent lorsque le salarié pouvait légitimement espérer se voir offrir un emploi permanent ;
• l’évaluation de performance ou l’attestation de travail négative ;
• la résiliation anticipée ou l’annulation d’un contrat pour des biens ou des services ;
• l’annulation d’une licence ou d’un permis ;

Sont également interdites :

• la coercition, l’intimidation, le harcèlement ou l’ostracisme ;
• la discrimination, le traitement désavantageux ou injuste ;
• le préjudice y compris les atteintes à la réputation de la personne en particulier sur les réseaux sociaux ou les pertes financières y compris la perte d’activité et la perte de revenu ;
• la mise sur liste noire sur la base d’un accord formel ou informel à l’échelle sectorielle ou de la branche d’activité pouvant impliquer que la personne ne trouvera pas d’emploi à l’avenir au niveau du secteur ou de la branche d’activité ;
• l’orientation vers un traitement psychiatrique ou médical.

Action contre des mesures de représailles

Le lanceur d’alerte qui subit des mesures de représailles peut dans les 15 jours qui suivent la notification des mesures demander à la juridiction compétente de constater la nullité des mesures et d’en ordonner la cessation.

La personne qui n’a pas invoqué la nullité des mesures de représailles ou qui en a déjà obtenu la nullité peut encore exercer une action en dommages et intérêts.

Le CELPL recommande de recourir aux services d’un avocat pour effectuer les actions en justice.

Renversement de la charge de la preuve

Le lanceur d’alerte qui subit des mesures préjudiciables bénéficie d’office de la présomption que ces mesures ont été prises contre lui en représailles au signalement. Il incombe donc à la personne qui a pris les mesures d’en établir les motifs.

Contacts

Pour toute question concernant les traitements de vos données à caractère personnel effectués par le CELPL, vous pouvez contacter le délégué à la protection des données (DPO) du CELPL par :

• courrier à l’attention du DPO
• par téléphone au (+352) 26 27 01 01
• par e-mail à l’adresse suivante : dpo@celpl.lu