La loi 2/2023, du 20 février, relative à la protection des personnes signalant des infractions à la réglementation et à la lutte contre la corruption, transpose dans le droit espagnol la directive européenne 2019/1937 (la directive sur les lanceurs d'alerte). Cette réglementation établit l'obligation de disposer d'un canal de signalement interne pour les entreprises de 50 salariés ou plus, les partis politiques, les syndicats et les fondations recevant des fonds publics. Pour la plupart des entités du secteur privé, les délais de mise en œuvre sont déjà expirés — faisant de la conformité une priorité opérationnelle immédiate plutôt qu'une question de planification future.
Contexte : la directive sur les lanceurs d’alerte et la transposition tardive de l’Espagne
La directive 2019/1937/UE du Parlement européen et du Conseil, du 23 octobre 2019, fixait un délai de transposition au 17 décembre 2021. L’Espagne, comme plusieurs autres États membres, n’a pas respecté ce délai : la loi 2/2023 n’a été publiée au BOE que le 20 février 2023, avec plus d’un an de retard. Ce retard n’a pas exempté les entreprises de leurs obligations de conformité : pendant la période intermédiaire, la directive pouvait être invoquée directement à l’encontre des organismes du secteur public, et de nombreuses organisations du secteur privé ont choisi de mettre en place des canaux de signalement de manière anticipée afin d’éviter toute exposition.
La loi 2/2023 va au-delà d’une simple transposition. Elle élargit le champ de la protection et introduit des obligations supplémentaires dépassant les exigences strictes de la directive. Elle étend notamment l’obligation de canal aux partis politiques, aux syndicats et aux organisations patronales recevant un financement public annuel supérieur à 100 000 €, et couvre des infractions non directement visées par la directive, notamment celles relatives à la sécurité des produits, à la protection de l’environnement et aux marchés publics.
Champ d’application
Les entités du secteur privé comptant plus de 249 salariés devaient avoir mis en place le canal au 13 juin 2023. Celles comptant entre 50 et 249 salariés bénéficiaient d’un délai prolongé jusqu’au 1er décembre 2023. Les entités du secteur public, quelle que soit leur taille, étaient également concernées dès l’entrée en vigueur de la loi.
Le seuil de 50 salariés est calculé sur la base de l’effectif moyen de l’année civile précédente, en comptabilisant aussi bien les contrats à durée indéterminée que les contrats à durée déterminée de plus d’un mois. Les groupes de sociétés qui dépassent collectivement 50 salariés peuvent mettre en place un canal partagé unique pour l’ensemble des sociétés du groupe, à condition que l’indépendance de la gestion du canal et la confidentialité de chaque informateur soient garanties.
Les entreprises de moins de 50 salariés ne relèvent pas du champ obligatoire, bien que la loi permette à ces entités de mettre en place un canal volontaire répondant aux mêmes exigences. En pratique, de nombreuses PME titulaires de marchés publics ou faisant partie de la chaîne d’approvisionnement de groupes plus importants choisissent d’en mettre un en place volontairement pour répondre aux exigences de leurs clients ou pour se qualifier dans le cadre d’appels d’offres qui en font une condition.
Exigences du canal
Le canal doit garantir la confidentialité de l’identité de l’informateur tout au long du processus, sauf lorsque la divulgation est obligatoire dans le cadre d’enquêtes judiciaires. Le responsable du canal — interne ou externe — dispose de 7 jours pour accuser réception et de 3 mois pour mener l’enquête et apporter une réponse. La loi interdit expressément toute représaille contre les informateurs.
Les exigences techniques et organisationnelles sont précises :
Confidentialité : Le système doit garantir que l’identité de l’informateur n’est accessible à aucune personne en dehors du responsable du canal, y compris en interne. Cela signifie que le canal ne peut pas être géré directement par le service des ressources humaines ou la direction de l’entreprise, sauf si des mesures organisationnelles garantissent leur indépendance. La plupart des entreprises de taille moyenne et grande optent pour l’externalisation de la gestion du canal auprès d’un prestataire externe spécialisé ou d’un conseiller juridique indépendant.
Signalements anonymes : Contrairement à l’optionnalité prévue par la directive, le droit espagnol impose aux canaux d’accepter les signalements anonymes. Le responsable doit maintenir un système de communication bidirectionnel avec l’informateur anonyme, permettant de demander des clarifications ou des informations complémentaires sans révéler son identité.
Délais de réponse : L’accusé de réception doit être délivré dans un délai maximum de sept jours ouvrables à compter de la réception de la communication. Le résultat de l’enquête et les mesures adoptées doivent être communiqués à l’informateur dans un délai maximum de trois mois à compter de l’accusé de réception, prolongeable de trois mois supplémentaires dans les cas particulièrement complexes.
Interdiction des représailles : La loi établit une protection renforcée contre les représailles : la charge de la preuve que toute mesure prise à l’encontre d’un informateur — licenciement, sanction, modification des conditions de travail — n’est pas de nature rétorsive incombe à l’employeur. Ce renversement de la charge de la preuve a des implications pratiques directes pour la gestion des relations de travail impliquant des salariés ayant soumis un signalement.
Sanctions
Le régime de sanctions distingue les infractions très graves (amendes pouvant atteindre un million d’euros pour les personnes morales), les infractions graves et les infractions mineures. L’absence de canal ou son fonctionnement inadéquat constitue une infraction très grave.
Les infractions très graves comprennent également les représailles contre les informateurs, la divulgation illicite de l’identité d’un informateur et l’obstruction aux enquêtes. Les infractions graves couvrent le non-respect des délais de gestion ou le défaut d’émission des accusés de réception. Les infractions mineures concernent des irrégularités procédurales de moindre importance.
Pour les personnes physiques agissant à titre professionnel, l’amende maximale pour les infractions très graves s’élève à 300 000 €. Dans les deux cas, la décision de sanction peut inclure la publication de la sanction, avec le préjudice réputationnel correspondant.
L’autorité de contrôle compétente au niveau national est l’Autorité indépendante de protection des lanceurs d’alerte (A.A.I.), dont la création était prévue par la loi elle-même mais dont la constitution formelle n’était pas achevée à la fin de l’année 2023. Dans l’intervalle, les communautés autonomes et les collectivités locales peuvent créer leurs propres organes de contrôle pour les entités du secteur public relevant de leur territoire.
Intégration dans le cadre de la conformité pénale
La mise en place d’un canal de signalement efficace n’est pas seulement une obligation légale en vertu de la loi 2/2023 — c’est également un élément fondamental du modèle de prévention de la responsabilité pénale requis par l’article 31 bis du Code pénal pour qu’une personne morale puisse obtenir une exemption ou une atténuation de sa responsabilité pénale. Les exigences du Code pénal et de la loi 2/2023 en matière de canal sont compatibles et complémentaires : un canal conçu conformément à la loi 2/2023 peut simultanément servir de mécanisme de signalement pour le modèle de conformité pénale, à condition qu’il couvre également les infractions pénales pertinentes pour les activités de l’entreprise.
Cette intégration réduit les coûts opérationnels et évite la duplication des canaux, mais exige que le responsable du canal dispose d’une formation spécifique tant en droit des lanceurs d’alerte qu’en conformité pénale. Un canal techniquement conforme mais doté de procédures d’enquête déficientes peut s’avérer insuffisant pour démontrer la diligence requise au titre de l’article 31 bis du Code pénal.
Recommandations de mise en œuvre
Les entreprises ne disposant pas encore d’un canal, ou disposant d’un canal mis en place avant la loi 2/2023 sans respecter les exigences actuelles, devraient procéder à un audit et à un processus d’adaptation en quatre étapes : premièrement, vérifier si l’entité relève du champ d’application de la loi et quel délai s’appliquait ; deuxièmement, examiner la documentation existante — politique du canal, procédure d’enquête, notice de confidentialité — au regard des exigences de la loi ; troisièmement, mettre en place ou adapter la plateforme technologique pour garantir la confidentialité et la capacité de communication bidirectionnelle anonyme ; et quatrièmement, former le responsable du canal et communiquer son existence et son fonctionnement à l’ensemble du personnel.
Chez BMC, nous proposons la conception et la mise en place de canaux de dénonciation dans le cadre de nos services de conformité. Consultez nos services de conformité juridique.
