Qu'est-ce que la directive UE sur les lanceurs d'alerte ?

La directive (UE) 2019/1937, officiellement la directive sur la protection des personnes qui signalent des violations du droit de l'Union, oblige les entreprises de 50 salariés ou plus et toutes les entités du secteur public à maintenir un canal interne de signalement confidentiel, à accuser réception des signalements sous 7 jours, à donner un retour sous 3 mois, et à protéger les lanceurs d'alerte contre les représailles. Elle est en vigueur dans les 27 États membres de l'UE depuis le 17 décembre 2023.

Quand la directive est-elle entrée en vigueur ?

La directive a été adoptée le 23 octobre 2019. Les États membres devaient la transposer en droit national avant le 17 décembre 2021. L'obligation s'est étendue aux entreprises de 50 à 249 salariés le 17 décembre 2023. Plusieurs États membres ont manqué les délais et ont fait l'objet de procédures d'infraction de la Commission européenne.

Qui doit se conformer à la directive 2019/1937 ?

Les personnes morales du secteur privé de 50 salariés ou plus, et toutes les entités du secteur public (indépendamment de la taille, sauf les communes de moins de 10 000 habitants). Le seuil de 50 salariés se calcule par entité juridique, et non par groupe, toutefois la directive permet aux ETI (50-249 salariés) de mutualiser les ressources du canal.

Quelles sont les sanctions en cas de non-conformité ?

Les sanctions varient selon les transpositions nationales. Le plafond le plus élevé est en Espagne (Ley 2/2023) à 1 000 000 €. En France, la Loi Sapin II et la Loi Waserman plafonnent à 60 000 € (administrative) plus jusqu'à 1 M€ via l'article 17 Sapin 2 pour les sociétés de plus de 500 salariés. En Allemagne (HinSchG) à 50 000 €, en Autriche (HSchG) à 20 000 €.

Les signalements anonymes sont-ils possibles ?

La directive elle-même laisse l'obligation d'accepter les signalements anonymes à la discrétion de chaque État membre (article 6 paragraphe 2). En pratique, la plupart des États, France, Allemagne, Italie, Espagne, Pays-Bas, autorisent les signalements anonymes. L'interface lanceur de Confidly prend en charge le signalement entièrement anonyme via des codes de dossier générés côté serveur sans capture d'e-mail, d'IP ou d'identifiant.

Quelle est la différence entre signalement interne, externe et divulgation publique ?

Interne : signalement au canal confidentiel de l'employeur, recommandé en premier lieu ; préserve la confidentialité. Externe : signalement direct à une autorité nationale compétente (Défenseur des droits en France, Bundesamt für Justiz en Allemagne, ANAC en Italie). Divulgation publique : signalement via les médias ou ONG, uniquement protégée sous des conditions strictes (aucune action après signalement interne/externe, ou danger imminent).

Quels sont les délais imposés par la directive ?

Accusé de réception : sous 7 jours. Retour substantiel au lanceur sur l'action prévue ou engagée : sous 3 mois après l'accusé de réception. Les dossiers doivent être conservés pour la durée du cas plus la période de rétention nationale (typiquement 5 ans).

Guide de conformité · Mis à jour 2026

Directive UE 2019/1937, Guide complet

La directive UE 2019/1937, également appelée directive sur les lanceurs d'alerte, est en vigueur dans les 27 États membres depuis décembre 2023 (pour les entreprises de 50 salariés ou plus). Elle oblige toute entreprise européenne moyenne à mettre en place un canal interne de signalement, à enquêter sur chaque signalement dans les 90 jours, et à protéger les lanceurs d'alerte contre les représailles.

Vous cherchez la transposition française en détail ? Voir notre guide Loi Sapin 2 / Loi Waserman : 8 piliers obligatoires, seuils, sanctions (60 000 € civile, 1 an de prison pour entrave).

Les trois obligations centrales

Maintenir un canal interne de signalement permettant aux salariés, sous-traitants, fournisseurs, actionnaires et anciens collaborateurs de signaler des violations du droit de l'UE. Le canal doit être confidentiel, distinct de la fonction RH habituelle, et permettre des signalements anonymes lorsque le droit national l'autorise.
Accuser réception sous 7 jours et fournir un retour substantiel sous 3 mois.
Protéger contre les représailles avec inversion de la charge de la preuve : dès lors que le lanceur démontre un signalement protégé suivi d'une mesure défavorable, l'employeur doit prouver que la mesure était justifiée par des motifs étrangers au signalement.

Qui est concerné ?

Toute entreprise du secteur privé d'au moins 50 salariés (depuis le 17 décembre 2023).
Toutes les entités du secteur public, indépendamment de la taille (sauf communes < 10 000 habitants).
Certains secteurs régulés (banques, assurances, sociétés financières) en dessous du seuil.

Sanctions par pays

Espagne (Ley 2/2023) : jusqu'à 1 000 000 €
France (Loi Sapin II + Sapin 2 art. 17) : jusqu'à 60 000 € (administratif) + 1 M€ pour les sociétés > 500 salariés
Allemagne (HinSchG) : jusqu'à 50 000 €
Autriche (HSchG) : jusqu'à 20 000 €
Italie (D.Lgs 24/2023) : jusqu'à 50 000 €
Pays-Bas (Wbk) : jusqu'à 870 000 €

Voir les pages pays pour le détail par juridiction.

Foire aux questions

Qu'est-ce que la directive UE sur les lanceurs d'alerte ?: La directive (UE) 2019/1937, officiellement la directive sur la protection des personnes qui signalent des violations du droit de l'Union, oblige les entreprises de 50 salariés ou plus et toutes les entités du secteur public à maintenir un canal interne de signalement confidentiel, à accuser réception des signalements sous 7 jours, à donner un retour sous 3 mois, et à protéger les lanceurs d'alerte contre les représailles. Elle est en vigueur dans les 27 États membres de l'UE depuis le 17 décembre 2023.
Quand la directive est-elle entrée en vigueur ?: La directive a été adoptée le 23 octobre 2019. Les États membres devaient la transposer en droit national avant le 17 décembre 2021. L'obligation s'est étendue aux entreprises de 50 à 249 salariés le 17 décembre 2023. Plusieurs États membres ont manqué les délais et ont fait l'objet de procédures d'infraction de la Commission européenne.
Qui doit se conformer à la directive 2019/1937 ?: Les personnes morales du secteur privé de 50 salariés ou plus, et toutes les entités du secteur public (indépendamment de la taille, sauf les communes de moins de 10 000 habitants). Le seuil de 50 salariés se calcule par entité juridique, et non par groupe, toutefois la directive permet aux ETI (50-249 salariés) de mutualiser les ressources du canal.
Quelles sont les sanctions en cas de non-conformité ?: Les sanctions varient selon les transpositions nationales. Le plafond le plus élevé est en Espagne (Ley 2/2023) à 1 000 000 €. En France, la Loi Sapin II et la Loi Waserman plafonnent à 60 000 € (administrative) plus jusqu'à 1 M€ via l'article 17 Sapin 2 pour les sociétés de plus de 500 salariés. En Allemagne (HinSchG) à 50 000 €, en Autriche (HSchG) à 20 000 €.
Les signalements anonymes sont-ils possibles ?: La directive elle-même laisse l'obligation d'accepter les signalements anonymes à la discrétion de chaque État membre (article 6 paragraphe 2). En pratique, la plupart des États, France, Allemagne, Italie, Espagne, Pays-Bas, autorisent les signalements anonymes. L'interface lanceur de Confidly prend en charge le signalement entièrement anonyme via des codes de dossier générés côté serveur sans capture d'e-mail, d'IP ou d'identifiant.
Quelle est la différence entre signalement interne, externe et divulgation publique ?: Interne : signalement au canal confidentiel de l'employeur, recommandé en premier lieu ; préserve la confidentialité. Externe : signalement direct à une autorité nationale compétente (Défenseur des droits en France, Bundesamt für Justiz en Allemagne, ANAC en Italie). Divulgation publique : signalement via les médias ou ONG, uniquement protégée sous des conditions strictes (aucune action après signalement interne/externe, ou danger imminent).
Quels sont les délais imposés par la directive ?: Accusé de réception : sous 7 jours. Retour substantiel au lanceur sur l'action prévue ou engagée : sous 3 mois après l'accusé de réception. Les dossiers doivent être conservés pour la durée du cas plus la période de rétention nationale (typiquement 5 ans).