Protection des lanceurs d’alerte

Depuis l’entrée en vigueur du règlement (UE) n° 468/2014 du 16 avril 2014 (règlement-cadre MSU), la CSSF a mis en place un canal indépendant de communication afin que toute personne agissant de bonne foi et travaillant ou ayant travaillé auprès de ou avec des entités du secteur financier luxembourgeois, puisse rapporter à la CSSF de manière confidentielle et sécurisée d’éventuels dysfonctionnements ou manquements commis par ou auprès d’entités soumises à la surveillance de la CSSF.

La présente publication évoluera au fur et à mesure des situations rencontrées en la matière par la CSSF ainsi que des différentes interprétations et lignes directrices qui seront données par l’Office des signalements. De plus, l’interprétation de la loi reviendra in fine aux juridictions compétentes. La CSSF décline toute responsabilité de l’usage et de l’interprétation faits des informations reprises ci-dessous.

Le présent canal ne doit pas être utilisé pour des réclamations contre des entités surveillées par la CSSF, ni pour des simples prises de contact ou demandes d’information générales à la CSSF.

Au Luxembourg, la directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l’Union visant à créer un cadre juridique européen uniforme pour protéger les lanceurs d’alerte dans certains domaines d’action de l’Union européenne a été transposée par la loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union européenne (ci-après la « Loi du 16 mai 2023 »).

Le champ d’application de la Loi du 16 mai 2023 a étendu la protection des lanceurs d’alerte aux violations de l’ensemble du droit national. Ainsi, les lanceurs d’alerte (ou whistleblowers) répondant aux conditions posées par la Loi du 16 mai 2023, qui signalent des violations des règles de droit, qu’elles soient d’ordre administratif ou pénal, sont, à ce titre, protégés contre toutes formes de représailles.

Les règles applicables en matière de signalement des infractions potentielles ou avérées dans le secteur financier font, à ce jour, l’objet de la Loi du 16 mai 2023 qui est complétée par des dispositions réparties dans les lois sectorielles suivantes :

• Article 58-1 de la loi du 5 avril 1993 relative au secteur financier, telle que modifiée ;
• Article 8-3 de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, introduit par la loi du par la loi du 25 mars 2020, telle que modifiée ;
• Article 58-10 de la loi 10 novembre 2009 relative aux services de paiement, telle que modifiée, permettant à la CSSF de mettre en place des mécanismes efficaces pour encourager le signalement à la CSSF des violations du règlement (UE) 2015/847 ;
• Article 149ter de la loi du 17 décembre 2010 concernant les organismes de placement collectif, telle que modifiée ;
• Article 23 du règlement (UE) n° 1024/2013 (règlement MSU) du Conseil du 15 octobre 2013 ;
• Titre 3 (articles 36 à 38) du règlement (UE) n° 468/2014 de la BCE du 16 avril 2014 (règlement-cadre MSU) ;
• Article 36, paragraphe 7, de la loi du 23 juillet 2016 relative à la profession de l’audit, telle que modifiée ;
• Article 8 et Annexe de la loi du 23 décembre 2016 relative aux abus de marché, telle que modifiée ;
• Article 46 de la loi du 30 mai 2018 relative aux marchés d’instruments financiers telle que modifiée ;
• Article 271-1 et suivants du Code du travail, introduits par la loi du 13 février 2011 renforçant les moyens de lutte contre la corruption, tel que modifiée ;
• Article 4 de la loi du 6 juin 2018 relative aux dépositaires centraux de titres et portant mise en œuvre du règlement (UE) n° 909/2014 ;
• Article 10 de la loi du 16 juillet 2019 relative aux prospectus pour valeurs mobilières.

La CSSF n’est compétente que pour traiter les signalements concernant des violations de la réglementation relative au secteur financier, sous réserve des compétences qui lui sont attribuées par la loi du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier (« Loi du 23 décembre 1998 ») et par les différentes lois dites « sectorielles » applicables au secteur financier. Pour plus d’informations concernant la mission et compétences de la CSSF, veuillez consulter la page dédiée.

Toute personne peut s’adresser à l’Office des signalements pour obtenir des informations générales sur l’autorité compétente selon le type de signalement visé.

La Loi du 16 mai 2023 protège les lanceurs d’alerte travaillant dans le secteur privé ou public qui ont obtenu des informations sur des violations dans un contexte professionnel (relation de travail actuelle, passée ou future), y compris :

• les travailleurs (y compris les fonctionnaires et employés de l’Etat) ;
• les travailleurs indépendants ;
• les actionnaires et les membres de l’organe d’administration, de direction ou de surveillance d’une entreprise, y compris les membres non exécutifs ainsi que les bénévoles et les stagiaires rémunérés ou non ;
• toute personne travaillant sous la supervision et la direction de contractants, de sous-traitants et de fournisseurs.

Elle protège également :

• les facilitateurs (personne physique qui aide un lanceur d’alerte de façon confidentielle) ;
• les tiers qui sont en lien avec les lanceurs d’alerte et qui risquent de faire l’objet de représailles, tels que les collègues ou proches du lanceur d’alerte ;
• les entités juridiques appartenant au lanceur d’alerte pour lesquelles il travaille, ou avec lesquelles il a des liens professionnels ;
• les personnes qui ont signalé ou divulgué des informations sur des violations de manière anonyme, mais qui sont identifiées par la suite et font l’objet de représailles ;
• les personnes qui signalent des violations auprès des institutions, organes ou organismes de l’Union européenne compétents.

Ne sont pas concernés par cette protection :

• les signalements de violations relatives à la sécurité nationale ;
• les lanceurs d’alerte dont les relations sont couvertes par :
  • le secret médical;
  • le secret des relations entre un avocat et son client ;
  • le secret professionnel auquel un notaire ou un huissier de justicesont tenus ;
  • le secret des délibérations judiciaires ;
  • les règles en matière de procédures pénales.

Il est à noter que la CSSF traitera avec le même degré de confidentialité les signalements de toute personne de bonne foi souhaitant rapporter d’éventuels dysfonctionnements ou manquements commis par ou auprès d’entités soumises à la surveillance de la CSSF, y compris des personnes n’étant pas concernées par la protection prévue par la Loi du 16 mai 2023.

Le lanceur d’alerte peut signaler toute violation du droit national et/ou du droit de l’Union, c’est-à-dire les actes ou omissions qui :

• sont illicites ; ou
• vont à l’encontre de l’objet ou de la finalité des dispositions du droit national ou européen d’application directe.

Il peut communiquer toute information, y compris des soupçons raisonnables, concernant :

• des violations effectives ou potentielles ; et
• des tentatives de dissimulation de ces violations ;

qui se sont produites ou sont très susceptibles de se produire :

• dans l’organisation dans laquelle il travaille ou a travaillé ; ou
• dans une autre organisation avec laquelle il est ou a été en contact dans le cadre de son travail

Le lanceur d’alerte ne peut pas divulguer des informations qu’il a obtenues ou auxquelles il a eu accès en commettant une infraction pénale.

Pour être protégé contre toutes formes de représailles au sens de la Loi du 16 mai 2023 le lanceur d’alerte doit :

• avoir eu des motifs raisonnables de croire que les informations signalées sur les violations étaient véridiques au moment du signalement et qu’elles relèvent du champ d’application de la loi ; et
• avoir effectué un signalement soit interne (via les canaux de signalement de son entreprise ou administration), soit externe (via les canaux de signalement de la CSSF), soit public (suite à un signalement externe sans résultat).

La CSSF s’engage à protéger l’identité du whistleblower dans les limites de la législation applicable. En d’autres termes, ni l’identité de l’employé ayant effectué un whistleblowing, ni celle de tierces personnes éventuellement impliquées ne sera divulguée sans le consentement exprès du whistleblower.

La CSSF ne divulguera :

• ni l’identité du lanceur d’alerte sans son consentement exprès ;
• ni aucune autre information à partir de laquelle l’identité du lanceur d’alerte peut être directement ou indirectement déduite.

Le cas échéant, la CSSF n’utilise pas ou ne divulgue pas les secrets d’affaires à des fins allant au-delà de ce qui est nécessaire pour assurer un suivi approprié.

La confidentialité quant à l’identité du lanceur d’alerte ne peut être levée que dans le cas d’une obligation nécessaire et proportionnée imposée par la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias ou le droit de l’Union européenne dans le cadre d’enquêtes menées par des autorités nationales ou dans le cadre de procédures judiciaires, notamment en vue de sauvegarder les droits de la défense de la personne concernée.

Dans un tel cas, la CSSF informe le lanceur d’alerte par écrit avec une explication des motifs avant que son identité ne soit divulguée, à moins qu’une telle information ne risque de compromettre les enquêtes ou les procédures judiciaires concernées.

Si un signalement ne tombe pas sous le champ de compétences de la CSSF, ce signalement sera transmis de manière confidentielle et sécurisée à l’autorité compétente visée par l’article 18 de la Loi du 16 mai 2023. Les données collectées peuvent être transmises à d’autres autorités nationales compétentes ou à des institutions, organes ou organismes de l’Union européenne compétents dans le cadre de la coopération prévue par l’article 19 de la Loi du 16 mai 2023.

Si un signalement adressé à la CSSF doit faire l’objet d’une enquête concernant les faits allégués, les personnes habilitées à accéder aux signalements transmettent le signalement, en fonction de son objet, aux services compétents au sein de la CSSF. Si l’anonymisation n’est pas possible sans compromettre les activités d’enquête et de contrôle de la CSSF, ne seront transmises que les données personnelles nécessaires à l’investigation.

Aux fins de l’accomplissement des missions qui lui sont confiées par la Loi du 16 mai 2023, et plus précisément concernant le traitement des signalements, la CSSF peut être amenée à traiter des données personnelles.

Tout traitement de données à caractère personnel effectué en vertu de la Loi du 16 mai 2023, y compris l’échange ou la transmission de données à caractère personnel par les autorités compétentes, est effectué conformément au règlement (UE) 2016/679, ci-après « règlement général sur la protection des données » ou « RGPD ».

En tant qu’autorité publique traitant des données à caractère personnel, la CSSF est tenue de respecter les obligations qui lui incombent en sa qualité de responsable de traitement.

Après examen, si nécessaire et sous réserve des obligations tenant à la confidentialité ci-dessus, les données personnelles ainsi obtenues peuvent être traitées dans le cadre de l’exercice des missions ou d’enquêtes relevant du champ de compétence de la CSSF. Dans ce contexte, le traitement des données est nécessaire à l’exécution d’une mission d’intérêt public dont la CSSF est investie (article 6, paragraphe 1, sous e) du RGPD).

Les données à caractère personnel qui ne sont manifestement pas pertinentes pour le traitement d’un signalement spécifique ne sont pas collectées ou, si elles le sont accidentellement, sont effacées sans retard injustifié.

Les données personnelles obtenues par le biais d’un signalement jugé infondé, tombant en dehors du champ de compétence de la CSSF par les agents habilités sont effacées sans délai.

Les données personnelles obtenues par le biais d’un signalement sont conservées pendant trois mois suivant la clôture de l’enquête menée par la CSSF dans l’exercice de ses missions respectives ou de la procédure concernant les faits allégués dans le signalement jusqu’à la fin de la période de recours.

Conformément à la loi du 17 août 2018 relative à l’archivage, les dossiers présentant une valeur patrimoniale doivent être conservés à des fins d’archivage dans l’intérêt public au-delà de ces durées d’utilité administrative.

Pour toute question concernant les traitements de vos données à caractère personnel effectués par la CSSF, vous pouvez contacter le délégué à la protection des données (DPO) de la CSSF par email à l’adresse suivante : dpo@cssf.lu ou par voie postale à l’adresse suivante :

Commission de Surveillance du Secteur Financier

DPO / Pascal Pirih
283, route d’Arlon
L-1150 Luxembourg

Pour le surplus, il est renvoyé aux Conditions générales d’utilisation et protection des données de la CSSF.

Les personnes désirant signaler des violations de la loi peuvent effectuer un signalement externe auprès de la CSSF soit directement, soit après avoir effectué un signalement interne pour autant qu’il soit possible de remédier efficacement à la violation en interne et qu’elles estiment qu’il n’y a pas de risque de représailles.

Toute personne qui souhaite signaler des violations de législation entrant dans le domaine de compétences de la CSSF, peut s’adresser à la CSSF en français, luxembourgeois, allemand ou en anglais :

• via le formulaire disponible sous le lien suivant : formulaire ;
• par email à l’adresse : whistleblowing@cssf.lu ;
• en personne au siège de la CSSF ;
• par téléphone au numéro : +352 2625 1 2757 pendant les heures de bureau pour un premier contact.

Le formulaire est à privilégier dans la mesure où ce canal permet de garantir au mieux les exigences d’indépendance et d’autonomie pour la réception et le traitement des signalements reçus conformément à l’article 17 de la Loi du 16 mai 2023.

Les canaux de signalement externes de la CSSF garantissent l’exhaustivité, l’intégrité et la confidentialité des informations transmises. Seuls certains agents de la CSSF habilités ont accès aux informations ainsi transmises et sont tenus de respecter le secret professionnel conformément à l’article 16 de la Loi du 23 décembre 1998, lequel fait référence à l’article 458 du code pénal.

La CSSF n’enregistre pas les signalements par téléphone mais elle peut rédiger un procès-verbal précis relatant les principaux éléments de la conversation et donnera l’opportunité au lanceur d’alerte de le vérifier, rectifier et signer pour approbation.

En cas de signalement par d’autres canaux ou via d’autres membres du personnel de la CSSF, ces derniers sont également tenus de respecter le secret quant à l’identité du lanceur d’alerte ou de la personne concernée et transmettent le signalement au plus vite aux membres du personnel en charge du traitement. Pour rappel, tous les agents de la CSSF sont soumis au secret professionnel sens de l’article 458 du code pénal et conformément à l’article 16 de la Loi du 23 décembre 1998.

Chaque entité du secteur privé (à partir de 50 travailleurs) et du secteur public (sauf communes de moins de 10 000 habitants et entités de moins de 50 travailleurs) doit proposer des canaux et procédures de signalement interne et en assurer le suivi.

Les entités du secteur privé qui comptent 50 à 249 travailleurs peuvent partager des ressources pour la réception et le suivi des signalements internes. Leurs canaux de signalement doivent être opérationnels pour le 17 décembre 2023.

Les personnes désirant signaler des violations de la loi sont encouragées à privilégier le signalement interne avant de recourir à un signalement externe, à moins que le signalement interne risque de leur porter préjudice (représailles de l’employeur par exemple).

L’office des signalements pourra informer et aider toute personne souhaitant effectuer un signalement.

La CSSF reçoit et assure le suivi des signalements tombant sous son champ de compétences. Pour rappel, pour davantage d’informations concernant les missions et compétences de la CSSF, nous vous invitons à visiter la page Mission et compétences de la CSSF. Elle peut demander par écrit à l’entité visée par le signalement la communication de tous les renseignements qu’elle juge nécessaires, dans le strict respect de la confidentialité de l’identité du lanceur d’alerte.

La CSSF s’assure notamment :

• d’accuser réception du signalement dans un délai de 7 jours à compter de sa réception, sauf en cas :
  • de demande contraire expresse du lanceur d’alerte ; ou
  • de motifs raisonnables de croire qu’accuser réception du signalement compromettrait la protection de l’identité du lanceur d’alerte ;
• d’un suivi diligent.

En raison de l’obligation légale sur le secret professionnel de l’article 458 du code pénal, la CSSF n’informera pas le des mesures concrètes prises suite à son signalement, sauf si ces mesures feront l’objet d’une publication conformément aux dispositions légales applicables.

Lorsque la CSSF reçoit un signalement pour lequel elle n’est pas compétente, elle le transmet dans un délai raisonnable et de manière confidentielle et sécurisée à l’autorité nationale compétente visée à l’article 18 de la Loi du 16 mai 2023. Cette dernière en informe le lanceur d’alerte.

Les sont invités à utiliser la procédure d’alerte mise en place par la Banque centrale européenne (BCE) (Le lancement d’alerte (europa.eu)) pour dénoncer des faits concernant des banques importantes au sens du Mécanisme de Surveillance Unique (MSU). Lorsque la CSSF reçoit néanmoins un signalement concernant une banque importante, elle transmet le signalement à la BCE et en informe le whistleblower.

Lorsque la CSSF reçoit un signalement concernant une infraction aux règlements ou aux décisions de la BCE par une entité moins importante au sens du MSU, elle transmet le signalement à la BCE, sans communiquer l’identité de l’auteur du signalement, sauf si le whistleblower donne son consentement exprès.

En sus de ses pouvoirs d’enquête, la CSSF peut prononcer une amende administrative à l’encontre des personnes physiques et morales :

1° qui entravent ou tentent d’entraver un signalement ;
2° qui refusent de fournir les renseignements demandés par la CSSF dans le cadre de sa mission ou fournissent des renseignements incomplets ou faux ;
3° qui portent atteinte à la confidentialité dont jouissent les auteurs de signalements ;
4° qui refusent de remédier à la violation constatée ;
5° qui, en violation de la Loi du 16 mai 2023, n’établissent pas les canaux et les procédures pour le signalement interne et leur suivi.

L’amende ainsi prononcée peut aller de 1 500 euros à 250 000 euros. Le maximum de l’amende peut être doublé en cas de récidive dans les 5 ans à partir de la dernière sanction devenue définitive.

Un recours en réformation contre les décisions prises par la CSSF en vertu de la Loi du 16 mai 2023 peut être introduit devant le tribunal administratif endéans un délai d’un mois à compter de la notification de la décision.

Le lanceur d’alerte qui a sciemment signalé ou divulgué publiquement de fausses informations, pourra se voir infliger une peine d’emprisonnement de 8 jours à 3 mois de prison et une amende de 1 500 euros à 50 000 euros.

La responsabilité civile de l’auteur d’un faux signalement sera engagée. L’entité qui a subi des dommages peut demander réparation du préjudice subi devant la juridiction compétente.

Un lanceur d’alerte qui divulgue publiquement une violation bénéficie de la protection de la Loi du 16 mai 2023 si :

• il a d’abord effectué soit un signalement interne et externe soit directement un signalement externe mais aucune mesure appropriée n’a été prise en réponse au signalement dans les 3 mois suivant le signalement ; ou
• il a des motifs raisonnables de croire que :
  • la violation peut représenter un danger imminent ou manifeste pour l’intérêt public (par exemple lorsqu’il existe une situation d’urgence ou un risque de préjudice irréversible) ; ou
  • en cas de signalement externe, il existe un risque de représailles ou il y a peu de chances qu’il soit véritablement remédié à la violation, en raison des circonstances particulières de l’affaire (par exemple lorsque des preuves peuvent être dissimulées ou détruites ou lorsqu’une autorité peut être en collusion avec l’auteur de la violation ou impliquée dans la violation).

Les lanceurs d’alerte qui répondent aux conditions de protection n’enfreignent pas la loi quant à la divulgation d’informations et n’encourent aucune responsabilité :

• concernant le signalement (interne et/ou externe) ou la divulgation publique pour autant qu’ils aient eu des motifs raisonnables de croire que le signalement ou la divulgation publique était nécessaire pour révéler une violation du droit ;
• en ce qui concerne l’obtention des informations qui sont signalées ou divulguées publiquement, ou l’accès à ces informations (sauf si cette obtention ou accès constitue une infraction pénale autonome) ;
• du fait des signalements ou des divulgations publiques effectués, y compris dans les procédures judiciaires pour diffamation, violation du droit d’auteur, violation du secret, violation des règles en matière de protection des données ou divulgation de secrets d’affaires, ou pour des demandes d’indemnisation fondées sur le droit privé, le droit public ou le droit collectif du travail.

Ils peuvent alors invoquer ce signalement ou cette divulgation publique pour demander l’abandon de la procédure.

Toutes formes de représailles, y compris les menaces et tentatives de représailles, sont interdites à l’égard des lanceurs d’alerte en raison du signalement qu’ils ont effectué.

Sont notamment interdites et nulles de plein droit :

• la suspension d’un contrat de travail, la mise à pied, le licenciement, le non-renouvellement ou la résiliation anticipée d’un contrat de travail à durée déterminée ou des mesures équivalentes ;
• la rétrogradation ou le refus de promotion ;
• le transfert de fonctions, le changement de lieu de travail, la réduction de salaire, la modification des horaires de travail ;
• la suspension de la formation ;
• les mesures disciplinaires imposées ou administrées, réprimande ou autre sanction, y compris une sanction financière ;
• la non-conversion d’un contrat de travail temporaire en un contrat permanent, lorsque le salarié pouvait légitimement espérer se voir offrir un emploi permanent ;
• l’évaluation de performance ou l’attestation de travail négative ;
• la résiliation anticipée ou l’annulation d’un contrat pour des biens ou des services ;
• l’annulation d’une licence ou d’un permis ;

Sont également interdites :

• la coercition, l’intimidation, le harcèlement ou l’ostracisme ;
• la discrimination, le traitement désavantageux ou injuste ;
• le préjudice, y compris les atteintes à la réputation de la personne, en particulier sur les réseaux sociaux, ou les pertes financières, y compris la perte d’activité et la perte de revenu ;
• la mise sur liste noire sur la base d’un accord formel ou informel à l’échelle sectorielle ou de la branche d’activité, pouvant impliquer que la personne ne trouvera pas d’emploi à l’avenir au niveau du secteur ou de la branche d’activité ;
• l’orientation vers un traitement psychiatrique ou médical.

Le lanceur d’alerte qui subit des mesures de représailles peut, dans les 15 jours qui suivent la notification des mesures, demander à la juridiction compétente de constater la nullité des mesures et d’en ordonner la cessation.

La personne qui n’a pas invoqué la nullité des mesures de représailles ou qui en a déjà obtenu la nullité peut encore exercer une action en dommages et intérêts.

La CSSF recommande, pour les actions en justice, de recourir aux services d’un avocat.

Les personnes qui exercent des mesures de représailles ou intentent des procédures abusives contre les lanceurs d’alerte s’exposent à une amende de 1 250 à 25 000 euros.

Le lanceur d’alerte qui subit des mesures préjudiciables bénéficie d’office de la présomption que ces mesures ont été prises contre lui en représailles au signalement.

Il incombe donc à la personne qui a pris les mesures d’en établir les motifs.