Loi Waserman : la protection des lanceurs d’alerte en France #

La France a transposé la directive européenne 2019/1937 par la loi n° 2022-401 du 21 mars 2022, dite loi Waserman, qui modifie le dispositif préexistant de la loi Sapin 2. Pour la plupart des employeurs, le repère central reste le seuil de 50 salariés, complété par le décret d’octobre 2022 sur les procédures internes et externes.

Loi Sapin 2 ou loi Waserman ? #

Il s’agit d’un seul et même dispositif, et non de deux lois concurrentes.

La loi n° 2016-1691 du 9 décembre 2016, dite loi Sapin 2 (aussi écrite Sapin II), a créé le premier statut français du lanceur d’alerte. La loi Waserman ne l’a pas remplacée : elle l’a modifiée, afin de transposer la directive (UE) 2019/1937. Les protections en vigueur aujourd’hui figurent donc dans la loi Sapin 2 telle que modifiée, ce qui explique que les sanctions détaillées plus bas renvoient à l’article 13 du texte de 2016 et non à celui de 2022.

Une distinction compte particulièrement en pratique. L’article 17 de la loi Sapin 2 impose un programme anticorruption aux entreprises d’au moins 500 salariés réalisant plus de 100 M€ de chiffre d’affaires, sous le contrôle de l’Agence française anticorruption (AFA). C’est une obligation distincte de celle du dispositif d’alerte décrite sur cette page : elle vise beaucoup moins d’entreprises, et satisfaire à l’une ne dispense pas de l’autre. Une entreprise de 60 salariés est soumise à l’obligation de canal mais pas à l’article 17 ; une entreprise de 900 salariés est soumise aux deux.

Que protège la loi Waserman, et qui protège-t-elle ? #

La loi Waserman protège les lanceurs d’alerte : les personnes physiques qui signalent ou divulguent, de bonne foi et sans contrepartie financière directe, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, ou une violation du droit français ou européen. Elle a sensiblement élargi le cadre issu de la loi Sapin II :

• Une définition plus large : dans un cadre professionnel, le lanceur d’alerte n’a plus besoin d’avoir eu personnellement connaissance des faits qu’il signale.
• Plus d’obligation de signalement interne préalable : il peut saisir directement une autorité externe (voir ci-dessous).
• Une protection étendue à l’entourage : les « facilitateurs » — y compris les personnes morales comme les syndicats et associations — ainsi que les collègues et proches exposés à des représailles sont désormais couverts.

Texte applicable #

• Loi n° 2016-1691 du 9 décembre 2016 (loi Sapin 2) — le dispositif que la loi Waserman modifie
• Loi n° 2022-401 du 21 mars 2022 (loi Waserman)
• Service Public — lancer une alerte

Qui doit mettre en place un canal interne #

• Les employeurs privés de 50 salariés ou plus doivent mettre en place une procédure interne (effectif apprécié sur deux années consécutives).
• Les personnes morales de droit public et administrations de l’État d’au moins 50 agents — hors communes de moins de 10 000 habitants.
• Certaines structures de moins de 250 travailleurs peuvent mutualiser le dispositif de recueil et de traitement.
• Entités des services financiers / LCB-FT, de la sécurité des transports et de l’environnement — quel que soit l’effectif.

L’obligation s’applique depuis le 1er septembre 2022 (décret 2022-1284 du 3 octobre 2022). Ce seuil de 50 salariés pour le canal d’alerte est distinct de l’obligation Sapin II de programme anticorruption (500 salariés / 100 M€ de chiffre d’affaires, art. 17), que l’AFA contrôle avec des sanctions bien plus lourdes.

Sanctions et application en pratique #

Le cadre français est atypique : il n’existe aucune amende directe pour le simple fait de ne pas avoir mis en place un canal. La version actuelle de la loi Sapin II / loi Waserman ne sanctionne pas une entreprise qui n’en instaure pas, et le décret d’application ne prévoit aucune sanction. Les peines visent des comportements précis :

Textuel, article 13, I de la loi 2016-1691 : « Toute personne qui fait obstacle, de quelque façon que ce soit, à la transmission d’un signalement … est punie d’un an d’emprisonnement et de 15 000 euros d’amende. » Le même article 13 (II) porte à 60 000 euros l’amende civile en cas d’action abusive ou dilatoire contre un lanceur d’alerte. Aucun article du dispositif Sapin II / Waserman ne sanctionne l’employeur pour absence de canal — vérifié sur le texte consolidé Légifrance et le décret 2022-1284.

Une évaluation honnête de l’application. L’absence de canal n’est pas directement sanctionnée — mais elle n’est pas sans risque. Un dispositif manquant ou défaillant crée une exposition indirecte : il renforce une action pour représailles ou licenciement abusif devant le conseil de prud’hommes et alimente le contrôle de l’AFA pour les grandes entreprises. L’application de la protection est essentiellement réactive et judiciaire : tout licenciement de représailles est nul de plein droit et le juge des référés peut ordonner la réintégration (Cass. soc., 1er févr. 2023, Thales, n°21-24.271, la charge de la preuve pesant sur l’employeur). Le Défenseur des droits veille à la protection. En pratique, le vrai coût d’un canal absent se traduit par du contentieux et des réintégrations, non par une amende administrative fixe.

Autorité externe #

La France ne repose pas sur une seule autorité externe universelle. Le décret n° 2022-1284 du 3 octobre 2022 publie une liste d’autorités externes compétentes — environ vingt-trois rubriques sectorielles — chacune recevant les signalements relevant de son champ.

Le Défenseur des droits se tient à côté de cette liste, avec un rôle différent : il oriente le lanceur d’alerte vers l’autorité compétente, rend un avis sur sa qualité dans un délai de six mois et le protège contre les représailles. Cette page détaille ce qu’il peut et ne peut pas faire, les délais du canal externe et les voies de saisine. Pour un employeur, la conséquence pratique est qu’aucune autorité unique ne peut être nommée dans une procédure interne.

Autorité de protection des données #

Pour les questions relatives à la confidentialité ou au traitement des données personnelles, l’autorité compétente est la CNIL .

Points de conformité à retenir #

• Le lanceur d’alerte n’est plus tenu de signaler d’abord en interne avant de saisir une autorité externe.
• La procédure doit garantir la confidentialité de l’auteur du signalement, de la personne visée et des tiers mentionnés.
• Le cadre français reste aligné sur le schéma classique d’accusé de réception sous 7 jours ouvrables et de retour d’information sous 3 mois.

Le dispositif à l’épreuve de la pratique #

Le Défenseur des droits — autorité externe de signalement en France — a publié le 28 mai 2026 son premier rapport bisannuel sur le régime, La protection des lanceurs d’alerte en France : un dispositif à l’épreuve de son appropriation. Deux de ses constats concernent directement la conduite d’une procédure interne :

• Les signalements externes ont environ quintuplé. Le rapport recense plus de 10 000 signalements en 2025, contre environ 2 000 en 2023 — des signalements adressés aux autorités externes plutôt qu’à la procédure interne de l’employeur.
• L’échec récurrent porte sur les représailles, non sur le recueil. Le Défenseur des droits constate des violations fréquentes de l’interdiction légale de représailles, en particulier dans la relation de travail.

Les signalements se concentrent dans la santé et le secteur médico-social, l’environnement et la probité publique.

Ce qu’un employeur français peut en tirer : depuis 2022, un lanceur d’alerte peut saisir directement une autorité externe, et les volumes montrent qu’il le fait de plus en plus. La question n’est plus de savoir si les salariés signaleront, mais si la procédure interne est suffisamment crédible pour être utilisée d’abord — et si ce qui suit le signalement protège effectivement son auteur. Une procédure qui respecte l’accusé de réception sous 7 jours ouvrables et le retour d’information sous 3 mois, mais laisse le lanceur d’alerte exposé aux représailles, échoue précisément sur l’axe que le Défenseur des droits documente.

Sources officielles #

• Loi Waserman — texte officiel
• Service Public — lancer une alerte
• Loi Sapin II (loi 2016-1691) — texte officiel
• Décret 2022-1284 (procédures de signalement interne/externe)
• Défenseur des droits — orienter et protéger
• Défenseur des droits — rapport bisannuel sur la protection des lanceurs d’alerte (28 mai 2026)
• Agence Française Anticorruption — les contrôles de l’AFA
• CNIL — adresser une alerte

Questions fréquentes #

Quelle est la différence entre la loi Sapin 2 et la loi Waserman ? #

Ce sont deux textes du même dispositif, et non deux régimes concurrents. La loi Sapin 2 (loi n° 2016-1691 du 9 décembre 2016) a créé le statut français du lanceur d’alerte ; la loi Waserman (loi n° 2022-401 du 21 mars 2022) l’a modifiée pour transposer la directive (UE) 2019/1937. Les protections applicables aujourd’hui figurent dans la loi Sapin 2 telle que modifiée. À ne pas confondre avec l’obligation de programme anticorruption de l’article 17 de la loi Sapin 2, qui ne vise que les entreprises d’au moins 500 salariés réalisant plus de 100 M€ de chiffre d’affaires.

À partir de combien de salariés un dispositif d’alerte est-il obligatoire en France ? #

À partir de 50 salariés, l’effectif étant apprécié sur deux années consécutives. Le seuil vaut aussi pour les personnes morales de droit public d’au moins 50 agents, hors communes de moins de 10 000 habitants. Les entités des services financiers et de la LCB-FT, de la sécurité des transports et de l’environnement sont soumises à l’obligation quel que soit leur effectif. L’obligation s’applique depuis le 1er septembre 2022.

Quelle sanction en cas d’absence de dispositif d’alerte ? #

Aucune amende directe. C’est une particularité française : ni la loi Sapin 2 telle que modifiée, ni le décret 2022-1284 ne sanctionnent l’employeur pour le seul fait de ne pas avoir mis en place de procédure interne. Les peines visent des comportements précis — faire obstacle à un signalement (1 an d’emprisonnement et 15 000 € pour une personne physique, 75 000 € pour une personne morale) et les représailles (3 ans et 45 000 €, 225 000 € pour une personne morale). L’exposition réelle d’un employeur sans dispositif est donc contentieuse : elle renforce une action pour licenciement de représailles devant le conseil de prud’hommes, où tout licenciement de représailles est nul de plein droit.

Un salarié doit-il signaler en interne avant de saisir une autorité externe ? #

Non. Depuis la loi Waserman, le lanceur d’alerte peut saisir directement une autorité externe sans passer d’abord par la procédure interne de son employeur. C’est un changement de fond par rapport au régime antérieur, et il explique pourquoi une procédure interne n’a d’intérêt que si elle est suffisamment crédible pour être utilisée en premier.

Quels délais la procédure interne doit-elle respecter ? #

Un accusé de réception dans un délai de 7 jours ouvrables à compter du signalement, et un retour d’informations à l’auteur du signalement dans un délai de 3 mois. Ces délais reprennent le schéma de la directive (UE) 2019/1937.

Qui est l’autorité externe compétente en France ? #

La France n’a pas d’autorité externe unique. Le Défenseur des droits oriente et protège les lanceurs d’alerte, et les autorités sectorielles compétentes listées par le décret n° 2022-1284 reçoivent les signalements relevant de leur champ. Le Défenseur des droits a recensé plus de 10 000 signalements externes en 2025, contre environ 2 000 en 2023.

Le RGPD s’applique-t-il aux signalements ? #

Oui. Un signalement contient des données personnelles concernant l’auteur, la personne visée et les tiers mentionnés, et leur traitement relève du RGPD. La procédure doit garantir la confidentialité de ces trois catégories de personnes. L’autorité compétente en cas de difficulté est la CNIL.

Activez votre dispositif d’alerte →

Dernière mise à jour: 19 septembre 2026