Canal de signalement obligatoire : quelles entreprises sont concernées et quelles sanctions

Depuis l’entrée en vigueur de la Ley 2/2023 (loi espagnole 2/2023), toute entreprise espagnole comptant 50 salariés ou plus a l’obligation de disposer d’un canal de signalement interne. Le délai pour se mettre en conformité a déjà expiré et l’Autoridad Independiente de Protección del Informante (AAI, l’autorité indépendante de protection du lanceur d’alerte) commence à ouvrir des dossiers. Si votre entreprise ne dispose pas encore d’un tel canal, cet article vous explique en langage clair qui est concerné, quelles sont les sanctions et comment se mettre en conformité en 48 heures.

Qu’est-ce que la Ley 2/2023

La Ley 2/2023, du 20 février, est la norme espagnole qui transpose la Directiva (UE) 2019/1937 (directive européenne 2019/1937) sur la protection des lanceurs d’alerte (« whistleblowing »). Elle protège toute personne qui, dans un contexte professionnel, communique des infractions à la réglementation graves ou très graves commises au sein d’une organisation.

Son objectif est double :

Que les entreprises disposent d’un canal interne permettant à toute personne de signaler des irrégularités sans crainte de représailles.
Que chaque signalement soit instruit et résolu avec des garanties de confidentialité et de protection du lanceur d’alerte.

Quelles entreprises sont concernées

Sont tenues de disposer d’un canal de signalement toutes les entités suivantes :

Les entreprises privées de 50 salariés ou plus (tous secteurs confondus).
Les entreprises de moins de 50 salariés opérant dans certains secteurs réglementés : services financiers, sécurité des transports, protection de l’environnement, entre autres.
Les administrations publiques (dans tous les cas, sans seuil d’effectif).
Les partis politiques, syndicats, associations et fondations qui reçoivent des fonds publics.
Les personnes morales bénéficiant de fonds européens.

Délais (déjà échus)

La loi a fixé deux délais de mise en conformité :

13 juin 2023 : entreprises de 250 salariés ou plus.
1er décembre 2023 : entreprises de 50 à 249 salariés.

Si, à la date de 2026, votre entreprise ne dispose toujours pas de canal alors qu’elle y est tenue, elle se trouve en situation de non-conformité depuis plus de deux ans.

Quelles exigences le canal doit-il remplir

Un canal de signalement conforme à la Ley 2/2023 et à la Directiva 2019/1937 doit réunir les exigences minimales suivantes :

Accessible aux salariés, anciens salariés, sous-traitants, fournisseurs et candidats à un poste.
Permettre le signalement anonyme si le lanceur d’alerte le souhaite.
Confidentialité de l’identité et des données fournies.
Traçabilité du dossier, avec date de réception, délais et résolution.
Délai de 7 jours pour accuser réception au lanceur d’alerte.
Délai de 3 mois (prorogeable à 6 dans les cas complexes) pour instruire et résoudre.
Responsable du système désigné formellement (personne sans conflit d’intérêts).
Protection explicite du lanceur d’alerte contre les représailles.
Registre des activités de traitement conforme au RGPD.

Sanctions en cas d’absence de mise en place

L’AAI peut infliger des sanctions pour deux manquements distincts : ne pas disposer d’un canal alors que l’entreprise y est tenue, ou ne pas traiter correctement un signalement reçu.

Sanctions graves (50 001 € à 600 000 €)

Ne pas mettre en place le canal alors qu’il existe une obligation.
Représailles directes contre un lanceur d’alerte.
Révéler l’identité du lanceur d’alerte sans autorisation.

Sanctions très graves (600 001 € à 1 000 000 €)

Manquements systématiques ou répétés.
Obstruction grave à l’action de l’AAI.
Représailles d’une gravité particulière (licenciement abusif confirmé par un tribunal).

Par ailleurs, si l’entreprise est une personne physique, les sanctions peuvent dépasser 300 000 €.

Canal interne vs canal externe

La loi prévoit deux modèles :

Canal interne

Portail géré par l’entreprise elle-même, avec un responsable interne désigné formellement. Avantage : contrôle total. Inconvénient : vous devez former un salarié, garantir son indépendance et assumer le risque réputationnel en cas de signalement mal géré.

Canal externe

Portail géré par un tiers indépendant (comme LapsoWork). Avantage : conformité garantie, indépendance réelle, équipe spécialisée dans la réception. Inconvénient : coût annuel (à partir de 299,99 € + TVA pour les PME).

La plupart des PME de 50 à 250 salariés optent pour le canal externe, car il les libère de la complexité opérationnelle.

Comment mettre en place le canal en 48 heures avec LapsoWork

Si votre entreprise est concernée et ne dispose pas encore d’un canal, voici le processus de souscription avec LapsoWork :

Jour 1 : contrat + envoi du questionnaire de configuration (nom de l’entreprise, logo, langues, typologie des signalements à autoriser).
Jour 1 : notre équipe juridique révise et personnalise la politique interne de signalement (modèle approuvé par des avocats en compliance).
Jour 2 : publication du portail avec URL propre (denuncias.votreentreprise.com ou sous-dossier).
Jour 2 : formation d’1 h au responsable interne pour la gestion des dossiers reçus.
Jour 2 : communication interne aux salariés (modèle d’email fourni) expliquant le nouveau canal.

Coût : 299,99 €/an + TVA (PME). Comprend le portail, le conseil juridique pour la politique et la gestion documentaire du dossier.

Questions fréquentes

Puis-je mettre en place le canal moi-même avec un formulaire Google Forms ? Non. Google Forms ne remplit pas les exigences de base (anonymat réel, chiffrement de l’identité, traçabilité du dossier, délais légaux). L’utiliser à la place d’un canal homologué constitue une infraction grave.

Le canal doit-il être visible sur le site public ? Oui. La Ley 2/2023 exige que le canal soit accessible depuis le site web de l’entreprise, de manière publique et facile à trouver. Il doit également être communiqué explicitement aux salariés, sous-traitants et fournisseurs.

Que se passe-t-il si je reçois un signalement faux ou malveillant ? La loi protège aussi les entreprises contre les signalements mensongers. Le responsable du canal doit instruire avec impartialité ; s’il est établi que le lanceur d’alerte a agi de mauvaise foi, la protection légale disparaît et il peut y avoir des conséquences pour lui.

Une personne ne travaillant plus dans l’entreprise peut-elle signaler ? Oui. Les anciens salariés, sous-traitants, fournisseurs, et même les candidats à un poste ont qualité pour signaler. Le canal doit permettre des signalements « non authentifiés ».

Quelle est la première erreur la plus fréquente lors de la mise en place ? Ne pas désigner formellement le responsable du système, ou désigner quelqu’un en situation évidente de conflit d’intérêts (directeur général, associé unique). L’AAI le détecte lors d’une simple inspection et le sanctionne.

Conclusion

Si votre entreprise compte 50 salariés ou plus et ne dispose pas encore de canal de signalement, le risque juridique n’est pas théorique : c’est une sanction d’au moins 50 000 € si un dossier est ouvert contre vous. Le mettre en place coûte 299,99 €/an avec LapsoWork et se fait en 48 heures.

Souscrivez au canal de signalement pour le voir fonctionner, intégré au reste du logiciel de RH.