Loi 2/2023 sur le canal de signalement : quelles obligations et comment s'y conformer

Si vous dirigez une PME et que la Ley 2/2023 sur le canal de signalement vous semble encore du chinois, vous n’êtes pas le seul. Cette norme oblige des milliers d’entreprises espagnoles à mettre en place un canal interne permettant aux salariés et collaborateurs de signaler des irrégularités sans crainte de représailles. Dans cet article, nous vous expliquons, dans un langage clair, ce que vise la loi, qui elle concerne, quelles exigences elle impose et comment vous y conformer sans vous compliquer la vie.

Objectif de la Ley 2/2023

La Ley 2/2023, du 20 février (loi régissant la protection des personnes signalant des infractions à la réglementation et la lutte contre la corruption), transpose dans l’ordre juridique espagnol la Directiva (UE) 2019/1937, plus connue sous le nom de directive whistleblowing (lanceurs d’alerte).

Son objectif est double :

• Protéger toute personne qui décide de signaler une irrégularité — fraude, corruption, manquements graves à la réglementation — contre les représailles telles que les licenciements, sanctions, changements de poste ou tout traitement défavorable.
• Renforcer la culture de la conformité et de l’intégrité au sein des organisations, en donnant aux entreprises un mécanisme préventif pour détecter et corriger les problèmes avant qu’ils ne s’aggravent.

En pratique, la loi vise à ce que signaler une mauvaise pratique au sein d’une entreprise cesse d’être un acte de risque personnel pour devenir un canal sûr et confidentiel.

Champ d’application de la loi

La Ley 2/2023 concerne aussi bien le secteur public que le secteur privé, et sa protection ne se limite pas au personnel salarié. Sont couvertes par la norme les personnes qui, dans un contexte professionnel, détiennent des informations sur des infractions :

• Salariés et travailleurs indépendants.
• Actionnaires, associés et membres des organes d’administration ou de direction.
• Contractants, sous-traitants et fournisseurs.
• Stagiaires, apprentis et bénévoles, rémunérés ou non.
• Candidats en cours de recrutement ou de négociation précontractuelle.
• Personnes de l’entourage du lanceur d’alerte (proches ou collègues susceptibles de subir des représailles en raison de leur lien).

Cette ampleur est essentielle : la loi ne protège pas seulement les personnes en contrat à durée indéterminée, mais tout l’écosystème de personnes en relation avec l’entreprise.

Exigences imposées par la législation

La loi oblige les organisations concernées à disposer d’un Système Interne d’Information (Sistema Interno de Información) permettant de signaler des irrégularités avec toutes les garanties. Les exigences essentielles sont les suivantes :

• Confidentialité : l’identité du lanceur d’alerte et de tout tiers mentionné dans le signalement doit être protégée.
• Possibilité de signalement anonyme : le canal doit accepter les communications sans obligation de s’identifier.
• Accusé de réception et délais de réponse : l’entreprise doit confirmer la réception dans un délai maximum de 7 jours et apporter une réponse dans un délai n’excédant pas 3 mois.
• Enregistrement sécurisé de toutes les communications, garantissant la traçabilité sans compromettre la confidentialité.
• Désignation d’un responsable du Système (individuel ou collégial) qui gère le canal en toute indépendance.
• Interdiction expresse des représailles contre quiconque signale de bonne foi.

Une simple boîte à suggestions ou une adresse de courriel générique ne suffisent pas : le canal doit satisfaire à des exigences techniques et organisationnelles garantissant la sécurité et la protection des données conformément au RGPD.

Comment se conformer à la Ley 2/2023 ?

Vérifiez si votre entreprise est concernée

L’obligation s’applique, entre autres, aux entreprises privées de 50 salariés ou plus, aux partis politiques, syndicats et organisations patronales, ainsi qu’à toutes les entités du secteur public. Les délais d’adaptation sont déjà échus :

• Entreprises de 250 salariés ou plus et entités du secteur public : le délai a expiré en juin 2023.
• Entreprises comptant entre 50 et 249 salariés : le délai s’est terminé le 1er décembre 2023.

Cela signifie qu’à ce jour, toute entreprise concernée qui ne dispose pas encore de son canal est hors délai et exposée à des sanctions. L’Autoridad Independiente de Protección del Informante (A.A.I., autorité indépendante espagnole de protection des lanceurs d’alerte) peut imposer des amendes allant de quelques milliers d’euros pour les infractions légères jusqu’à 1.000.000 € pour les infractions très graves, en plus d’autres conséquences telles que l’interdiction de contracter avec le secteur public.

Appuyez-vous sur un logiciel spécialisé

Mettre en place un canal maison conforme à la loi est plus compliqué qu’il n’y paraît : il faut garantir l’anonymat, chiffrer les communications, contrôler les délais de réponse et tenir un registre auditable. C’est pourquoi la voie la plus simple et la plus sûre consiste à s’appuyer sur un logiciel spécialisé déjà préparé pour la Ley 2/2023.

Avec LapsoWork, vous disposez d’un canal de signalement conforme à la réglementation, avec réception confidentielle et anonyme, accusé de réception automatique, contrôle des délais et enregistrement sécurisé de chaque communication. Et, en s’intégrant aux autres modules de gestion du personnel — du contrôle du temps de travail à la gestion documentaire —, vous évitez d’avoir des outils dispersés pour chaque obligation légale.

En résumé

La Ley 2/2023 n’est pas une formalité optionnelle : c’est une obligation dont les délais sont déjà échus et qui comporte des sanctions bien réelles. Si votre entreprise compte 50 personnes ou plus et ne dispose toujours pas d’un canal de signalement conforme, le moment d’agir, c’est maintenant. Mettre en place un système conforme à la loi vous protège en tant qu’entreprise ainsi que les personnes qui travaillent avec vous, et renforce une culture de transparence qui constitue aujourd’hui un avantage concurrentiel.