22 juillet 2026·5 min de lecture

Loi Sapin II et Waserman : obligations, délais et sanctions pour les entreprises

Depuis la loi Waserman (n° 2022-401, en vigueur le 1er septembre 2022), qui renforce la loi Sapin II, tout employeur français de 50 salariés ou plus doit mettre en place un canal de signalement interne. Ces lois transposent la directive UE 2019/1937. Ce guide couvre le champ d’application, les délais, les sanctions, la consultation du CSE et l’externalisation.

Quelles entreprises sont concernées ?

Les employeurs privés et publics de 50 salariés ou plus. Pour les entreprises de 50 à 249 salariés, l’obligation s’applique depuis le 17 décembre 2023. La mutualisation de la procédure au sein d’un groupe est autorisée.

Les délais : 7 jours et 3 mois

Le décret n° 2022-1284 impose un accusé de réception sous 7 jours ouvrés et un retour sur les suites données dans un délai de 3 mois — porté à 6 mois pour les dossiers complexes, avec une justification écrite avant l’échéance.

Sanctions en cas d’entrave ou de représailles

Faire obstacle à un signalement : 1 an d’emprisonnement et 15 000 € d’amende
Divulguer les éléments confidentiels permettant d’identifier l’auteur : 2 ans et 30 000 €
Procédure abusive contre un lanceur d’alerte : amende civile pouvant atteindre 60 000 €

Les mesures de représailles — licenciement, discrimination, sanction — prises contre un lanceur d’alerte sont nulles de plein droit.

Faut-il consulter le CSE ?

Oui. La procédure de recueil et de traitement des signalements doit être établie après consultation du comité social et économique (CSE). C’est une étape à intégrer dès le départ dans votre calendrier de mise en place.

Canal interne, canal externe et externalisation

Deux voies coexistent : le canal interne, que vous opérez, et le canal externe géré par le Défenseur des droits — qui peut aussi certifier le statut de lanceur d’alerte — l’Agence française anticorruption intervenant pour les atteintes à la probité. La loi autorise à confier le dispositif interne à un prestataire externe : c’est précisément le rôle de Whistlechannel.

Hébergement et RGPD : la question Schrems II

Après l’arrêt Schrems II, les données hébergées chez un fournisseur américain restent exposées au CLOUD Act et à la section 702 FISA, même stockées dans un centre de données européen. La solution sûre est un hébergement exclusivement dans l’UE, sans sous-traitant américain. Whistlechannel héberge uniquement à Stockholm, sans sous-traitant américain, sans journalisation des adresses IP et avec un chiffrement AES-256 — en 24 langues, en self-service, à partir de 99 SEK/mois, sans appel commercial.

Questions fréquentes

À partir de combien de salariés le dispositif d’alerte est-il obligatoire ?

Dès 50 salariés. La loi Waserman, qui renforce la loi Sapin II, impose un canal de signalement interne aux employeurs privés et publics. Pour les entreprises de 50 à 249 salariés, l’obligation s’applique depuis le 17 décembre 2023.

Quels sont les délais à respecter après un signalement ?

Un accusé de réception doit être envoyé sous 7 jours ouvrés et un retour sur les suites données dans un délai de 3 mois, porté à 6 mois pour les dossiers complexes (décret n° 2022-1284).

Devons-nous consulter le CSE ?

Oui. La procédure de recueil et de traitement des signalements doit être établie après consultation du comité social et économique (CSE).

Peut-on externaliser le dispositif de signalement ?

Oui. Le dispositif interne peut être confié à un prestataire externe et mutualisé au sein d’un groupe. Whistlechannel fournit ce canal clé en main, en 24 langues de l’UE.

Où sont hébergées les données des signalements ?

Chez Whistlechannel, exclusivement à Stockholm (UE), sans sous-traitant américain et sans journalisation de l’adresse IP — conforme au RGPD et à l’arrêt Schrems II.

Comparer les plateformes d’alerte de l’UE →