Les lanceurs d’alerte qui travaillent dans le secteur privé ou public et qui ont obtenu des informations sur des violations dans un contexte professionnel (relation de travail actuelle, passée ou future) comme par exemple :

• les travailleurs salariés (y compris les fonctionnaires et employés de l’État) ;
• les travailleurs indépendants ;
• les actionnaires et les membres d’un organe d’administration, de direction ou de surveillance d’une entreprise, y compris les membres non exécutifs ;
• les bénévoles et les stagiaires rémunérés ou non ; et
• toute personne qui travaille sous la supervision et la direction de contractants, de sous-traitants et de fournisseurs.

La protection concerne également :

• les facilitateurs (la personne physique qui aide un lanceur d’alerte de façon confidentielle) ;
• les collègues ou proches du lanceur d’alerte qui risquent de faire l’objet de représailles ;
• les entités juridiques qui appartiennent au lanceur d’alerte, pour lesquelles il travaille, ou avec lesquelles il a des liens professionnels ;
• les personnes qui ont signalé ou divulgué des informations sur des violations de manière anonyme, mais qui sont identifiées par la suite et font l’objet de représailles ;
• les personnes qui signalent des violations auprès des institutions, organes ou organismes de l’Union européenne compétents.

Qu’est-ce qui peut être signalé ?

En tant que lanceur d’alerte, vous pouvez signaler toute violation du droit national et/ou du droit de l’Union européenne, c’est-à-dire les actes ou omissions qui :

• sont illicites ; ou
• vont à l’encontre de l’objet ou de la finalité des dispositions du droit national ou du droit européen, d’application directe.

Vous pouvez communiquer toutes informations, y compris des soupçons raisonnables, qui concernent :

• des violations effectives ou potentielles ; et/ou
• des tentatives de dissimulation de ces violations ;

qui se sont produites ou sont très susceptibles de se produire :

• dans l’organisation dans laquelle vous travaillez ou avez travaillé ; ou
• dans une autre organisation avec laquelle vous êtes ou avez été en contact dans le cadre de votre travail.

Quelles sont les conditions pour être protégé ?

Pour être protégé contre toutes formes de représailles, vous devez :

• avoir eu des motifs raisonnables de croire que les informations signalées sur les violations étaient véridiques au moment du signalement et qu’elles relèvent du champ d’application de la loi ; et
• avoir effectué un signalement :
  • soit interne : via les canaux de signalement de votre entreprise ou administration ;
  • soit externe : via les canaux de signalement de l’autorité compétente ;
  • soit public : suite à un signalement externe sans résultat.

Signalement interne

Si vous désirez signaler des violations de la loi, vous êtes encouragé à privilégier le signalement interne avant de recourir à un signalement externe, à moins que le signalement interne risque de vous porter préjudice (représailles de l’employeur par exemple).

Chaque entité du secteur privé (à partir de 50 salariés) et du secteur public (sauf communes de moins de 10.000 habitants et entités de moins de 50 travailleurs) doit proposer des canaux et procédures de signalement interne et en assurer le suivi.

Les entités du secteur privé qui comptent de 50 à 249 travailleurs peuvent partager des ressources pour la réception et le suivi des signalements internes. Leurs canaux de signalement doivent être opérationnels pour le 17 décembre 2023.

Signalement externe

Si vous désirez signaler des violations de la loi, vous pouvez effectuer un signalement externe auprès de l’autorité compétente :

• soit directement ;
• soit après avoir effectué un signalement interne.

Signalement auprès de l’Autorité de la concurrence

Si, en tant que lanceur d’alerte, vous souhaitez signaler des violations qui entrent dans le domaine de compétences de l’Autorité de la concurrence, vous pouvez vous adresser à l’Autorité en français, luxembourgeois, allemand ou en anglais :

• via la plateforme sécurisée "Alerter l’Autorité de concurrence" sur MyGuichet. Il s’agit d’une démarche sans authentification (voir sous "Services en ligne et formulaires" ) ;
• par e-mail à l’adresse : alerte@concurrence.etat.lu ;
• par téléphone au numéro : (+352) 247 84484 ;
• en personne au siège de l’Autorité de la concurrence.

La plateforme de signalement de l’Autorité de la concurrence garantit l’exhaustivité, l’intégrité et la confidentialité des informations transmises. Seuls les membres du personnel de l’Autorité de la concurrence habilités y ont accès et sont tenus de respecter le secret professionnel.

L’Autorité de la concurrence n’enregistre pas les signalements par téléphone, mais elle peut rédiger un procès-verbal précis qui relate les principaux éléments de la conversation que vous pourrez par la suite vérifier, rectifier et signer pour approbation.

De même, l’Autorité de la concurrence veille, avec votre consentement, à conserver des comptes rendus complets et précis des signalements effectués en personne sous forme d’enregistrement ou de procès-verbal.

Suivi et traitement du signalement par l’Autorité de la concurrence

L’Autorité de la concurrence reçoit et assure le suivi des signalements qui sont de sa compétence.

Elle peut demander par écrit à l’entité visée par le signalement la communication de tous les renseignements qu’elle juge nécessaires, dans le strict respect de la confidentialité de votre identité en tant que lanceur d’alerte.

L’Autorité de la concurrence s’assure notamment :

• d’accuser réception du signalement dans un délai de 7 jours à compter de sa réception, sauf en cas :
  • de demande contraire expresse de votre part ; ou
  • de motifs raisonnables de croire qu’accuser réception du signalement compromettrait la protection de votre identité ;
• d’en assurer un suivi diligent ;
• de vous fournir un retour d’informations endéans 3 mois, ou 6 mois dans des cas dûment justifiés ;
• de vous communiquer le résultat final des démarches auxquelles le signalement a donné lieu, sous réserve des informations tombant dans le champ d’application d’une obligation légale de secret pénalement sanctionnée.

Décisions et sanctions de l’Autorité de la concurrence

Après examen du dossier, l’Autorité de la concurrence :

• peut décider de clôturer la procédure :
  • en cas de violation manifestement mineure (même si d’autres obligations ou d’autres procédures peuvent être appliquées pour remédier à la violation signalée) ;
  • en cas de signalements répétitifs qui ne contiennent aucune nouvelle information significative par rapport à un signalement antérieur dont la procédure est close.

L’Autorité de la concurrence vous notifie alors sa décision et les motifs de celle-ci.

L’Autorité de la concurrence peut sanctionner les entités (personnes morales) visées par le signalement.

Amendes encourues

L’Office des signalements peut, quant à lui, infliger des amendes aux personnes qui ne respectent pas la loi sur la protection des lanceurs d’alertes :

• de 1.250 à 25.000 euros si elles exercent des mesures de représailles ou intentent des procédures abusives contre les lanceurs d’alerte ;
• de 1.500 à 250.000 euros notamment si elles entravent un signalement, refusent de remédier à une violation ou n’ont pas mis en place les canaux de signalement interne requis (l’amende peut être doublée en cas de récidive).

Divulgations publiques

Si, en tant que lanceur d’alerte, vous divulguez publiquement une violation, vous bénéficiez de la protection de la loi si :

• vous avez d’abord effectué soit un signalement interne et externe, soit directement un signalement externe, mais qu’aucune mesure appropriée n’a été prise en réponse au signalement dans les 3 mois qui suivent celui-ci ; ou
• vous avez des motifs raisonnables de croire que :
  • la violation peut représenter un danger imminent ou manifeste pour l’intérêt public (par exemple lorsqu’il existe une situation d’urgence ou un risque de préjudice irréversible) ; ou
  • en cas de signalement externe, il existe un risque de représailles ou il y a peu de chances qu’il soit véritablement remédié à la violation, en raison des circonstances particulières de l’affaire (par exemple lorsque des preuves peuvent être dissimulées ou détruites ou lorsqu’une autorité peut être en collusion avec l’auteur de la violation ou impliquée dans la violation).

Protection contre les représailles

Absence de responsabilité des lanceurs d’alerte

Si vous répondez aux conditions de protection du lanceur d’alerte, vous n’enfreignez pas la loi quand vous divulguez des informations et vous n’encourez aucune responsabilité :

• concernant le signalement (interne et/ou externe) ou la divulgation publique pour autant que vous avez eu des motifs raisonnables de croire que le signalement ou la divulgation publique était nécessaire pour révéler une violation du droit ;
• en ce qui concerne la manière d’obtention des informations qui sont signalées ou divulguées publiquement, ou l’accès à ces informations (sauf si cette obtention ou accès constitue une infraction pénale autonome) ;
• du fait des signalements ou des divulgations publiques effectués, y compris dans les procédures judiciaires pour diffamation, violation du droit d’auteur, violation du secret, violation des règles en matière de protection des données ou divulgation de secrets d’affaires, ou pour des demandes d’indemnisation fondées sur le droit privé, le droit public ou le droit collectif du travail.

Vous pouvez alors invoquer ce signalement ou cette divulgation publique pour demander l’abandon de la procédure.

Mesures de représailles interdites

En tant que lanceur d’alerte, toute forme de représailles, y compris les menaces et tentatives de représailles, sont interdites à votre égard en raison du signalement que vous avez effectué.

Sont notamment interdites et nulles de plein droit :

• la suspension d’un contrat de travail, la mise à pied, le licenciement, le non-renouvellement ou la résiliation anticipée d’un contrat de travail à durée déterminée ou des mesures équivalentes ;
• la rétrogradation ou le refus de promotion ;
• le transfert de fonctions, le changement de lieu de travail, la réduction de salaire, la modification des horaires de travail ;
• la suspension de la formation ;
• les mesures disciplinaires imposées ou administrées, réprimande ou autre sanction, y compris une sanction financière ;
• la non-conversion d’un contrat de travail temporaire en un contrat permanent, lorsque vous pouviez légitimement espérer vous voir offrir un emploi permanent ;
• l’évaluation de performance ou l’attestation de travail négative ;
• la résiliation anticipée ou l’annulation d’un contrat pour des biens ou des services ;
• l’annulation d’une licence ou d’un permis.

Sont également interdits :

• la coercition, l’intimidation, le harcèlement ou l’ostracisme ;
• la discrimination, le traitement désavantageux ou injuste ;
• le préjudice, y compris les atteintes à la réputation de la personne, en particulier sur les réseaux sociaux, ou les pertes financières, y compris la perte d’activité et la perte de revenu ;
• la mise sur liste noire sur la base d’un accord formel ou informel à l’échelle sectorielle ou de la branche d’activité, qui peut impliquer que la personne ne trouvera pas d’emploi à l’avenir au niveau du secteur ou de la branche d’activité ;
• l’orientation vers un traitement psychiatrique ou médical.

Action contre des mesures de représailles

En tant que lanceur d’alerte qui subit des mesures de représailles, vous pouvez, dans les 15 jours qui suivent la notification des mesures, demander à la juridiction compétente de constater la nullité des mesures et d’en ordonner la cessation.

La personne qui n’a pas invoqué la nullité des mesures de représailles ou qui en a déjà obtenu la nullité peut encore exercer une action en dommages et intérêts.

Renversement de la charge de la preuve

En tant que lanceur d’alerte qui subit des mesures préjudiciables, vous bénéficiez d’office de la présomption que ces mesures ont été prises contre vous en représailles au signalement.

Il incombe donc à la personne qui a pris les mesures d’en établir les motifs.

Confidentialité et traitement des données

Confidentialité

L’Autorité de la concurrence traite tout signalement dans le strict respect de la confidentialité quant à l’identité du lanceur d’alerte.

L’Autorité ne divulgue en aucun cas :

• ni votre identité sans votre consentement exprès ;
• ni aucune autre information à partir de laquelle votre identité en tant que lanceur d’alerte peut être directement ou indirectement déduite.

Le cas échéant, l’Autorité de la concurrence n’utilise pas ou ne divulgue pas les secrets d’affaires à des fins qui vont au-delà de ce qui est nécessaire pour assurer un suivi approprié.

Traitement des données à caractère personnel

Pour accomplir les missions qui lui sont confiées par la loi, l’Autorité peut être amenée à traiter des données personnelles qui vous concernent.

Tout traitement de données à caractère personnel effectué en vertu de la loi sur la protection des lanceurs d’alerte, y compris l’échange ou la transmission de données à caractère personnel par les autorités compétentes, est effectué conformément au règlement (UE) 2016/679, ci-après "règlement général sur la protection des données" ou "RGPD".

En tant qu’autorité publique traitant des données à caractère personnel, l’Autorité est tenue de respecter les obligations qui lui incombent en sa qualité de responsable de traitement.

Pour toute question concernant les traitements de vos données à caractère personnel effectués par l’Autorité, vous pouvez contacter le délégué à la protection des données (DPO) de l’Autorité par courrier à l’attention du DPO, par téléphone (+352 247 84728) ou par e-mail à l’adresse suivante: dpo@concurrence.etat.lu.

Finalité et base juridique du traitement

L’Autorité peut être sollicitée par tout lanceur d’alerte qui souhaite effectuer un signalement externe à son entreprise. Après examen, si nécessaire et sous réserve des obligations tenant à la confidentialité, les données personnelles ainsi obtenues peuvent être traitées dans le cadre de l’exercice des missions ou d’enquêtes qui relèvent du champ de compétence de l’Autorité.

Dans ce contexte, le traitement de vos données est nécessaire à l’exécution d’une mission d’intérêt public dont l’Autorité est investie (article 6, paragraphe 1, sous e) du RGPD).

Données traitées

Les signalements peuvent se faire via la plateforme sécurisée MyGuichet.lu. Dans ce cas, le traitement du signalement requiert la fourniture d’une adresse e-mail pour permettre à l’Autorité de fournir un retour d’informations et d’assurer un suivi des signalements. Le lanceur d’alerte potentiel doit également fournir une description de la violation alléguée et préciser qui l’aurait commise. Il est donc possible que des informations relatives au comportement d’autres personnes et notamment de l’auteur de la violation ou de témoins soient traitées.

Il est préférable, dans la description de la violation, de ne mentionner que les éléments d’information nécessaires au traitement du signalement et, en particulier, d’éviter d’y inclure, si cela n’est pas indispensable, des données sensibles (au sens de l’article 9 du RGPD) qui concernent le lanceur d’alerte ou des personnes tierces (par exemple des données relatives à la santé, aux opinions politiques ou aux convictions religieuses).

Les signalements peuvent également se faire par téléphone ou en personne. Dans ce cas, d’autres coordonnées de contact peuvent être collectées et la fourniture d’une adresse e-mail n’est pas nécessaire.

Catégories de destinataires

Destinataires

Seuls les membres du personnel de l’Autorité de la concurrence habilités ont accès à la plateforme de signalement sécurisée de l’Autorité ou aux procès-verbaux, selon le cas.

En cas de signalement par d’autres canaux ou via d’autres membres du personnel de l’Autorité, ces derniers sont également tenus de respecter le secret quant à l’identité du lanceur d’alerte ou de la personne concernée et transmettent le signalement au plus vite aux membres du personnel en charge du traitement.

En ce qui concerne les signalements via la plateforme MyGuichet.lu, plateforme dont le Centre des technologies de l'information de l'État (ci-après "CTIE") est en charge (et qui agit dans ce contexte en tant que sous-traitant), les données à caractère personnel fournies par le lanceur d’alerte peuvent exclusivement être accessibles à des personnes désignées par le CTIE dans le cadre d'une demande de support ou d'assistance technique.

Destinataires potentiels

Si un signalement ne tombe pas sous le champ de compétences de l’Autorité de la concurrence, les données collectées peuvent être transmises à d’autres autorités nationales compétentes ou à des institutions, organes ou organismes de l’Union européenne compétents dans le cadre de la coopération prévue par la loi.

Si un signalement adressé à l’Autorité fait l’objet d’une enquête qui concerne les faits allégués, les personnes habilitées à accéder aux signalements transmettent, en fonction de leur objet (DMA, P2B, pratiques anticoncurrentielles), le signalement aux services compétents au sein de l’Autorité. Si l’anonymisation n’est pas possible sans compromettre les activités d’enquête et de contrôle de l’Autorité, ne seront transmises que les données personnelles nécessaires à l’investigation.

Durée de conservation

Les données à caractère personnel qui ne sont manifestement pas pertinentes pour le traitement d’un signalement spécifique ne sont pas collectées ou, si elles le sont accidentellement, sont effacées sans retard injustifié.

Les données personnelles obtenues par le biais d’un signalement jugé infondé, qui tombe en dehors du champ de compétence de l’Autorité par les agents habilités sont effacées sans délai.

Les données personnelles obtenues par le biais d’un signalement sont conservées pendant 2 mois suivant la clôture de l'enquête menée par l’Autorité dans l’exercice de ses missions respectives ou de la procédure qui concerne les faits allégués dans le signalement jusqu'à la fin de la période de recours.

Les dossiers qui présentent une valeur patrimoniale doivent être conservés à des fins d’archivage dans l’intérêt public au-delà de ces durées d’utilité administrative.

Droits des personnes concernées

Selon le RGPD, vous pouvez :

• accéder aux données qui vous concernent et en obtenir une copie ;
• obtenir la rectification de données inexactes ou incomplètes ;
• vous opposer, sous conditions, au traitement de vos données ;
• obtenir, sous conditions, l’effacement de celles-ci ;
• obtenir, sous conditions, la limitation du traitement.

Pour toute question concernant les traitements de vos données à caractère personnel effectués par l’Autorité et pour toute demande relative à l’exercice de vos droits, vous pouvez vous adresser au DPO de l’Autorité de la concurrence.

Réclamation

Si vous estimez que le traitement de vos données effectué par l’Autorité constitue une violation du règlement général sur la protection des données, vous pouvez introduire une réclamation auprès de la CNPD.