28 NOVEMBRE 2022. - Loi sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé(NOTE : Consultation des versions antérieures à partir du 15-12-2022 et mise à jour au 21-03-2024)

Article 31. Lorsqu'une personne signale ou divulgue publiquement des informations sur des violations relevant du champ d'application de la présente loi, et que ces informations comportent des secrets d'affaires, et lorsque cette personne remplit les conditions de la présente loi, ce signalement ou cette divulgation publique est considéré comme licite conformément à l'article XI.332/3, § 2, du Code de droit économique.

Section 4. - Mesures de protection des personnes concernées

Article 32. Les autorités compétentes et le coordinateur fédéral veillent à ce que l'identité des personnes concernées soit protégée aussi longtemps que les enquêtes déclenchées par le signalement ou la divulgation publique sont en cours.

Les règles visées aux articles 20, 21 et 22 concernant la protection de l'identité des auteurs de signalement s'appliquent également à la protection de l'identité des personnes concernées.

Section 5. - Sanctions

Article 33. § 1. Sans préjudice des autres mesures prévues par la présente loi, les infractions des entités juridiques du secteur privé au chapitre 3 et à l'article 22 sont recherchées, constatées et sanctionnées conformément au Code pénal social.

L'alinéa 1er ne s'applique pas lorsque les autorités compétentes peuvent prendre et appliquer des mesures administratives ou imposer des sanctions sur la base de dispositions légales ou administratives spécifiques relatives aux infractions au chapitre 3 et à l'article 22.

§ 2. Sont punis d'un emprisonnement de six mois à trois ans et d'une amende de 600 à 6.000 euros ou d'une de ces peines seulement les entités juridiques du secteur privé, les membres de leur personnel, ainsi que toute personne physique ou morale qui:

§ 3. Sans préjudice d'autres mesures prévues par la présente loi ou par d'autres dispositions légales ou réglementaires, sont punis conformément aux articles 443 à 450 du Code pénal les auteurs de signalement lorsqu'il est établi qu'ils ont sciemment signalé ou divulgué publiquement de fausses informations.

Les personnes victimes de dommages résultant de ces signalements ou divulgations publiques ont droit à des mesures d'indemnisation conformément à la responsabilité contractuelle ou extracontractuelle.

Article 34. Il n'y a pas d'infraction lorsqu'une personne qui, par état ou par profession, est dépositaire de secrets, signale ou divulgue publiquement ceux-ci dans le respect des conditions prévues par la présente loi. Cette disposition s'applique sans préjudice de l'article 5, § 1er et § 2, alinéa 1er.

CHAPITRE 8. - Dispositions modificatives

Section 1re. - Modification de la loi du 3 juillet 1978 relative aux contrats de travail

Article 35. L'article 18 de la loi du 3 juillet 1978 relative aux contrats de travail est complété par un alinéa rédigé comme suit:

"Le signalement ou la divulgation publique effectué(e) conformément à la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé ne constitue ni une faute lourde, ni un dol, ni une faute légère habituelle susceptible d'engager la responsabilité civile du travailleur et ce quelle que soit la motivation du travailleur.".

Section 2. - Modifications de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers

Article 36. L'article 69bis de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers, inséré par la loi du 31 juillet 2017 et modifié par la loi du 5 juillet 2022, est remplacé par ce qui suit:

"Art. 69bis. La FSMA veille au respect, par les institutions et personnes visées à l'article 45, § 1er, alinéa 1er, 2°, des dispositions du chapitre 3 et de l'article 22 de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé.

Les articles 36, 36bis et 37 sont applicables en cas de non-respect de ces dispositions par les institutions et personnes visées à l'alinéa 1er.".

Article 37. L'article 69ter de la même loi, inséré par la loi du 31 juillet 2017, est abrogé.

Section 3. - Modifications de la loi du 7 décembre 2016 portant organisation de la profession et de la supervision publique des réviseurs d'entreprises

Article 38. L'article 3, 22°, de la loi du 7 décembre 2016 portant organisation de la profession et de la supervision publique des réviseurs d'entreprises, modifié par les lois des 11 juillet 2018, 30 juillet 2018 et 27 juin 2021, est complété par un tiret rédigé comme suit:

"- le chapitre 3 et l'article 22 de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé.".

Article 39. Dans le titre 3 de la même loi, le chapitre 6, comportant les articles 82 à 84, est abrogé.

Section 4. - Modifications de la loi du 22 février 1998 fixant le statut organique de la Banque nationale de Belgique

Article 40. L'article 36/7/1 de la loi du 22 février 1998 fixant le statut organique de la Banque nationale de Belgique, inséré par la loi du 16 mars 2016 et remplacé par la loi du 2 mai 2019, est abrogé.

Article 41. Dans l'article 36/30/1 de la même loi, le paragraphe 4 est abrogé.

Section 5. - Modification de la loi du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme et à la limitation de l'utilisation des espèces

Article 42. L'article 10 de la loi du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme et à la limitation de l'utilisation des espèces est remplacé par ce qui suit:

"Art. 10. Les entités assujetties définissent et mettent en oeuvre des procédures appropriées et proportionnées à leur nature et à leur taille, afin de permettre aux membres de leur personnel ou à leurs agents ou distributeurs de signaler, à titre confidentiel ou anonyme, aux personnes désignées en application de l'article 9, par une voie spécifique et indépendante, les infractions aux obligations visées au présent livre.".

Section 6. - Modification de la loi du 2 juin 2021 portant dispositions financières diverses relatives à la lutte contre la fraude

Article 43. Dans l'article 45, § 1er, de la loi du 2 juin 2021 portant dispositions financières diverses relatives à la lutte contre la fraude, les mots "du régime relatif au signalement de violations potentielles ou réelles prévu à l'article 69bis de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers ainsi qu'à l'article 36/7/1 de la loi du 22 février 1998 fixant le statut organique de la Banque nationale de Belgique" sont remplacés par les mots "du régime relatif au signalement de violations prévu dans la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé".

Section 7. - Modifications du Code judiciaire

Article 44. A l'article 578 du Code judiciaire, modifié en dernier lieu par la loi du 2 mai 2019, les modifications suivantes sont apportées:

1° le 25°, inséré par la loi du 31 juillet 2017, est remplacé par ce qui suit:

"25° des litiges concernant des représailles, une discrimination ou d'autres types de traitement ou de mesure préjudiciable en lien avec la communication d'une violation au sens de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé;";

2° le 25°, inséré par la loi du 23 novembre 2017, est renuméroté en 26° ;

3° le 27°, inséré par la loi du 2 mai 2019, est abrogé.

Article 45. A l'article 581 du même Code, modifié en dernier lieu par la loi du 2 mai 2019, les modifications suivantes sont apportées:

1° le 14°, inséré par la loi du 31 juillet 2017, est abrogé;

2° le 15°, inséré par la loi du 2 mai 2019, est abrogé.

Article 46. L'article 584, alinéa 5, du même Code, modifié en dernier lieu par la loi du 4 mai 2020, est complété par le 8° rédigé comme suit:

"8° ordonner des mesures correctives contre les représailles, y compris des mesures provisoires dans l'attente du règlement des procédures judiciaires, dans le cadre des litiges visés à l'article 578, 25°, du présent code.".

Section 8. - Modifications de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique

Article 47. Dans l'article 4, § 3, alinéa 1er, de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, les mots "à l'exception des dispositions du titre I, du chapitre 1er du titre II et de l'article 26" sont remplacés par les mots "à l'exception des dispositions du titre 1er, du titre 2, chapitre 1er, du titre 5 et de l'article 26".

Article 48. L'article 6 de la même loi est complété par le 34°, rédigé comme suit:

"34° "vulnérabilité": une faiblesse, une susceptibilité ou une faille d'un actif, ou d'un réseau et système d'information qui peut être exploitée par une cybermenace au sens de l'article 2, point 8), du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité).".

Article 49. Dans le titre 5, chapitre 1er, section 2, de la même loi, il est inséré un article 62/1 rédigé comme suit:

"Art. 62/1. § 1er. Sans préjudice de l'application de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé, toute personne physique ou morale peut signaler au CSIRT national l'existence d'une potentielle vulnérabilité au sens de l'article 6, 34°.

De même, cette disposition est sans préjudice des dispositions légales sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur public.

Le signalement est effectué par écrit, selon la procédure détaillée sur le site internet du CSIRT national.

§ 2. Tout en respectant les conditions énumérées à l'article 62, le CSIRT national peut observer, étudier ou tester la sécurité d'un réseau et système d'information afin de déterminer l'existence d'une vulnérabilité potentielle ou de vérifier les méthodes utilisées par l'auteur de signalement. Lorsqu'il s'agit d'un opérateur de services essentiels ou d'un fournisseur de service numérique, le CSIRT national informe l'autorité sectorielle compétente qu'il envisage de prendre des mesures sur cette base, ainsi que des résultats qui en découlent.

§ 3. Le CSIRT national préserve l'exhaustivité, l'intégrité, le stockage durable et la confidentialité des informations transmises au travers du signalement, ainsi que de l'identité de la personne à l'origine de la transmission pour autant que cette personne le demande et respecte les conditions visées à l'article 62/2.

L'accès à ces informations est limité aux personnes habilités par le directeur du CSIRT national, sauf lorsque le partage de ces informations s'avère nécessaire à l'exécution des tâches énumérées à l'article 60.

§ 4. Le directeur du CSIRT national veille, par l'adoption de procédures internes, au respect des conditions visées au présent article.".

Article 50. Dans la même section 2, il est inséré un article 62/2 rédigé comme suit:

"Art. 62/2. § 1er. Dans le cadre de la procédure visée à l'article 62/1, les auteurs de signalement ne commettent pas d'infraction pour les faits nécessaires au signalement, à condition:

1° qu'ils aient agi sans intention frauduleuse, ni dessein de nuire;

2° qu'ils aient informé l'organisation responsable du système, du processus ou du contrôle, dans les meilleurs délais et au moins au plus tard au moment du signalement au CSIRT national, de la découverte d'une potentielle vulnérabilité;

3° qu'ils n'aient pas agi au-delà de ce qui était nécessaire et proportionné pour vérifier l'existence d'une vulnérabilité;

4° qu'ils n'aient pas publiquement divulgué les informations relatives à la vulnérabilité découverte, sans l'accord du CSIRT national.

§ 2. Lorsque des personnes signalent des informations sur une potentielle vulnérabilité dont ils ont eu connaissance dans leur contexte professionnel, elles ne sont pas considérées comme ayant enfreint leur obligation de secret professionnel et n'encourent aucune responsabilité d'aucune sorte concernant la transmission d'informations nécessaires pour signaler une potentielle vulnérabilité au CSIRT national.

§ 3. Toute autre responsabilité éventuelle des auteurs de signalement découlant d'actes ou d'omissions qui ne sont pas nécessaires à l'accomplissement de la procédure visée à l'article 62/1 et ne respectent pas les conditions du paragraphe 1er continue d'être régie par le droit applicable.".

Section 9. - Modification de la loi du 22 mars 1995 instaurant des médiateurs fédéraux

Article 51. L'article 1er, alinéa 1er, de la loi du 22 mars 1995 instaurant des médiateurs fédéraux, modifié par la loi du 15 septembre 2013, est complété par le 5° rédigé comme suit:

"5° d'assurer les missions de coordinateur fédéral pour les signalements externes de violations dans le secteur privé conformément à la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé.".

Section 10. - Modification de la loi du 12 mai 2019 portant création d'un Institut fédéral pour la protection et la promotion des droits humains

Article 52. L'article 5, alinéa 1er, de la loi du 12 mai 2019 portant création de l'Institut fédéral pour la protection et la promotion des droits humains est complété par le 8° rédigé comme suit:

"8° L'Institut assure les missions visées aux articles 24, § 1er, et 25 de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé.".

Section 11. - Modification du Code pénal social

Article 53. Dans le livre 2, chapitre 1er, du Code social pénal, il est inséré une section 3/2 intitulée:

"Le canal interne pour les auteurs de signalement"

Article 54. Dans la section 3/2 inséré par l'article 53, il est inséré un article 133/1, rédigé comme suit:

"Art. 133/1. Sous réserve de l'article 33, § 1, alinéa 2, de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé, est puni d'une sanction de niveau 4:

1° l'employeur, son préposé ou mandataire, qui a commis une infraction au chapitre 3 de la loi précitée;

2° l'employeur, son préposé ou mandataire, l'autorité compétente ou le coordinateur fédéral qui a commis une infraction à l'article 22 de la loi précitée.".

CHAPITRE 9. - Dispositions finales

Article 55. Les droits et recours prévus par la présente loi ne peuvent faire l'objet d'une renonciation ni être limités par un quelconque accord ou une quelconque politique, forme d'emploi ou condition de travail, y compris par une convention d'arbitrage précédant un litige.

Sont nulles les dispositions contractuelles, statutaires ou contenues dans une convention collective de travail qui sont contraires à la présente loi ou aux dispositions prises pour son exécution, ainsi que les clauses contractuelles qui prévoient une renonciation aux droits qu'elles garantissent.

Les dispositions de la présente loi sont d'ordre public.

Article 56. La présente loi est soumise à une évaluation conjointe par le ministre qui a la Justice dans ses attributions, le ministre qui a les Affaires sociales dans ses attributions, le ministre qui a la Santé publique dans ses attributions, le ministre qui a les Finances dans ses attributions, le ministre qui a l'Environnement dans ses attributions et le ministre qui a la Protection de la vie privée dans ses attributions, sous la direction du ministre qui a l'Economie dans ses attributions, du ministre qui a la Fonction publique dans ses attributions, et les partenaires sociaux dans le cadre du Conseil national du Travail et du Conseil central de l'Economie dans le courant de la deuxième année après son entrée en vigueur.

La présente loi est soumise à une consultation publique dans le courant de la deuxième année après son entrée en vigueur.

Le ministre qui a l'Economie dans ses attributions fait rapport à la fin de chaque année aux Chambres fédérales sur l'application de la présente loi.

CHAPITRE 10. - Entrée en vigueur et dispositions transitoires

Article 57. La présente loi entre en vigueur deux mois après le jour de sa publication au Moniteur belge.

Par dérogation à l'alinéa 1er, les dispositions du chapitre 3 sont applicables, pour les entités juridiques du secteur privé comptant 50 à 249 travailleurs, à partir du 17 décembre 2023.

La dérogation visée à l'alinéa 2 ne s'applique pas aux entités qui tombent dans le champ d'application des dispositions en matière de services, produits et marchés financiers et des dispositions visées à l'article 4, 1°.

Article 58. Les systèmes d'alerte mis en place conformément aux dispositions visées à l'article 4 restent valables, mais doivent être mis en conformité avec la présente loi pour la date de son entrée en vigueur au plus tard.