La directive devra être traduite en législation nationale dans les deux ans à partir de sa publication au Journal officiel. Elle est une conséquence directe d'une série de scandales récents qui ont mis en lumière le rôle crucial joué par ceux qu'on appelle désormais les "lanceurs d'alerte" (ou "whistleblowers"): le Dieselgate, Luxleaks, les Panama Papers ou encore les révélations sur Cambridge Analytica. La nouvelle législation proposée par la Commission veut mettre en place des standards communs de protection de potentiels lanceurs d'alerte, non seulement au sein des administrations mais aussi dans toute entreprise comptant plus de 50 employés.

Ces entités devront à l'avenir prévoir en interne un "canal sûr", une procédure permettant à tout travailleur (ou collaborateur, etc.) constatant une irrégularité de la rapporter sans craindre de représailles, en toute confidentialité. Les administrations nationales, régionales, ainsi que les municipalités de plus de 10.000 habitants sont aussi concernées. Là où cela est nécessaire, il doit aussi être possible d'alerter les autorités compétentes, voire les médias et le grand public si l'usage des autres canaux n'a pas eu de résultat probant ou si l'intérêt public est directement mis en danger. Les administrations et entreprises seront dans l'obligation de réagir aux signalements dans un délai de trois mois (avec possibilité d'extension du délai à 6 mois, dans certains cas).

Parallèlement, une protection des lanceurs d'alerte ainsi que de leurs soutiens (collègues, proches, ...) doit être organisée, entre autres contre les possibilités d'intimidation et de licenciement. Si des règles existaient déjà au niveau européen pour protéger les lanceurs d'alerte dans des domaines limités, touchant principalement à la finance, la nouvelle directive vise un éventail bien plus large, allant de la santé publique à la protection des données. Tout Etat-membre peut d'ailleurs décider d'élargir encore le champ d'application de cette législation. Seuls 10 pays européens ont actuellement une législation jugée "complète" visant à protéger les lanceurs d'alerte. La Belgique n'en fait pas partie, mais bien la France, la Hongrie, l'Irlande, l'Italie, la Lituanie, Malte, les Pays-Bas, la Slovaquie, la Suède et le Royaume-Uni. En 2017, la Commission avait jugé que le manque de protection des lanceurs d'alerte équivalait, rien que dans le domaine des marchés publics, à de potentielles pertes de bénéfices d'entre 5,8 et 9,6 milliards d'euros annuellement à l'échelle de l'UE.