Accord de confidentialité : modèle NDA et clauses

Un accord de confidentialité organise les informations qu’un partenaire peut recevoir, utiliser et communiquer. Pour être exploitable, il doit correspondre aux échanges réels : un projet identifié, des destinataires autorisés, une durée justifiée et des preuves de remise. Le modèle ci-dessous fournit une base de rédaction à compléter par une fiche de paramètres convenue entre les parties.

Ce qu’ajoute un NDA à la protection légale

Le NDA, pour non-disclosure agreement, crée des engagements contractuels. Même sans NDA, l’utilisation ou la divulgation non autorisée d’une information confidentielle obtenue pendant les négociations peut engager la responsabilité : Code civil, Art. 1112-2.

La protection du secret des affaires repose sur trois critères cumulatifs : information non généralement connue ou aisément accessible dans le secteur, valeur commerciale liée au secret et mesures raisonnables de protection. Le NDA contribue à ces mesures ; il ne prouve pas à lui seul tous les critères de l’Art. L151-1 du Code de commerce.

Choisissez une structure unilatérale si un seul partenaire communique des informations, réciproque si les deux le font, ou multilatérale si plusieurs entités interviennent. Dans ce dernier cas, définissez les échanges autorisés entre chaque destinataire : une simple substitution de mots peut laisser le périmètre incertain.

Cas pratique : une étude de packaging confidentielle

Exemple fictif. Un fabricant français de boîtes prépare une gamme qui n’a pas encore été annoncée. Il consulte un bureau d’études indépendant. Le fabricant transmet des plans et ses coûts cibles ; le bureau communique sa méthode de conception. Ils négocient un NDA réciproque avant le premier partage.

Le projet autorisé est l’évaluation de trois propositions d’emballage, pas leur fabrication. Le bureau souhaite pouvoir réutiliser les plans dans son portfolio : le fabricant refuse cette utilisation tant qu’une autorisation distincte n’est pas accordée. La signature du NDA ne commande aucune prestation et ne transfère aucun droit sur les dessins.

La direction du fabricant écarte aussi l’envoi du fichier nominatif des clients. Des volumes prévisionnels par format suffisent à l’étude ; les noms et coordonnées n’apporteraient rien au travail demandé. Le secret commercial et la minimisation des données répondent ici à deux besoins différents.

La fiche de paramètres renseignée

Les paramètres suivants illustrent des choix négociés pour ce cas, pas des délais légaux ou un standard applicable à tous les NDA. Les identités légales complètes et les pouvoirs des signataires doivent figurer dans le document effectivement signé.

Le responsable produit tient le bordereau des remises. Il utilise un espace nominatif et sépare ce projet des dossiers accessibles aux autres clients du bureau. Une data room limitée aux données nécessaires peut répondre à un échange plus étendu. Le logiciel choisi ne dispense pas d’identifier les personnes effectivement autorisées.

Modèle d’accord de confidentialité à adapter

Le texte suivant suppose une fiche de paramètres complétée et annexée. Il couvre des échanges réciproques ; chaque partie peut être émettrice ou destinataire selon l’information concernée.

1. Objet et périmètre. Les parties échangent des informations pour le seul projet décrit dans la fiche annexée. Sont couvertes les informations qui y sont identifiées, celles marquées confidentielles et celles dont la nature ou les circonstances de communication rendent raisonnablement apparent le caractère confidentiel. Les échanges oraux sensibles font l’objet d’une confirmation écrite permettant d’en préciser le contenu.

2. Usage et destinataires. La partie destinataire utilise les informations uniquement pour le projet autorisé. Elle limite leur accès aux personnes désignées ou appartenant aux catégories autorisées dans la fiche, ayant besoin d’en connaître et soumises à une obligation de confidentialité appropriée. Toute autre utilisation ou communication nécessite l’accord préalable de la partie émettrice.

3. Protection et incident. Chaque partie applique des mesures adaptées à la sensibilité des informations, notamment des accès individuels et un partage maîtrisé. Elle informe sans délai l’autre partie d’une divulgation ou d’un accès non autorisé dont elle a connaissance et coopère pour en limiter les conséquences. Cette stipulation ne remplace pas les délais légaux applicables aux données personnelles.

4. Exceptions. Les obligations ne couvrent pas les informations dont le destinataire démontre qu’elles étaient licitement connues de lui, qu’elles sont devenues publiques sans violation de l’accord, qu’elles ont été reçues licitement d’un tiers ou développées indépendamment. L’accord ne fait pas obstacle aux communications exigées ou protégées par la loi. Lorsqu’une information préalable est légalement permise, le destinataire avertit l’émetteur d’une demande contraignante et limite la communication à ce qui est requis.

5. Droits et absence d’engagement commercial. La communication n’emporte aucune cession de droit de propriété intellectuelle ni licence au-delà de l’usage expressément autorisé. L’accord n’oblige pas les parties à conclure le projet envisagé. Il ne présume pas qu’une partie est propriétaire de toute information qu’elle communique.

6. Fin des échanges et conservation. À la demande de l’émetteur ou à la clôture du projet, le destinataire restitue ou supprime les informations selon les modalités et délais de la fiche. Les copies dont la conservation demeure légalement nécessaire sont identifiées, isolées et accessibles aux seules personnes habilitées. Les sauvegardes résiduelles font l’objet de modalités explicites empêchant une réutilisation courante. Les obligations de confidentialité continuent pendant la durée convenue.

7. Durée et différends. La période des échanges et la durée de protection des informations reçues sont celles de la fiche annexée. Les parties y précisent les effets de la fin du projet et les obligations destinées à lui survivre. Le droit applicable et le règlement des différends sont déterminés sous réserve des règles impératives applicables.

Conservez la version acceptée, ses annexes et les éléments établissant l’accord des parties. Si la confidentialité s’insère dans une relation déjà contractualisée, une clause de confidentialité peut organiser le même besoin.

Faire appliquer l’accord à la fin du projet

Reprenons l’exemple. Les parties décident de ne pas poursuivre l’étude. Le bureau supprime le dossier partagé et adresse une attestation générale. Le responsable produit demande cependant ce qu’il advient des pièces jointes reçues par les ingénieurs : elles figurent encore dans leurs boîtes de travail. La clôture annoncée est incomplète.

Le bureau identifie alors les copies locales, les courriels et les exports concernés. Il supprime les copies de travail selon l’accord et distingue les sauvegardes résiduelles du dossier actif. Sa confirmation précise les emplacements traités, la date, le responsable et les exceptions éventuelles. Elle n’affirme pas que toutes les données ont disparu si une copie reste conservée sur un fondement identifié.

Le fabricant maintient le suivi jusqu’à réception de cette confirmation précise. Si le bureau ne peut pas expliquer où les fichiers subsistent, les nouveaux échanges confidentiels sont suspendus ; les responsables contractuels examinent les mesures correctrices et les recours. Une clause pénale éventuelle ne remplace pas cette recherche des copies ni la limitation de leur usage.

Dans le déroulé fictif, les ingénieurs retirent les pièces jointes concernées et le bureau confirme le traitement des copies de travail. L’échéance des sauvegardes reste suivie séparément. Le dossier peut donc distinguer ce qui est corrigé de ce qui reste à contrôler, sans confondre fin des échanges et fin de la confidentialité.

Durée, exceptions et sanction : les choix à vérifier

Il n’existe pas de durée légale générale de deux, trois ou cinq ans pour un NDA. Distinguez la période de communication de la protection après remise. Les engagements perpétuels sont prohibés ; un contrat à durée indéterminée peut être résilié avec le préavis prévu ou raisonnable. La résolution n’affecte pas les clauses destinées à lui survivre, notamment de confidentialité : Code civil, Art. 1210, 1211 et 1230. La fin d’un contrat ne signifie donc pas automatiquement que toute information devient librement réutilisable.

Une clause pénale est une option, pas une condition de validité du NDA. Si elle est retenue, définissez les manquements concernés et un montant adapté. L’Art. 1231-5 permet au juge de modérer une pénalité manifestement excessive ou d’augmenter une pénalité dérisoire ; sauf inexécution définitive, une mise en demeure est nécessaire. N’annoncez pas automatiquement un cumul de pénalité et de réparation supplémentaire du même préjudice.

Réservez les divulgations légalement protégées, notamment le droit d’alerte dans ses conditions. Les Art. L151-7 à L151-9 du Code de commerce prévoient des exceptions au secret des affaires. Un engagement contractuel ne permet pas de neutraliser les règles impératives.

Enfin, une clause territoriale française ne s’impose pas à tout signataire : l’Art. 48 du Code de procédure civile exige notamment que toutes les parties aient contracté en qualité de commerçant et que la clause soit très apparente. Un contrat international appelle un examen supplémentaire des règles applicables.

Articuler le NDA avec le RGPD

La présence de données personnelles ne rend pas automatiquement le destinataire sous-traitant. Qualifiez l’opération : traitement pour votre compte, responsabilité distincte ou détermination conjointe des finalités et moyens.

Si le destinataire agit pour votre compte, le contrat de sous-traitance RGPD doit couvrir les exigences de l’Art. 28(3), dont la confidentialité des personnes autorisées. Si chaque partenaire poursuit sa propre finalité, un accord de partage entre responsables distincts aide à formaliser les conditions pertinentes. Les rôles sont définis aux Art. 4(7) et 4(8) ; les Art. 26(1) et 28(3) organisent les obligations correspondantes, à apprécier au regard des opérations réelles.

Le NDA ne fournit pas à lui seul une base légale ni un mécanisme de transfert. Limitez les données avant de les communiquer et appliquez les règles de conservation correspondantes.

Ce qu’il faut retenir

• Définissez le projet, les informations et les destinataires autorisés.
• La durée et une éventuelle clause pénale sont des choix à justifier.
• Préservez les communications légalement exigées ou protégées.
• Organisez les copies, les sauvegardes et les preuves de restitution.
• Qualifiez les rôles RGPD avant de choisir un contrat complémentaire.

FAQ

Un NDA sans clause pénale est-il valable ?

La clause pénale n’est pas obligatoire. Les conditions du contrat et les règles de responsabilité restent applicables ; une demande de réparation doit être étayée selon son fondement.

Faut-il toujours signer avant le premier échange ?

C’est une bonne organisation de la preuve. Si des informations ont déjà été communiquées, identifiez-les et convenez expressément du traitement de ces échanges antérieurs, sans prétendre effacer une divulgation passée.

Un NDA suffit-il pour transmettre un fichier clients ?

Non. Il faut vérifier la finalité, la base légale, les rôles, les destinataires et les garanties. L’Art. 28 s’applique lorsque le destinataire agit comme sous-traitant, pas à tout partage de fichier.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.