Intelligence économique : cadrer une collecte licite

Une mission d’intelligence économique doit commencer par une décision sur les informations nécessaires et les moyens autorisés. Un objectif utile à l’entreprise ne suffit pas à rendre licites une intrusion, une collecte excessive ou l’exploitation de documents dont l’origine est irrégulière.

Cette page, publiée initialement en 2011, conserve son objet : cadrer une mission avant son lancement. L’analyse distincte de la suite judiciaire de l’affaire EDF–Greenpeace expose les décisions intervenues depuis le commentaire initial.

Réduire la demande à une décision réellement utile

Une mission formulée comme « tout savoir sur ce concurrent » laisse la collecte sans limite concrète. Reformulez le besoin en décisions : comparer une gamme, comprendre un réseau de distribution ou vérifier une annonce de lancement. Pour chaque décision, indiquez les informations indispensables et celles qui ne changeraient pas l’arbitrage. Cette étape permet de réduire le volume commandé avant même de choisir un prestataire.

Examinez les moyens moins intrusifs disponibles. Un comparatif de caractéristiques publiées peut répondre au besoin sans constituer de dossiers sur les personnes qui développent le produit. Une demande adressée à un interlocuteur habilité peut éviter d’utiliser une source dont le droit de transmission reste douteux. Le résultat moins détaillé doit rester une option lorsque le détail supplémentaire suppose des moyens disproportionnés ou illicites.

Le budget et le délai doivent correspondre aux méthodes autorisées. Une commande exigeant des documents internes très récents, sans source identifiée et avec une échéance irréaliste, mérite une discussion avant signature. Il ne s’agit pas de présumer une infraction à partir d’un prix : il faut vérifier comment le prestataire prévoit d’obtenir le résultat demandé.

Rédiger une fiche de mission avant le contrat

Voici une trame proposée pour préparer la décision :

Le livrable attendu doit pouvoir être produit dans ce cadre. Demander un résultat très précis tout en laissant les moyens totalement indéterminés empêche d’évaluer correctement l’opération.

Une source accessible n’est pas une autorisation universelle

Les Art. 5(1) et 6(1) du RGPD continuent de s’appliquer à une veille contenant des données personnelles issues de sources publiques. Il faut une finalité déterminée, une base légale appropriée, des données nécessaires, des durées justifiées et des garanties adaptées.

Pour un acteur privé invoquant l’intérêt légitime de l’Art. 6(1)(f), le simple intérêt commercial ne termine pas l’analyse : nécessité du traitement et mise en balance avec les droits des personnes doivent être examinées. Une surveillance des activités d’une entreprise ne justifie pas, par défaut, la constitution de dossiers détaillés sur la vie privée de ses salariés.

En collecte indirecte, l’Art. 14 du RGPD organise l’information des personnes et ses exceptions. Le fait de trouver une donnée en ligne n’est pas, à lui seul, une exception générale à cette information. Le guide des mentions d’information RGPD aide à préparer le contenu pertinent.

Préparer l’information des personnes et les changements de mission

Lorsque des données sont recueillies indirectement, préparez l’information avant le début de la collecte. L’Art. 14(3) prévoit un délai raisonnable ne dépassant pas un mois, avec des échéances liées à la première communication à la personne ou au premier partage envisagé avec un autre destinataire. Le responsable doit examiner ces situations concrètes ; il ne peut pas simplement attendre la remise du rapport final si une échéance intervient auparavant.

Si une exception de l’Art. 14(5) est envisagée, documentez son fondement et ses conditions. Le souhait de garder la mission commerciale discrète ne constitue pas, à lui seul, une dérogation. Pour l’exception du paragraphe 5(b), les mesures appropriées de protection incluent la mise à disposition publique des informations. Il faut justifier l’exception avant d’utiliser cette modalité, et non considérer qu’une page publique suffit automatiquement.

Un changement de mission appelle une nouvelle décision. La liste constituée pour comprendre un marché ne devient pas automatiquement un fichier de recrutement ou de prospection. Précisez la nouvelle finalité, les données nécessaires et les obligations qui en découlent avant réutilisation. L’Art. 14(4) prévoit notamment une information préalable sur une autre finalité dans les situations qu’il vise. Source : RGPD, Art. 14(3)-(5).

Vérifier le droit d’obtenir et d’utiliser l’information

La définition juridique du STAD rappelle que le droit protège les systèmes contre les actes incriminés, indépendamment du vocabulaire commercial donné à la prestation. Les articles 323-1 et suivants du Code pénal doivent être pris en compte lorsque la méthode implique des accès ou des copies dans des systèmes tiers.

Le secret des affaires constitue une autre vérification. L’Art. L. 151-6 du Code de commerce vise aussi certaines situations dans lesquelles la personne savait, ou aurait dû savoir au regard des circonstances, que le secret provenait d’une utilisation ou divulgation illicite. Recevoir le fichier d’un intermédiaire ne règle donc pas automatiquement la question de sa provenance.

Séparer la fiabilité de la licéité

Une information peut être exacte et avoir été obtenue irrégulièrement. Elle peut aussi provenir d’une source autorisée mais être périmée, partielle ou mal interprétée. La réception doit donc répondre à deux questions distinctes : peut-on utiliser cette information et que permet-elle réellement d’affirmer ? La réputation du prestataire ne remplace aucune de ces vérifications.

Pour les données personnelles, repérez les appréciations ajoutées aux faits : « responsable de tel produit » et « personne influençable » ne sont pas des informations de même nature. Une déduction doit rester identifiable comme telle, avec ses limites. Une note de veille ne doit pas transformer une hypothèse en fait établi lors de sa reprise dans une présentation de direction.

Le secret des affaires appelle également une qualification précise. L. 151-1 combine caractère non généralement connu ou aisément accessible dans le milieu concerné, valeur commerciale liée au secret et mesures raisonnables de protection. Une mention « confidentiel » ne suffit pas seule à établir ces conditions ; son absence ne suffit pas à écarter la protection. Les exceptions prévues aux articles L. 151-7 à L. 151-9 doivent être examinées lorsqu’elles sont pertinentes. Une mission commerciale de veille ne bénéficie pas, par son seul intitulé, d’une exemption générale. Source : Code de commerce, L. 151-1 et L. 151-7 à L. 151-9.

Contrôler les livrables sans collecter davantage

Un contrôle utile peut se faire sur un échantillon limité : source déclarée, date, moyen d’accès, pertinence au regard de la mission et fiabilité. Ne demandez pas systématiquement toutes les données brutes lorsqu’une preuve ciblée suffit à vérifier le travail.

Les signaux à examiner comprennent, par exemple, une base privée proposée sans autorisation démontrée, des échanges internes provenant d’une personne sans droit de les transmettre ou un prestataire qui refuse d’expliquer ses méthodes. Ce sont des motifs de vérification, pas une preuve automatique d’infraction.

Les Art. 121-2 et 121-7 du Code pénal imposent leur propre analyse pour la responsabilité de la personne morale et la complicité. La procédure interne devrait permettre de suspendre une méthode contestable et d’obtenir un examen juridique, plutôt que de poursuivre la mission sur une origine non clarifiée.

Prévoir une décision de réception, avec ses réserves

Vous pouvez joindre au livrable une fiche de réception distinguant les éléments utilisables, les éléments à confirmer et ceux dont l’utilisation est suspendue. Assignez les questions ouvertes à une personne et fixez une échéance adaptée. Une réserve ne disparaît pas parce que le rapport a été facturé ou présenté à un comité.

Cette fiche est une proposition de travail. Elle ne certifie pas la licéité de toute une collecte. Si une anomalie apparaît, limitez la circulation des éléments concernés et conservez les informations nécessaires à son examen de manière sécurisée. Évitez à la fois la diffusion générale « pour avis » et la destruction précipitée de pièces potentiellement utiles à une analyse juridique. La décision sur leur sort doit être explicite et justifiée.

Organiser les accès et la conservation

Une fois la collecte justifiée, limitez les destinataires, distinguez les documents de travail des livrables et programmez les réexamens de conservation. Si un prestataire traite des données pour votre compte, qualifiez son rôle et les obligations applicables ; le seul mot « consultant » ne détermine pas sa qualité RGPD.

En cas de données personnelles compromises, déclenchez la procédure de gestion d’une fuite. L’arrêt de la mission commerciale ne remplace pas l’examen des obligations de sécurité et de notification.

Ce qu’il faut retenir

• Une mission utile doit aussi avoir des sources et des méthodes juridiquement admissibles.
• Des données publiques restent susceptibles d’être protégées par le RGPD.
• L’intervention d’un prestataire ne dispense pas de vérifier la provenance des livrables.
• Le contrôle doit être proportionné et permettre de suspendre rapidement une méthode douteuse.

FAQ

Le RGPD s’applique-t-il à une veille sur des entreprises ?

Oui lorsqu’elle traite des données permettant d’identifier des personnes physiques. Une information portant exclusivement sur une personne morale n’est pas, pour cette seule raison, une donnée personnelle.

Une information publique peut-elle être conservée sans limite ?

Non. Pour les données personnelles, la durée doit rester justifiée par la finalité au regard de l’Art. 5(1)(e). L’accessibilité publique ne supprime pas cette exigence.

Le prestataire assume-t-il seul les risques de collecte ?

Non. Les rôles, instructions, actes et connaissances de chacun doivent être examinés. Le contrat et les contrôles organisent la mission sans neutraliser les responsabilités prévues par les textes.

Recevez nos analyses sur les données et les pratiques numériques.

Thiébaut Devergranne, docteur en droit et praticien du droit des technologies depuis plus de vingt ans.