Secret des affaires et protection des données : cadre juridique

Le secret des affaires constitue un mécanisme juridique essentiel pour la protection des informations confidentielles des entreprises. Transpose en droit français par la loi n. 2018-670 du 30 juillet 2018, le régime issu de la directive (UE) 2016/943 offre aux entreprises un cadre de protection des informations qui ne relèvent ni du brevet, ni du droit d’auteur, ni du RGPD. Pour les organisations qui traitent des volumes importants de données – données commerciales, algorithmes propriétaires, bases de données clients, savoir-faire technique – le secret des affaires constitue un complément indispensable aux mécanismes de protection de la propriété intellectuelle et de la cybersécurité.

Le cadre juridique du secret des affaires

La transposition de la directive (UE) 2016/943

La directive (UE) 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulguées contre l’obtention, l’utilisation et la divulgation illicites a été transposée en France par les articles L. 151-1 a L. 154-1 du Code de commerce. Ce cadre législatif définit les conditions de protection du secret des affaires, les actes illicites et les voies de recours disponibles.

Les trois conditions cumulatives

L’article L. 151-1 du Code de commerce définit le secret des affaires par trois conditions cumulatives que l’information doit réunir :

1. Le caractère secret. L’information ne doit pas être généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité. Ce critère est relatif : une information peut être connue de quelques personnes tout en conservant son caractère secret, dès lors qu’elle n’est pas généralement répandue dans le milieu concerné.

2. La valeur commerciale. L’information doit tirer sa valeur, effective ou potentielle, de son caractère secret. Il ne suffit pas que l’information soit confidentielle ; elle doit avoir une utilité économique précisément parce qu’elle est secrète. Une base de données clients, un algorithme de tarification, une méthode de fabrication, un plan stratégique répondent typiquement à ce critère.

3. Les mesures raisonnables de protection. Le détenteur de l’information doit avoir mis en place des mesures raisonnables pour en préserver le secret. C’est la condition la plus exigeante en pratique : une information qui n’est pas protégée par des mesures techniques et organisationnelles adéquates ne peut prétendre au bénéfice du secret des affaires, quel que soit son caractère confidentiel ou sa valeur économique.

La réservation privative de l’information : un problème fondamental

Comme nous l’analysons dans notre these de doctorat sur la propriété informatique (T. Devergranne, Paris II), la protection juridique de l’information pose un problème fondamental : l’information, en tant qu’entité incorporelle, ne se prête pas naturellement à l’appropriation privative. Contrairement à un bien corporel, l’information peut être partagée sans que son détenteur initial en soit privé. Cette caractère non rival de l’information rend inopérants les mécanismes classiques du droit de propriété.

Le droit français a historiquement tente de résoudre ce problème par la propriété intellectuelle (monopoles temporaires sur certaines formes d’information) et par la voie pénale (protection des STAD via les articles 323-1 et suivants). Mais la première suppose des conditions spécifiques (originalité, nouveauté) excluant de nombreuses informations, et la seconde ne protégé pas l’information en tant que telle.

Le secret des affaires offre une troisième voie : il sanctionne les comportements déloyaux sans créer de droit de propriété sur l’information. C’est une protection par l’obligation plutôt que par le droit réel. Le détenteur n’est pas “propriétaire” de l’information mais dispose d’un droit à agir contre ceux qui portent atteinte au secret de manière illicite.

Les actes illicites et licites

L’obtention illicite

L’article L. 151-4 du Code de commerce qualifie d’illicite l’obtention d’un secret sans consentement résultant d’un accès non autorisé à un document ou fichier numérique, ou de tout comportement contraire aux usages honnetes. Cette définition fait echo aux infractions prévues par les articles 323-1 et suivants du Code pénal : l’intrusion informatique constitue à la fois une atteinte à un STAD et une obtention illicite d’un secret des affaires. La victime dispose ainsi de deux voies de recours cumulatives, pénale et civile.

Les obtentions licites

L’article L. 151-3 prévoit que la découverte indépendante, l’ingénierie inverse et l’exercice du droit d’information des représentants du personnel constituent des obtentions licites – ce qui distingue le secret des affaires de la protection par brevet.

L’articulation avec le RGPD

L’articulation entre le secret des affaires et le RGPD est une question pratique récurrente pour les entreprises. Plusieurs situations de conflit ou de complémentarité peuvent se présenter.

Le secret des affaires face aux droits des personnes

Le droit d’accès prévu par l’article 15 du RGPD peut entrer en conflit avec le secret des affaires lorsque les données personnelles sont intégrées dans des algorithmes de scoring ou de profilage. Le RGPD prévoit une articulation (article 15, paragraphe 4) : le responsable peut refuser de communiquer le détail de ses algorithmes tout en fournissant les données personnelles et les informations sur la logique de traitement dans des termes généraux.

Les bases de données comme double objet de protection

Une base de données clients constitue à la fois un traitement de données personnelles soumis au RGPD et, potentiellement, un secret des affaires au sens du Code de commerce. Cette double qualification emporté des obligations cumulatives : le responsable de traitement doit à la fois respecter les obligations du RGPD (base légale, information, droits des personnes, sécurité) et maintenir les mesures nécessaires pour préserver le caractère secret de la base.

En cas de fuite de données, les conséquences juridiques sont également doubles : obligation de notification à la CNIL au titre de l’article 33 du RGPD, et possibilité d’agir en justice au titre du secret des affaires contre l’auteur de la fuite ou contre le tiers qui utiliserait les données obtenues illicitement.

L’articulation avec NIS2 et la cybersécurité

La troisième condition du secret des affaires – la mise en place de mesures raisonnables de protection – créé un lien direct avec les obligations de cybersécurité.

Les mesures raisonnables de protection

La loi ne définit pas précisément les “mesures raisonnables” exigées. La jurisprudence retient un faisceau d’indices : mesures techniques (chiffrement, contrôle des accès, DLP), mesures organisationnelles (classification de l’information, sensibilisation, besoin d’en connaître) et mesures contractuelles (clauses de confidentialité, NDA).

La convergence avec NIS2

Les mesures imposées par la directive NIS2 (article 21) recouvrent largement celles exigées pour le secret des affaires. Une organisation conforme à NIS2 satisfera vraisemblablement à la condition de “mesures raisonnables”, à condition de documenter la classification de ses informations sensibles. Inversement, l’absence de mesures de cybersécurité adéquates risque de faire perdre le bénéfice du secret des affaires en cas de contentieux.

Les voies de recours

Le détenteur d’un secret des affaires peut agir devant le tribunal judiciaire ou le tribunal de commerce pour obtenir cessation de l’atteinte et réparation du préjudice (article L. 152-1 du Code de commerce). Un mécanisme original permet au jugé de restreindre l’accès aux pièces contenant le secret aux seuls avocats et experts (articles L. 153-1 et suivants), évitant que la procédure détruise le secret qu’elle cherche a protéger.

L’action civile peut se cumuler avec une action pénale fondée sur les articles 323-1 et suivants du Code pénal lorsque l’obtention du secret a impliqué une atteinte à un STAD. Ce cumul renforcé considérablement la position de la victime.

Recommandations pratiques

Pour bénéficier d’une protection effective, les entreprises doivent combiner secret des affaires, RGPD et cybersécurité : cartographier et classifier les informations sensibles, documenter les mesures de protection, aligner les exigences du RGPD (article 32), de NIS2 (article 21) et du Code de commerce (article L. 151-1), former les collaborateurs, et préparer les procédures de notification RGPD et d’action en justice coordonnées avec la notification NIS2.

FAQ

Quelles informations peuvent être protégées par le secret des affaires ?

Toute information qui répond aux trois conditions cumulatives de l’article L. 151-1 du Code de commerce peut être protégée : caractère secret (non généralement connue dans le secteur), valeur commerciale tirée de ce caractère secret, et mise en place de mesures raisonnables de protection. Cela inclut les algorithmes, les bases de données, les méthodes de fabrication, les stratégies commerciales, les données financières non publiées, le savoir-faire technique et tout autre élément confidentiel a valeur économique.

Le RGPD prévaut-il sur le secret des affaires ?

Les deux régimes coexistent et s’articulent sans hiérarchie absolue. Le RGPD prévoit que le droit d’accès ne doit pas porter atteinte au secret des affaires (article 15, paragraphe 4). Inversement, le secret des affaires ne peut pas être invoqué pour refuser de fournir à la personne concernée les données personnelles la concernant. En pratique, le responsable de traitement doit communiquer les données personnelles tout en pouvant protéger la logique algorithmique qui constitue un secret des affaires.

Que se passe-t-il si l’entreprise ne met pas en place de mesures de protection ?

L’absence de mesures raisonnables de protection privé l’information du bénéfice du secret des affaires, même si elle est objectivement confidentielle et possede une valeur économique. La victime d’une fuite ne pourra pas invoquer la protection du Code de commerce si elle n’a pas mis en oeuvre de mesures adéquates : chiffrement, contrôle des accès, clauses de confidentialité, classification de l’information. Cette exigence souligne l’importance d’une approche préventive combinant cybersécurité et protection juridique.