1 – La protection par le juge pénal

13À considérer qu’une information secrète soit la propriété de quelqu’un, l’atteinte à cette propriété constitue-t-elle un vol, c’est-à-dire « la soustraction frauduleuse de la chose d’autrui [11] » ? Les juridictions répressives s’étaient déjà interrogées au début du XX^e siècle sur la notion de matérialité de la « chose » pouvant faire l’objet d’une « soustraction » à propos du détournement d’électricité [12].

14La même problématique devait se poser à propos des données informatiques, et le juge pénal a sanctionné sous la qualification de vol l’appropriation du « contenu informationnel » de disquettes informatiques [13], du code source d’un programme informatique [14], la copie de données informatiques sans qu’il y ait de dépossession du propriétaire légitime [15], le téléchargement sur internet de données informatiques qui avaient été insuffisamment protégées par leur propriétaire [16], et même en 2017, la copie de fichiers déposés sur un serveur commun considérant alors que « le libre accès à des informations personnelles sur un réseau informatique d’une entreprise n’est pas exclusif de leur appropriation frauduleuse par tout moyen de reproduction [17] ».

15Les décisions de la Cour de cassation statuant sur le vol de données ont pour elle la cohérence, la Haute juridiction n’ayant pas varié dans son appréciation. Elles ne sont pour autant pas exemptes de critiques, puisque reconnaître le vol de données, c’est, d’une part, avoir une conception assez extensive de la notion de « chose », mais c’est également admettre qu’il peut y avoir soustraction sans dépossession du propriétaire. On le voit particulièrement dans l’arrêt de 2017, où « l’appropriation frauduleuse » a remplacé la « soustraction frauduleuse » de l’art. 311-1.

16À noter également que la qualification de vol n’est plus nécessairement la plus adéquate lorsque les données ont été extraites d’un système de traitement automatisé de données (STAD) : la loi n° 2014-1353 du 13 novembre 2014 [18] a modifié l’art. 323-3 du code pénal qui prohibe depuis le fait « d’extraire, de détenir, de reproduire, de transmettre » frauduleusement les données d’un STAD.

17La poursuite sur la qualification d’abus de confiance est également envisageable, d’autant plus que, à l’inverse du vol, la loi n’exige pas de soustraction mais simplement un « détournement » pouvant porter sur « des valeurs ou un bien quelconque » [19]. Ont ainsi été qualifiées d’abus de confiance la transmission de fiches de clientèle par un salarié à un concurrent pour qu’il puisse en prendre copie [20], la réutilisation par un salarié d’un projet qu’il avait élaboré et décrit dans un devis pour le compte d’un précédent employeur [21], ou encore la duplication « des fichiers informatiques contenant des informations confidentielles » que l’employeur avait laissé à la disposition de son salarié et que ce dernier avait copié pour son usage personnel [22].

2 – La protection par le juge civil

18Sur le plan purement civil, la Cour de cassation a retenu que l’utilisation de données confidentielles, ou à tout le moins non publiques, pouvait constituer une faute civile sur le fondement de l’ancien art. 1382 du code civil et de l’actuel art. 1240. Ainsi constituent une forme de concurrence déloyale, par exemple, l’utilisation d’un procédé qu’une société de construction avait obtenu d’un ingénieur qui le lui avait présenté mais sans que cette société ne donne suite [23], la fabrication, au profit d’un tiers, de modèles de robinetteries dont les plans lui avaient été fournis par un commanditaire [24], la réalisation d’un chalet suivant les plans dessinés par un tiers et annexés à un dossier de demande de permis de construire [25].

19La phase précontractuelle est particulièrement sensible. La négociation d’un contrat peut nécessiter qu’une partie expose ses procédés à son cocontractant. À l’occasion de la réforme du droit des contrats, l’ordonnance du 10 février 2016 a inséré dans le code civil un nouvel art. 1112-2 disposant que « celui qui utilise ou divulgue sans autorisation une information confidentielle obtenue à l’occasion des négociations engage sa responsabilité dans les conditions du droit commun ».

20Toutefois, la mise en œuvre de la responsabilité délictuelle en cas de divulgation ou d’utilisation d’une information confidentielle peut s’avérer délicate dans la pratique et le montant des indemnités basé en fonction du préjudice subi être insuffisamment dissuasifs [26].

21Le juge civil doit également concilier le droit de la preuve et l’atteinte au secret des affaires lorsqu’il ordonne une mesure d’instruction in futurum au visa de l’art. 145 du code de procédure civile. Traditionnellement, « le secret des affaires ne constitue pas en lui-même un obstacle à l’application des dispositions de l’art. 145 [27] ». Toutefois, la jurisprudence de la Cour de cassation a marqué une inflexion [28]. Dans une décision de 2017 [29], sans pour autant juger que le secret des affaires pouvait faire obstacle à une mesure d’instruction, elle a considéré que les juges du fond devaient examiner si les modalités suggérées par les défendeurs (en l’espèce confier l’analyse à un tiers soumis au secret professionnel) n’étaient pas proportionnées au droit du demandeur d’obtenir la preuve d’une concurrence déloyale et à la préservation des secrets d’affaire du défendeur. Certains auteurs y ont vu une influence de la directive européenne sur la protection du secret des affaires [30].

1 – La valorisation contractuelle du secret

23La protection du secret des affaires repose sur un postulat : que l’objet du secret soit générateur de plus-value. De fait, la part grandissante des connaissances et de l’information dans l’économie, telle que repérée au milieu du XX^e siècle par l’économiste Fritz Machlup, conduit à une « économie du savoir [32] ». Les connaissances susceptibles de générer un bénéfice économique dépassent le cadre des régimes de protection que sont, par exemple, les brevets ou les dessins et modèles.

24Un savoir-faire distinct des règles de l’art communément connues est d’ailleurs un composant indispensable au contrat de franchise et son absence entraîne la nullité du contrat [33].

25La transmission d’un savoir-faire peut également être l’objet d’un contrat autonome, les opérateurs économiques pouvant trouver profitable de faire commerce d’une information secrète détenue par l’un d’entre eux. Les tribunaux ont été amenés à s’interroger sur la validité d’un contrat de concession d’un procédé sous l’analyse de l’existence de sa cause [34] ; reconnaissant la valeur économique que pouvait avoir l’information pour le concédant, ils ont considéré que sa transmission pouvait parfaitement être subordonnée au versement de redevances [35].

26Il ne peut y avoir de valorisation que pour autant que demeure le secret. Le savoir-faire valorisable doit en effet avoir un caractère secret, « ce qui implique que l’ensemble de ses éléments ne soit pas généralement connu » et se distingue ainsi d’un « tour de main » [36].

2 – La protection contractuelle du secret

27Prévoir la trahison d’un secret, c’est faire preuve d’un minimum de prudence, surtout quand la valeur de l’information réside dans son caractère non-public. Or le contrat est précisément, un « instrument de prévision [37] », c’est, pour reprendre la formule de Maurice Hauriou, « la tentative la plus hardie qui se puisse concevoir pour établir la domination de la volonté humaine sur les faits, en les intégrant d’avance dans un acte de prévision [38] ». Le contrat s’est donc assez logiquement imposé comme instrument pour maîtriser la circulation de l’information [39].

28L’obligation de confidentialité résulte parfois de la nature même du contrat. C’est le cas de la relation de travail, le salarié est tenu à une obligation de discrétion dans le prolongement de son devoir de loyauté et de l’obligation d’exécuter le contrat de bonne foi [40]. La révélation d’une information confidentielle peut justifier son licenciement [41]. Si l’obligation de confidentialité existe du fait même de la relation de travail, les parties au contrat peuvent mieux prévoir et aménager cette obligation [42].

29L’aménagement contractuel de la confidentialité peut prendre la forme de clauses annexes à un contrat mais également prendre celle d’un contrat dont le seul objet est la protection de l’information [43]. L’insertion de l’engagement de confidentialité dans un contrat a cette originalité que cette clause aura un effet « postcontractuel » : ses effets vont subsister alors même que le contrat sera arrivé à terme ou aura été rompu par anticipation. La doctrine le relevait déjà [44] et l’art. 1230 du code civil le prévoit expressément en cas de résolution depuis la réforme du droit des contrats opérée par l’ordonnance du 10 février 2016.

30Cet encadrement peut également prendre la forme d’un contrat autonome, et l’inventivité contractuelle a donné naissance à l’accord de confidentialité [45]. Le contenu d’un tel accord est laissé à l’appréciation des parties qui devront surtout veiller à son efficacité en veillant à bien circonscrire les obligations et les modalités de l’accord [46]. Un des avantages est qu’il permet aux parties d’anticiper la réparation par l’insertion d’une clause pénale dont l’effet comminatoire contribue à l’efficacité de l’engagement.

31Quoique courantes dans la pratique et encouragées par les juristes, l’efficacité réelle des clauses et accords de confidentialité n’atteint pas toujours celle recherchée [47]. En effet, leur mise en œuvre suppose une identification claire du périmètre des informations confidentielles et de ce que le récipiendaire était autorisé à en faire. Surtout, le contrat n’a d’effet qu’entre les parties, et l’identification de l’auteur de la divulgation ne sera pas nécessairement aisé ni ne permettra d’atteindre le cocontractant. La charge de la preuve et l’efficacité de la réparation sont autant de limites à la mise en œuvre de l’obligation de confidentialité [48].

32Face à ces difficultés une protection globale et d’origine légale était appelée du vœu des partisans du secret des affaires.

1 – La définition du secret

37La définition du secret des affaires est formulée par l’art. L. 151-1 du code de commerce reprenant les critères de la directive qui s’inspire elle-même de la définition donnée par l’accord ADPIC aux « renseignements non divulgués [51] ».

38Se trouve ainsi protégée « toute information » pourvu qu’elle réponde à trois critères cumulatifs : (1°) elle n’est pas généralement connue ni aisément accessible pour les personnes familières de ce type d’information en raison de leur milieu, (2°) elle revêt une valeur commerciale du fait de son caractère secret et (3°) le détenteur légitime de l’information a pris des dispositions raisonnables à l’effet de la garder secrète.

39Les termes employés par la directive et par la loi française la transposant ne sont pas exactement les mêmes, il n’y a toutefois pas de modification substantielle [52]. Notons toutefois que le droit français a conservé le terme de « secret des affaires », là où la directive utilise celui de « secret d’affaires ».

40Les critères retenus dans la définition sont de deux ordres : les deux premiers sont intrinsèques, ils tiennent au contenu même de l’information protégée, tandis que le troisième est extrinsèque, et fait dépendre la protection du comportement de son détenteur légitime [53].

41*

42La référence à la valeur « commerciale » ne doit pas laisser penser que la protection ne s’applique qu’aux informations susceptibles d’être monnayées. En effet, la directive expose dans son préambule que la valeur commerciale s’entend également d’une information dont la divulgation est susceptible de porter atteinte aux intérêts de la personne qui en a le contrôle en ce qu’elle nuit à ses intérêts économiques ou financiers, à ses positions stratégiques ou à sa capacité concurrentielle [54].

43D’autre part, considérer que la valeur commerciale est « du fait de son caractère secret » procède d’une forme d’inversion : c’est d’abord parce que l’information a une valeur commerciale — ne serait-ce que potentielle — qu’elle est conservée secrète. Relevons d’ailleurs que si elle n’était plus secrète, alors elle serait généralement connue ou aisément accessible et ne répondrait dès lors au premier critère.

44Certains auteurs relèvent que la définition donnée au secret des affaires ne le limite pas pour autant à la vie des affaires de sorte que ces dispositions pourraient être invoquées pour des données relatives à la vie privée dès lors qu’elles ont une valeur économique, par exemple pour les données concernant les célébrités et relayées par la presse à sensation [55].

45La protection du secret par la loi suppose enfin une volonté du détenteur du secret de le protéger. Un opérateur économique ne pourra pas réclamer le secours de la loi lorsqu’il n’a lui-même pris aucune précaution pour conserver l’information secrète. Ni la directive ni la loi ne précisent la nature ni l’ampleur des mesures de protection : il doit s’agir de dispositions « raisonnables, compte tenu des circonstances ».

46L’exigence sera probablement proportionnelle à l’importance de la structure ou à la sensibilité de l’information. Les mesures peuvent être de nature technique, organisationnelles mais également de nature juridique, par exemple sous la forme d’un accord de confidentialité [56]. Une étude statistique [57] portant sur des décisions rendues aux États-Unis relevait qu’une cour avait 43 fois plus de chances de considérer que des efforts raisonnables avaient été pris pour protéger un secret d’affaire lorsque son détenteur avait conclu des accords de confidentialité avec ses partenaires commerciaux [58].

47*

48Le texte donne en outre une définition du détenteur légitime : il s’agit de celui qui a le contrôle de l’information de façon licite [59]. Il définit également les modes d’obtention licites d’un secret [60] qui sont de première part la découverte ou la création indépendante et d’autre part « l’observation, l’étude, le démontage ou le test d’un produit ou d’un objet qui a été mis à la disposition du public ou qui est de façon licite en possession de la personne qui obtient l’information ».

49La loi ne précise rien pour le cas où la découverte de l’information est le fait d’un salarié dans le cadre de son contrat de travail. Il est toutefois raisonnable de penser que l’information sera considérée comme détenue par l’employeur, comme cela est prévu en matière de brevet, de logiciel ou de l’obtention de variétés végétales [61].

50Le texte légitime expressément le recours à la rétro-ingénierie [62], mais il permet au détenteur de l’information de limiter ou interdire par contrat l’obtention du secret par ce biais.

2 – La protection du secret

51La protection du secret des affaires telle que prévue par la loi de 2018 est uniquement civile [63] : l’atteinte au secret « engage la responsabilité civile de son auteur [64] ». Toutefois la loi apporte une protection plus étendue que ce que pouvait prévoir le droit commun. Les hypothèses d’atteinte au secret sont assez larges [65], pour le rapporteur de la proposition de loi, le critère essentiel est « l’absence de consentement du détenteur du secret d’affaires [66] ».

52L’atteinte au secret peut naturellement être reprochée à celui qui en a eu une connaissance illicite ou qui a agi en violation d’une obligation de ne pas divulguer le secret [67]. Mais elle peut également être reprochée à celui qui, au moment où il a eu connaissance du secret, « savait ou aurait dû savoir au regard des circonstances » que ce secret avait été obtenu « directement ou indirectement » de façon illicite [68]. Cette disposition permettrait notamment d’engager des poursuites directement contre celui qui divulgue l’information alors qu’il en a eu connaissance sous couvert d’un accord de confidentialité mais auquel il n’était pas directement partie [69].

53La loi protège non seulement le secret en lui-même, c’est-à-dire son obtention, utilisation ou divulgation illicite, mais également ce qui en est le produit. Ainsi, « la production, l’offre ou la mise sur le marché, de même que l’importation, l’exportation ou le stockage à ces fins de tout produit résultant de manière significative d’une atteinte au secret des affaires sont également considérés comme une utilisation illicite [70] ».

54*

55La loi envisage trois sortes de sanctions en cas d’atteinte au secret professionnel : le versement de dommages et intérêts, l’interdiction et des mesures de publicité.

56L’allocation de dommages et intérêts reste le mode naturel de réparation de l’atteinte causée par une faute. Le principe demeure celui de la réparation intégrale [71] et il n’est pas, à proprement parler, question de dommages et intérêts punitifs, quoique l’on puisse observer cette dernière décennie un recul dans leur rejet de principe [72]. L’art. L. 152-6 énumère trois chefs de préjudice dont il doit être tenu compte « distinctement » pour fixer le montant des dommages et intérêts [73]. Il s’agit d’abord, assez classiquement, de la perte subie par la partie lésée du fait de l’atteinte au secret, y compris le manque à gagner et la perte de chance. Vient également son opposé, c’est-à-dire le bénéfice réalisé par l’auteur de l’atteinte, en tenant compte à la fois du profit retiré de l’atteinte et des économies d’investissement accomplies. Enfin le texte réserve une place au préjudice moral [74]. Le texte permet également à la juridiction, comme en matière de contrefaçon, de fixer à la demande de la partie lésée une indemnisation forfaitaire calculée sur le montant des redevances qu’elle aurait pu percevoir en cas d’utilisation autorisée.

57La loi autorise le prononcé de mesures d’interdiction. Les mesures énumérées à l’art. L. 152-3 permettent à la juridiction de faire cesser les actes d’utilisation du secret, mais également la production et la commercialisation des produits qui en résultent ou d’ordonner la destruction ou la remise au demandeur de tout document, objet ou matériau, substance ou fichier numérique contenant le secret. La mesure d’interdiction n’est toutefois pas automatique, et le juge peut, à la demande de l’auteur de l’atteinte, et sous certaines conditions, ordonner le versement d’une indemnité à la partie lésée plutôt que d’infliger la mesure d’interdiction [75].

58Enfin, l’art. L. 152-7 permet au juge de prononcer des mesures de publicité de la décision aux frais de l’auteur de l’atteinte.

59*

60Au-delà de la répression des atteintes au secret des affaires, la loi s’efforce également de les prévenir. L’art. L. 152-4 du code de commerce permet à une partie de saisir une juridiction pour prévenir ou faire cesser une atteinte illicite au secret des affaires. Les modalités ont été prévues par décret [76], la directive prévoyait déjà un éventail de mesures [77]. Les mesures les plus intéressantes sont celles à l’égard des produits qui résulteraient d’une atteinte à un secret des affaires. La juridiction peut interdire les actes de production, d’offre, de mise sur le marché ou d’utilisation des produits litigieux, ou ordonner leur remise entre les mains d’un tiers. Elle peut également autoriser la poursuite de l’utilisation illicite alléguée, mais en la subordonnant à la constitution d’une garantie destinée à indemniser le détenteur du secret.

61Les articles L. 153-1 et suivants s’efforcent de concilier le secret des affaires avec les mesures d’instruction in futurum [78]. Plusieurs possibilités sont offertes au juge : restreindre la communication d’une pièce ou en ordonner la production sous forme de résumé, tenir les débats et prononcer la décision en chambre du conseil, adapter la motivation de sa décision et des modalités de sa publicité pour la rendre compatible avec le secret des affaires

62Reste que décider de l’atteinte portée au secret des affaires occasionnée par la production d’une pièce nécessite de discuter de la réalité de cette atteinte et de la pertinence comme de la proportionnalité des mesures. Le 1° de l’art. L. 153-1 envisage une procédure au cours de laquelle le juge peut « prendre connaissance seul de cette pièce » et « éventuellement » solliciter l’avis pour chacune des parties d’une personne habilitée à l’assister ou la représenter. Le procédé pose question eu regard du principe du contradictoire si le juge devait décider seul, et il rappelle un arrêt par lequel la Cour de cassation [79] avait sanctionné un dispositif similaire imaginé par le président d’un tribunal de commerce avant la loi de 2018 [80].

1 – Les craintes suscitées

64Les réticences sur une réglementation spécifique à la divulgation du secret des affaires sont venues en premier lieu des milieux journalistiques. En 2015, à l’occasion de l’amendement de Richard Ferrand relatif au secret des affaires [82] proposé lors de la discussion de loi pour la croissance et l’activité [83], un collectif de journalistes s’était d’ailleurs constitué en opposition au projet [84]. L’amendement sera retiré, mais les mêmes critiques seront émises lors de l’adoption de la directive communautaire [85] et les mêmes appréhensions formulées à l’occasion de la loi de transposition [86].

65Ce climat ne devait pas inciter à une prompte transposition de la directive communautaire qui se fit plutôt tardivement par une proposition de loi déposée le 19 février 2018, alors que la transposition devait se faire au plus tard le 9 juin 2018 [87]. L’initiative parlementaire est rare pour la transposition d’une directive ; elle a l’avantage de dispenser d’une étude d’impact et d’une saisine pour avis du Conseil d’État [88].

66Les critiques concernent essentiellement l’atteinte au droit d’informer, notamment la possibilité pour une personne d’agir préventivement et qu’il soit statué sur le caractère secret d’une information avant même sa publication [89], contrairement à l’esprit de la loi sur la presse de 1881. L’autre reproche était que ces dispositions pouvaient entraver l’action des lanceurs d’alerte. En outre, certains auteurs critiquent une forme d’inversion des valeurs opérée par la directive, puisque le droit d’informer devient une exception à la protection du secret qui serait devenue le principe [90].

2 – Les réponses apportées

67Il est probablement exagéré de considérer que la loi de protection du secret des affaires ait apporté une atteinte au principe de la liberté d’information. Déjà, car il n’est de liberté sans borne, fût-ce la liberté d’expression, dont il avait déjà été admis qu’elle doive s’effacer face à la confidentialité nécessaire à la conduite des affaires [91]. Ensuite parce que le texte même de la directive et celui de la loi s’efforcent de concilier la protection du secret avec l’exercice des libertés. Les rédacteurs de la directive ont insisté sur la nécessité de ce que la protection du secret des affaires n’interfère pas avec la liberté d’information [92]. Aussi, deux mécanismes ont été prévus. Le premier, assez classique, est l’introduction de limites au secret des affaires. Le second, plus original, vient de la transposition en droit français et vise à sanctionner le recours abusif au secret des affaires pour faire obstacle à la liberté d’informer [93].

68L’art. L. 151-8 évoque trois cas dans lesquels le secret est « inopposable ». Il s’agit de première part de l’exercice de la liberté d’expression, en ce compris le droit de la presse. Il s’agit ensuite de la révélation « dans le but de protéger l’intérêt général et de bonne foi, une activité illégale, une faute ou un comportement répréhensible ». Et enfin du cas où l’obtention, l’utilisation ou la divulgation du secret est intervenue « pour la protection d’un intérêt légitime reconnu par le droit de l’Union européenne ou le droit national ».

69Les dispositions de l’art. L. 152-8 sont plus singulières, elles visent l’abus du droit d’agir sur le fondement de la protection du secret des affaires. Sont particulièrement ciblées les « procédures-bâillons » [94] et les dispositions s’inspirent, en partie, du rapport de la commission Mazeaud [95]. Il instaure une amende civile pouvant atteindre 20 % du montant de la demande en dommages et intérêts ou 60 000 euros si le demandeur ne formule pas une telle demande. C’est un montant conséquent, surtout si on le rapporte au montant maximal habituel de l’amende civile de 10 000 euros [96].