« L’économie est par essence un rapport de force. Certes, elle prend la forme de collaborations et d’échanges volontaires. Bien sûr, elle permet la paix ». Mais elle reste au fond, pour paraphraser Michel Foucault à propos de la politique, « la continuation de la guerre par d’autres moyens », Olivier Babeau [1].
C’est pourquoi, nous abordons cette réflexion sous l’angle de la protection des informations économiques stratégiques. Plusieurs régimes juridiques s’appliquent aux secrets, sans même évoquer le secret de la correspondance ou encore le secret professionnel.
Au cœur même des activités économiques sensibles, nous pouvons recenser les protections suivantes conférées par la loi :
1. La protection du secret de la défense nationale par les entreprises.
Institué depuis des temps immémoriaux, historiquement pratiqué par Louis XI ou Richelieu ou théorisé notamment par Machiavel et Racine, le Secret a été intégré au droit positif français en 1938.
a) Définition.
En application de l’article 2311-1 du Code de la défense, sont établies les règles relatives à la définition des informations concernées par le secret de la défense nationale, à savoir un caractère de secret de la défense nationale :
« les procédés, objets, documents, informations, réseaux informatiques, données informatisées ou fichiers intéressant la défense nationale qui ont fait l’objet de mesures de classification destinées à restreindre leur diffusion ou leur accès.
Peuvent faire l’objet de telles mesures les procédés, objets, documents, informations, réseaux informatiques, données informatisées ou fichiers dont la divulgation ou auxquels l’accès est de nature à nuire à la défense nationale ou pourrait conduire à la découverte d’un secret de la défense nationale » [2].
Aux termes de l’instruction générale interministérielle (IGI) n°1300, les informations et supports classifiés font l’objet d’une classification. Ce secret est essentiel pour protéger les intérêts de la Nation, notamment en matière de sécurité, de défense et de souveraineté.
Selon l’article 413-9 du Code pénal, les informations et supports classifiés présentent un caractère de secret de la défense nationale si leur divulgation ou leur accès est de nature à nuire à la défense nationale ou pourrait conduire à la découverte d’un secret de la défense nationale. Il s’agit donc de secrets d’Etat ; ce n’est donc pas un objet de droit privé.
Bien que portant le nom de « secret de la défense nationale », contrairement aux idées reçues, moins de la moitié des informations classifiées relève du secteur de la défense ; cela recouvre également le nucléaire, le spatial, l’activité diplomatique, des décisions du Conseil de sécurité et de défense, etc.
b) Classification et protection.
Les niveaux de classification des informations et supports classifiés sont déterminés par décret en Conseil d’état. En outre, l’article R2311-1 du Code de la défense précise que les informations et supports classifiés sont ceux qui présentent un caractère de secret de la défense nationale et qui ont fait l’objet de mesures de classification.
Les informations et supports classifiés sont classés principalement en deux niveaux : "Secret" et "Très Secret" [3]. Ces niveaux déterminent le degré de protection requis.
Ces mesures visent à protéger les informations sensibles contre l’espionnage et à garantir la sécurité des opérations militaires et des stratégies de défense. Le secret de la défense nationale est donc un outil fondamental pour assurer la protection des intérêts stratégiques de l’État et pour garantir la sécurité de ses citoyens.
Le système d’habilitation "secret défense" est un processus réglementé qui permet à certaines personnes physiques ou morales d’accéder à des informations et supports classifiés, en fonction de leur niveau de classification.
La décision d’habilitation précise le niveau de classification des informations que le titulaire peut connaître, ainsi que les fonctions ou missions concernées. Pour les niveaux "Secret" et "Très Secret", cette décision est prise par les ministres mentionnés à l’article R2311-6, suivant une procédure arrêtée par le Premier ministre [4].
L’habilitation est accordée en fonction de critères spécifiques, notamment la nécessité d’accès à ces informations dans le cadre des fonctions exercées, ainsi que la fiabilité et la loyauté de la personne concernée. Les ministres définissent également les modalités de classification et de protection des informations au sein de leurs services [5].
c) Le secret de la défense nationale en entreprise.
Pour les personnes autres que l’État ou ses établissements publics, les modalités d’accès aux informations classifiées doivent être définies dans un plan contractuel de sécurité. Ce plan est établi dans le cadre d’une convention conclue avec le ministre intéressé, après vérification de l’aptitude des mesures de sécurité à garantir la protection des informations [6].
Des inspections, contrôles ou audits peuvent être organisés pour s’assurer des conditions de protection des informations et supports classifiés. Si des manquements sont constatés, l’autorité administrative peut mettre en demeure la personne concernée de remédier à la situation [7].
Les informations et supports classifiés portent la mention de leur niveau de classification outre, le cas échéant, une mention particulière précisant les Etats, leurs ressortissants ou les organisations internationales pouvant y avoir accès. Les informations et supports classifiés qui ne doivent en aucun cas être communiqués totalement ou partiellement à des organisations internationales, à des Etats étrangers ou à leurs ressortissants portent, en sus de la mention de leur niveau de classification, la mention particulière « Spécial France ».
Nul n’est qualifié pour connaître des informations et supports classifiés s’il n’a fait au préalable l’objet d’une décision d’habilitation après enquête administrative de sécurité, et s’il n’a besoin, selon l’appréciation de l’autorité d’emploi sous laquelle il est placé, au regard notamment du catalogue des emplois justifiant une habilitation établie par cette autorité, de les connaître pour l’exercice de sa fonction ou l’accomplissement de sa mission.
La protection du secret de la défense nationale en entreprise relève des prérogatives des officiers de sécurité (OS) désignés à cet effet.
2. La protection du patrimoine scientifique et technique de la Nation.
Le dispositif de Protection du Potentiel Scientifique et Technique de la Nation (PPST) a pour but de protéger, au sein des établissements publics et privés, les savoirs et savoir-faire ainsi que les technologies sensibles qui concourent aux intérêts souverains de la nation. Ce sont donc des informations à régimes restrictifs.
Il s’agit d’un régime juridique ad hoc, destiné à préserver l’innovation et la recherche, dans leur potentialité, contre les prédations et ingérences économiques et promouvoir la recherche scientifique et le développement technologique tel que prévu par le décret n°2011-1425 du 2 novembre 2011 relatif à la protection du potentiel scientifique et technique de la nation. Ces dispositions sont essentielles pour garantir que le pays maintienne un haut niveau de compétitivité scientifique et technologique sur la scène internationale.
Le pilotage national est assuré par le Secrétariat général de la défense et de la sécurité nationale (SGDSN), en collaboration avec les ministères concernés et les responsables sécurité-défense des structures publiques ou privées concernées.
a) Principe de promotion de la recherche scientifique.
Selon l’article L113-1 du Code de la recherche, la recherche scientifique et le développement technologique sont des priorités nationales. Cela signifie que l’État s’engage à mettre en œuvre des politiques qui favorisent ces domaines.
L’article L111-1 du Code de la recherche dispose que la politique nationale de la recherche et du développement technologique vise à accroître les connaissances, partager la culture scientifique, valoriser les résultats de la recherche et promouvoir l’innovation. Cette politique est essentielle pour garantir que le potentiel scientifique et technique de la nation soit non seulement préservé, mais également ainsi développé et favorisé.
L’article L321-1 du Code de la recherche définit les établissements publics à caractère scientifique et technologique comme des entités ayant pour mission de mettre en œuvre les objectifs de la politique de recherche. Ces établissements bénéficient d’une autonomie administrative et financière, ce qui leur permet de mener des projets de recherche en accord avec les priorités nationales.
Le contrôle scientifique et technique de l’État, mentionné dans l’article D442-13 du Code du patrimoine, assure que les activités de recherche et de conservation respectent les normes établies et contribuent à la protection du potentiel scientifique et technique.
b) Création d’une Zone à régime restrictif (ZRR).
La PPST vise à empêcher la captation, le détournement ou la destruction d’informations et de technologies dont la divulgation ou l’usage pourrait :
- Porter atteinte aux intérêts économiques de la nation.
- Renforcer des arsenaux militaires étrangers ou affaiblir les capacités de défense françaises.
- Contribuer à la prolifération des armes de destruction massive et de leurs vecteurs.
- Être utilisées à des fins terroristes sur le territoire national ou à l’étrange
Le régime de protection de ce potentiel scientifique et technique est mis en œuvre selon une convention conclue entre le ministère de tutelle (représentée par un Haut Fonctionnaire de de Défense et Sécurité, HFDS), et l’établissement ou l’entreprise ciblée par ces mesures.
Elles permettent aux laboratoires et/ou départements de R&D de créer une zone géographique sécurisée, à accès autorisé, dont les informations sont couvertes par la confidentialité. La PPST est assurée par la mise en œuvre de mécanismes qui tiennent notamment en l’introduction de zones à régime restrictif (ZRR) dans certains lieux identifiés et définis au préalable par l’établissement en concertation avec le ministre de tutelle. Des procédures de contrôle et d’enquête administrative sont mises en place afin d’éviter que des personnes signalées et/ou mal intentionnées puissent accéder à certaines informations.
La protection s’organise autour de plusieurs mesures :
- Contrôle des accès physiques et logiques à des zones dites « zones à régime restrictif » (ZRR), où la circulation et l’accès sont réglementés et soumis à autorisation.
- Encadrement et accompagnement des activités de recherche dans des secteurs identifiés comme sensibles, avec avis et suivi des ministères compétents sur certaines coopérations et échanges internationaux.
- Mise en place de moyens de sensibilisation, de formation, et d’accompagnement par l’État auprès des entités concernées.
c) La protection pénale de la PPST.
La violation de la règlementation applicable aux zones à régime restrictif peut être sanctionnée sur le fondement d’un droit spécial relevant du livre IV du Code pénal (délits et crimes contre l’Etat) et notamment les articles 413-7 et R413-5-1 du Code pénal.
Les parquets peuvent, à ce titre, saisir la Direction générale de la sécurité intérieure (DGSI) pour mener les enquêtes à même de révéler d’éventuelles atteintes aux intérêts fondamentaux de la nation. Le titre 1er du livre IV du Code pénal « Des atteintes aux intérêts fondamentaux de la nation » prévoit des sanctions pouvant aller, selon les cas, jusqu’à vingt ans d’emprisonnement et 300 000 euros d’amende.
L’article 413-7 du Code pénal réprime ainsi le fait de s’introduire, sans autorisation, à l’intérieur des locaux et terrains intéressant la défense nationale et qui sont clos en vue d’assurer la protection des installations, du matériel ou du secret des recherches, études ou fabrications. La simple intrusion dans une zone à régime restrictif est un délit puni de six mois d’emprisonnement et de 7 500 euros d’amende.
La zone à régime restrictif abrite des éléments essentiels du potentiel scientifique et technique de la nation, définis, conformément à l’article 410-1 du Code pénal, comme des intérêts fondamentaux de la nation. A ce titre, l’article 411-9 du Code pénal sanctionne les faits de nature à porter atteinte aux intérêts fondamentaux de la nation : jusqu’à quinze ans d’emprisonnement et 225 000 euros d’amende. Un vol ou un détournement de documents ou de matériels au sein d’une ZRR pourrait donc relever de l’article 411-9 du Code pénal.
Le traitement des données informatiques de la ZRR est susceptible de tomber sous le coup de l’article 411-6 et suivants du Code pénal qui sanctionne le fait de rendre accessible à une entreprise ou organisation étrangère des documents ou données informatisées dont l’exploitation, la divulgation ou la réunion est de nature à porter atteinte aux intérêts fondamentaux de la nation.
3. La protection des informations stratégiques de l’entreprise - le secret des affaires.
« Le vrai secret est une connaissance que son détenteur rend délibérément inaccessible. (…)
Le secret, suivant le cas, interdit de connaître, de prouver, de diffuser ou de reproduire l’information qu’il protège voire de la modifier, comme lorsqu’un mot de passe empêche le sabotage de données informatiques » [8].
La dématérialisation de l’économie a donc rendu plus diffus aujourd’hui ce qui constitue le patrimoine d’une entreprise : ses hommes bien sûr, mais davantage leurs idées, les savoir-faire, les concepts, les réseaux relationnels et commerciaux, les méthodes de gestion, les informations stratégiques liées à son secteur d’activité, au développement de sa recherche et développement non brevetable, à son fichier clientèle ou fournisseurs, à sa connaissance de données stratégiques, à son taux de marge, c’est-à-dire un ensemble de connaissances au sens de la Directive UE n°2016/943 du 8 juin 2016 [9].
En matière de sécurité de l’information, faute de posséder un titre de propriété, son détenteur s’oblige à régir les droits d’accès aux connaissances sensibles de l’entreprise.
D’où la nécessité de procéder par voie de confidentialité, non-divulgation et non révélation, pour prévenir les dommages consécutifs, ce que la jurisprudence européenne avait déjà entérinée, énonçant que « les secrets d’affaires sont des informations dont non seulement la divulgation au public mais également la transmission à un sujet de droit différent de celui qui a fourni l’information peut gravement léser les intérêts de celui-ci » [10].
a) Définition du secret des affaires.
La loi a étalonné les secrets d’affaires comme suit sous l’article L151-1 du Code de commerce, la considérant comme une information :
« 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité ;
2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ;
3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret ».
Sous cette définition commune et harmonisée au niveau européen, le secret des affaires est présenté comme un outil permettant de renforcer la compétitivité et l’innovation de l’entreprise ainsi que la préservation de ses actifs informationnels [11] et suivants. Plus prosaïquement, il s’agit d’assurer l’avantage concurrentiel de son titulaire dans une économie de la connaissance largement ouverte, dématérialisée et exposée aux prédateurs économiques et financiers.
Rappelons que pour la jurisprudence française, le savoir-faire consiste dans un ensemble d’éléments qui sont le fruit de l’expérience et constituent une avance technologique ou commerciale : choix des matières premières, des températures optimales, des meilleures conditions de fabrication, d’un marché ou d’un réseau de fournisseurs. Comme rappelé par la chambre commerciale de la Cour de cassation, il constitue son avantage concurrentiel, secret et original.
b) Les mesures de protection en amont du secret des affaires.
Pour protéger avec efficience un secret des affaires, il convient de définir et d’adopter une combinaison de mesures techniques, organisationnelles et juridiques pour garantir la confidentialité et la sécurité des informations sensibles de l’entreprise.
L’article L151.1 du Code de commerce évoque des « mesures de protection raisonnables ».
Mesures techniques :
- Restreindre l’accès aux informations sensibles via des systèmes de sécurité informatique (contrôle d’accès, mots de passe, chiffrement des données).
- Installer des logiciels de sécurité pour surveiller et détecter les accès non autorisés.
- Sauvegarder régulièrement les données sensibles et limiter leur diffusion interne aux seules personnes habilitées.
Mesures organisationnelles :
- Identifier, inventorier et classer les informations sensibles qui doivent relever du secret des affaires.
- Sensibiliser et former régulièrement l’ensemble du personnel à la sécurité de l’information et à l’importance du secret des affaires.
- Mettre en place des politiques de confidentialité internes, organiser des audits réguliers et contrôler la conformité des pratiques de sécurité.
Mesures juridiques :
- Faire signer des accords de confidentialité (NDA) à tous les employés, partenaires et sous-traitants susceptibles d’avoir accès aux secrets d’affaires.
- Inclure dans les contrats de travail, de partenariat ou de sous-traitance des clauses spécifiques sur le respect du secret des affaires.
- Préciser dans ces contrats la nature des informations concernées, la durée de l’engagement, les conditions d’utilisation et les sanctions applicables en cas de violation.
Précautions lors du partage d’informations :
- Limiter la diffusion des secrets d’affaires aux personnes qui en ont strictement besoin dans l’exercice de leurs fonctions (principe du “besoin de savoir”).
- Encadrer toute négociation ou partenariat par un accord de confidentialité, prévoyant une restitution ou destruction obligatoires des informations à la fin de la collaboration.
Ce faisant, une entreprise se dote d’un cadre robuste pour préserver la confidentialité de ses secrets d’affaires et assurer leur protection face aux risques internes et externes
c) Les sanctions des atteintes au secret des affaires.
A la différence d’autres droits de propriété intellectuelle, le Code de commerce n’envisage pas de procédure spécifique pour constater la « contrefaçon » en cas d’atteinte au secret des affaires ; en conséquence, le demandeur devra recourir au mode de preuve prévu par l’article 145 du Code de procédure civile, au titre des constatations avant tout litige au fond. C’est ainsi qu’il conviendra de caractériser la preuve de l’atteinte.
Constituent une atteinte au secret d’affaires et peuvent être sanctionnés :
- les cas d’obtention d’un secret d’affaires, sans le consentement de son détenteur, qui résultent :
- d’un accès, d’une appropriation ou d’une copie non autorisé lorsque est en cause un support qui contient ou permet de déduire le secret d’affaires (document objet, matériau, substance ou fichier électronique),
- de tout autre comportement contraire aux usages honnêtes en matière commerciale,
- les cas d’utilisation ou de divulgation d’un secret d’affaires, sans le consentement de son détenteur, dès lors que l’une ou l’autre des conditions suivantes est remplie :
- obtention du secret d’affaires de façon illicite,
- violation d’un accord de confidentialité ou de toute autre obligation de ne pas divulguer le secret d’affaires ;
- violation d’une obligation contractuelle ou de toute autre obligation de limiter l’utilisation du secret d’affaires,
- l’article L152-2 et suivants du Code de commerce envisagent ainsi d’en assurer largement la préservation et notamment :
- la juridiction saisie peut ordonner des mesures d’interdiction provisoire, y compris en référé, et ce pour une durée que la juridiction fixera,
- il est possible de solliciter des mesures dites « correctives » se traduisant notamment par l’interdiction d’importation et d’exportation de produits fabriqués en violation de secrets d’affaires mais encore par la cessation de la production et sa destruction,
- la publication de la décision stigmatisant un acteur économique ayant agi en violation des secrets d’affaires est envisagée,
- en matière de réparation financière, le titulaire du secret des affaires peut obtenir :
- le paiement de dommages et intérêts à la victime, tenant compte du manque à gagner, de la perte de chance, du préjudice moral et des bénéfices réalisés par l’auteur de la violation,
- le versement d’une indemnité à la place de certaines mesures, si celles-ci sont disproportionnées pour l’auteur.
Cette étude permet ainsi de recenser de manière exhaustive l’ensemble des régimes de protection des informations sensibles, tels que prévus par les textes.
Ce passage en revue n’a rien d’anecdotique dès lors que les autorités sont désormais conscientes des dangers en matière d’espionnage économiques et de prédations de données industrielles ou commerciales. La protection des informations sensibles, atout cardinal de l’innovation et investissements d’avenir, contraint dès lors les organisations à œuvrer à un réarmement juridique de leurs dispositifs.
