Adoptée en première lecture par l’Assemblée nationale, la proposition de loi sur le secret des affaires fait couler beaucoup d’encre. Olivier de Maison Rouge, avocat et rapporteur du groupe de travail sur la transposition de la directive secret des affaires, revient sur les enjeux du texte.
Pouvez-vous rappeler dans quel contexte s’inscrit cette proposition de loi ?
Elle est issue de la directive européenne sur le secret des affaires, adoptée en juin 2016, et devant être transposée d’ici le mois de juin prochain. Dans un contexte d’internationalisation de l’économie, il est nécessaire de doter les entreprises d’outils visant à protéger leurs informations stratégiques. La France est un des rares pays à ne pas s’être encore doté de législation spécifique sur ce sujet, il est donc temps de rattraper ce retard afin d’avoir une définition du secret des affaires opposable devant les tribunaux.
Comment a été définie la notion de secret des affaires ?
La proposition de loi reprend des éléments des accords de l’OMC sur les aspects des droits de propriété intellectuelle, dits ADPIC, signés en 1994. Ainsi, le texte prévoit de sanctionner l’utilisation ou la divulgation d’informations qui répondent à trois critères :
- l’information ne peut être aisément accessible à une personne exerçant dans un secteur qui traite de cette catégorie d’information ;
- elle revêt une valeur commerciale parce que l’information est secrète ;
- elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables pour en conserver le secret.
Il ne s’agit donc pas d’une création juridique mais de l’intégration, en droit français, de dispositions internationales et européennes préexistantes. En cas de non-respect, l’auteur de l’infraction engage sa responsabilité civile, avec le paiement de dommages et intérêts. Le législateur a également prévu le versement d’amendes en cas d’abus de procédure.
La définition reste toutefois assez large. Comment s’assurer que cette protection sera utilisée à bon escient ?
D’une part, le législateur prévoit plusieurs exceptions. Le secret des affaires ne pourra par exemple pas être utilisé pour dissimuler des actes illicites et ne pourra donc pas être opposé à un lanceur d’alertes.
D’autre part, il revient à l’entreprise de répertorier en amont les informations sensibles devant être protégées. Les députés ont d’ailleurs retenu un amendement qui exige que l’entreprise liste de façon explicite quelles informations sont considérées comme relevant du secret des affaires.
Selon vous, quels axes d’amélioration pourraient encore être portés au texte ?
Dans sa version initiale, la proposition de loi était très modeste. Elle a depuis été largement enrichie, notamment grâce aux travaux du Conseil d’Etat.
Il me semble cependant que deux nouvelles modifications pourraient s’avérer pertinentes. Tout d’abord, le texte définit une information pouvant relever du secret des affaires comme une information revêtant une «valeur commerciale». Il me paraîtrait utile de remplacer cette notion par celle, plus large, de «valeur économique» qui inclut aussi la R&D, les formules et méthodologies. Cela permettrait d’englober les algorithmes qui, pour l’heure, ne sont pas explicitement protégés bien qu’ils représentent une part importante de la valeur de certaines entreprises.
Enfin, le texte prévoit une procédure judiciaire spécifique afin que le secret des affaires soit protégé, y compris devant les tribunaux. A priori, les autres pays européens devraient prendre des dispositions similaires afin de se conformer à la directive. Toutefois, certaines données sont hébergées dans des data centers en dehors de l’Union européenne. Il serait donc utile de créer une forme de contrôle de la production de pièces devant les tribunaux non européens afin que le secret des affaires soit également protégé devant ces juridictions.
Quel impact cette législation aura-t-elle sur l’organisation des entreprises ?
La proposition de loi sur le secret des affaires s’inscrit dans une tendance de gouvernance de l’information au sein de l’entreprise, à l’image du règlement général sur la protection des données, visant les données personnelles. Elle doit inciter les entreprises à mener un travail pédagogique en leur sein afin de mieux contrôler leurs informations stratégiques. En ce sens, il me paraîtrait nécessaire qu’un responsable de la donnée soit nommé au sein de chaque entreprise. Il pourrait à la fois avoir la charge de la gestion des données personnelles et des informations stratégiques afin d’avoir une approche cohérente et pragmatique sur ce sujet.
