Le secret des affaires : vers la reconnaissance d’un actif immatériel stratégique ?

Le secret est une notion élastique ; les affaires le sont tout autant. Mettez les deux ensemble et vous obtenez ce que la pensée juridique française, si cartésienne, si géométrique, déteste par-dessus tout : un objet sans contours. Voilà pourquoi, au printemps 2016, après des années de propositions avortées, le législateur hésitait encore à protéger par la loi ce qui fait pourtant la valeur réelle d’une entreprise.

Car le stratégique a déménagé. Il ne loge plus seulement dans le brevet, la marque ou le dessin, que le droit protège depuis longtemps ; il loge dans une idée, un savoir-faire, une négociation en cours, une alliance encore confidentielle. Et il se vole autrement : non plus en forçant un coffre, mais en posant des questions. Un faux questionnaire, un faux recruteur, un stagiaire trop zélé, une fausse coentreprise qui fait traîner les discussions jusqu’à ce que le savoir ait changé de mains.

Le paradoxe tient en deux phrases. Une société assoiffée de transparence exige qu’on protège le secret, et elle a raison. Elle exige aussi qu’on puisse le percer quand il cache un moteur truqué ou un produit dangereux, et elle a encore raison. Tout l’art est de tenir les deux bouts sans que l’un étrangle l’autre.

En attendant le droit, l’entreprise dispose d’une ressource que nulle loi ne lui donnera : une culture. Savoir ce qui mérite d’être protégé (on ne peut pas tout protéger), connaître ses prédateurs, cesser de raconter sa vie dans le train. Le secret des affaires est d’abord un mode de management ; les juristes n’interviennent qu’ensuite, quand le mal est fait.

Depuis, l’Europe puis la France ont tranché : le secret des affaires a désormais sa définition, ses exceptions, son contentieux. Le droit a rattrapé la réalité. Les mauvaises habitudes, beaucoup moins.

Le premier coffre-fort d’une entreprise, c’est la bouche de ses collaborateurs.

La version longue

Un objet juridique introuvable

En France, au printemps 2016, le législateur hésite encore à légiférer sur le secret des affaires. On peut comprendre pourquoi. Le secret est une notion élastique, les affaires aussi, et la pensée cartésienne et géométrique qui nous habite peine à tracer des limites à ce qui n’en a pas. Elle peine donc à légiférer. L’Europe hésite moins : une directive est en discussion, qui s’imposera bientôt au droit national.

Ce n’est pas faute d’avoir essayé. Bernard Carayon, pionnier de l’intelligence économique au Parlement, avait déposé plusieurs textes depuis 2004 ; le dernier, qui punissait la violation du secret des affaires de trois ans d’emprisonnement et de 375 000 euros d’amende, avait été adopté en première lecture par l’Assemblée nationale le 23 janvier 2012, puis n’avait jamais été inscrit à l’ordre du jour du Sénat. Une nouvelle proposition avait suivi en juillet 2014. En janvier 2015 enfin, un amendement glissé dans la loi Macron pour définir le secret des affaires avait été supprimé en séance, après la levée de boucliers des rédactions, qui y voyaient une arme contre le journalisme d’investigation.

Faute de texte, les juges avancent. Comme dans d’autres domaines de l’intelligence économique, les magistrats, confrontés à la réalité du terrain, ouvrent des pistes. Le vol, que le Code pénal définit comme la « soustraction frauduleuse de la chose d’autrui », voit ainsi son champ s’étendre à l’immatériel : le 20 mai 2015, la chambre criminelle de la Cour de cassation a confirmé la condamnation pour vol d’un internaute qui avait téléchargé des documents laissés accessibles sur un espace mal protégé, alors même qu’en copiant un fichier on n’en prive pas son propriétaire. La doctrine a tiqué ; le législateur, lui, avait déjà ajouté au Code pénal, en novembre 2014, le délit d’extraction frauduleuse de données d’un système informatique.

Il existe pourtant, dira-t-on, tout un arsenal. Le droit de la propriété intellectuelle protège les inventions, les marques, les dessins et modèles ; le Code du travail punit de deux ans d’emprisonnement et de 30 000 euros d’amende le salarié ou le dirigeant qui révèle un secret de fabrication ; les contrats prévoient des clauses de confidentialité et de non-concurrence. Alors pourquoi vouloir davantage, et pourquoi, comme le proposait Bernard Carayon, aller jusqu’à la sanction pénale ?

Parce que le stratégique a déménagé. Il loge de plus en plus dans les idées, les savoir-faire, les projets, les alliances confidentielles, les situations de fait, qui sont autant d’avantages concurrentiels et qu’aucun brevet ne couvre. Une négociation de rachat, un plan de restructuration, un fichier de clients, une faiblesse sur un marché : tout cela se vole, et rien de cela ne se dépose à l’INPI. La soustraction frauduleuse de ces avantages, et leur réemploi dans une concurrence déloyale, voilà le sujet.

Ce que le secret ne peut pas cacher

Le droit et la jurisprudence, qui font beaucoup pour le secret des affaires, en indiquent aussi les limites. Ce secret ne saurait être opposé en toutes circonstances aux lanceurs d’alerte, aux représentants du personnel, aux actionnaires, au fisc, à l’inspection du travail. La liberté de la presse et le droit d’en connaître de nombreux ayants droit le bornent. D’autant que nous vivons dans une société assoiffée de transparence.

Et puis tous les secrets ne sont pas légitimes. Le moteur truqué de Volkswagen, révélé en septembre 2015, n’est pas défendable. Que dire de la dangerosité cachée d’un médicament, d’un vaccin, d’un engrais ? Que dire de l’amiante, dont on connaissait les méfaits des décennies avant qu’on l’interdise ? Le secret qui couvre un danger n’est plus un secret des affaires : c’est une complicité.

Un aspect plus technique, souvent négligé, explique aussi les hésitations du législateur. Le secret des affaires, comme tout secret opérant, coupe l’entreprise en deux : ceux qui savent, et les autres. Il faudra donc habiliter ceux qui auront à en connaître. Or un système d’habilitation engendre une bureaucratie proportionnelle à la taille de l’entreprise, et la gestion d’habilitations qu’il faudra accorder, suivre et retirer n’est pas faite pour simplifier le problème. L’information, secrète ou non, est inséparable de celui qui l’émet et de celui qui la lit ; le droit balance, comme toujours, entre la protection de l’information et l’accès à l’information.

La loi et la jurisprudence se situent ainsi en amont et en aval de ce malheureux secret des affaires, qui a tant de mal, chez nous, à se définir et à se constituer en objet juridique. Mais entre l’amont et l’aval, il y a quelque chose : l’entreprise, et ses angoisses.

Le secret comme mode de management

La protection du secret des affaires n’est pas seulement un problème législatif ou juridique. C’est une manière de penser et d’agir propre à l’intelligence économique, dans sa version « intelligence des risques ». Nous sommes dans un art de l’action, où le chef d’entreprise convoque son bon sens, son imagination et celle de ses collaborateurs. La protection du secret devient alors un mode de management, et c’est bien ce qu’il faut enseigner, dans les écoles d’intelligence économique comme dans les comités de direction, avec des ambitions à la mesure des menaces que fait peser la cybercriminalité.

Ce management repose sur trois éléments.

Premier élément : prendre la mesure de la menace

Puisqu’il y a menace, il y a des prédateurs, comme dans la jungle. Au premier rang figurent des États, soucieux de connaître les avantages concurrentiels des rivaux de leurs champions nationaux, avec lesquels ils entretiennent parfois des liens plus qu’étroits. La mondialisation, créatrice de richesses, et le commerce international n’ont pas éteint la soif de puissance et de domination. Les États se pillent mutuellement leurs secrets d’affaires, plus ou moins systématiquement, mais de plus en plus automatiquement, à l’aide de robots et d’algorithmes. La violation du secret des affaires est aujourd’hui largement automatisée, industrialisée.

L’erreur ou la faiblesse d’une entreprise française sur un marché international est un secret d’affaires qui deviendra l’avantage d’un concurrent en vraie connivence avec son État d’origine. Car les nations existent encore. On peut même dire qu’elles reviennent.

L’espionnage industriel et économique est massif. Il a bénéficié, le grand public le sait depuis les révélations d’Edward Snowden en 2013, du concours, consenti ou contraint, de certains géants du traitement de la donnée. Les États-Unis ne sont pas seuls en cause, et les attaques par l’Internet viennent d’un nombre toujours plus grand de prédateurs, grands ou petits, publics ou privés. Ils se partagent même la besogne, par ce qu’on appelle la segmentation de l’espionnage : des opérateurs qui ne se connaissent pas forcément entre eux participent à une même stratégie de captation. L’un s’occupe des données, l’autre des images, un troisième du son ; et un quatrième de l’oreiller, si les trois premiers ont échoué.

On parle beaucoup, depuis l’accord de Vienne de juillet 2015, de non-prolifération nucléaire. C’est oublier que la prolifération des technologies intrusives permet aujourd’hui à n’importe qui de monter sa petite centrale d’espionnage. Il suffit d’aller… pas très loin : sur les Champs-Élysées, pour s’équiper. (Et l’Iran lui-même, ce marché qui se rouvre, n’est-il pas un secret d’affaires que certains n’entendent partager avec personne ?)

Toute entreprise un tant soit peu innovante dressera donc la carte de ses prédateurs possibles et de leurs commanditaires. Elle est la mieux placée pour nommer ses adversaires.

Deuxième élément : savoir ce qu’on protège

Le deuxième élément consiste, très pragmatiquement, à savoir ce qu’il faut protéger : certains secrets comptent plus que d’autres, et l’on ne peut pas tout protéger. Pour garder un secret, on peut d’ailleurs s’autoriser à en laisser fuiter d’autres, qui ne seront que des leurres.

Nous le savons : les secrets sont de plus en plus immatériels, et se volent souvent au cours de conversations stratégiques, dans l’entreprise ou au-dehors. On pourrait éviter de convoquer la réunion stratégique toujours le même jour, au même endroit, à la même heure. Il n’est pas utile de transporter partout des données confidentielles. Il n’est pas nécessaire de raconter sa vie dans le train, dans l’avion ou dans les salons d’aéroport. Nous le savons parfaitement, et nous gardons nos mauvaises habitudes. Il est des civilisations, et des entreprises, où l’art de se taire dispense de légiférer et de réglementer.

Les technologies de l’information et la cryptologie, domaine où la France n’est pas démunie, viennent heureusement au secours des secrets à protéger. Mais la cryptologie doit s’inscrire dans une politique plus vaste d’intelligence des risques, qui n’est elle-même qu’un des aspects de l’intelligence économique. Pour être efficace, la prévention doit anticiper les us et coutumes des prédateurs ; elle fera l’objet d’une veille spécifique.

Troisième élément : l’humain, maillon faible

Le contre-espionnage économique d’une entreprise ne se limite pas à la protection des données et de leurs transmissions. L’entreprise doit comprendre comment agissent les prédateurs quand ils s’attaquent à l’humain, c’est-à-dire au maillon le plus faible.

Disons-le d’abord : le danger le plus quotidien ne vient pas de l’extérieur, mais de l’intérieur. Le secret sera compromis par un collaborateur mécontent, ou parti en emportant une partie de la mémoire stratégique de la maison. La protection passe donc par la formation interne, une vigilance méthodique et un dispositif d’alerte. Éveiller la vigilance sans faire peser a priori le soupçon sur ses collaborateurs est un exercice délicat ; c’est en parlant des agressions venues de l’extérieur que l’on diffusera une culture interne de protection.

Car le prédateur, s’il connaît son métier, ne prend aucun risque inutile. Il commence par le plus facile : il pose des questions, tout simplement.

Il envoie un questionnaire par des intermédiaires, en y reprenant par écrit les questions restées sans réponse lors d’un salon ou d’un voyage, noyées au milieu d’autres sans intérêt ; pour allécher sa cible, il se fait passer, par exemple, pour une grande métropole étrangère en quête de partenaires.

Il organise un faux entretien d’embauche, par un faux cabinet de recrutement, pour faire parler un cadre plus ou moins satisfait de sa place.

Il place un stagiaire travaillant en réalité pour un commanditaire : si sérieux qu’il ne prend jamais de vacances, travaille le week-end, demande des codes d’accès quand personne n’est là et s’égare là où il ne faut pas.

Il monte une fausse coentreprise, dont les négociations, sérieuses et argumentées, durent des mois, jusqu’au jour où la victime s’aperçoit que ses secrets d’affaires ont changé de mains.

Il lance un faux appel d’offres. Il ouvre même, à l’occasion, une procédure d’acquisition en bonne et due forme, avec son audit préalable (la fameuse due diligence, cet ensemble de vérifications qu’un acquéreur mène pour se faire une idée précise de la cible), dans le seul but de visiter les comptes et les dossiers d’une entreprise qu’il n’a jamais eu l’intention d’acheter.

Rien de tout cela n’exige de génie technique. Tout cela exige seulement qu’en face, personne ne se pose de questions.

Le secret des affaires, au fond, est moins une chose qu’on garde qu’une discipline qu’on pratique.

Post-scriptum, octobre 2026. Le droit a fini par rattraper le sujet. La directive (UE) 2016/943 du 8 juin 2016, sur la protection des savoir-faire et des informations commerciales non divulgués, a été transposée en France par la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires, validée par le Conseil constitutionnel (décision n° 2018-768 DC du 26 juillet 2018) et complétée par le décret n° 2018-1126 du 11 décembre 2018. Le Code de commerce (articles L. 151-1 et suivants) définit désormais le secret par trois critères : une information qui n’est pas aisément accessible, qui a une valeur commerciale du fait de son caractère secret, et que son détenteur protège par des mesures raisonnables. Le secret n’est opposable ni à l’exercice de la liberté d’expression et d’information, ni au lanceur d’alerte, et une amende civile sanctionne les procédures abusives. La voie pénale que défendait Bernard Carayon a été écartée : la protection est civile. Les lanceurs d’alerte, eux, ont vu leur statut consolidé par la loi Sapin II du 9 décembre 2016, puis par la loi du 21 mars 2022, qui transpose la directive européenne de 2019. Les craintes des journalistes n’étaient pas imaginaires : en 2022, le groupe Altice a invoqué le secret des affaires contre le site d’information Reflets, et obtenu du tribunal de commerce de Nanterre, le 6 octobre, une interdiction de publier de nouvelles informations, que la cour d’appel de Versailles a infirmée le 19 janvier 2023. L’équilibre tient, mais il se défend au contentieux. Quant aux réunions stratégiques tenues tous les mardis à la même heure, dans la même salle, aucune loi n’y a rien changé.

Sources et références

• Directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites.
• Loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires (Code de commerce, art. L. 151-1 et suivants) et décret n° 2018-1126 du 11 décembre 2018.
• Conseil constitutionnel, décision n° 2018-768 DC du 26 juillet 2018 : la validation de la loi, contestée au nom de la liberté d’informer.
• Assemblée nationale, rapport n° 777 de la commission des lois sur la proposition de loi relative à la protection du secret des affaires, 2018 : l’historique complet des tentatives antérieures. assemblee-nationale.fr/dyn/15/rapports/cion_l…
• Proposition de loi visant à sanctionner la violation du secret des affaires (Bernard Carayon), adoptée par l’Assemblée nationale le 23 janvier 2012. senat.fr/leg/ppl11-284.pdf
• Cour de cassation, chambre criminelle, 20 mai 2015, n° 14-81.336 : le vol de données reconnu par le juge pénal.
• Code du travail, article L. 1227-1 : la révélation d’un secret de fabrication. code.travail.gouv.fr/code-du-travail/l1227-1
• Accord sur les aspects des droits de propriété intellectuelle qui touchent au commerce (ADPIC), 1994, article 39 : la protection internationale des « renseignements non divulgués », matrice lointaine de la directive.
• Loi n° 2016-1691 du 9 décembre 2016 (dite Sapin II) et loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte.
• Sur l’affaire Altice contre Reflets : Politis, « Liberté de la presse : victoire de Reflets contre Altice et Patrick Drahi », janvier 2023. politis.fr/articles/2023/01/liberte-de-la-pre…