Résultats de recherche pour: contrat informatique

La sécurité et les systèmes informatique

I – La responsabilité civile contractuelle

A) Les logiciels espions

Deux hypothèses pourraient engager la responsabilité contractuelle de l’éditeur du logiciel :

– Un dysfonctionnement du logiciel :

Si le logiciel espion n’est pas fonctionnel, ou ne répond pas aux caractéristiques prévues par le contrat, alors comme pour tout logiciel, l’acquéreur pourra engager devant un tribunal civil la responsabilité contractuelle de l’éditeur.

On pourrait s’interroger sur la possibilité pour l’acquéreur d’agir en responsabilité dans l’hypothèse d’un logiciel espion dont la légalité parait douteuse . Néanmoins, les logiciels espions ne sont pas interdits par principe, leur utilisation est juste soumise à certaines conditions.

– L’introduction d’un logiciel espion au sein d’un logiciel :

Il s’agit ici de l’hypothèse où un utilisateur utilise un logiciel, dans lequel l’éditeur, a à son insu, intégré un logiciel espion.

Les deux parties étant liées par un contrat, on peut envisager une action en responsabilité contractuelle. Le contrat qui lie l’acquéreur et l’éditeur ne comporte sûrement pas de clause précisant que le logiciel ne comporte pas de logiciel espion.

L’article 1134 du code civil dispose que les conventions  » doivent être exécutées de bonne foi « . L’introduction d’un logiciel espion semble peu compatible avec la bonne foi contractuelle.

Il est envisageable d’agir en responsabilité contractuelle contre l’éditeur qui introduit un logiciel espion au sein d’un logiciel commercial à l’insu de l’utilisateur.

B)  Les antivirus

L’éditeur d’antivirus fournit un logiciel dont le but est d’éradiquer les virus de l’ordinateur de l’utilisateur. Si ce logiciel n’éradique pas les virus, peut-on engager la responsabilité contractuelle de l’éditeur ?

Il faut déterminer si l’éditeur est tenu d’une obligation de moyens ou de résultat. La jurisprudence ne s’est pas prononcée sur ce point. Mais vu l’étendue du travail de l’éditeur et la multiplicité des virus nouveaux, la jurisprudence retiendra probablement l’obligation de moyens.

S’il s’agit d’une obligation de moyens, l’éditeur sera tenu de mettre en oeuvre tous les moyens nécessaires pour assurer la mission de son logiciel. Il est donc tenu de mettre à jour régulièrement son antivirus par exemple. On pourra prouver l’inexécution de cette obligation en montrant, par exemple que les autres antivirus auraient protégé le système.

Dans cette hypothèse, l’utilisateur pourrait engager la responsabilité de l’éditeur d’antivirus.

 

II – La responsabilité civile délictuelle.

A)  Les logiciels espions

Les logiciels espions sont parfois introduits à l’insu des utilisateurs sur leur système, parfois même certains virus sont aussi des logiciels espions.

Dans cette hypothèse, le créateur du logiciel espion et l’utilisateur ne sont pas liés par un contrat, par conséquent on ne peut pas engager la responsabilité contractuelle du créateur.

La responsabilité délictuelle nécessite une faute, un dommage et un lien entre les deux. La faute consiste ici en une intrusion dans un système informatique à l’insu de son utilisateur, le dommage consiste en la perte et /ou la communication de données personnelles et le lien de causalité doit être clairement établi entre cette faute et le dommage subi.

En cas d’introduction d’un logiciel espion dans un ordinateur, celui qui l’a introduit pourra voir sa responsabilité délictuelle engagée et demander des dommages et intérêts.

B)  Les logiciels antivirus

Des tiers au contrat victimes d’une défaillance de l’antivirus, peuvent-ils agir contre l’éditeur ?

Dans l’hypothèse où sur un réseau, par exemple, un utilisateur est victime d’un virus qui aurait du être arrêté par le serveur, l’utilisateur est éventuellement lié contractuellement à l’exploitant du serveur mais pas avec l’éditeur d’antivirus.

Cependant les conditions de la responsabilité délictuelle peuvent être remplies : la faute de l’éditeur de l’antivirus, le dommage et le lien entre les deux.

Il est possible pour un tiers d’engager la responsabilité délictuelle de l’éditeur du logiciel antivirus.

 

III – La responsabilité pénale

A) Les atteintes aux données personnelles

La loi  » informatique et libertés  » réglemente la collecte et l’utilisation des données nominatives.

Toute collecte doit s’accompagner d’une information de la personne dont les données sont connectées. Celle-ci doit être informée à la fois de la collecte mais aussi de l’utilisation qui sera faite de ces données.

Le non-respect de ces dispositions constitue un délit prévu par l’article 226-16 du code pénal qui dispose :  » Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements automatisés d’informations nominatives sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de trois ans d’emprisonnement et de 45.000 € d’amende.  »

Les atteintes aux données personnelles sont constitutives d’un délit et engagent la responsabilité pénale de leur auteur.

B)  Les atteintes aux systèmes d’information

Le code pénal sanctionne différentes atteintes à la Sécurité des systèmes d’information :

– L’intrusion : l’article 323-1 dispose  » Le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données est puni d’un an d’emprisonnement et de 15.000 € d’amende « .

– Le sabotage et les altérations : l’article 323-1 alinéa 2 dispose  » Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de deux ans d’emprisonnement et de 30.000 € d’amende.  »
Il y a donc de multiples réponses juridique à une atteinte aux systèmes d’informations.

ARTICLES EN RELATION

Par • Informatique, internet-et-droit • • Tags: , , ,

Contrats liés entre professionnels

Un contrat est un accord de volonté en vue de créer une ou plusieurs obligations juridiques. C’est un engagement volontaire, formel ou informel, entre plusieurs parties et reconnu par le droit. Un lien d’interdépendance peut s’établir par la volonté des parties, ou par le jeu des conventions, grâce à la liberté contractuelle, entre des contrats qui étaient distincts à l’origine.

 

C’est par le biais d’une stipulation d’indivisibilité (ou d’indépendance) que l’organisation d’une telle corrélation entre deux ou plusieurs contrats s’exprime le plus souvent. La clause d’indivisibilité vise ainsi à unir les contrats de manière à ce que la disparition de l’un d’entre eux empêche les autres de poursuivre leurs effets. Les formules de rédaction de ces clauses peuvent sensiblement varier. Mais dès lors que le lien d’indivisibilité est clairement stipulé, les juges du fond ne sauraient, en principe, refuser d’en tirer les conséquences qui s’en suivent quant au sort des contrats considérés. Cependant, la notion de contrats liés, l’indivisibilité des contrats, peut aussi se déduire d’un faisceau d’indices entourant lesdits contrats tels que des dates de conclusions communes, des durées égales, etc.

 

Ainsi, la jurisprudence relative à la notion prétorienne d’ensemble contractuel rappelle régulièrement que l’indivisibilité peut se déduire non seulement de la nature de l’opération, mais aussi de la volonté des parties, qu’elle soit expressément stipulée, implicite, voire camouflée.

 

La question de l’interdépendance ou de l’indivisibilité entre les contrats est l’une de celles qui participent du renouveau jurisprudentiel du droit des contrats. Les généralités communes concernant les contrats liés, ou les contrats interdépendants (I) ne permettent cependant pas encore une application uniforme des solutions en cas de litiges (II).

 

  1. Présentation générale des contrats liés

 

  1. Les groupes de contrats

 

Le groupe de contrat est un ensemble de plusieurs contrats liés l’un à l’autre qui peuvent être conclus entre des personnes différentes. Soit tous les contrats concourent à la même opération économique et c’est ce qui nous intéresse dans le sujet traité, ils forment alors un ensemble contractuel, soit ils portent successivement sur le même objet et forment alors une chaine de contrats.

 

À l’instar des chaînes de contrats, les ensembles contractuels sont divers. En cela, deux catégories se détachent, imaginées à l’origine par le professeur Teyssié. D’une part, les ensembles contractuels interdépendants qui sont des situations contractuelles dans lesquelles une personne, afin d’assurer la réalisation d’une opération déterminée, prend l’initiative de conclure un certain nombre de conventions également importantes.

D’autre part, les ensembles de contrats à dépendance unilatérale, dominés par un contrat essentiel en considération duquel les autres conventions sont conclues. Ces ensembles peuvent obéir à un schéma d’organisation très simple. Tel est le cas, notamment, de l’ensemble formé par les contrats de transport et de transit, ce dernier, bien qu’accessoire, étant nécessaire au déroulement de l’opération globale. Ils atteignent cependant souvent une extrême complexité, comme le montre l’exemple du crédit-bail, dans lequel les relations de l’établissement financier et de son client s’organisent en divers mandats gravitant autour du contrat complexe dont ils concourent à assurer l’exécution.

 

  1. La clause d’indivisibilité

 

La notion d’indivisibilité appliquée à un contrat unique ne semble pas produire d’effets au niveau du contrat lui-même, mais uniquement au niveau des obligations nées de la conclusion du contrat. L’indivisibilité ne paraît affecter le contrat lui-même que lorsqu’il existe un ensemble de contrats liés.

 

L’efficacité de ces clauses peut se trouver paralysée pour deux types de raisons.

L’échec de ces clauses intervient en premier lieu chaque fois que leur application dessert l’efficacité de la sanction que constitue la nullité. Il suffit d’évoquer ainsi les solutions désormais admises s’agissant des contre-lettres qui visent à dissimuler une partie du prix d’une vente immobilière. En effet, on comprend que la nullité de telles contre-lettres (C. civ., art. 1321-1) ne serait qu’une sanction piètrement efficace si, du fait du jeu d’une clause d’indivisibilité, elle devait entraîner avec elle, la nullité de l’acte apparent. Et, dans ces conditions, on ne peut donc qu’approuver la Cour de cassation, lorsqu’elle interdit d’étendre la nullité qui frappe la contre-lettre à l’acte apparent, en dépit de l’indivisibilité conventionnelle éventuellement convenue entre les deux actes (Cass. ch. mixte, 12 juin 1981, no 78-14.971)

 

En second lieu, il importe de souligner que l’application d’une clause d’indivisibilité ne saurait s’imposer que pour autant qu’elle ne contrarie pas l’économie générale de l’opération voulue par les parties. Cette réserve procède d’une exigence de cohérence à laquelle la Cour de cassation se montre de plus en plus attentive. Ainsi une nette tendance se déploie sur la mise à l’écart d’une clause de divisibilité apparaissant « en contradiction avec l’économie de l’opération » pour laquelle les contrats avaient été conclu.

 

  1. La disparité des solutions applicables aux contrats liés

 

  1. Les contrats de location financière et les autres contrats

 

Le 17 mai 2013, la Cour de cassation a rendu deux arrêts importants en matière de location financière. Elle a ainsi jugé que les contrats concomitants ou successifs qui s’inscrivent dans une opération incluant une location financière, sont interdépendants. En outre, sont réputées non écrites les clauses des contrats inconciliables avec cette interdépendance.

Dans ces deux affaires était en jeu le sort de contrats conclus par un même client portant, l’un sur une prestation de services (dans le premier cas, de diffusion de publicités, dans le second de sauvegarde informatique) avec un opérateur, utilisant le matériel fourni, sur la base de l’autre, un contrat de location financière conclu avec un autre opérateur, les deux contrats ayant été conclus avec une clause de divisibilité. À la suite d’une défaillance, le contrat de prestation de services avait été résilié et le client avait cessé de payer les loyers de la location financière et en retour, avait subi une action en paiement. La Cour de cassation propose une solution commune : « les contrats concomitants ou successifs qui s’inscrivent dans une opération incluant une location financière, sont interdépendants ; que sont réputées non écrites les clauses des contrats inconciliables avec cette interdépendance ». Cette solution s’applique même si le financeur a pris soin de stipuler dans le contrat de location financière que l’inexécution ou la mauvaise exécution du contrat principal serait sans effet sur l’obligation du client à régler les loyers.

 

Concrètement, cela signifie que la Cour de cassation fait primer la globalité économique de l’opération sur les stipulations contractuelles. Toute clause prévoyant que les loyers sont dus même si le matériel n’est pas livré ou la prestation de service n’est pas réalisée est « réputée non écrite ». Nous sommes face à une fiction juridique qui permet au juge de considérer que cette clause n’existe pas. Il en résulte que les établissements de financement vont devoir trouver un moyen de pression contre leur cocontractant, prestataire de service ou fournisseur de matériel, pour pallier les éventuels refus du locataire de régler les loyers.

 

Afin d’exploiter un exemple intervenant dans un autre domaine et s’agissant de la résiliation d’un contrat de cession de droits d’auteur, la Cour de cassation a jugé que celle-ci n’entraîne pas l’anéantissement des sous-cessions conclues antérieurement. En effet, par un arrêt de sa première chambre civile le 29 mai 2013, la Cour de cassation (n°12-14041) affirme au visa des articles 1184 du Code civil,  L. 131-3 et L. 132-24 du code de la propriété intellectuelle qu’en réalité les sous-cessions sont résiliées sans effet rétroactif, ce qui signifie qu’elles ne sont donc pas « anéanties ». La Cour analyse ici la cession de droit d’auteur comme un contrat à exécution successive et retient, pour prononcer sa résiliation, la date de l’inexécution fautive. Dès lors, il était impossible de considérer que les sous-cessions étaient résiliées à cette même date  car le sous-cessionnaire ne pouvait alors se voir reprocher aucune faute. Seule la date de la décision de justice prononçant la résiliation de la cession initiale pouvait donc être prise en compte.

 

  1. Vers une réforme législative en la matière ?

 

Les arrêts de chambre mixte du 17 mai 2013 affectent-ils le « droit commun » de l’interdépendance contractuelle ?

On pourrait considérer que ces solutions n’affectent aucunement le régime des contrats liés hors de la location financière. Ainsi des contrats de vente, des contrats d’achat d’un bien et de souscription d’un prêt de financement, des contrats de franchise et de souscription de prêt de financement, etc. ne seraient pas concernés par la solution rendue. Il conviendrait ainsi de considérer que l’interdépendance ne s’impose donc pas, pas plus que ne s’impose la réputation non écrite d’une clause qui aurait pu être stipulée.

 

Dans le cas inverse qui consisterait à voir dans ces arrêts la préfiguration d’un droit commun qui reste à systématiser, la chambre mixte de la Cour de cassation ayant amorcé, à petits pas, une évolution générale.

 

Certains auteurs soulèvent que si le droit français des contrats était un jour recodifié, la figure du « contrat interdépendant » serait peut-être consacrée dans un article du Code civil ; c’est en tout cas ce que peut laisser penser l’article 13 du projet de réforme du droit des contrats établi par le ministère de la Justice en juillet 2008 (projet catala). Ainsi, le professeur Bénédicte FAUVARQUE-COSSON pose cette question : dans l’hypothèse d’une réforme du droit français des contrats, de tels textes seraient-ils encore nécessaires depuis que les arrêts de la chambre mixte de la Cour de cassation consacrent des solutions semblables ? Ces importants arrêts du 17 mai 2013, qui promeuvent une conception objective du phénomène, ne rendent-ils pas toute intervention législative inutile et peut-être même malvenue tant la question des ensembles contractuels est complexe et intimement liée aux circonstances de fait ?

 

Sources :

http://www.journaldunet.com/management/expert/56298/la-cour-de-cassation-confirme-l-interdependance-des-contrats-de-location-financiere.shtml

http://www.dalloz-actualite.fr

http://www.lextenso.fr – Revue des contrats, 01 juillet 2013 n° 3, P. 1079, Bénédicte FAUVARQUE-COSSON

http://lamyline.lamy.fr

 

Par • Société et droits •

QUEL CONSENTEMENT SUR INTERNET ?

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Le consentement de la personne concernée est défini comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement (Règl. UE 2016/679 du 27-4-2016, art. 4-11).

Il en résulte que la personne concernée ne doit pas se sentir forcée à consentir. Si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subit des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable.

La personne concernée a le droit de retirer son consentement à tout moment (Règl. UE 2016/679 du 27-4-2016, art. 7-3).

En outre, la locution « nécessaire à l’exécution d’un contrat » doit être interprétée de façon restrictive. Le traitement doit être nécessaire pour exécuter le contrat conclu avec chacune des personnes concernées. Dans le contexte du travail, ce principe peut par exemple autoriser le traitement des informations liées au salaire et au compte bancaire afin de pouvoir verser les salaires. Il doit exister un lien direct et objectif entre le traitement des données et l’objectif d’exécution du contrat ‘Groupe de travail « Article 29 » : Lignes directrices sur le consentement au sens du règlement 2016/679 du 10-4-2018).

Besoin de l’aide d’un avocat pour un problème de vie privée?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Par ailleurs, le principe du consentement de la personne concernée est entouré de diverses garanties (RGPD art. 7) :

–  le responsable du traitement doit être en mesure de démontrer que le consentement a été effectivement donné ;

–  si la déclaration écrite de consentement porte également sur d’autres questions que celle du consentement et si elle est consécutive à une demande préalablement adressée à la personne concernée, cette demande doit être présentée sous une forme compréhensible et aisément accessible ; elle doit aussi être formulée en des termes clairs et simples ;

–  la personne concernée a le droit de retirer son consentement à tout moment ; ce retrait ne remet pas pour autant en cause la licéité du traitement fondé sur le consentement initial ;

–  au moment de déterminer si le consentement est donné librement, il convient, éventuellement, de s’assurer que l’exécution d’un contrat n’est pas subordonnée à un consentement non nécessaire à cette exécution (pratique du « couplage »).

Tel n’a pas été le cas dans un arrêt de la CJUE du 12 novembre 2020 qui juge qu’un contrat de fourniture de services de télécommunication qui contient une clause selon laquelle le client a consenti à la collecte et la conservation de son titre d’identité ne peut démontrer qu’il a valablement donné son consentement lorsque la case y afférente a été cochée par le responsable de traitement avant la signature du contrat. Il en est de même lorsque le consommateur est induit en erreur quant à la possibilité de conclure le contrat en cas de refus du traitement de ses données, ou lorsque le libre choix de s’opposer à cette collecte et à cette conservation est affecté par l’exigence d’un formulaire supplémentaire exprimant ce refus.

La CEDH dans une décision du 9 mai 2023 (CEDH, 9 mai 2023 n°31172/19 « Association les témoins de Jéhovah c/ Finlande) (1)  avait à se prononcer sur l’obligation imposée aux témoins de Jéhovah par la commission de protection des données personnelles, de recueillir le consentement des personnes à la collecte de leurs données personnelles dans le cadre de leurs activités de prédication. La CEDH a considéré que cette obligation n’est pas une violation de la liberté de conscience et de religion. Bien qu’il s’agisse d’une ingérence dans les droits de la communauté religieuse, cette dernière poursuivait un but légitime et était nécessaire dans une société démocratique. (7)

I. La case se référant à cette clause a été cochée par le responsable du traitement des données avant la signature de ce contrat

Selon l’article 4 § 1 du RGPD, la donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »); est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

En outre, la lettre de l’article 4 § 2 dispose que le « traitement » est toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

Par ailleurs, le paragraphe 11 de l’article 4 du RGPD dispose que le « consentement » de la personne concernée est toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Le consentement de la personne concernée reste essentiel pour traitement de ses données à caractère personnel par le responsable du traitement ou par ses sous-traitants. Le manquement à cette obligation est une faute imputable au responsable du traitement pour violation du consentement préalable de la personne avant toutes sortes de collectes de ses données.

La Cour de Justice de l’Union européenne par cet arrêt a voulu démontrer ou mettre en lumière l’objet même ou le but poursuivi par le RGPD en l’occurrence le renforcement des droits des personnes physiques concernées par tout traitement de leurs données à caractère personnel.

De plus, le consentement doit être éclairé. Cette qualité fait écho à l’obligation de transparence qui découle des articles 5 et 12 du RGPD et, plus particulièrement à l’obligation d’information qui s’impose au responsable de traitement en vertu des articles 13 et 14 du RGPD.

La CNIL considère que le recours à des cases précochées ou préactivées ne permet pas d’obtenir un consentement univoque. Dans le même esprit, la CJUE a jugé que le placement de cookies requiert un consentement actif des internautes de sorte qu’une case cochée par défaut est insuffisante. De plus, le recueil du consentement de l’utilisateur s’applique quand bien même les données concernées seraient à caractère personnel ou non.

Le Conseil d’État confirme cette observation de la CNIL, à travers une décision du 19 juin 2020 (CE, 10e et 9e chambre réunies, 19 juin 2020 n°430810) (2). Celui-ci précise qu’un consentement exprimé par défaut, tel que par une case pré-cochée, ne reflète pas une action active de la part de l’utilisateur et ne peut donc être considéré comme émanant d’un choix clair et délibéré permettant légitimement le recueil du consentement. La cour ajoute que le consentement obtenu dans le cadre de l’acceptation générale des conditions d’utilisation d’un service ne revêt pas un caractère spécifique conforme au RGPD.

Quand le responsable décide de fonder son traitement sur le consentement de la personne concernée, il doit être en mesure de démontrer qu’il a obtenu ce consentement.

La CJUE a précisé que le responsable du traitement doit être en mesure de démontrer le consentement de la personne concernée à la collecte et à la conservation de ses données à caractère personnel. La seule présence d’une clause contractuelle, cochée à l’avance par les agents de vente, précisant que le client a consenti, ne permet pas de prouver l’existence d’un consentement valable (CJUE, 11 nov. 2020, aff. C-61/19, Orange Romania).

La CNIL dans une délibération rendue le 24 novembre 2022 n°SAN-2022-021 (3), avait à se prononcer sur un contrat conclu entre la société EDF et un courtier en données. Celle-ci précise que le responsable de traitement reste garant de l’obtention du consentement des personnes prospectées et ne peut se décharger de sa responsabilité en cas de manquement de son contractant, à moins qu’il n’ait mis en place des mesures de contrôle adéquates. (8)

2. Les stipulations contractuelles dudit contrat sont susceptibles d’induire la personne concernée en erreur quant à la possibilité de conclure le contrat en question même si elle refuse de consentir au traitement de ses données

Conformément aux lignes directrices dégagées par le CEPD (Lignes directrices CEPD n° 05/2020, 4 mai 2020), le consentement est libre quand il n’est pas contraint, ni influencé. La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus. En ce sens, l’article 7 du RGPD dispose qu’« au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat ».

Cela semble revenir à l’idée que le consentement ne peut être considéré comme valable quand il est donné dans le but de profiter d’un produit ou d’un service pour la fourniture duquel un traitement de données n’est pas nécessaire. Le CEPD donne l’exemple d’un fournisseur de site web qui bloque la visibilité du contenu, sauf si l’utilisateur clique sur le bouton « Accepter les cookies ». La personne concernée ne dispose pas d’un véritable choix, son consentement n’est donc pas donné librement.

La CNIL dans une délibération rendue le 15 juin 2023 (SAN-2023-009) (4) a sanctionné une société spécialisée dans la publicité en ligne pour ne pas avoir vérifié que les personnes dont elle traite les données par l’intermédiaire de cookies avaient donné leur consentement. À cette occasion, elle détaille les conditions requises pour prouver le consentement des individus lorsque des cookies tiers sont déposés sur un site web.

Le responsable peut tout d’abord mettre en œuvre un traitement nécessaire soit à l’exécution d’un contrat auquel la personne concernée est partie, soit à l’exécution de mesures précontractuelles prises à la demande de celle-ci. Comme le consentement, la base légale contractuelle se révèle être souvent utilisée en pratique.

Le responsable peut également faire reposer la licéité de son traitement sur le respect d’une obligation légale à laquelle il est soumis, la sauvegarde des intérêts vitaux de la personne concernée ou encore l’exécution d’une mission d’intérêt public ou la mise en œuvre d’un traitement relevant de l’exercice de l’autorité publique dont il est investi.

En dernier lieu, la loi du 6 janvier 1978 et le RGPD prévoient la possibilité de mettre en œuvre un traitement quand ce dernier est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant » (L. n° 78-17, 6 janv. 1978, art. 5, 6° RGPD, art. 6, § 1, f). C’est ainsi au responsable de déterminer à quel moment ses intérêts ou ceux d’un tiers doivent prévaloir sur ceux de la personne concernée.

La CEDH dans une décision du 8 septembre 2022 (CEDH, 5e sect., 8 sept. 2022, nos 3153/16 et 27758/18, Drelon c/ France) (5) devait se prononcer sur une collecte de données effectuée par un établissement français du sang. À cette occasion, elle a rappelé que le seul fait que le responsable de traitement puisse collecter les données personnelles au regard du but poursuivi est insuffisant à rendre ce traitement illicite. Il faut en plus que les données collectées soient exactes, mises à jour, pertinentes et non excessives au regard des finalités du traitement des données. (10)

Dans tous les cas la personne concernée doit être informée de la collecte de ses données conformément au RGPD et son consentement devra être recueilli sans ambiguïté sauf exception édictée par ledit RGPD.

 3. Le libre choix de s’opposer à cette collecte et à cette conservation est affecté indûment par ce responsable, en exigeant que la personne concernée, afin de refuser de donner son consentement, remplisse un formulaire supplémentaire faisant état de ce refus

La personne concernée est libre de consentir à la collecte de ses données à caractère personnel. Certes, le RGPD prévoit encore la possibilité pour les personnes concernées de « s’opposer à tout moment » au traitement de leurs données (art. 21 (1)). Elles ne peuvent toutefois plus le faire selon les mêmes modalités.

Aux termes du règlement européen, l’exercice du droit d’opposition n’a en effet vocation à s’appliquer qu’à l’encontre des traitements nécessaires à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, ou en raison des intérêts légitimes du responsable du traitement » (RGPD, consid. no 69 et art. 21 (1), par renvoi à, art. 6 (1) e) ou f)).

Dans de telles circonstances, les seules possibilités de mettre fin au traitement seront donc soit de recourir au droit à l’effacement (RGPD, art. 17), soit de retirer son consentement (RGPD, art. 7 (3)) avec l’avantage de ne pas devoir justifier de « motif légitime » (voir en ce sens, Maisnier-Boché L., art. préc.).

Ce qui implique dans les deux hypothèses que de telles actions soient nécessairement exercées après que le traitement ait été mis en œuvre et non avant (RGPD, art. 99 (2)). Sans compter qu’aucune disposition ne semble par ailleurs pouvoir être invoquée pour faire valoir le droit d’opposition en cas de traitement de données personnelles nécessaire à l’exécution d’un contrat ou de mesures précontractuelles (RGPD, art. 6 (1) b) ; voir également en ce sens, Maisnier-Boché L., art. préc.) ou celui – mais l’exception est plus admissible compte tenu des risques encourus – nécessaire à la sauvegarde des intérêts vitaux (RGPD, art. 6 (1) d)).

Le Conseil d’État, dans une décision rendue le 20 décembre 2023 (CE, 20 décembre 2023 n°430810) (6), devait se prononcer sur le droit à l’effacement d’un politicien souhaitant obtenir le déréférencement d’un article de presse le concernant. Celui-ci, par une mise en balance du droit à la protection des données à caractère personnel et le droit à la liberté d’information du public, sur des questions d’intérêt public, a rejeté cette demande de déréférencement.(11)

À cette limite, importante donc, le règlement européen apporte au moins deux précisions utiles. La première est que le droit d’opposition vaut bien en cas de profilage et qu’il continue de s’appliquer en matière de prospection (RGPD, art. 21 (2)), à des fins commerciales comme non-commerciales notamment associatives ou politiques.

La deuxième concerne les conséquences de l’exercice du droit d’opposition. Aussi évidentes soient-elles, il n’en demeurait pas moins pertinent de rappeler que « lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins » (RGPD, art. 21 (3)). Ce qui, comme du reste actuellement, ne devrait toutefois pas avoir pour conséquence d’interdire la mise en place de listes d’opposition, justement dans la mesure où elles poursuivent une finalité propre, à savoir garantir l’exercice effectif de ce droit.

Selon l’article 6 § 1.b du RGPD, le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci.

Toutefois, lorsque le responsable du traitement coche au préalable la case de consentement de la collecte des données personnelles des clients, ce dernier ne met pas en évidence le caractère libre du client pour consentir ou non à la collecte de ses données personnelles. Autrement dit, il affecte même le caractère licite de la collecte des données personnelles des personnes concernées au regard de l’article 6 du RGPD.

Le Conseil d’État dans un arrêt du 19 juin 2020 (CE, 19 juin 2020, n°430810) a condamné la société Google sur ce fondement. Ce dernier souligne que le consentement donné au moyen d’une case pré-cochée ne résulte pas d’une action active de la part de l’utilisateur et ne peut donc être considéré comme provenant d’une décision claire et volontaire. (9)

SOURCES :

1)  CEDH, 9 mai 2023 n°31172/19 « Association les témoins de Jéhovah c/Finlande :https://hudoc.echr.coe.int/fre#{%22itemid%22:[%22002-14070%22]}

(2) CE, 10e et 9e chambre réunies, 19 juin 2020 n°430810 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000042040546
(3) CNIL, délibération SAN-2022-021 du 24 novembre 2022 : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046650733

(4) CNIL, Délibération SAN-2023-009 du 15 juin 2023

(5) CEDH, 5e sect., 8 sept. 2022, nos 3153/16 et 27758/18, Drelon c/ France https://hudoc.echr.coe.int/fre#%7B%22itemid%22:%5B%22001-219069%22%5D%7D

(6) CE, 19 juin 2020, n°430810 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000042040546

(7) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-famille-et-des-personnes/DFP201o3?em=consentement%20collecte%20des%20donn%C3%A9espar%20

(8) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-distribution-et-de-la-concurrence/DDC201h3?em=responsable%20de%20traitement%20consentement

(9) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/gazette-du-palais/GPL383j7?em=consentement%20%C3%A9clair%C3%A9%20donn%C3%A9es

(10) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-famille-et-des-personnes/DFP201a6?em=collecte%20de%20donn%C3%A9es%20

(11) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/gazette-du-palais/GPL459j2?em=droit%20%C3%A0%20l%27effacement

Par • internet-et-droit • • Tags: , , , ,

COMMENT SE DÉFENDRE CONTRE L’ESPIONNAGE INDUSTRIEL ?

Le secret industriel et commercial est une branche du secret des affaires.

Afin d’être performantes et compétitives les entreprises acquièrent un savoir-faire et dans le même temps des connaissances particulières.

Fruit de leur expérience, de leur investissement et de leurs recherches, ces connaissances font souvent l’objet de convoitises, c’est ainsi que s’est développé l’espionnage industriel.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Sur le plan économique, l’espionnage peut se définir comme étant soit l’acquisition et/ou l’interception illicite de secrets d’affaires ou de savoir-faire d’une entreprise rivale. Soit, même si cela est moins couramment répandu, la déstabilisation d’un concurrent par la divulgation publique de son avantage commercial et/ou industriel.

Ces risques se sont démultipliés avec l’arrivée du numérique. Bien qu’offrant de multiples avantages, les entreprises sont plus facilement exposées et plus vulnérables lorsqu’elles manquent de moyens.

Il apparaît alors nécessaire de mettre en place des mesures de protection afin que le savoir-faire, les connaissances spécifiques de l’entreprise restent tenus secrets et que la concurrence entre les entreprises joue librement.

En France, se défendre contre l’espionnage industriel n’est pas chose facile. En effet, plusieurs rapports indiquent que la défense contre l’espionnage industriel est mal faite ou sinon mal assurée. Cette lacune dans le cadre de la défense contre l’espionnage industriel est encore plus grave lorsque l’on compare la France à son voisin d’outre-Atlantique.

Il est facilement possible de remarquer que se défendre contre l’espionnage industriel est plus efficace et plus simple aux États-Unis. Cette nette différence est difficile à expliquer tant l’espionnage industriel est présent en France autant qu’aux États-Unis. Il ne faut oublier que la France est aussi dotée d’entreprises performantes, au même titre que les États-Unis. Conscients de ces lacunes, la doctrine, la jurisprudence ainsi que le législateur ont œuvré pour une meilleure défense contre l’espionnage industriel.

Il est possible de citer à titre d’exemple l’enquête menée par Investiga France, agence d’enquête créée en 1991 et agréée par l’Etat. Une jeune stagiaire chinoise avait été incarcérée en 2005 pour espionnage industriel chez l’équipementier français Valéo pour  » abus de confiance « , et  » intrusion dans un système automatisé de données  » après avoir téléchargé et transmis à un concurrent un volume important de données confidentielles durant son stage.

 

 

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Également, en 2007, un ingénieur travaillant au sein de l’entreprise Michelin était condamné pour avoir mis en vente des données confidentielles. De telles informations méritent alors protection en ce qu’elles sont susceptibles de permettre au concurrent d’appréhender la stratégie industrielle et commerciale de sa rivale, mais aussi de connaître ses éventuelles faiblesses structurelles.

En 2019, la société Orapi a été condamnée pour espionnage industriel au paiement d’une amende de 80 000 euros. D’autres amendes ont également été prononcées à l’encontre du président-directeur général, du directeur du site de Lisieux ainsi qu’à l’encontre de la responsable marketing. Il était reproché à cette société d’avoir accédé à une base de données sécurisée appartenant à un groupement d’intérêt économique (GIE) dont faisait partie son concurrent et d’avoir téléchargé des fiches techniques et de fiches de sécurité de produits vendus, et ce, grâce à l’appropriation des identifiants appartenant à une ancienne employée. (1)

En effet, l’objectif recherché était la déstabilisation de l’entreprise visée, afin de tirer un profit économique ou industriel de cette situation. L’espionnage industriel est caractérisé par la récupération d’informations stratégiques (du point de vue commercial) de concurrents par des moyens illégaux, allant du piratage au chantage, en passant par la surveillance ou encore la violence.

Dans une autre perspective, il en va même de la sécurité de l’emploi, puisque la compétitivité érodée d’une entreprise, victime d’usurpation ou fuite, risque de se traduire par des licenciements.

En dehors des modes de réservation des créations immatérielles, les données, constitutives du savoir-faire d’une entreprise, ne peuvent faire l’objet d’un droit privatif ; le secret étant alors leur seul moyen de sauvegarde.

Alors que venait d’éclater l’affaire d’espionnage industriel supposé chez Renault, le député UMP du Tarn Bernard Carayon avait déposé, le 12 janvier 2011, la proposition de loi n°1754 sur le secret des affaires, visant à créer un délit d’atteinte aux informations économiques protégées.

Plusieurs tentatives ont été faites depuis 2004 pour instaurer un délit de violation du secret des affaires. Si Carayon, soutenu par quelques 124 députés co-signataires, avait déjà déposé une proposition de loi en 2009, et tenté d’introduire un amendement sur l’intelligence économique dans le projet de loi Loppsi sur la sécurité, la nécessité de renforcer la protection des entreprises contre l‘espionnage industriel ne cesse de se faire sentir.

Il s’agit alors d’instaurer des peines suffisamment sévères pour être dissuasives, à l’image de celles que prévoit le Cohen Act américain, de manière à combler les lacunes du droit français, qui, faute de sanctions précises et sévères, décourage les entreprises à porter les affaires d’espionnage industriel devant les tribunaux. Par ailleurs, les entreprises victimes sont souvent préoccupées par leur réputation et des conséquences d’images qui pourraient découler de ses poursuites. Elles renoncent d’autant plus à agir que la jurisprudence semble peu favorable aux entreprises victimes dans ces affaires (cf Michelin).

La loi loi n° 2018-670 du 30 juillet 2018, dont l’ensemble des dispositions avaient été validées par le Conseil Constitutionnel le 26 juillet 2018 a été adoptée. Cette loi vise à l’instauration d’un cadre commun qui va permettre de lutter et de prévoir des réparations quant aux atteintes au secret des affaires.

La question qui se pose est de savoir si, ces derniers se trouvent correctement protégés par une mise en œuvre du droit commun de la responsabilité délictuelle et contractuelle. Si le droit commun de la responsabilité délictuelle et contractuelle, utilisé par la jurisprudence, offre un cadre adéquat à la protection des secrets de l’entreprise, l’efficacité de la répression de la violation du secret pourrait être améliorée.

I/ La protection contre l’espionnage industriel dans le droit positif

A/ L’inefficacité des articles épars appréhendant l’espionnage industriel

La directive (UE) 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites est intervenue afin d’harmoniser les législations nationales des États membres portant sur la protection des secrets d’affaires dans le cadre de la lutte contre leur divulgation, leur obtention et leur utilisation illicites. A cet égard, l’article 19 de cette directive imposait aux États membres de s’y conformer en adoptant les dispositions législatives, réglementaires et administratives nécessaires, et ce, au plus tard le 9 juin 2018.

Dans ce sens, la loi n° 2018-670 du 30 juillet 2018 transposant la directive européenne n° 2016/943 du 8 juin 2016 a été adoptée. En outre, le décret n° 2018-1126 du 11 décembre 2018 précise les mesures d’application judiciaire de la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires. Désormais, la protection du secret des affaires est consacrée dans le Code de commerce. (2)

L’article L. 151-1 du code de commerce introduit une définition sur la base de trois critères cumulatifs. Ainsi, est protégée l’information non généralement aisément accessible ou connue pour les personnes familières de ce type d’informations en raison de leur secteur d’activité, l’information qui revêt une valeur commerciale effective ou potentielle et qui, enfin, fait l’objet de mesures de protection raisonnables visant à en conserver le caractère secret. (3)

Premièrement, dans l’hypothèse où le secret d’affaires divulgué repose sur un mode de protection institué par la propriété intellectuelle, à l’instar d’une marque, de dessins et modèles, d’un brevet, ou d’un droit d’auteur, la loi prévoit expressément les cas spécifiques de protection et de recours pour contrefaçon des droits du titulaire (articles L 111-1, L 112-2, L 335-2 et suivants du Code de la propriété intellectuelle).

Celle-ci permet d’ailleurs de réagir de manière immédiate et efficace en faisant procéder à des mesures conservatoires, selon la procédure de saisie-contrefaçon, avec intervention d’huissiers de justice et de personnes assermentées. Une astreinte financière pourra de même être sollicitée, outre la confiscation. Toutefois, la sanction reste généralement financière, sous forme de dommages et intérêts qui sont parfois peu dissuasifs.

Cela dit, les contrats de travail peuvent contenir des clauses de confidentialité et des clauses de non-concurrence. Ces clauses permettent de sanctionner le salarié qui se livrerait à des activités d’espionnage. On peut également insérer une clause de confidentialité dans les contrats conclus avec des partenaires extérieurs, assortie d’une sanction financière. Toutefois, en l’état actuel du droit, on peut penser que la plupart des affaires se rapportant à l’espionnage industriel seraient tranchées devant le tribunal des Prud’hommes comme une violation du contrat de travail ce qui apparaît être une réponse assez peu efficace au problème.

En dehors de ces hypothèses de titres de propriété intellectuelle et clauses de contrat de travail, il est possible pour l’entreprise victime de s’appuyer sur des qualifications pénales classiques, telles que le vol du matériel supportant le savoir-faire (article 311-1 et suivants du Code pénal), voire l’abus de confiance dans le cadre de relations contractuelles (article 314-1 et suivants du Code pénal).

Des dispositions répressives pouvant permettre aux entreprises de lutter contre la fuite de leurs informations protégées existent également. Tel est le cas de l’article 226-13 du Code pénal qui réprime, d’une peine d’un an d’emprisonnement et de 15 000 euros d’amende, la violation du secret professionnel, par une personne qui en est « dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire ».

En outre, une seconde disposition répressive pourrait contribuer à la lutte contre la fuite d’informations protégées, en ce qu’elle vise la corruption (article 445-1 et 2 du Code pénal), constituée si la communication des informations avait pour but de faciliter l’activité des concurrents. L’incrimination de la violation du secret de fabrique figure, quant à elle, aux articles L. 621-1 du Code de la propriété intellectuelle et L. 1227-1 du Code du travail, qui la sanctionnent par une peine de deux ans d’emprisonnement et 30 000 euros d’amende.

Seul ce délit de divulgation du secret de fabrication peut encore sembler inclure spécifiquement la violation d’un secret industriel. Il ressort donc de cette énumération qu’il n’existe aucun texte pénal qui sanctionne précisément l’appropriation de biens informationnels par espionnage industriel.

B/ L’insuffisance de la jurisprudence réprimant l’espionnage industriel

Le détenteur d’un secret, à la différence du titulaire d’un droit de propriété intellectuelle,  ne dispose pas de l’action en contrefaçon, mais seulement d’une action en responsabilité fondée sur la preuve de la faute de l’usurpateur, au sens des articles 1382 ancien et suivants , devenu article 1240 du Code civil. Il convient de rappeler que tout professionnel a le droit d’attirer la clientèle de ses concurrents. Le préjudice concurrentiel est donc en principe licite. Toutefois, il devient fautif dès lors qu’il a été causé par des moyens déloyaux. Ainsi la jurisprudence affirme que l’action en concurrence déloyale a précisément pour objet d’assurer la protection de celui qui ne peut se prévaloir d’un droit privatif (arrêt de la Chambre commerciale du 3 octobre 1978).

Celui qui appréhende une information confidentielle sans l’accord du détenteur du secret, peut donc voir sa responsabilité engagée sur le fondement de la protection contre la concurrence déloyale. La faute du défendeur consiste alors dans l’accès et le détournement des connaissances contre la volonté de leur détenteur, caractérisant l’espionnage industriel, aussi appelé captation du savoir-faire d’autrui (arrêt de la Cour d’appel de Paris du 9 avril 1992).

À titre d’exemple, est répréhensible de débaucher un employé en lui proposant un salaire très élevé dans le but de connaître les secrets d’un concurrent (arrêt de la Chambre sociale du 7 juillet 1960). De même, fait figure d’acte d’espionnage industriel répréhensible, le fait, pour un commerçant, de se procurer, par l’intermédiaire d’un préposé transportant les produits d’une maison concurrente, la liste des clients de cette dernière (arrêt du TGI de Lure, du 13 avril 1962).

De surcroît, doit être réparé le préjudice moral et économique résultant de la faute d’un concurrent qui a créé cet état en faisant croire à son entourage que l’entreprise assurait mal la protection de certaines de ses données secrètes (arrêt de la Cour d’appel de Versailles du 11 septembre1997).

Le cas d’usurpation répréhensible le plus évident reste celui de personnes extérieures à l’entreprise, pratiquant des actes d’espionnage industriel ou commercial (arrêt de la Cour de Paris, du 9 avril 1992).

Il apparaît cependant important de noter qu’aujourd’hui, avec le numérique il est devenu plus complexe de trouver l’auteur de tels méfaits.

Finalement, la Cour de cassation est prête à appliquer des textes généraux pour sanctionner de tels faits d’appréhension, avec les dispositions relatives à l’abus de confiance sur le détournement de « projet » (arrêt de la Chambre criminelle du 22 septembre 2004), voire même au vol d’informations (arrêt de la Chambre criminelle du 21 janvier 2003).

La jurisprudence relative à la concurrence déloyale permet donc de maintenir le droit pour chaque entreprise de s’informer des initiatives et des innovations de ses concurrents, tout en assurant une certaine prohibition de l’espionnage. Une telle protection s’avère cependant insuffisante, et c’est d’autant plus le cas que les réparations accordées ne se font jamais en nature.

Généralement, la sanction de la violation des secrets de l’entreprise prend seulement une forme indemnitaire, puisqu’une fois dévoilée, l’information confidentielle semble perdre tout intérêt. Cette remarque doit être nuancée. Certes, des informations secrètes peuvent perdre tout intérêt une fois révélées, comme c’est le cas lorsqu’un cadre porte à la connaissance du public les difficultés financières traversées par une entreprise (arrêt de la Chambre sociale du 30 juin 1982).

Ceci étant, l’usurpation d’une donnée secrète ne suppose pas nécessairement sa divulgation, laquelle peut, de toute façon, ne pas faire perdre tout intérêt à cette information.

À titre d’exemple, constitue une information essentielle la liste des composants électroniques disponibles dans le commerce qui, selon les tests menés par une entreprise, sont les seuls à pouvoir résister à certaines contraintes mécaniques. Si la simple lecture de la liste par un concurrent fait perdre à l’entreprise son avantage concurrentiel, l’intérêt de cette information ne se trouve pas épuisé pour autant.

Il convient de noter qu’à chaque expérience menée par le concurrent ayant eu accès à la liste, celui-ci va mettre en œuvre cette connaissance, et c’est donc l’utilisation de la donnée usurpée qui cause à l’entreprise victime le dommage, justifiant de fait une réparation en nature. Elle suppose le prononcé d’une interdiction faite au concurrent ayant usurpé l’information de l’utiliser et de la divulguer ; en plus de la condamnation à l’octroi de dommages-intérêts, pour usurpation de l’information secrète.

Pour le moment, cette solution opportune demeure peu pratiquée en France, puisqu’on ne trouve que très peu d’arrêts prononçant sous astreinte la prohibition de l’utilisation des informations usurpées, afin de réparer le préjudice en nature.

Il convient de citer , parmi ces rares arrêts, celui rendu par la Chambre sociale le 12 mars 1996, où il est défendu à l’usurpateur, sous peine d’astreinte, de procéder à des audits ou d’accomplir des actes de formation pour les anciens clients de la société victime et d’utiliser du matériel et des documents provenant de cette société ; ou encore celui de la Chambre commerciale du 12 déc. 1995, où il est fait interdiction à la société usurpatrice de fabriquer et diffuser le produit.

En revanche, la réparation en nature est très présente dans certains pays étrangers, et en particulier aux États-Unis où les juges n’hésitent pas à interdire la divulgation et l’utilisation de secrets commerciaux, tels des fichiers clients, des méthodes logistiques, des formules chimiques ou même une liste de donneurs de sang. La voie indemnitaire est ainsi loin d’être la seule concevable pour dédommager l’entreprise.

De surcroit, non seulement l’allocation de dommages-intérêts ne permet pas toujours une réparation adéquate, mais surtout l’éventuelle expertise menée pour chiffrer le préjudice peut entraîner un nouveau risque de divulgation.

À l’heure où l’espionnage industriel prend une envergure sans précédent, la sécurité de l’entreprise dans un marché concurrentiel passe par une protection efficace de ses secrets, ce qui suppose, en plus d’un cadre juridique accueillant (comme soulevé dans le I-A), l’assurance d’une sanction efficace de nature à dissuader toute violation des secrets de l’entreprise.

II/ La nécessité d’une défense plus effective contre l’espionnage industriel

A/ L’affaire Michelin, témoin des limites de la protection

Le 21 juin 2010, le Tribunal correctionnel de Clermont-Ferrand par jugement a condamné un ancien salarié de la société Michelin qui avait tenté de vendre des informations obtenues au cours de son contrat de travail à la société Bridgestone, fabricant concurrent de pneumatiques.

Alors qu’il venait de démissionner, l’ex-ingénieur Michelin avait proposé à Bridgestone, en juillet 2007, des données confidentielles en échange de 100 000 livres. Elles portaient notamment sur une nouvelle génération de pneus poids lourds. Bridgestone avait alors prévenu Michelin, conduisant à l’arrestation de « l’espion ».

Plusieurs chefs de poursuite sont retenus et permettent de dresser un panorama des fondements juridiques de protection de l’information et du secret des affaires. Pourtant, compte tenu de la manière dont la société Michelin avait piégé son salarié, ce dernier, invoquant les dispositions de la Convention européenne des droits de l’Homme, a soutenu que le procès était inéquitable en raison de la déloyauté dans la collecte de la preuve.

Michelin était informé par Bridgestone des intentions de son salarié, a créé une adresse e-mail se terminant par « fukuda », pseudonyme qui aurait permis de piéger le salarié.

D’abord, il est reproché au salarié le délit précité d’abus de confiance, dont dispose l’article 314-1 du Code pénal, qui condamne à une peine de cinq ans d’emprisonnement et 375 000 euros d’amende, toute personne ayant détourné au préjudice d’autrui, des fonds, des valeurs ou biens quelconques qui lui ont été remis et qu’elle avait acceptés à charge de les rendre.

Ainsi, le tribunal confirme ainsi la jurisprudence selon laquelle lorsqu’une information remise dans un but déterminé est utilisée à d’autres fins, il y a abus de confiance, et ce peu importe que le bien en cause soit immatériel (arrêt rendu par la Chambre criminelle le 14 novembre 2000 s’agissant d’un numéro de carte bancaire mémorisé pour être réutilisé).

La jurisprudence qui applique, aux affaires d’espionnage industriel, les dispositions précitées réprimant la révélation des secrets de fabrique, notamment l’article L. 1227-1 du Code de travail, prévoyant une peine d’emprisonnement de 2 ans et 30 000 euros d’amende, pour tout directeur ou salarié d’une entreprise qui révélerait ou de tenterait de révéler un secret de fabrication est de même confimée.

Il faut regretter l’étroitesse de la rédaction qui ne couvrirait pas des tiers à l’entreprise comme les stagiaires. De plus, la difficulté juridique tient à la définition du secret de fabrication.

Finalement, le tribunal n’a pas admis l’existence d’un secret de fabrique et sa protection corollaire et a motivé sa position de la manière suivante : « Procédé de fabrication offrant un intérêt pratique ou commercial, tenu secret qu’aucune précision n’a été apportée par la Manufacture Michelin concernant l’éventuel dépôt de brevet pour ce procédé qui était déjà en phase de développement ». Il est exigé comme condition de la protection du secret de fabrique un dépôt de brevet éventuel, alors que ce lien avec la brevetabilité d’un produit peut paraître étonnant en ce qu’il ajoute une condition au texte, ainsi partiellement vidé de sa substance.

Le texte sur le secret de fabrique n’a pas vocation à protéger uniquement l’avant-brevet, mais également des savoir-faire ou techniques qui ne peuvent être brevetés, à la condition qu’ils soient originaux…

Finalement, l’atteinte aux droits fondamentaux de la nation du fait de la « livraison à une entreprise étrangère de renseignements dont l’exploitation et la divulgation sont de nature à porter atteinte aux intérêts fondamentaux de la nation », réprimée par l’article 411-6 du Code pénal, d’une peine de 15 ans de détention criminelle et de 225 000 euros d’amende a pu être évoquée dans l’affaire.

Ce délit consiste à recueillir en vue de livrer à une puissance, entreprise ou organisation étrangère, voire à leurs agents, des procédés ou données informatisées, dont l’exploitation ou la réunion est de nature à porter atteinte aux intérêts fondamentaux de la nation.

Le problème réside dans la difficulté de la réunion des conditions d’application de l’article, d’autant plus que cette disposition ne peut s’appliquer pour sanctionner l’espionnage industriel que dans la seule hypothèse où l’État est mis en danger.

Alors même que cette récente affaire Michelin témoigne de l’existence de divers moyens de protection contre l’espionnage industriel, qu’applique la jurisprudence française, elle fait également apparaître les limites à la protection française constituée autour de dispositions éparses, se révélant, qui plus est, peu efficace au moment de leur mise en œuvre.

B/ La loi relative à la protection des informations économiques comme remède ?

La directive (UE) 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites est intervenue afin d’harmoniser les législations nationales des États membres portant sur la protection des secrets d’affaires dans le cadre de la lutte contre leur divulgation, leur obtention et leur utilisation illicites. A cet égard, l’article 19 de cette directive imposait aux États membres de s’y conformer en adoptant les dispositions législatives, réglementaires et administratives nécessaires, et ce, au plus tard le 9 juin 2018.

Cette directive intervient sur de nombreux points. Pour commencer, elle définit le secret d’affaires comme des informations non divulguées qui sont secrètes, ont une valeur commerciale et font l’objet de mesures raisonnables de protection pour en assurer la confidentialité.

Les détenteurs de secrets d’affaires sont tenus de prendre des mesures raisonnables pour protéger leur confidentialité, par exemple, en utilisant des accords de confidentialité, des restrictions d’accès, des mesures de sécurité, etc.

Par ailleurs elle interdit l’obtention illicite de secrets d’affaires, y compris le vol, l’espionnage, la corruption ou toute autre pratique déloyale. Elle interdit également leur utilisation et leur divulgation illicites. Des exceptions sont prévues afin de protéger l’intérêt public, notamment en permettant la divulgation des secrets d’affaires dans le cadre de dénonciations d’activités illégales, de la protection des intérêts légitimes des travailleurs ou de l’exercice de la liberté d’expression et d’information.

Enfin la directive établit des mécanismes pour obtenir des mesures provisoires et des réparations en cas de violation des secrets d’affaires, y compris des injonctions pour empêcher l’utilisation ou la divulgation illicite, ainsi que des réparations pour les dommages subis.

En France, la loi n° 2018-670 du 30 juillet 2018 a permis de procéder à la transposition de la directive européenne. En outre, le décret n° 2018-1126 du 11 décembre 2018 précise les mesures d’application judiciaire de la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires. Désormais, la protection du secret des affaires est consacrée dans le Code de commerce. (2) Les secrets d’affaires peuvent inclure des informations telles que des formules, des procédés de fabrication, des techniques, des méthodes commerciales, des bases de données, des plans, des études, etc.

Ayant reçu la validation du Conseil constitutionnel, la loi complète le Code de commerce en apportant des précisions quant à l’objet et aux modalités de protection. Par ailleurs elle définit le régime des actions préventives, correctives et compensatoires en cas de violation du secret des affaires et établit des mesures générales de protection applicables devant les juridictions civiles ou commerciales.

L’article L. 151-1 du code de commerce introduit une définition sur la base de trois critères cumulatifs. L’information protégée doit ainsi ne pas être connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité, elle doit revêtir une valeur commerciale effective ou potentielle qui résulte de son caractère secret, et doit faire l’objet de mesures de protection raisonnables pour demeurer secrète, compte tenu des circonstances. (3)

Le dispositif mis en place au travers de cette loi est plus efficace, dotant la justice de moyens répressifs plus importants.

Cette loi prévoit en son article 1er de punir « l’atteinte au secret d’une information à caractère économique protégée » par une peine de trois ans d’emprisonnement et 375 000 euros d’amende ; le double si le responsable de la fuite a agi dans « l’intention de nuire » à l’entreprise ou en a tiré un « profit personnel ».

Une définition plus précise quant à l’objet de la révélation incriminée est expressément fournie. En effet, sont expressément qualifiées d’informations à caractère économique protégées, les informations ne constituant pas des connaissances générales librement accessibles par le public, ayant, directement ou indirectement, une valeur économique pour l’entreprise, et pour la protection desquelles leur détenteur légitime a mis en œuvre des mesures substantielles conformes aux lois et usages, en vue de les tenir secrètes.

Cette loi avait été directement inspirée de l’Economic Espionnage Act américain de 1996 (également appelé Cohen Act), selon lequel « Toute personne qui a accès ou s’approprie sans autorisation des informations représentant une valeur économique, qui ne sont pas dans le domaine public et pour lesquelles une entreprise a pris des mesures de protection substantielles est passible de sanctions pénales et civiles ».

La loi Loppsi 2 , s’ajoutant à ce dispositif, peut faire figure de moyen supplémentaire de lutte contre l’espionnage industriel.

Par ailleurs, il convient de souligner les apports du RGPD et la NIS 2 dans ces domaines. Les nouvelles exigences de sécurité qu’ont imposé ces réglementations entendent protéger les données des entreprises et des personnes physiques afin de garantir leur compétitivité mais également la confidentialité de ces dernières.

Elles s’attèlent à réglementer l’ensemble de la chaîne qui entretient un lien direct ou indirect avec l’entreprise et peut potentiellement provoquer des failles de sécurité.

Protéger la myriade de sous-traitants est une mission très complexe. 

Sur le plan pratique, il est institué un « confidentiel entreprise », comme il existe un « confidentiel défense ». Certains documents scientifiques, techniques, commerciaux ou financiers seraient frappés de cette mention, leur divulgation constituant une infraction pénale. Les données protégées sont celles dont la divulgation porterait une atteinte grave aux positions stratégiques, au potentiel ou aux intérêts de l’entreprise, méritant donc au même titre que les brevets industriels de voir leur confidentialité protégée.

Pour lire une version plus complète de cet article sur l’espionnage industriel, cliquez ici

Sources :

Par • Société et droits • • Tags: , , ,

«< 2 3 4 5 6 >»

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2024
Powered by WordPress • Themify WordPress Themes