Entreprises

Entreprises
Secret des affaires – Protection – Principe constitutionnel de légalité des délits et des peines – Pouvoirs du chef d’entreprise – Principe de participation des travailleurs à la gestion de l’entreprise – Information du comité d’entreprise  Section des finances ‐ Avis n° 384.892 ‐ 22 mars 2011 Le Conseil d’État (section des finances), saisi par la ministre de l'économie, des finances et de l'industrie, dans le cadre d’une réflexion sur l’instauration d’un « régime de protection des informations sensibles des entreprises relevant du secret des affaires », des questions suivantes : « 1° L’interdiction de divulgation à des tiers de documents identifiés au sein d’une entreprise, pour des motifs tirés de la protection du secret des affaires, est‐elle compatible avec les principes à valeur constitutionnelle, notamment le principe de libre communication ? « 2° Est‐il possible de laisser au chef d’entreprise le pouvoir de déterminer librement les documents ne pouvant être communiqués qu’à des personnes désignées par lui ? « 3° Un dispositif dans lequel serait pénalement sanctionnée la divulgation de documents dont le caractère confidentiel résulterait d’une décision du chef d’entreprise est‐il compatible avec le principe de légalité des délits et des peines ? « 4° Si la définition des informations à caractère économique protégées, des éléments constitutifs de leur violation, ainsi que la détermination du quantum de la peine et le principe selon lequel ces informations devront avoir préalablement fait l’objet de mesures de protection relèvent en tout état de cause de la loi, serait‐il également nécessaire de faire figurer dans la loi d’autres éléments du régime envisagé, tels la définition des mesures de protection et les modalités de détermination des personnes considérées comme détenteurs légitimes d’une information ? » Vu la Constitution, notamment son Préambule ; Vu le code de commerce ; Vu le code pénal ; Vu le code de la propriété intellectuelle ; Vu le code du travail ; Est d’avis, sous réserve de l’appréciation des juridictions compétentes, de répondre dans le sens des observations qui suivent : La nécessité de préserver le « secret des affaires » dans des procédures susceptibles de le mettre en cause est reconnue par de nombreuses dispositions, notamment par l'article L. 430‐10 du code de commerce pour la procédure d’autorisation des concentrations économiques, par l'article L. 621‐24 du code monétaire et financier pour la procédure devant l’Autorité de contrôle prudentiel et par l'article L. 5‐6 du code des postes et télécommunications pour la procédure devant l’ARCEP. Les jurisprudences de la Cour de justice de l’Union européenne (24 juin 1986, AKZO Chemie BV et KZO Chemie UK contre Commission des Communautés européennes (aff. 53/85), du Conseil constitutionnel (décision n° 84‐181 DC du 11 octobre 1984, du Conseil d’État et de la Cour de cassation ont précisé les conditions dans lesquelles le respect du secret des affaires devait être concilié avec l’objectif de transparence des procédures. Cependant, l’atteinte au secret des affaires n’est pas, en tant que telle, sanctionnable pénalement. De nombreuses dispositions du code pénal répriment des délits résultant de comportements portant atteinte au secret des affaires. Il en est ainsi, notamment, des délits d’atteinte au secret professionnel (article 226‐13), d’atteinte au secret des correspondances (article 226‐15 du code pénal), de vol (article 311‐1), dont la jurisprudence de la Cour de cassation admet qu’il soit constitué par le fait de s’approprier, à l’insu de son propriétaire, un document, quel qu’en soit le support, pour la seule durée nécessaire à en prendre connaissance et à le copier, de l’escroquerie (article 313‐1), constitué par le fait d’obtenir des informations par des manœuvres frauduleuses, de l’abus de confiance (article 314‐1), caractérisé par le détournement d’un bien pour d’autres usages que ceux pour lesquels il a été confié, d’intrusion dans les systèmes informatisés de données (article 323‐1) ou d’entrave au fonctionnement des systèmes informatiques (article 323‐2). Le code pénal sanctionne aussi le fait de livrer à une puissance, une organisation ou une entreprise étrangère ou sous contrôle étranger des informations dont la divulgation ou la réunion est de nature à porter atteinte aux intérêts fondamentaux de la nation (article 411‐6) ainsi que les atteintes au secret de la défense nationale (articles 413‐9 et suivants). La loi du 26 juillet 1968 relative à la communication de documents ou de renseignements d’ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères sanctionne une telle communication si elle est de nature à porter atteinte à la souveraineté, à la sécurité, aux intérêts économiques ou à l’ordre public. Enfin, des dispositions du code de la propriété intellectuelle permettent de sanctionner la violation des droits des propriétaires de dessins et modèles (L. 521‐1), des titulaires de brevets (L. 615‐1 et suivants) ainsi que la révélation des secrets de fabrique par des directeurs ou salariés (article L. 621‐1 de ce code, reproduisant l'article L. 1227‐1 du code du travail). Cependant, dans quelques cas, par exemple en cas d’appréhension d’informations sans détention, même brève de son support, ou de détournement d’informations par des personnes sans lien contractuel avec l’entreprise, l’incrimination pénale peut être délicate sur le fondement des dispositions qui viennent d’être mentionnées. Le Gouvernement fait aussi valoir que des législations étrangères, notamment l’Economic Espinage Act américain (1996) réprime précisément et efficacement l’atteinte au secret des affaires. Aussi, afin d’assurer une protection complète de celles des informations relatives à l’activité des entreprises dont la divulgation est susceptible de compromettre leur sécurité ou leur compétitivité, le Gouvernement envisage‐t‐il d’introduire dans le code pénal de nouvelles dispositions permettant de sanctionner, de manière générale, la révélation non autorisée de telles informations, pour lesquelles serait défini un dispositif spécifique de protection, moyennant une classification des informations à protéger, mis en œuvre par le chef d’entreprise. Le dispositif de protection consisterait, selon des modalités, déterminées par arrêté du ministre de l'économie, des finances et de l'industrie, inspirées des règles relatives à la protection du secret de la défense nationale, en une classification préalable, dénommée « confidentiel entreprise », de certaines informations, assurée par le chef d’entreprise. Celui‐ci désignerait les personnes autorisées à avoir connaissance de ces informations protégées. La divulgation de ces informations à des personnes non habilitées à en connaître serait sanctionnée pénalement. Il convient au préalable de relever que cette voie de la définition d’une infraction nouvelle à large spectre n’est pas la seule envisageable pour améliorer le dispositif existant. Une solution alternative consisterait à compléter certaines des dispositions existantes pour combler les lacunes qui ont été relevées. 1 ) Sur la compatibilité avec les principes et règles à valeur constitutionnelle d’une interdiction de divulgation d’informations relatives à une entreprise : Aucun principe n’impose la libre communication des informations détenues par les entreprises. Au contraire, les informations relatives à la vie de l’entreprise, relevant du secret des affaires, sont un élément du droit au respect de la vie privée. Pour assurer la protection de ce droit, le chef d’entreprise peut, au titre de son pouvoir de direction de l’entreprise, décider que certaines informations ne seront communiquées qu’à certains personnels de l’entreprise et que leur diffusion à l’extérieur de l’entreprise sera interdite ou limitée. Le droit de libre communication et la liberté d’expression, garantis notamment par les dispositions de l'article 11 de la Déclaration des droits de l'homme et du citoyen, ne s’opposent pas à ce que le législateur, compétent aux termes de l'article 34 de la Constitution pour fixer « les règles concernant les droits civiques et les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques » édicte des règles de nature à concilier l’exercice de cette liberté avec l’objectif de protection de la vie privée et, notamment, du secret des affaires. La protection de la confidentialité de ces informations doit se concilier avec le principe constitutionnel de participation des travailleurs à la gestion des entreprises, posé au 8e alinéa du préambule de la Constitution, en tant que, notamment, il prévoit les conditions de l’information du comité d’entreprise. Les dispositions assurant la protection du secret des affaires ne peuvent davantage faire obstacle à l’information des personnes détenant des droits de propriété sur l’entreprise. Enfin, l’organisation de cette protection doit assurer le respect des obligations communautaires relatives à la communication des documents comptables et financiers. 2) Sur la possibilité pour le chef d’entreprise de décider de classifier des informations pour réserver leur communication à des personnes désignées par lui : Le chef d’entreprise peut librement définir les conditions d’accès des personnels de l’entreprise aux informations détenues par l’entreprise, sous les réserves mentionnées au 1. S’agissant de personnes extérieures à l’entreprise, il est également loisible au chef d’entreprise de déterminer les conditions dans lesquelles les informations peuvent être diffusées, sous réserve des droits de communication des juridictions et des administrations et des obligations contractuelles de l’entreprise. Ces conditions d’accès peuvent notamment être organisées par un dispositif comportant une signalisation spécifique des informations protégées, au titre d’une classification de confidentialité propre à l’entreprise ainsi qu’une liste limitative des personnes habilitées à connaître de ces informations. La méconnaissance de ces règles internes à l’entreprise, sous les réserves déjà mentionnées, peut faire l’objet de sanctions dans les limites du pouvoir disciplinaire du chef d’entreprise. 3) Sur la possibilité de sanctionner pénalement les manquements à des règles de protection d’informations classifiées déterminées par le chef d’entreprise : En vertu de l'article 8 de la Déclaration des droits de l'homme et du citoyen et de l'article 34 de la Constitution du 4 octobre 1958, le législateur doit fixer les règles concernant la détermination des infractions et, par suite, en définir les éléments constitutifs en des termes clairs et précis. Le principe constitutionnel de légalité des délits et des peines fait obstacle à ce que le champ d’application de la loi pénale dépende de décisions administratives ou privées (cf. notamment la décision du Conseil constitutionnel n° 98‐399 DC du 5 mai 1998). Le projet de loi du Gouvernement ne pourrait satisfaire à ces exigences constitutionnelles que sous réserve du respect des conditions suivantes : a) Les informations protégées, dont la divulgation ferait l’objet d’une sanction pénale, ne pourraient être déterminées par le seul chef d’entreprise : La classification par le chef d’entreprise d’une information comme relevant d’un « confidentiel entreprise » ne pourrait suffire à définir une information protégée dont la divulgation serait passible de sanctions pénales. La délimitation du champ d’application de la loi pénale serait alors, en effet, définie par une personne privée et non par la loi. La définition d’un régime réglementaire du « confidentiel défense » ne serait pas de nature à permettre au chef d’entreprise de définir librement les informations protégées dont la divulgation serait sanctionnée pénalement. Les informations susceptibles d’être protégées et les conséquences de cette protection doivent être définies précisément par la loi. Le chef d’entreprise identifierait ensuite certaines informations comme relevant de la protection légale ainsi établie, en appliquant ces critères. Le juge pénal saisi apprécierait si la classification est justifiée au regard de ces critères. b) Les caractéristiques des informations susceptibles d’être protégées devront être clairement définies par la loi : ‐ il paraît préférable de ne pas qualifier d’économiques ou de financières les informations protégées, compte tenu de l’imprécision de ces qualificatifs et de l’objectif de protéger des secrets d’entreprise de toute nature ; ‐ la protection s’attacherait à des informations, quelle que soit leur support, sans qu’il y ait lieu de donner une liste de ceux‐ci, qui risquerait de ne pas être exhaustive ; ‐ il ne semble pas utile de caractériser le secret protégé comme relevant du secret des affaires, notion qui ne paraît pas répondre, par elle‐même, à l’exigence de clarté et de précision mentionnée ; ‐ les informations à protéger devraient être définies par leur niveau, comme, par exemple celles dont la divulgation à des personnes non autorisées serait de nature à compromettre la sécurité de l’entreprise ou sa compétitivité, compte tenu de leur importance particulière, commerciale, financière, scientifique ou technique pour l’entreprise ; ‐ les informations devraient avoir préalablement fait l’objet d’une mesure de protection connue des personnes susceptibles d’accéder à ces informations ; c) Le caractère restreint de l’accès à l’information protégée ou de sa diffusion devra être porté clairement à la connaissance des personnes susceptibles d’en avoir connaissance, par tous moyens : Cette information peut résulter, selon les supports de l’information, d’une protection physique des documents dans des espaces à accès réservé, de mentions de limitation sur le document lui‐même, telle la mention « confidentiel entreprise » envisagée, de codes d’accès informatique ou de cryptage. La conséquence des mentions de restriction devrait être clairement portée à la connaissance des personnes à qui elle serait susceptible de s’appliquer. d) Le caractère répréhensible de la divulgation devra être précisé. Il conviendrait en particulier d’indiquer, d’une part, si l’infraction est constituée par le seul fait de prendre connaissance d’informations protégées en l’absence d’habilitation à en connaître ou par la seule action de communiquer ces informations à des personnes non autorisées, d’autre part, de distinguer selon que la détention et la communication irrégulière sont le fait de personnels de l’entreprise ou de personnes qui lui sont extérieures, enfin, d’indiquer que l’infraction ne peut être constituée que pour autant que l’information n’était pas librement accessible à la personne considérée et qu’elle était informée de ces restrictions. Compte tenu du caractère général de l’interdiction envisagée, il paraît juridiquement difficile de prévoir de sanctionner la détention irrégulière de l’information. Seule devrait être sanctionnée la communication par une personne d’une information à laquelle elle aurait eu accès et dont elle saurait qu’elle a un caractère confidentiel à une autre personne dont elle saurait qu’elle n’y a pas normalement accès. Un régime réglementaire comportant l’autorisation donnée par le chef d’entreprise d’accéder à des informations classifiées « confidentiel entreprise », qui ne serait praticable dans la vie de l’entreprise que s’il s’appliquait à des informations en nombre très limité, permettrait de se limiter dans l’entreprise à une information générale sur ce régime, dès lors que cette mention serait apposée, sous des formes adaptées, sur les informations protégées quel que soit leur support. 4) Sur le contenu des dispositions législatives mettant en place ce nouveau régime de protection : Comme il a été dit, le principe constitutionnel de légalité des délits et des peines impose de définir précisément les informations protégées, les éléments constitutifs de la violation de cette protection (notamment d du 3), le quantum de la peine, lequel doit respecter les principes constitutionnels de nécessité et de proportionnalité des peines ainsi que les principes selon lesquels devrait être assurée la définition préalable des mesures de protection. Dès lors que la loi aurait posé le principe que les personnes susceptibles d’avoir connaissance des informations protégées devront avoir été préalablement informées de l’existence et des conséquences de cette protection, les modalités de protection adaptées à chacun des supports d’information ne relèvent pas de la loi pénale. Prévoir dans la loi une interdiction d’accès et de diffusion à certaines informations pour les personnes non autorisées implique de déterminer au même niveau les principes du régime d’autorisation, et notamment les conditions dans lesquelles certaines catégories de personnes pourraient bénéficier d’une dispense d’autorisation, pour toutes les informations classifiées ou pour certaines catégories d’entre elles, à raison de leurs fonctions dans l’entreprise, compte tenu de règles légales ou de considérations relatives à la gestion de l’entreprise.