Secret des affaires et protection contre la divulgation : ce que les dirigeants doivent savoir
Le secret des affaires désigne, au sens des dispositions du Code de commerce issues de la transposition de la directive européenne relative à la protection des savoir-faire et des informations commerciales non divulgués, toute information qui remplit trois conditions cumulatives : elle n'est pas généralement connue, elle a une valeur commerciale du fait de son caractère secret, et son détenteur a pris des mesures raisonnables pour la garder secrète. Ce cadre s'applique à toute entreprise, quelle que soit sa taille, dès lors qu'elle détient des actifs informationnels stratégiques.
La divulgation non autorisée de ces informations expose l'entreprise à une perte de compétitivité difficile à quantifier et, pour son dirigeant, à une mise en cause personnelle. Comprendre le régime applicable n'est pas une précaution théorique : c'est une condition de la protection effective.
Ce dossier analyse le cadre juridique, les risques opérationnels et les leviers disponibles pour la direction et la DSI, en s'appuyant sur la pratique du cabinet en protection des actifs immatériels.
Pourquoi le secret des affaires constitue-t-il un actif stratégique à protéger ?
Le secret des affaires n'est pas un concept abstrait : il recouvre les formules de fabrication, les listes de clients, les stratégies commerciales, les algorithmes propriétaires, les données financières sensibles et tout savoir-faire différenciant. Ces informations constituent la substance de la valeur économique de nombreuses entreprises, souvent plus que leurs actifs tangibles.
Dans notre pratique de la protection des actifs immatériels, nous observons que la majorité des entreprises ne disposent d'aucun inventaire formalisé de leurs informations confidentielles. Cette lacune est une faille structurelle : sans identification préalable, il est impossible d'articuler une protection juridique efficace, ni de démontrer l'existence d'une violation devant une juridiction.
L'enjeu économique est d'abord interne. La divulgation d'un processus de fabrication à un concurrent, la fuite d'une base de données clients vers un ancien salarié ou le partage non maîtrisé d'une stratégie d'acquisition peut compromettre une opération de croissance externe, une levée de fonds ou une relation commerciale nouée sur des années. La valeur détruite est rarement récupérable.
L'enjeu est aussi externe, en particulier lors des opérations de diligence raisonnable (due diligence) menées dans le cadre de fusions-acquisitions. La transmission d'informations confidentielles à un acquéreur potentiel qui n'est pas encore lié contractuellement par des obligations de confidentialité suffisantes est l'un des vecteurs de divulgation les plus fréquents que nous rencontrons. La structuration de la chambre de données et la gradation des informations divulguées selon l'avancement des négociations sont des mesures indispensables.
Enfin, la dimension numérique a démultiplié les surfaces d'exposition. Les outils collaboratifs, les accès à distance, les plateformes d'intelligence artificielle générative utilisées par les équipes et les transferts de données vers des serveurs étrangers constituent autant de points de vigilance que la direction et la DSI doivent cartographier.
Quel est le cadre juridique applicable en France et quelle est sa portée réelle ?
Le régime français du secret des affaires est issu de la transposition, dans le Code de commerce, de la directive européenne sur la protection des savoir-faire et des informations commerciales non divulgués. Ce cadre est d'application directe pour toutes les entreprises établies en France et s'articule avec d'autres branches du droit.
Les dispositions du Code de commerce relatives au secret des affaires définissent trois éléments constitutifs qui doivent être cumulativement réunis pour que la protection s'applique. L'information doit être secrète (non connue du cercle de personnes qui traitent habituellement ce type d'information), dotée d'une valeur commerciale conférée par ce secret, et faire l'objet de mesures raisonnables de protection par son détenteur légitime.
Ce troisième critère – les mesures raisonnables – est celui sur lequel les juridictions françaises concentrent leur examen. Une entreprise qui ne peut pas justifier de l'existence de procédures internes de confidentialité, de clauses contractuelles adaptées ou de restrictions d'accès techniques se verra opposer l'absence de protection. La Cour de cassation et les cours d'appel ont développé une jurisprudence constante sur ce point : la protection ne se présume pas, elle se démontre.
Le Code de commerce organise plusieurs catégories d'actes constitutifs d'une atteinte au secret : l'obtention illicite (par accès non autorisé, vol, copie), l'utilisation ou la divulgation sans consentement du détenteur légitime. Les auteurs peuvent être des tiers, mais aussi des salariés, des sous-traitants ou des partenaires commerciaux. L'obligation de confidentialité ne cesse pas à la fin du contrat de travail ou de la relation commerciale : sa durée dépend de la nature de l'information et des stipulations contractuelles.
Le droit du secret des affaires s'articule également avec le Code de la propriété intellectuelle (pour les droits sui generis sur les bases de données), le Règlement général sur la protection des données (RGPD) lorsque des données à caractère personnel sont concernées, et le Code du travail pour les obligations de loyauté et de discrétion pesant sur les salariés. Ces articulations génèrent une complexité que la direction juridique et la DSI doivent anticiper conjointement.
Analyse de votre exposition au risque de divulgation
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique des juridictions compétentes. Pour examiner l'application du cadre du secret des affaires à votre situation, contactez-nous à contact@vernaylestang.com.
Quels sont les risques opérationnels les plus souvent sous-estimés par la direction ?
Les atteintes au secret des affaires ne procèdent pas toujours d'actes malveillants. Dans notre pratique, nous accompagnons régulièrement des entreprises qui ont subi une divulgation involontaire lors d'une négociation commerciale, d'un partenariat de recherche et développement ou d'un appel d'offres. Ces situations méritent une attention particulière car elles sont les plus difficiles à anticiper et les plus coûteuses à gérer a posteriori.
Le premier risque est le risque contractuel. Les accords de confidentialité – désignés couramment par leur acronyme NDA (non-disclosure agreement) – sont souvent signés tardivement, rédigés de façon trop générale, ou ne couvrent pas les informations effectivement communiquées. Un accord de confidentialité mal rédigé peut même avoir l'effet inverse de celui recherché : en définissant trop étroitement le périmètre des informations protégées, il exclut de fait les données les plus sensibles.
Le deuxième risque est le risque salarial. Le départ d'un salarié-clé vers un concurrent est l'un des vecteurs les plus fréquents d'atteinte au secret. Les clauses de confidentialité et de non-concurrence insérées dans les contrats de travail doivent être proportionnées et suffisamment précises pour être exécutoires. Une clause de non-concurrence sans contrepartie financière est nulle au regard des dispositions du Code du travail. La validité des clauses restrictives conditionne directement l'efficacité de la protection post-départ.
Le troisième risque est le risque numérique. L'utilisation d'outils d'intelligence artificielle générative par les équipes internes présente un risque de divulgation systématique : les requêtes adressées à ces outils peuvent contenir des informations confidentielles qui sont susceptibles d'être intégrées dans des modèles d'apprentissage accessibles à des tiers. Ce risque est encore peu formalisé dans les politiques de sécurité de l'information des entreprises, et nous observons un retard significatif des chartes informatiques sur ce point.
Le quatrième risque concerne les opérations transfrontalières. Le transfert de données confidentielles vers des entités situées hors de l'Union européenne doit être encadré non seulement au regard des règles du RGPD, mais également au regard des législations locales susceptibles de contraindre la divulgation de ces informations à des autorités étrangères. L'articulation entre le secret des affaires et les obligations de coopération avec des autorités de pays tiers est un enjeu croissant pour les groupes internationaux.
Illustration de pratique – A
Lors d'une opération récente (Bordeaux, printemps 2025), nous avons accompagné une entreprise de technologies agro-alimentaires dans la structuration de ses accords de confidentialité préalablement à l'ouverture d'une chambre de données pour un processus de cession. L'audit préalable a permis d'identifier plusieurs catégories d'informations non couvertes par les accords en vigueur et d'y remédier avant toute transmission à des candidats acquéreurs.
Comment structurer une politique de protection efficace du secret des affaires ?
Une politique de protection efficace repose sur quatre piliers complémentaires : l'identification et la classification des informations, la mise en place de mesures contractuelles, la sécurisation technique et organisationnelle, et la préparation des réponses aux incidents.
L'identification est le préalable absolu. Elle suppose un inventaire des informations stratégiques, organisé par niveau de sensibilité. Cette classification permet d'adapter le niveau de protection à la valeur de chaque catégorie d'information et de démontrer, le cas échéant devant une juridiction, que des mesures raisonnables ont été prises. Cet inventaire doit être mis à jour périodiquement et associé à la cartographie des traitements de données au sens du RGPD.
Les mesures contractuelles comprennent les accords de confidentialité avec les partenaires extérieurs, les clauses insérées dans les contrats de travail, les lettres de mission des prestataires et les conditions générales d'accès aux systèmes d'information. Chaque accord doit définir précisément le périmètre des informations couvertes, la durée de l'obligation et les modalités de retour ou de destruction des informations à l'issue de la relation.
Les mesures techniques et organisationnelles – qui relèvent de la compétence directe de la DSI – incluent le contrôle des accès (authentification, gestion des habilitations), le chiffrement des données au repos et en transit, la journalisation des accès aux informations sensibles et les politiques de segmentation des réseaux. Ces mesures constituent à la fois une protection effective et la preuve documentaire des « mesures raisonnables » requises par les dispositions du Code de commerce.
La préparation des réponses aux incidents implique l'existence d'une procédure interne déclenchable immédiatement en cas de soupçon de divulgation. Cette procédure doit désigner les responsables internes, prévoir la conservation des preuves numériques, et définir les conditions dans lesquelles le cabinet conseil sera saisi pour une action rapide (mesures conservatoires, saisie-contrefaçon, référé).
Pour un lien utile sur la complémentarité entre la protection du secret et la défense des marques, voir notre dossier sur la défense contre la contrefaçon de marque et la protection des signes distinctifs.
Quels leviers juridiques activer en cas d'atteinte avérée ou suspectée ?
Face à une atteinte avérée ou suspectée, les dispositions du Code de commerce offrent au détenteur légitime du secret un arsenal de mesures préventives et réparatrices, dont l'efficacité dépend étroitement de la rapidité de la réaction et de la qualité de la documentation préalable.
Les mesures conservatoires constituent le premier levier. Le juge des référés peut ordonner, sur requête ou en référé, des mesures provisoires destinées à faire cesser l'atteinte : interdiction d'utiliser ou de divulguer l'information, saisie et mise sous séquestre de documents ou de matériels, injonction faite à un tiers de cesser la diffusion. Ces mesures peuvent être obtenues avant tout débat au fond, sous réserve de démontrer le caractère plausible de l'atteinte et l'urgence de la situation.
La saisie-contrefaçon, mécanisme traditionnel du droit de la propriété intellectuelle, a été étendue par les textes issus de la transposition de la directive au domaine du secret des affaires. Elle permet à un huissier de justice, mandaté par ordonnance du président du tribunal judiciaire, de procéder à des opérations de constatation et de saisie chez le défendeur présumé. C'est une mesure particulièrement utile lorsque la preuve de la violation réside dans des fichiers informatiques ou des échanges de courriels.
Au fond, l'action en atteinte au secret des affaires permet d'obtenir la réparation du préjudice subi, la cessation définitive de l'utilisation ou de la divulgation, et la publication de la décision. La juridiction compétente est le tribunal judiciaire ou, selon les cas, le tribunal de commerce. Les sanctions peuvent également être pénales, notamment lorsque la divulgation est constitutive d'une violation du secret professionnel ou d'une atteinte au système de traitement automatisé de données.
Pour une analyse approfondie du régime de responsabilité et des conditions de l'action, nous renvoyons à notre dossier consacré à l'analyse juridique et à la portée du régime du secret des affaires.
Un second regard sur une situation préoccupante
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Pour examiner les options disponibles dans votre dossier, adressez-nous un message à contact@vernaylestang.com.
Quelles tendances récentes la direction et la DSI doivent-elles surveiller ?
Le cadre du secret des affaires est en cours de consolidation jurisprudentielle et se trouve confronté à des défis nouveaux qui redessinent le périmètre de la protection. Plusieurs tendances méritent l'attention des directions d'entreprise.
La première tendance est l'intensification des contrôles réglementaires en matière de données. L'articulation entre le régime du secret des affaires et les obligations découlant du RGPD soulève des questions pratiques non encore totalement résolues : dans quelle mesure une entreprise peut-elle opposer le secret des affaires à une demande d'accès d'un salarié ou d'une autorité de contrôle ? Les autorités de protection des données, dont la CNIL, ont développé une doctrine qui reconnaît la légitimité du secret des affaires comme intérêt concurrent, mais dans des limites qu'il convient de maîtriser. Nous accompagnons régulièrement des entreprises dans l'arbitrage de ces tensions, en particulier lors d'audits ou d'inspections.
La deuxième tendance est l'émergence du risque lié à l'intelligence artificielle. Les outils d'IA générative intégrés dans les processus de travail constituent un vecteur de divulgation involontaire que les politiques de sécurité des entreprises peinent à encadrer. La Commission européenne et plusieurs autorités nationales ont engagé des réflexions sur l'articulation entre le secret des affaires et les obligations de transparence imposées par les textes sur l'intelligence artificielle. Ce chantier réglementaire est à suivre attentivement.
La troisième tendance est le durcissement des litiges transfrontaliers. Les groupes internationaux font face à des demandes de divulgation émanant d'autorités étrangères – notamment dans le cadre de procédures d'investigation menées aux États-Unis ou en Asie – qui peuvent entrer en conflit avec les obligations de protection du secret applicables en France et dans l'Union européenne. La stratégie à adopter dans ces situations requiert une analyse au cas par cas, en coordination avec des conseils locaux dans la juridiction concernée.
La quatrième tendance concerne la protection du secret dans les relations de sous-traitance et de partenariat technologique. La généralisation des architectures en nuage, des API ouvertes et des accès tiers aux systèmes d'information a élargi le cercle des personnes ayant accès aux informations sensibles. Les contrats de service, les conditions générales d'utilisation des plateformes et les politiques de sécurité doivent être mis en cohérence avec les exigences de protection du secret.
Pour suivre les évolutions du cadre réglementaire applicable aux entreprises, nous renvoyons également à notre note d'actualité sur l'évolution du cadre de conformité pour les entreprises.
Illustration de pratique – B
Au cours d'une mission conduite pour un groupe industriel du secteur de la défense civile (région Ile-de-France, hiver 2025-2026), nous avons révisé l'ensemble des accords-cadres de sous-traitance pour y intégrer des clauses de protection du secret des affaires cohérentes avec la politique de sécurité des systèmes d'information du groupe, en anticipant les exigences posées par les textes européens sur la résilience des entités critiques.
Idée reçue : « un accord de confidentialité suffit à protéger le secret des affaires »
L'accord de confidentialité est une condition nécessaire mais très insuffisante. C'est la combinaison des mesures contractuelles, techniques et organisationnelles qui confère à l'entreprise le statut de « détenteur légitime ayant pris des mesures raisonnables » au sens des dispositions du Code de commerce.
Nous observons régulièrement que des entreprises se croient protégées parce qu'elles ont signé un NDA, alors que l'inventaire de leurs informations confidentielles n'existe pas, que les accès aux systèmes d'information ne sont pas restreints, et que les contrats de travail ne comportent aucune clause de confidentialité opérationnelle. Dans une telle situation, la protection légale est théorique : une juridiction pourra constater l'absence de mesures raisonnables et refuser d'appliquer le régime protecteur.
L'idée reçue symétrique est tout aussi préjudiciable : certains dirigeants estiment que le régime du secret des affaires est inaccessible aux PME, réservé aux grandes entreprises dotées de départements juridiques étoffés. C'est inexact. Le régime est accessible à toute entreprise, et les mesures raisonnables sont appréciées proportionnellement à la taille et aux moyens de l'entreprise. Une PME peut parfaitement satisfaire aux exigences légales en mettant en place des mesures simples, cohérentes et documentées.
Matrice de décision et check-list pour la direction
Les situations rencontrées en pratique se regroupent en plusieurs configurations, auxquelles correspondent des priorités d'action différentes.
Situation A – L'entreprise n'a aucune politique formalisée de protection du secret : priorité à l'inventaire des informations sensibles, à la rédaction de clauses de confidentialité adaptées et à la mise en place de mesures techniques d'accès restreint. Niveau de risque immédiat : élevé si l'entreprise est engagée dans une négociation ou un partenariat en cours.
Situation B – L'entreprise dispose d'accords de confidentialité mais n'a pas de politique de sécurité des systèmes d'information cohérente : priorité à l'audit des mesures techniques, à la révision des habilitations d'accès et à la mise en cohérence des documents contractuels. Niveau de risque : modéré à élevé selon la nature des partenariats en cours.
Situation C – L'entreprise a subi ou suspecte une atteinte : priorité à la préservation des preuves numériques, à la saisine immédiate d'un conseil pour envisager des mesures conservatoires, et à l'identification du périmètre de la divulgation. Niveau de risque procédural : conditionné à la rapidité de la réaction.
Situation D – L'entreprise prépare une opération de cession ou de levée de fonds : priorité à la structuration de la chambre de données, à la gradation des informations divulguées selon l'avancement des négociations, et à la vérification des clauses de confidentialité dans les lettres d'intention et les protocoles d'accord.
Check-list « ce qu'il faut préparer »
- Inventaire formalisé des informations confidentielles, classées par niveau de sensibilité et par département.
- Revue des accords de confidentialité en vigueur (partenaires, prestataires, candidats à l'embauche, cédants/acquéreurs potentiels) pour vérifier la cohérence du périmètre couvert.
- Audit des clauses de confidentialité et de non-concurrence dans les contrats de travail des salariés détenant des informations sensibles.
- Cartographie des mesures techniques de restriction d'accès et de journalisation, en lien avec la DSI.
- Procédure interne de réponse aux incidents, désignant les responsables et les actions à déclencher en cas de soupçon de divulgation.
Domaines liés
- Défense contre la contrefaçon de marque – protection des signes distinctifs et action en contrefaçon devant les juridictions françaises
- Analyse juridique et portée du régime du secret des affaires – examen approfondi des conditions et de la mise en œuvre du régime légal
Questions fréquentes sur le secret des affaires et la protection contre la divulgation
1. Quels leviers d'action existent en cas d'atteinte au secret des affaires ?
Les dispositions du Code de commerce offrent au détenteur légitime plusieurs leviers cumulables : mesures provisoires en référé (interdiction d'utiliser ou de divulguer, saisie-contrefaçon), action au fond en réparation du préjudice et cessation définitive de l'atteinte, et, selon les circonstances, poursuites pénales pour vol de données ou atteinte à un système de traitement automatisé. L'efficacité de ces leviers est directement conditionnée à l'existence préalable de mesures raisonnables de protection et à la rapidité de la saisine d'un conseil dès l'apparition du soupçon.
2. Secret des affaires et protection contre la divulgation : quelles évolutions récentes connaître ?
Plusieurs évolutions récentes affectent le régime du secret des affaires : la consolidation de la jurisprudence française sur la notion de « mesures raisonnables », l'articulation croissante avec les obligations du RGPD et les droits des personnes concernées, l'émergence du risque lié à l'usage d'outils d'intelligence artificielle générative dans les entreprises, et le renforcement des demandes de divulgation dans le cadre de litiges transfrontaliers. La direction et la DSI doivent surveiller ces évolutions pour adapter en continu leur politique de protection.
3. Quelles entreprises sont concernées par le régime du secret des affaires ?
Toutes les entreprises établies en France sont concernées dès lors qu'elles détiennent des informations répondant aux trois critères cumulatifs du Code de commerce : caractère secret, valeur commerciale conférée par ce secret, mesures raisonnables de protection. La taille de l'entreprise n'est pas un critère d'exclusion : PME, ETI et grandes entreprises peuvent toutes bénéficier de la protection légale, à condition de justifier des mesures adaptées à leur situation.
4. Comment le secret des affaires s'articule-t-il avec le RGPD ?
Le secret des affaires et le RGPD sont deux régimes distincts dont les logiques peuvent entrer en tension. Le RGPD confère aux personnes concernées un droit d'accès aux données les concernant ; le Code de commerce permet à l'entreprise de s'opposer à certaines divulgations pour protéger ses informations confidentielles. La CNIL reconnaît le secret des affaires comme intérêt légitime susceptible de limiter l'étendue de la communication, mais cette limitation doit être justifiée et proportionnée. L'articulation doit être anticipée dans les politiques de confidentialité et les procédures de réponse aux demandes d'exercice des droits.
5. Quelle est la durée de protection accordée par le régime du secret des affaires ?
Le régime du secret des affaires ne prévoit pas de durée fixe : la protection s'applique tant que les trois conditions légales sont remplies, c'est-à-dire tant que l'information reste secrète, conserve sa valeur commerciale et fait l'objet de mesures raisonnables de protection. Contrairement aux droits de propriété intellectuelle classiques (brevet, droit d'auteur), il n'y a pas d'enregistrement ni d'échéance ; mais la protection cesse dès que l'information entre dans le domaine public ou que les mesures de protection sont abandonnées.
Vernay & Lestang – Propriété intellectuelle, numérique et données
Vernay & Lestang accompagne les dirigeants et les DSI dans la structuration et la défense de leurs actifs immatériels : qualification du périmètre de protection, rédaction et révision des accords de confidentialité, mise en conformité des politiques de sécurité de l'information, et conduite des procédures judiciaires en cas d'atteinte. Notre approche est documentée, méthodique et orientée vers la préservation de la valeur économique de l'entreprise. Les honoraires sont définis après analyse du dossier. Pour un premier avis sur votre situation, écrivez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de numérique, de données personnelles et de conformité. Voir son profil
Publié le 30 avril 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.