Quelles mesures raisonnables pour protéger un secret des affaires ?

Lorsqu’une affaire de secret des affaires (trade secret) est perdue, elle l’est généralement sur le terrain des mesures raisonnables (reasonable measures). Le défendeur ne conteste pas que l’information avait de la valeur ; il démontre que la société la traitait comme n’importe quelle autre : pas de NDA, des dossiers réseau ouverts, aucun marquage, aucune procédure de départ. La loi n’exige pas une sécurité parfaite. Elle exige des mesures raisonnables au regard des circonstances, ce que les tribunaux interprètent comme des mesures proportionnées à la valeur de l’information ainsi qu’à la taille et aux ressources de l’entreprise. Une startup de dix personnes n’est pas soumise à la norme d’un sous-traitant de la défense, mais elle est soumise à celle d’une startup de dix personnes qui a pris la question au sérieux. Voici la checklist des mesures raisonnables pour protéger un secret des affaires que notre équipe de protection du secret des affaires utilise pour bâtir ou auditer un programme.

Commencer par l’identification

Vous ne pouvez pas protéger ce que vous n’avez pas nommé. La première mesure est un inventaire : une liste écrite des catégories d’informations que la société traite comme des secrets des affaires, de l’endroit où chacune se trouve, des personnes qui y ont accès et des raisons pour lesquelles elle a de la valeur. Il n’a pas besoin de décrire les secrets eux-mêmes. Il doit montrer que la société a délibérément décidé de ce qui était confidentiel, au lieu d’affirmer après coup que tout l’était. Les tribunaux se méfient d’un demandeur qui n’identifie le secret des affaires qu’une fois le contentieux engagé, et certains exigent qu’il l’identifie de manière précise avant le début de la phase de communication des preuves (discovery). Notre article sur ce qui constitue un secret des affaires explique le critère auquel chaque élément de l’inventaire doit satisfaire.

Des contrats avec toutes les personnes qui ont accès

Des obligations de confidentialité doivent lier chaque personne et chaque entité qui a accès à l’information :

• Les salariés signent un accord sur les informations confidentielles lors de l’embauche, avant que l’accès ne leur soit accordé, avec une définition qui couvre les catégories de l’inventaire.
• Les prestataires et les consultants signent un accord de même portée, assorti de la cession de tout ce qu’ils développent.
• Les fournisseurs, fabricants et partenaires signent un NDA avant toute communication sensible, comportant des restrictions d’utilisation en plus de l’obligation de non-divulgation.
• Les acquéreurs et investisseurs potentiels signent un NDA avant la due diligence, même s’ils en ont refusé un au stade de la présentation.
• Les clients qui reçoivent une documentation technique acceptent des clauses de confidentialité dans la licence ou le contrat-cadre.

Ces accords doivent être bien rédigés et appliqués de manière cohérente. Un NDA qui exige le marquage des documents confidentiels, alors que rien n’est jamais marqué, peut affaiblir la revendication au lieu de la soutenir. Ces pièges sont abordés dans notre article sur la question de savoir si un NDA suffit à protéger un secret des affaires.

Des contrôles d’accès alignés sur l’inventaire

Limitez l’accès au strict besoin d’en connaître, et soyez en mesure de le prouver : autorisations par fonction sur les systèmes de fichiers, les dépôts de code et les bases de données ; authentification multifacteur ; journalisation de qui a consulté quoi et quand ; stockage séparé pour les éléments les plus sensibles. La sécurité physique compte aussi : pièces ou armoires fermées à clé pour les formules et les prototypes, registre des visiteurs et badges. Un tribunal est convaincu par un système qui aurait révélé une fuite, pas par une politique qui affirme qu’un tel système devrait exister.

Les disques partagés sont le problème récurrent. Si chaque salarié peut ouvrir le dossier qui contient le modèle de tarification, ce modèle n’est pas protégé. Hiérarchiser l’information pour que seules les personnes qui ont besoin du niveau sensible puissent y accéder est la mesure la plus efficace et la moins coûteuse de cette liste.

Le marquage et l’étiquetage

Marquez les documents, écrans et exports de données confidentiels avec la mention « confidentiel » ou « propriétaire ». Le marquage n’est pas une obligation légale, mais il produit deux effets : il signale au destinataire que le contenu est réservé, ce qui neutralise un argument ultérieur selon lequel il l’ignorait, et il démontre au tribunal que la société gérait activement ses secrets. Gardez un marquage proportionné. Si tout est marqué confidentiel, y compris le menu de la cantine, la mention ne signifie plus rien.

Politiques, formation et attestation

Adoptez une politique écrite sur les informations confidentielles et faites-la attester par les salariés. Formez-les à son contenu lors de l’intégration puis périodiquement, et conservez les feuilles de présence. La politique doit couvrir le traitement des documents, l’usage des appareils personnels et des comptes cloud personnels, le télétravail, les réseaux sociaux, les présentations lors de conférences et la conduite à tenir lorsqu’un tiers demande des informations. Notre page consacrée à la gouvernance d’entreprise et aux politiques internes explique comment ces politiques s’intègrent au reste du dispositif de conformité d’une société.

L’arrivée et le départ des salariés

Les salariés qui quittent l’entreprise sont la source de détournement la plus fréquente, et la procédure de départ est la mesure que les tribunaux examinent de plus près. Le dernier jour : révoquez tous les accès aux systèmes, récupérez les appareils de la société, obtenez une attestation signée confirmant que le salarié a restitué ou supprimé tous les documents confidentiels, rappelez-lui par écrit les obligations qui continuent de s’imposer à lui et, pour les salariés ayant eu accès à des secrets importants, menez un entretien de départ en lui demandant où il va et ce qu’il y fera. Examinez les journaux d’activité récents du salarié à la recherche de téléchargements ou de transferts inhabituels. L’arrivée en est le reflet : demandez aux nouvelles recrues de confirmer qu’elles n’apportent pas d’informations confidentielles d’un ancien employeur, ce qui évite à la société de se retrouver en position de défenderesse.

Fournisseurs, services cloud et tiers

Les informations partagées avec des fournisseurs et stockées dans des services cloud restent vos secrets des affaires si ce partage est maîtrisé. Les contrats avec les fournisseurs doivent limiter l’utilisation à la mission, obliger le fournisseur à appliquer ses propres mesures raisonnables et exiger la restitution ou la destruction des informations à la fin de la relation. Le stockage dans le cloud ne constitue pas une divulgation, mais la configuration du compte fait partie de vos mesures ; un bucket ouvert équivaut à un classeur ouvert. Notre équipe gestion des risques et conformité juridique examine les contrats fournisseurs dans cette optique.

Documenter vos mesures raisonnables

Chacun des points ci-dessus produit une trace : accords signés, journaux d’accès, listes de présence aux formations, attestations de politiques, listes de contrôle de départ. Conservez-les. Dans un contentieux, la question n’est pas de savoir si la société avait de bonnes intentions, mais ce qu’elle peut prouver avoir fait. Un classeur, physique ou numérique, qui montre le programme en fonctionnement est ce qui transforme l’argument des mesures raisonnables d’un récit plausible en preuve.

Si vous souhaitez faire auditer vos pratiques actuelles au regard de cette checklist, une consultation avec Capitol Law Partners permet d’identifier les lacunes et l’ordre dans lequel les combler. Prenez rendez-vous.

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Cette communication ne crée aucune relation avocat-client.

Cagatay Ersoy. Une stratégie concrète pour les fondateurs, les investisseurs et les entreprises en croissance.

Besoin d’aide sur ce sujet ? Consultez notre page programmes de protection du secret des affaires ou prenez rendez-vous.