L’importance de cet arrêt doit également être soulignée car rendu par la grande chambre de la Cour de justice de l’Union européenne

Cet arrêt intervient sur une question préjudicielle posée par l’autorité allemande de la protection des données du Land du Schleswig-Holstein dans un litige relatif aux données personnelles présentes sur la page Facebook d’un service de formation destinée aux particuliers aux entreprises. L’autorité allemande avait ordonné à l’organisme de formation de désactiver la page fan de son profil Facebook au motif que ni ce centre de formation ni Facebook n’informaient les visiteurs de la page fan que ce dernier collectait, à l’aide de cookies, des informations à caractère personnel les concernant et qu’ils traitaient ensuite ces informations.

Ce centre de formation introduit une réclamation contre cette décision devant cette autorité allemande de protection des données qui la rejette en considérant que ce centre de formation est responsable en tant que fournisseur de services au regard des dispositions de la loi allemande elle-même prise en application de la directive.

Le 9 octobre 2013, le tribunal administratif allemand annule la décision attaquée en considérant que l’administrateur d’une page fan sur Facebook n’est pas un organisme responsable au sens des dispositions légales.

En appel, le tribunal administratif supérieur allemand rejette le recours introduit par l’autorité allemande de la protection des données en retenant que le dispositif allemand prévoit un processus progressif, dont la première étape permet uniquement d’adopter des mesures visant à remédier aux infractions constatées lors du traitement de données. La mesure d’interdiction n’est envisageable que si une procédure de traitement de données est illicite dans sa globalité et que seule la suspension de cette procédure permet d’y remédier ce qui n’est pas le cas puisque Facebook aurait eu la possibilité de faire cesser les infractions alléguées.

 La cour administrative supérieure saisie d’un pourvoi demande à la Cour de justice  de déterminer le responsable de traitement selon différentes hypothèses.

3 enseignements de cet arrêt sont à souligner.

A) L’administrateur d’une page fan hébergé sur un réseau social est aussi responsable du traitement même s’il ne reçoit de Facebook des informations anonymisées

31      Cela étant, et afin de répondre aux questions posées, il y a lieu d’examiner si et dans quelle mesure l’administrateur d’une page fan hébergée sur Facebook, tel que Wirtschaftsakademie, contribue, dans le cadre de cette page fan, à déterminer, conjointement avec Facebook Ireland et Facebook Inc., les finalités et les moyens du traitement des données personnelles des visiteurs de ladite page fan et peut donc, lui aussi, être considéré comme étant « responsable du traitement », au sens de l’article 2, sous d), de la directive 95/46.

32      À cet égard, il apparaît que toute personne souhaitant créer une page fan sur Facebook conclut avec Facebook Ireland un contrat spécifique relatif à l’ouverture d’une telle page et souscrit, à ce titre, aux conditions d’utilisation de cette page, y compris à la politique en matière de cookies qui y est relative, ce qu’il appartient à la juridiction nationale de vérifier.

33      Ainsi qu’il ressort du dossier soumis à la Cour, les traitements de données en cause au principal sont essentiellement effectués moyennant le placement, par Facebook, sur l’ordinateur ou sur tout autre appareil des personnes ayant visité la page fan, de cookies visant à stocker des informations sur les navigateurs web et qui restent actifs pendant deux ans s’ils ne sont pas effacés. Il en ressort également que, en pratique, Facebook reçoit, enregistre et traite les informations stockées dans les cookies notamment lorsqu’une personne visite « les services Facebook, les services proposés par d’autres compagnies Facebook et des services proposés par d’autres entreprises qui utilisent les services Facebook ». En outre, d’autres entités, telles que les partenaires de Facebook ou même des tiers, « sont susceptibles d’utiliser des cookies sur les services Facebook pour [proposer des services directement à ce réseau social] ainsi qu’aux entreprises qui font de la publicité sur Facebook ».

34      Ces traitements de données à caractère personnel visent notamment à permettre, d’une part, à Facebook d’améliorer son système de publicité qu’il diffuse à travers son réseau et, d’autre part, à l’administrateur de la page fan d’obtenir des statistiques établies par Facebook à partir des visites de cette page, à des fins de gestion de la promotion de son activité, lui permettant de connaître, par exemple, le profil des visiteurs qui apprécient sa page fan ou qui utilisent ses applications, afin qu’il puisse leur proposer un contenu plus pertinent et développer des fonctionnalités susceptibles de les intéresser davantage.

35      Or, si le simple fait d’utiliser un réseau social tel que Facebook ne rend pas un utilisateur de Facebook coresponsable d’un traitement de données à caractère personnel effectué par ce réseau, il convient, en revanche, de relever que l’administrateur d’une page fan hébergée sur Facebook, par la création d’une telle page, offre à Facebook la possibilité de placer des cookies sur l’ordinateur ou sur tout autre appareil de la personne ayant visité sa page fan, que cette personne dispose ou non d’un compte Facebook.

36      Dans ce cadre, il ressort des indications soumises à la Cour que la création d’une page fan sur Facebook implique de la part de son administrateur une action de paramétrage, en fonction, notamment, de son audience cible ainsi que d’objectifs de gestion ou de promotion de ses activités, qui influe sur le traitement de données à caractère personnel aux fins de l’établissement des statistiques établies à partir des visites de la page fan. Cet administrateur peut, à l’aide de filtres mis à sa disposition par Facebook, définir les critères à partir desquels ces statistiques doivent être établies et même désigner les catégories de personnes qui vont faire l’objet de l’exploitation de leurs données à caractère personnel par Facebook. Par conséquent, l’administrateur d’une page fan hébergée sur Facebook contribue au traitement des données à caractère personnel des visiteurs de sa page.

37      En particulier, l’administrateur de la page fan peut demander à obtenir – et donc que soient traitées – des données démographiques concernant son audience cible, notamment des tendances en matière d’âge, de sexe, de situation amoureuse et de profession, des informations sur le style de vie et les centres d’intérêt de son audience cible ainsi que des informations concernant les achats et le comportement d’achat en ligne des visiteurs de sa page, les catégories de produits ou de services qui l’intéressent le plus, de même que des données géographiques qui permettent à l’administrateur de la page fan de savoir où effectuer des promotions spéciales ou organiser des événements et, de manière plus générale, de cibler au mieux son offre d’informations.

38      S’il est vrai que les statistiques d’audience établies par Facebook sont uniquement transmises à l’administrateur de la page fan sous une forme anonymisée, il n’en demeure pas moins que l’établissement de ces statistiques repose sur la collecte préalable, au moyen de cookies installés par Facebook sur l’ordinateur ou sur tout autre appareil des personnes ayant visité cette page, et le traitement des données personnelles de ces visiteurs à de telles fins statistiques. En tout état de cause, la directive 95/46 n’exige pas, lorsqu’il y a une responsabilité conjointe de plusieurs opérateurs pour un même traitement, que chacun ait accès aux données à caractère personnel concernées.

39      Dans ces circonstances, il y a lieu de considérer que l’administrateur d’une page fan hébergée sur Facebook, tel que Wirtschaftsakademie, participe, par son action de paramétrage, en fonction, notamment, de son audience cible ainsi que d’objectifs de gestion ou de promotion de ses activités, à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan. De ce fait, cet administrateur doit être, en l’occurrence, qualifié de responsable au sein de l’Union, conjointement avec Facebook Ireland, de ce traitement, au sens de l’article 2, sous d), de la directive 95/46.

40      En effet, le fait pour un administrateur d’une page fan d’utiliser la plateforme mise en place par Facebook, afin de bénéficier des services y afférents, ne saurait l’exonérer du respect de ses obligations en matière de protection des données à caractère personnel.

41      Au demeurant, il importe de souligner que les pages fan hébergées sur Facebook peuvent être visitées également par des personnes qui ne sont pas utilisateurs de Facebook et qui ne disposent donc pas d’un compte utilisateur sur ce réseau social. Dans ce cas, la responsabilité de l’administrateur de la page fan à l’égard du traitement des données à caractère personnel de ces personnes apparaît encore plus importante, car la simple consultation de la page fan par des visiteurs déclenche automatiquement le traitement de leurs données à caractère personnel.

42      Dans ces conditions, la reconnaissance d’une responsabilité conjointe de l’exploitant du réseau social et de l’administrateur d’une page fan hébergée sur ce réseau en relation avec le traitement des données personnelles des visiteurs de cette page fan contribue à assurer une protection plus complète des droits dont disposent les personnes qui visitent une page fan, conformément aux exigences de la directive 95/46.

43      Cela étant, il y a lieu de préciser, ainsi que l’a relevé M. l’avocat général aux points 75 et 76 de ses conclusions, que l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente des différents opérateurs concernés par un traitement de données à caractère personnel. Au contraire, ces opérateurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce.

44      Au regard des considérations qui précèdent, il y a lieu de répondre aux première et deuxième questions que l’article 2, sous d), de la directive 95/46 doit être interprété en ce sens que la notion de « responsable du traitement », au sens de cette disposition, englobe l’administrateur d’une page fan hébergée sur un réseau social

B) Le responsable du traitement établi sur le territoire de plusieurs états membres doit assurer le respect pour chacun de ses établissements des obligations prévues par le droit national applicable

51      La question de savoir quel droit national s’applique au traitement des données à caractère personnel est régie par l’article 4 de la directive 95/46. Aux termes du paragraphe 1, sous a), de cet article, chaque État membre applique les dispositions nationales qu’il arrête en vertu de cette directive aux traitements de données à caractère personnel lorsque le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de cet État membre. Cette disposition précise que, si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable.

52      Il découle ainsi d’une lecture combinée de cette disposition et de l’article 28, paragraphes 1 et 3, de la directive 95/46 que, lorsque le droit national de l’État membre dont relève l’autorité de contrôle est applicable en vertu de l’article 4, paragraphe 1, sous a), de celle-ci, en raison du fait que le traitement en cause est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de cet État membre, cette autorité de contrôle peut exercer l’ensemble des pouvoirs qui lui sont conférés par ce droit à l’égard de cet établissement, et ce indépendamment du point de savoir si le responsable du traitement dispose d’établissements également dans d’autres États membres.

53      Ainsi, afin de déterminer si une autorité de contrôle est fondée, dans des circonstances telles que celles au principal, à exercer à l’égard d’un établissement situé sur le territoire de l’État membre dont elle relève les pouvoirs qui lui sont conférés par le droit national, il y a lieu de vérifier si les deux conditions posées par l’article 4, paragraphe 1, sous a), de la directive 96/46 sont réunies, à savoir, d’une part, s’il s’agit d’un « établissement du responsable du traitement », au sens de cette disposition, et, d’autre part, si ledit traitement est effectué « dans le cadre des activités » de cet établissement, au sens de la même disposition.

54      S’agissant, en premier lieu, de la condition selon laquelle le responsable du traitement de données à caractère personnel doit disposer d’un établissement sur le territoire de l’État membre dont relève l’autorité de contrôle concernée, il importe de rappeler que, selon le considérant 19 de la directive 95/46, l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable et que la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante (arrêt du 1^er octobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, point 28 et jurisprudence citée).

55      En l’occurrence, il est constant que Facebook Inc., en tant que responsable du traitement de données à caractère personnel, conjointement avec Facebook Ireland, dispose d’un établissement stable en Allemagne, à savoir Facebook Germany, situé à Hambourg, et que cette dernière société exerce réellement et effectivement des activités dans ledit État membre. De ce fait, elle constitue un établissement, au sens de l’article 4, paragraphe 1, sous a), de la directive 95/46.

56      S’agissant, en second lieu, de la condition selon laquelle le traitement de données à caractère personnel doit être effectué « dans le cadre des activités » de l’établissement concerné, il y a lieu de rappeler, tout d’abord, que, au vu de l’objectif poursuivi par la directive 95/46, consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel, l’expression « dans le cadre des activités d’un établissement » ne saurait recevoir une interprétation restrictive (arrêt du 1^er octobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, point 25 et jurisprudence citée).

57      Ensuite, il importe de souligner que l’article 4, paragraphe 1, sous a), de la directive 95/46 exige non pas qu’un tel traitement soit effectué « par » l’établissement concerné lui‑même, mais uniquement qu’il le soit « dans le cadre des activités » de celui‑ci (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 52).

58      En l’occurrence, il ressort de la décision de renvoi ainsi que des observations écrites déposées par Facebook Ireland que Facebook Germany est chargée de la promotion et de la vente d’espaces publicitaires et se livre à des activités destinées aux personnes résidant en Allemagne.

59      Ainsi qu’il a été rappelé aux points 33 et 34 du présent arrêt, le traitement de données à caractère personnel en cause au principal, effectué par Facebook Inc. conjointement avec Facebook Ireland et qui consiste en la collecte de telles données par l’intermédiaire de cookies installés sur les ordinateurs ou sur tout autre appareil des visiteurs des pages fan hébergées sur Facebook, a notamment pour objectif de permettre à ce réseau social d’améliorer son système de publicité afin de mieux cibler les communications qu’il diffuse.

60      Or, comme l’a relevé M. l’avocat général au point 94 de ses conclusions, étant donné, d’une part, qu’un réseau social tel que Facebook génère une partie substantielle de ses revenus grâce, notamment, à la publicité diffusée sur les pages web que les utilisateurs créent et auxquelles ils accèdent et, d’autre part, que l’établissement de Facebook situé en Allemagne est destiné à assurer, dans cet État membre, la promotion et la vente d’espaces publicitaires qui servent à rentabiliser les services offerts par Facebook, les activités de cet établissement doivent être considérées comme étant indissociablement liées au traitement de données à caractère personnel en cause au principal, dont Facebook Inc. est le responsable conjointement avec Facebook Ireland. Partant, un tel traitement doit être regardé comme étant effectué dans le cadre des activités d’un établissement du responsable du traitement, au sens de l’article 4, paragraphe 1, sous a), de la directive 95/46 (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, points 55 et 56).

61      Il s’ensuit que, le droit allemand étant, en vertu de l’article 4, paragraphe 1, sous a), de la directive 95/46, applicable au traitement des données à caractère personnel en cause au principal, l’autorité de contrôle allemande était compétente, conformément à l’article 28, paragraphe 1, de cette directive, pour appliquer ce droit audit traitement.

62      Par conséquent, cette autorité de contrôle était compétente, aux fins d’assurer le respect, sur le territoire allemand, des règles en matière de protection des données à caractère personnel, pour mettre en œuvre, à l’égard de Facebook Germany, l’ensemble des pouvoirs dont elle dispose en vertu des dispositions nationales transposant l’article 28, paragraphe 3, de la directive 95/46.

63      Il convient encore de préciser que la circonstance, mise en exergue par la juridiction de renvoi dans sa troisième question, selon laquelle les stratégies décisionnelles quant à la collecte et au traitement de données personnelles relatives à des personnes résidant sur le territoire de l’Union sont prises par une société mère établie dans un pays tiers, telle que, en l’occurrence, Facebook Inc., n’est pas de nature à remettre en cause la compétence de l’autorité de contrôle relevant du droit d’un État membre à l’égard d’un établissement, situé sur le territoire de ce même État, du responsable du traitement desdites données.

64      Au regard de ce qui précède, il convient de répondre aux troisième et quatrième questions que les articles 4 et 28 de la directive 95/46 doivent être interprétés en ce sens que, lorsqu’une entreprise établie en dehors de l’Union dispose de plusieurs établissements dans différents États membres, l’autorité de contrôle d’un État membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de cette directive à l’égard d’un établissement de cette entreprise situé sur le territoire de cet État membre alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit État membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union, à un établissement situé dans un autre État membre.

C) Les autorités de contrôle nationale ne sont pas tenues d’appliquer les mêmes solutions que celles des autres autorités de contrôle d’autres états membres dans la même situation.

9      En outre, si, en vertu de l’article 28, paragraphe 6, second alinéa, de la directive 95/46, les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l’accomplissement de leurs missions, notamment en échangeant toute information utile, cette même directive ne prévoit aucun critère de priorité régissant l’intervention des autorités de contrôle les unes par rapport aux autres ni ne prescrit l’obligation pour une autorité de contrôle d’un État membre de se conformer à la position exprimée, le cas échéant, par l’autorité de contrôle d’un autre État membre.

70      Ainsi, rien n’oblige une autorité de contrôle dont la compétence est reconnue en vertu de son droit national à faire sienne la solution retenue par une autre autorité de contrôle dans une situation analogue.

71      À cet égard, il importe de rappeler que, les autorités nationales de contrôle étant, conformément à l’article 8, paragraphe 3, de la charte des droits fondamentaux et à l’article 28 de la directive 95/46, chargées du contrôle du respect des règles de l’Union relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, chacune d’entre elles est donc investie de la compétence de vérifier si un traitement de données à caractère personnel sur le territoire de l’État membre dont elle relève respecte les exigences posées par la directive 95/46 (voir, en ce sens, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 47).

72      L’article 28 de la directive 95/46 s’appliquant, par sa nature même, à tout traitement de données à caractère personnel, même en présence d’une décision d’une autorité de contrôle d’un autre État membre, une autorité de contrôle, saisie par une personne d’une demande relative à la protection de ses droits et libertés à l’égard du traitement des données à caractère personnel la concernant, doit examiner, en toute indépendance, si le traitement de ces données respecte les exigences posées par ladite directive (voir, en ce sens, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 57).

73      Il s’ensuit que, en l’occurrence, en vertu du système établi par la directive 95/46, l’ULD était habilitée à apprécier, de manière autonome par rapport aux évaluations effectuées par l’autorité de contrôle irlandaise, la légalité du traitement de données en cause au principal.

74      Par conséquent, il convient de répondre aux cinquième et sixième questions que l’article 4, paragraphe 1, sous a), et l’article 28, paragraphes 3 et 6, de la directive 95/46 doivent être interprétés en ce sens que, lorsque l’autorité de contrôle d’un État membre entend exercer à l’égard d’un organisme établi sur le territoire de cet État membre les pouvoirs d’intervention visés à l’article 28, paragraphe 3, de cette directive en raison d’atteintes aux règles relatives à la protection des données à caractère personnel, commises par un tiers responsable du traitement de ces données et ayant son siège dans un autre État membre, cette autorité de contrôle est compétente pour apprécier, de manière autonome par rapport à l’autorité de contrôle de ce dernier État membre, la légalité d’un tel traitement de données et peut exercer ses pouvoirs d’intervention à l’égard de l’organisme établi sur son territoire sans préalablement appeler l’autorité de contrôle de l’autre État membre à intervenir.

Le droit dit par la Cour de justice sur ces différentes questions

1)      L’article 2, sous d), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que la notion de « responsable du traitement », au sens de cette disposition, englobe l’administrateur d’une page fan hébergée sur un réseau social.

2)      Les articles 4 et 28 de la directive 95/46 doivent être interprétés en ce sens que, lorsqu’une entreprise établie en dehors de l’Union européenne dispose de plusieurs établissements dans différents États membres, l’autorité de contrôle d’un État membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de cette directive à l’égard d’un établissement de cette entreprise situé sur le territoire de cet État membre, alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit État membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union européenne, à un établissement situé dans un autre État membre.

3)      L’article 4, paragraphe 1, sous a), et l’article 28, paragraphes 3 et 6, de la directive 95/46 doivent être interprétés en ce sens que, lorsque l’autorité de contrôle d’un État membre entend exercer à l’égard d’un organisme établi sur le territoire de cet État membre les pouvoirs d’intervention visés à l’article 28, paragraphe 3, de cette directive en raison d’atteintes aux règles relatives à la protection des données à caractère personnel, commises par un tiers responsable du traitement de ces données et ayant son siège dans un autre État membre, cette autorité de contrôle est compétente pour apprécier, de manière autonome par rapport à l’autorité de contrôle de ce dernier État membre, la légalité d’un tel traitement de données et peut exercer ses pouvoirs d’intervention à l’égard de l’organisme établi sur son territoire sans préalablement appeler l’autorité de contrôle de l’autre État membre à intervenir.

L’article Qui est responsable du traitement des données personnelles ? est apparu en premier sur Philippe Schmitt Avocats.

14 mai 2018: le vote à l’Assemblée nationale.Ici

RGPD – Protection des données personnelles : les textes votés après le rapport de la Commission mixte; Ici

RGPD – Protection des données, les textes votés après le 13 février 2018 à l’Assemblée nationale et au Sénat : le rapport de la Commission mixte paritaire. Ici

RGPD : vote au Sénat du 21 mars 2018. Ici

Les nouveaux pouvoirs des agents de la CNIL, la majorité numérique à 15 ans et l’action de groupe. Ici

RGPD : les modalités pratiques du consentement seront-elles définies par ordonnance ou par la CNIL ? Ici

Pourquoi faut-il une loi nationale pour le RGPD ? Ici

Projet de loi de transposition du paquet européen de protection des données personnelles . Ici

Consentement aux données personnelles, peut-on reprendre les solutions obtenues avec la directive 95/46 ? Ici

RGPD : quantité des données conservées et finalité de leur conservation. Ici

L’article RGPD : le règlement sur la protection des données, les textes et quelques questions est apparu en premier sur Philippe Schmitt Avocats.

L’article Le secret des affaires est apparu en premier sur Philippe Schmitt Avocats.

Les débats au Parlement européen son ici.

Le vote au Sénat est intervenu le 14 janvier 2026

Pour le rapporteur à l’Assemblée Nationale, cette directive ne laisse guère de marges de manœuvre

Ci-dessous sont reproduits les principaux textes de cette transposition

• La petite loi votée au Sénat le 18 avril 2018
• Le texte voté à l’Assemblée Nationale le 28 mars 2018
• La proposition de loi du 19 mars 2018

La petite loi votée au Sénat le 18 avril 2018

18 avril 2018

PROPOSITION DE LOI

relative à la protection du secret des affaires.

(procédure accélérée)

Le Sénat a modifié, en première lecture, la proposition de loi, adoptée par l’Assemblée nationale en première lecture après engagement de la procédure accélérée, dont la teneur suit :

Voir les numéros :

Assemblée nationale (15^e législ.) : 675, 777, 775 et T.A. 105.

Sénat : 388, 419, 420 et 406 (2017-2018).

Article 1^er

Le livre I^er du code de commerce est complété par un titre V ainsi rédigé :

« TITRE V

« DE LA PROTECTION DU SECRET DES AFFAIRES

« CHAPITRE I^ER

« De l’objet et des conditions de la protection

« Section 1

« De l’information protégée

« Art. L. 151-1. – Est protégée au titre du secret des affaires toute information répondant aux trois critères suivants :

« 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité ;

« 2° Elle revêt une valeur économique, effective ou potentielle, du fait de son caractère secret ;

« 3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret.

« Section 2

« De la détention légitime et de l’obtention licite du secret des affaires

« Art. L. 151-2 A (nouveau). – Est détenteur légitime du secret des affaires celui qui en a le contrôle de façon licite.

« Art. L. 151-2. – Constituent des modes d’obtention licite du secret des affaires :

« 1° Une découverte ou une création indépendante ;

« 2° L’observation, l’étude, le démontage ou le test d’un produit ou d’un objet qui a été mis à la disposition du public ou qui est de façon licite en possession de la personne qui obtient l’information, sauf stipulation contractuelle interdisant ou limitant l’obtention du secret ;

« 3° (Supprimé)

« Section 3

« De l’obtention, de l’utilisation et de la divulgation illicites

« Art. L. 151-3. – L’obtention du secret des affaires est illicite lorsqu’elle est réalisée sans le consentement de son détenteur légitime et qu’elle résulte :

« 1° D’un accès non autorisé à tout document, objet, matériau, substance ou fichier numérique qui contient le secret ou dont il peut être déduit, ou bien d’une appropriation ou d’une copie non autorisée de ces éléments ;

« 2° De tout autre comportement considéré, compte tenu des circonstances, comme déloyal et contraire aux usages en matière commerciale.

« Art. L. 151-4. – L’utilisation ou la divulgation du secret des affaires est illicite lorsqu’elle est réalisée sans le consentement de son détenteur légitime par une personne qui a obtenu le secret dans les conditions mentionnées à l’article L. 151-3 ou qui agit en violation d’une obligation de ne pas divulguer le secret ou de limiter son utilisation.

« La production, l’offre ou la mise sur le marché, de même que l’importation, l’exportation ou le stockage à ces fins de tout produit résultant de manière significative d’une atteinte au secret des affaires sont également considérés comme une utilisation illicite lorsque la personne qui exerce ces activités savait, ou aurait dû savoir au regard des circonstances, que ce secret était utilisé de façon illicite au sens du premier alinéa du présent article.

« Art. L. 151-5. – L’obtention, l’utilisation ou la divulgation d’un secret des affaires est aussi considérée comme illicite lorsque, au moment de l’obtention, de l’utilisation ou de la divulgation du secret des affaires, une personne savait, ou aurait dû savoir au regard des circonstances, que ce secret des affaires avait été obtenu, directement ou indirectement, d’une autre personne qui l’utilisait ou le divulguait de façon illicite au sens du premier alinéa de l’article L. 151-4.

« Section 4

« Des exceptions à la protection du secret des affaires

« Art. L. 151-6. – Le secret des affaires n’est pas opposable lorsque l’obtention, l’utilisation ou la divulgation du secret est requise ou autorisée par le droit de l’Union européenne, les traités ou accords internationaux en vigueur ou le droit national, notamment dans l’exercice des pouvoirs d’enquête, de contrôle, d’autorisation ou de sanction des autorités juridictionnelles ou administratives, pour l’usage exclusif de ces autorités dans l’accomplissement de leurs missions.

« Art. L. 151-7 (nouveau). – À l’occasion d’une instance relative à une atteinte au secret des affaires, le secret n’est pas opposable lorsque son obtention, son utilisation ou sa divulgation est intervenue :

« 1° Pour exercer le droit à la liberté d’expression et de communication, y compris le respect de la liberté de la presse, et à la liberté d’information telle qu’établie dans la Charte des droits fondamentaux de l’Union européenne ;

« 2° Pour révéler, dans le but de protéger l’intérêt général et de bonne foi, une activité illégale, une faute ou un comportement répréhensible, y compris lors de l’exercice du droit d’alerte tel que défini à l’article 6 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique ;

« 3° Pour la protection d’un intérêt légitime reconnu par le droit de l’Union européenne ou le droit national.

« Art. L. 151-8 (nouveau). – À l’occasion d’une instance relative à une atteinte au secret des affaires, le secret n’est pas opposable lorsque :

« 1° L’obtention du secret des affaires est intervenue dans le cadre de l’exercice du droit à l’information et à la consultation des salariés ou de leurs représentants ;

« 2° La divulgation du secret des affaires par des salariés à leurs représentants est intervenue dans le cadre de l’exercice légitime par ces derniers de leurs fonctions, pour autant que cette divulgation ait été nécessaire à cet exercice.

« L’information ainsi obtenue ou divulguée demeure protégée au titre du secret des affaires à l’égard des personnes autres que les salariés ou leurs représentants qui en ont eu connaissance.

« CHAPITRE II

« Des actions en prévention, en cessation ou en réparation d’une atteinte au secret des affaires

« Art. L. 152-1. – (Non modifié)

« Art. L. 152-1-1 (nouveau). – Les actions relatives à une atteinte au secret des affaires sont prescrites par cinq ans à compter des faits qui en sont la cause.

« Section 1

« Des mesures pour prévenir et faire cesser une atteinte
au secret des affaires

« Art. L. 152-2. – I. – Dans le cadre d’une action relative à la prévention ou la cessation d’une atteinte à un secret des affaires, la juridiction peut, sans préjudice de l’octroi de dommages et intérêts, prescrire, y compris sous astreinte, toute mesure proportionnée de nature à empêcher ou à faire cesser une telle atteinte. Elle peut notamment :

« 1° Interdire la réalisation ou la poursuite des actes d’utilisation ou de divulgation d’un secret des affaires ;

« 2° Interdire les actes de production, d’offre, de mise sur le marché ou d’utilisation des produits résultant de manière significative de l’atteinte au secret des affaires ou l’importation, l’exportation ou le stockage de tels produits à ces fins ;

« 3° Ordonner la destruction totale ou partielle de tout document, objet, matériau, substance ou fichier numérique contenant le secret des affaires concerné ou dont il peut être déduit ou, selon le cas, ordonner leur remise totale ou partielle au demandeur.

« II. – La juridiction peut également ordonner que les produits résultant de manière significative de l’atteinte au secret des affaires soient rappelés des circuits commerciaux, écartés définitivement de ces circuits, modifiés afin de supprimer l’atteinte au secret des affaires, détruits ou, selon le cas, confisqués au profit de la partie lésée.

« III. – Lorsque la juridiction limite la durée des mesures mentionnées aux 1° et 2° du I, la durée fixée doit être suffisante pour éliminer tout avantage commercial ou économique que l’auteur de l’atteinte au secret des affaires aurait pu tirer de l’obtention, de l’utilisation ou de la divulgation illicite du secret des affaires.

« IV. – Sauf circonstances particulières et sans préjudice des dommages et intérêts qui pourraient être réclamés, l’ensemble des mesures mentionnées aux I à III sont ordonnées aux frais de l’auteur de l’atteinte.

« Il peut y être mis fin à la demande de l’auteur de l’atteinte lorsque les informations concernées ne peuvent plus être qualifiées de secret des affaires au sens de l’article L. 151-1 pour des raisons qui ne dépendent pas, directement ou indirectement, de lui.

« Art. L. 152-2-1 A (nouveau). – Pour prévenir une atteinte imminente ou faire cesser une atteinte illicite à un secret des affaires, la juridiction peut, sur requête ou en référé, ordonner des mesures provisoires et conservatoires dont les modalités sont déterminées par décret en Conseil d’État.

« Art. L. 152-2-1. – Sans préjudice de l’article L. 152-3, la juridiction peut ordonner, à la demande de l’auteur de l’atteinte, le versement d’une indemnité à la partie lésée au lieu des mesures mentionnées aux I à III de l’article L. 152-2 lorsque sont réunies les conditions suivantes :

« 1° Au moment de l’utilisation ou de la divulgation du secret des affaires, l’auteur de l’atteinte ne savait pas, ni ne pouvait savoir au regard des circonstances, que le secret des affaires avait été obtenu d’une autre personne qui l’utilisait ou le divulguait de façon illicite ;

« 2° L’exécution des mesures mentionnées aux  I à  III de l’article L. 152-2 causerait à cet auteur un dommage disproportionné ;

« 3° Le versement d’une indemnité à la partie lésée paraît raisonnablement satisfaisant.

« Lorsque cette indemnité est ordonnée en lieu et place des mesures prévues aux 1° et 2° du I du même article L. 152-2, elle ne peut être fixée à une somme supérieure au montant des droits qui auraient été dus si l’auteur de l’atteinte avait demandé l’autorisation d’utiliser ledit secret des affaires pour la période pendant laquelle l’utilisation du secret des affaires aurait pu être interdite.

« Section 2

« De la réparation d’une atteinte au secret des affaires

« Art. L. 152-3. – Pour fixer les dommages et intérêts dus en réparation du préjudice effectivement subi, la juridiction prend en considération distinctement :

« 1° Les conséquences économiques négatives de l’atteinte au secret des affaires, dont le manque à gagner et la perte subie par la partie lésée, y compris la perte de chance ;

« 2° Le préjudice moral causé à la partie lésée ;

« 3° Les bénéfices réalisés par l’auteur de l’atteinte au secret des affaires, y compris les économies d’investissements intellectuels, matériels et promotionnels que celui-ci a retirées de l’atteinte.

« La juridiction peut, à titre d’alternative et sur demande de la partie lésée, allouer à titre de dommages et intérêts une somme forfaitaire qui tient notamment compte des droits qui auraient été dus si l’auteur de l’atteinte avait demandé l’autorisation d’utiliser le secret des affaires en question. Cette somme n’est pas exclusive de l’indemnisation du préjudice moral causé à la partie lésée.

« Art. L. 152-4. – (Supprimé)

« Section 3

« Des mesures de publicité

« Art. L. 152-5. – (Non modifié)

« Section 4

« Des sanctions en cas de procédure dilatoire ou abusive

(Division et intitulé supprimés)

« Art. L. 152-6. – (Supprimé)

« CHAPITRE III

« Des mesures générales de protection du secret des affaires devant
les juridictions civiles ou commerciales

« Art. L. 153-1. – Lorsque, à l’occasion d’une instance civile ou commerciale ayant pour objet une mesure d’instruction sollicitée avant tout procès au fond ou à l’occasion d’une instance au fond, il est fait état ou est demandée la communication ou la production d’une pièce dont il est allégué par une partie ou un tiers ou dont il a été jugé qu’elle est de nature à porter atteinte à un secret des affaires, le juge peut, d’office ou à la demande d’une partie ou d’un tiers, si la protection de ce secret ne peut être assurée autrement et sans préjudice de l’exercice des droits de la défense :

« 1° Prendre connaissance seul de cette pièce avant de décider, s’il y a lieu, de limiter sa communication ou sa production à certains de ses éléments, d’en ordonner la communication ou la production sous une forme de résumé ou d’en restreindre l’accès, pour chacune des parties, au plus à une personne physique et une personne habilitée à l’assister ou la représenter ;

« 2° Décider que les débats auront lieu et que la décision sera prononcée en chambre du conseil ;

« 3° Adapter la motivation de sa décision et les modalités de la publication de celle-ci aux nécessités de la protection du secret des affaires.

« Art. L. 153-2. – Toute personne ayant accès à une pièce ou au contenu d’une pièce considérée par le juge comme étant couverte ou susceptible d’être couverte par le secret des affaires est tenue à une obligation de confidentialité lui interdisant toute utilisation ou divulgation des informations qu’elle contient.

« Dans le cas d’une personne morale, l’obligation prévue au premier alinéa du présent article s’applique à ses représentants légaux ou statutaires et aux personnes qui la représentent devant la juridiction.

« Les personnes ayant accès à la pièce ou à son contenu ne sont liées par cette obligation ni dans leurs rapports entre elles ni à l’égard des représentants légaux ou statutaires de la personne morale partie à la procédure.

« Les personnes habilitées à assister ou représenter les parties ne sont pas liées par cette obligation de confidentialité à l’égard de celles-ci, sauf en cas de mesures prises par le juge au titre du 1° de l’article L. 153-1 pour restreindre l’accès d’une ou de plusieurs pièces à certaines personnes.

« L’obligation de confidentialité perdure à l’issue de la procédure. Toutefois, elle prend fin si une juridiction décide, par une décision non susceptible de recours, qu’il n’existe pas de secret des affaires ou si les informations en cause ont entre-temps cessé de constituer un secret des affaires ou sont devenues aisément accessibles.

« CHAPITRE IV

« Conditions d’application

« Art. L. 154-1. – Les conditions d’application du présent titre sont fixées par décret en Conseil d’État. »

Article 1^er bis

(Conforme)

Article 1^er ter

Le code de justice administrative est ainsi modifié :

1° Au livre VI, il est ajouté un titre I^er ainsi rédigé :

« TITRE I^ER

« LA PROCÉDURE ORDINAIRE

« CHAPITRE I^ER

« La communication de la requête et des mémoires

« Section 1

« Dispositions générales

« Section 1 bis

« Dispositions propres à la communication électronique

« Section 2

« Dispositions applicables devant les tribunaux administratifs

« Section 3

« Dispositions applicables devant les cours administratives d’appel

« Section 4

« Dispositions applicables devant le Conseil d’État

« Section 5

« De la protection des pièces couvertes par le secret des affaires

« Art. L. 611-1. – Les exigences de la contradiction mentionnées à l’article L. 5 sont adaptées à celles de la protection du secret des affaires répondant aux conditions prévues au chapitre I^er du titre V du livre I^er du code de commerce. » ;

1° bis La section 6 du chapitre I^er du titre IV du livre VII est complétée par un article L. 741-4 ainsi rédigé :

« Art. L. 741-4. – La motivation de la décision et les modalités de la publication de celle-ci peuvent être adaptées aux nécessités de la protection du secret des affaires. » ;

2° Le titre VII du même livre VII est ainsi modifié :

aa) Après le mot : « réserve », la fin de l’article L. 775-1 est ainsi rédigée : « des articles L. 153-1 et L. 153-2 du même code et du titre VIII du livre IV dudit code. » ;

a) L’article L. 775-2 est ainsi rédigé :

« Art. L. 775-2. – L’article L. 77-13-2 est applicable au présent chapitre. » ;

b) Il est ajouté un chapitre XIII ainsi rédigé :

« CHAPITRE XIII

« Le contentieux relatif à la prévention, la cessation ou la réparation d’une atteinte au secret des affaires

« Art. L. 77-13-1. – Lorsqu’elles relèvent de la juridiction administrative, les actions tendant à prévenir, faire cesser ou réparer une atteinte portée au secret des affaires sont présentées, instruites et jugées selon les dispositions du présent code, sous réserve du titre V du livre I^er du code de commerce.

« Art. L. 77-13-2. – Par dérogation à l’article L. 4 du présent code, l’exécution de l’ordonnance enjoignant la communication ou la production d’une pièce ou d’une catégorie de pièces dont il est allégué qu’elle est couverte par le secret des affaires est suspendue jusqu’à l’expiration du délai d’appel ou, le cas échéant, jusqu’à ce qu’il ait été statué sur l’appel. »

Article 1^er quater (nouveau)

Le chapitre IV du titre I^er du livre III du code pénal est ainsi modifié :

1° Après la section 1, est insérée une section 1 bis ainsi rédigée :

« Section 1 bis

« Du détournement d’une information économique protégée

« Art. 314-4-1. – Le fait d’obtenir, d’utiliser ou de divulguer de façon illicite une information protégée au titre du secret des affaires en application du chapitre I^er du titre V du livre I^er du code de commerce, en contournant sciemment les mesures de protection mises en place par son détenteur légitime, afin d’en retirer un avantage de nature exclusivement économique, est puni de trois ans d’emprisonnement et de 375 000 € d’amende. » ;

2° La section 4 est ainsi modifiée :

a) Au premier alinéa de l’article 314-10, la référence : « et 314-3 » est remplacée par les références : « , 314-3 et 314-4-1 » ;

b) Au premier alinéa de l’article 314-12, la référence : « et 314-2 » est remplacée par les références : « , 314-2 et 314-4-1 ».

Article 2

(Supprimé)

Article 3

I A (nouveau). – Le code de commerce est ainsi modifié :

1° Au premier alinéa du V de l’article L. 440-1, les mots : « industriel et commercial » sont remplacés par les mots : « des affaires » ;

2° Au troisième alinéa de l’article L. 441-8, les mots : « du secret en matière industrielle et commerciale et » sont supprimés.

I à XIII. – (Non modifiés)

Article 4 (nouveau)

Le I de l’article L. 950-1 du code de commerce est ainsi modifié :

1° Le 1° est complété par un alinéa ainsi rédigé :

« Les articles L. 151-1 à L. 154-1 sont applicables dans leur rédaction résultant de la loi n°       du       relative à la protection du secret des affaires ; »

2° Le tableau constituant le second alinéa du 4° est ainsi modifié :

a) La douzième ligne est ainsi rédigée :

b) La dix-septième ligne est remplacée par deux lignes ainsi rédigées :

c) La quarante-sixième ligne est remplacée par deux lignes ainsi rédigées :

Délibéré en séance publique, à Paris, le 18 avril 2018.

Le Président,

Signé : Gérard LARCHER

Le texte voté à l’Assemblée Nationale le 28 mars 2018

28 mars 2018

(Procédure accélérée)

L’Assemblée nationale a adopté la proposition de loi dont la teneur suit :

Article 1^er

Le livre I^er du code de commerce est complété par un titre V ainsi rédigé :

« TITRE V

« DE LA PROTECTION DU SECRET DES AFFAIRES

« Chapitre I^er

« De l’objet et des conditions de la protection

« Section 1

« De l’information protégée

« Art. L. 151-1. – Est protégée au titre du secret des affaires toute information présentant l’ensemble des caractéristiques suivantes :

« 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible à une personne agissant dans un secteur ou un domaine d’activité s’occupant habituellement de cette catégorie d’informations ;

« 2° Elle revêt une valeur commerciale, effective ou potentielle, parce qu’elle est secrète ;

« 3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le secret, notamment en mentionnant explicitement que l’information est confidentielle.

« Section 2

« Des détenteurs légitimes du secret des affaires

« Art. L. 151-2. – Est détenteur légitime d’un secret des affaires au sens du présent titre celui qui l’a obtenu par l’un des moyens suivants :

« 1° Une découverte ou une création indépendante ;

« 2° L’observation, l’étude, le démontage ou le test d’un produit ou d’un objet qui a été mis à la disposition du public ou qui est de façon licite en possession de la personne qui obtient l’information ;

« 3° (Supprimé)

« Section 3

« De l’obtention, de l’utilisation et de la divulgation illicites

« Art. L. 151-3. – L’obtention du secret des affaires est illicite lorsqu’elle intervient sans le consentement de son détenteur légitime et en violation d’une ou de plusieurs des mesures suivantes prises pour en conserver le caractère secret :

« 1° Une interdiction d’accès à tout document, objet, matériau, substance ou fichier numérique, ou d’appropriation ou de copie de ces éléments, qui contient ledit secret ou dont il peut être déduit ;

« 2° Une interdiction ou une limitation contractuellement prévue d’obtention du secret des affaires.

« L’obtention du secret des affaires sans le consentement de son détenteur est également illicite dès lors qu’elle résulte de tout comportement déloyal contraire aux usages en matière commerciale.

« Art. L. 151-4. – L’utilisation ou la divulgation du secret des affaires est illicite lorsqu’elle est réalisée sans le consentement de son détenteur légitime par une personne qui a obtenu le secret dans les conditions mentionnées à l’article L. 151-3 ou qui agit en violation d’une obligation de ne pas divulguer le secret ou de limiter son utilisation.

« La production, l’offre ou la mise sur le marché, de même que l’importation, l’exportation ou le stockage à ces fins de tout produit résultant d’une atteinte significative au secret des affaires sont également considérés comme une utilisation illicite lorsque la personne qui exerce ces activités savait, ou aurait dû savoir au regard des circonstances, que ce secret était utilisé de façon illicite au sens du premier alinéa du présent article.

« Art. L. 151-5. – L’obtention, l’utilisation ou la divulgation d’un secret des affaires est aussi considérée comme illicite lorsque, au moment de l’obtention, de l’utilisation ou de la divulgation du secret des affaires, une personne savait, ou aurait dû savoir au regard des circonstances, que ledit secret des affaires avait été obtenu, directement ou indirectement, d’une autre personne qui l’utilisait ou le divulguait de façon illicite au sens du premier alinéa de l’article L. 151-4.

« Section 4

« Des exceptions à la protection du secret des affaires

« Art. L. 151-6. – I. – Le secret des affaires n’est pas protégé lorsque l’obtention, l’utilisation ou la divulgation du secret est requise ou autorisée par le droit de l’Union européenne ou le droit national, notamment dans l’exercice des pouvoirs d’enquête, de contrôle, d’autorisation ou de sanction des autorités judiciaires ou administratives.

« Il n’est pas non plus protégé lorsque l’obtention, l’utilisation ou la divulgation du secret est intervenue :

« 1° Pour exercer le droit à la liberté d’expression et de communication, y compris le respect de la liberté de la presse, et à la liberté d’information telle qu’établie dans la Charte des droits fondamentaux de l’Union européenne ;

« 2° Pour révéler, dans le but de protéger l’intérêt général et de bonne foi, une activité illégale, une faute ou un comportement répréhensible, y compris lors de l’exercice du droit d’alerte tel que défini par l’article 6 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique ;

« 3° Pour la protection d’un intérêt légitime reconnu par le droit de l’Union européenne ou le droit national, notamment pour empêcher ou faire cesser toute menace ou atteinte à l’ordre public, à la sécurité publique, à la santé publique et à l’environnement.

« II. – Le secret des affaires n’est pas non plus protégé lorsque :

« 1° L’obtention du secret des affaires est intervenue dans le cadre de l’exercice du droit à l’information et à la consultation des salariés ou de leurs représentants ;

« 2° La divulgation du secret des affaires par des salariés à leurs représentants est intervenue dans le cadre de l’exercice légitime par ces derniers de leurs fonctions, pour autant que cette divulgation ait été nécessaire à cet exercice.

« Chapitre II

« Des actions en prévention, en cessation ou en réparation
d’une atteinte au secret des affaires

« Art. L. 152-1. – Toute atteinte au secret des affaires telle que prévue aux articles L. 151-3 à L. 151-5 engage la responsabilité civile de son auteur.

« Section 1

« Des mesures pour prévenir et faire cesser
une atteinte au secret des affaires

« Art. L. 152-2. – I. – Dans le cadre d’une action relative à la prévention ou la cessation d’une atteinte à un secret des affaires, la juridiction peut, sans préjudice de l’octroi de dommages et intérêts, prescrire, y compris sous astreinte, toute mesure proportionnée de nature à empêcher ou à faire cesser une telle atteinte. Elle peut notamment :

« 1° Interdire la réalisation ou la poursuite des actes d’utilisation ou de divulgation d’un secret des affaires ;

« 2° Interdire les actes de production, d’offre, de mise sur le marché ou d’utilisation des produits résultant de l’atteinte au secret des affaires ou l’importation, l’exportation ou le stockage de tels produits à ces fins ;

« 3° Ordonner la destruction totale ou partielle de tout document, objet, matériau, substance ou fichier numérique contenant le secret des affaires concerné ou dont il peut être déduit ou, selon le cas, ordonner leur remise totale ou partielle au demandeur.

« II. – La juridiction peut également ordonner que les produits résultant de l’atteinte au secret des affaires soient rappelés des circuits commerciaux, écartés définitivement de ces circuits, modifiés afin de supprimer l’atteinte au secret des affaires, détruits ou, selon le cas, confisqués au profit de la partie lésée.

« III. – Lorsque la juridiction limite la durée des mesures mentionnées aux 1° et 2° du I, la durée fixée doit être suffisante pour éliminer tout avantage commercial ou économique que l’auteur de l’atteinte au secret des affaires aurait pu tirer de l’obtention, de l’utilisation ou de la divulgation illicite du secret des affaires.

« IV. – Sauf circonstances particulières et sans préjudice des dommages et intérêts qui pourraient être réclamés, l’ensemble des mesures mentionnées aux I à III sont ordonnées aux frais de l’auteur de l’atteinte.

« Il peut y être mis fin à la demande de l’auteur de l’atteinte lorsque les informations concernées ne peuvent plus être qualifiées de secret des affaires au sens de l’article L. 151-1 pour des raisons qui ne dépendent pas, directement ou indirectement, de lui.

« V (nouveau). – Pour prévenir une atteinte imminente ou faire cesser une atteinte illicite à un secret des affaires, le juge peut ordonner des mesures provisoires et conservatoires dont les modalités sont déterminées par décret en Conseil d’État.

« Art. L. 152-2-1 (nouveau). – Sans préjudice de l’article L. 152-3, la juridiction peut ordonner, à la demande de l’auteur de l’atteinte, le versement d’une indemnité à la partie lésée au lieu des mesures mentionnées aux I à III de l’article L. 152-2 lorsque sont réunies les conditions suivantes :

« 1° Au moment de l’utilisation ou de la divulgation du secret des affaires, l’auteur de l’atteinte ne savait pas ni ne pouvait savoir au regard des circonstances que le secret des affaires avait été obtenu d’une autre personne qui l’utilisait ou le divulguait de façon illicite ;

« 2° L’exécution des mesures mentionnées aux I à III de l’article L. 152-2 causerait à cet auteur un dommage disproportionné ;

« 3° Le versement d’une indemnité à la partie lésée paraît raisonnablement satisfaisant.

« L’indemnité prévue au présent article ne peut être fixée à un montant supérieur au montant des redevances ou droits qui auraient été dus si l’auteur de l’atteinte avait demandé l’autorisation d’utiliser le secret des affaires pendant la période au cours de laquelle son utilisation aurait pu être interdite.

« Section 2

« De la réparation d’une atteinte au secret des affaires

« Art. L. 152-3. – Pour fixer les dommages et intérêts dus en réparation du préjudice effectivement subi, la juridiction prend notamment en considération :

« 1° Les conséquences économiques négatives de l’atteinte au secret des affaires, dont le manque à gagner et la perte subie par la partie lésée, y compris la perte de chance ;

« 2° Le préjudice moral causé à la partie lésée ;

« 3° Les bénéfices réalisés par l’auteur de l’atteinte au secret des affaires, y compris les économies d’investissements intellectuels, matériels et promotionnels que celui-ci a retirées de l’atteinte.

« La juridiction peut, à titre d’alternative et sur demande de la partie lésée, allouer à titre de dommages et intérêts une somme forfaitaire qui tient notamment compte des redevances ou droits qui auraient été dus si l’auteur de l’atteinte avait demandé l’autorisation d’utiliser le secret des affaires en question. Cette somme n’est pas exclusive de l’indemnisation du préjudice moral causé à la partie lésée.

« Art. L. 152-4. – (Supprimé)

« Section 3

« Des mesures de publicité

« Art. L. 152-5. – La juridiction peut ordonner toute mesure de publicité de la décision relative à l’obtention, l’utilisation ou la divulgation illicite d’un secret des affaires, notamment son affichage ou sa publication intégrale ou par extraits dans les journaux ou sur les services de communication au public en ligne qu’elle désigne, selon les modalités qu’elle précise.

« Lorsqu’elle ordonne une telle mesure, la juridiction veille à protéger le secret des affaires dans les conditions prévues à l’article L. 153-1.

« Les mesures sont ordonnées aux frais de l’auteur de l’atteinte.

« Section 4

« Des sanctions en cas de procédure dilatoire ou abusive

(Division et intitulé nouveaux)

« Art. L. 152-6 (nouveau). – Toute personne physique ou morale qui agit de manière dilatoire ou abusive sur le fondement du présent chapitre peut être condamnée au paiement d’une amende civile dont le montant ne peut être supérieur à 20 % du montant de la demande de dommages et intérêts. En l’absence de demande de dommages et intérêts, le montant de l’amende civile ne peut excéder 60 000 €.

« L’amende civile peut être prononcée sans préjudice de l’octroi de dommages et intérêts à la partie victime de la procédure dilatoire ou abusive.

« Chapitre III

« Des mesures générales de protection du secret des affaires
devant les juridictions civiles ou commerciales

« Art. L. 153-1. – Lorsque, à l’occasion d’une instance civile ou commerciale ayant pour objet une mesure d’instruction sollicitée avant tout procès au fond ou à l’occasion d’une instance au fond, il est fait état d’une pièce dont il est allégué par une partie ou un tiers qu’elle est de nature à porter atteinte à un secret des affaires, le juge peut, d’office ou à la demande des parties ou d’un tiers, si la protection de ce secret ne peut être assurée autrement et sans préjudice de l’exercice des droits de la défense :

« 1° Prendre seul connaissance de cette pièce, limiter sa communication ou sa production à certains éléments, en ordonner la communication ou la production sous forme de résumé et en restreindre l’accès à certaines personnes ;

« 2° Décider que les débats auront lieu et que la décision sera prononcée hors la présence du public ;

« 3° Adapter la motivation de sa décision aux nécessités de la protection du secret des affaires.

« Art. L. 153-2. – Toute personne ayant accès à une pièce ou au contenu d’une pièce considérée par le juge comme étant couverte ou susceptible d’être couverte par le secret des affaires est tenue à une obligation de confidentialité lui interdisant toute utilisation ou divulgation des informations qu’elle contient.

« Dans le cas d’une personne morale, l’obligation prévue au premier alinéa du présent article s’applique à ceux qui la représentent devant la juridiction.

« Les personnes ayant accès à la pièce ou à son contenu ne sont liées par cette obligation ni dans leurs rapports entre elles ni à l’égard des représentants légaux ou statutaires de la personne morale partie à la procédure.

« Les personnes habilitées à assister ou représenter les parties ne sont pas liées par cette obligation de confidentialité à l’égard de celles-ci, sauf en cas de mesures prises par le juge au titre du 1° de l’article L. 153-1 pour restreindre l’accès d’une ou de plusieurs pièces à certaines personnes.

« L’obligation de confidentialité perdure à l’issue de la procédure. Toutefois, elle prend fin si une juridiction décide, par une décision non susceptible de recours, qu’il n’existe pas de secret des affaires ou si les informations en cause ont entre-temps cessé de constituer un secret des affaires ou sont devenues aisément accessibles.

« Chapitre IV

« Conditions d’application

(Division et intitulé nouveaux)

« Art. L. 154-1 (nouveau). – Les conditions d’application du présent titre sont fixées par décret. »

Article 1^er bis (nouveau)

La section 2 du chapitre III du titre VIII du livre IV du code de commerce est abrogée.

Article 1^er ter (nouveau)

Le code de justice administrative est ainsi modifié :

1° Au livre VI, il est ajouté un titre I^er ainsi rédigé :

« TITRE I^ER

« LA PROCÉDURE ORDINAIRE

« Chapitre I^er

« La communication de la requête et des mémoires

« Section 1

« Dispositions générales

« Section 1 bis

« Dispositions propres à la communication électronique

« Section 2

« Dispositions applicables devant les tribunaux administratifs

« Section 3

« Dispositions applicables devant les cours administratives d’appel

« Section 4

« Dispositions applicables devant le Conseil d’État

« Section 5

« De la protection des pièces couvertes par le secret des affaires

« Art. L. 611-1. – Les exigences de la contradiction mentionnées à l’article L. 5 sont adaptées à celles de la protection du secret des affaires répondant aux conditions prévues au chapitre I^er du titre V du livre I^er du code de commerce. » ;

1° bis (nouveau) La section 6 du chapitre I^er du titre IV du livre VII est complétée par un article L. 741-4 ainsi rédigé :

« Art. L. 741-4. – La motivation de la décision peut être adaptée aux nécessités de la protection du secret des affaires. » ;

2° Le titre VII du même livre VII est ainsi modifié :

aa) (nouveau) Après le mot : « réserve », la fin de l’article L. 775-1 est ainsi rédigée : « des articles L. 153-1 et L. 153-2 du code de commerce et du titre VIII du livre IV du même code. » ;

a) L’article L. 775-2 est ainsi rédigé :

« Art. L. 775-2. – L’article L. 77-13-2 est applicable au présent chapitre. » ;

b) Il est ajouté un chapitre XIII ainsi rédigé :

« Chapitre XIII

« Le contentieux relatif à la prévention, la cessation ou la réparation
d’une atteinte au secret des affaires

« Art. L. 77-13-1. – Lorsqu’elles relèvent de la juridiction administrative, les actions tendant à prévenir, faire cesser ou réparer une atteinte portée au secret des affaires sont présentées, instruites et jugées selon les dispositions du présent code, sous réserve du titre V du livre I^er du code de commerce.

« Art. L. 77-13-2. – Par dérogation à l’article L. 4 du présent code, l’exécution de l’ordonnance enjoignant la communication ou la production d’une pièce ou d’une catégorie de pièces dont il est allégué qu’elle est couverte par le secret des affaires est suspendue jusqu’à l’expiration du délai d’appel ou, le cas échéant, jusqu’à ce qu’il ait été statué sur l’appel. »

Article 2

Le livre IX du code de commerce est ainsi modifié :

1° (nouveau) Le 1° de l’article L. 930-1 est complété par un alinéa ainsi rédigé :

« L’article L. 151-6 est applicable dans sa rédaction résultant de la loi n°     du      portant transposition de la directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulguées contre l’obtention, l’utilisation et la divulgation illicites ; »

2° Le I de l’article L. 950-1 est ainsi modifié :

a) Le 1° est complété par un alinéa ainsi rédigé :

« Les articles L. 151-1 à L. 153-2 sont applicables dans leur rédaction résultant de la loi n°     du      portant transposition de la directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués contre l’obtention, l’utilisation et la divulgation illicites ; »

b) (nouveau) Le tableau du second alinéa du 4° est ainsi modifié :

– la douzième ligne est ainsi rédigée :

– la dix-septième ligne est remplacée par deux lignes ainsi rédigées :

Article 3 (nouveau)

I. – À la fin du a du 1° de l’article L. 111-2 du code du cinéma et de l’image animée, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires ».

II. – Au premier alinéa du II de l’article 349 sexies du code des douanes, les mots : « commercial, industriel ou » sont remplacés par les mots : « secret des affaires ou un secret ».

III. – À la fin de la première phrase de l’avant-dernier alinéa de l’article L. 233-1 du code de l’énergie, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires ».

IV. – Le code de l’environnement est ainsi modifié :

1° À la première phrase du second alinéa du IV de l’article L. 120-1, les mots : « , du secret industriel et commercial » sont supprimés ;

2° Au II de l’article L. 412-7, au III de l’article L. 412-8, à la première phrase du premier alinéa du I, au second alinéa du même I et à la première phrase du premier alinéa du II de l’article L. 521-7 ainsi qu’au dernier alinéa de l’article L. 523-1, les mots : « industriel et commercial » sont remplacés par les mots : « des affaires » ;

3° À la fin de la première phrase du I de l’article L. 412-17, les mots « industriel ou commercial » sont remplacés par les mots : « des affaires » ;

4° À la fin de la première phrase de l’article L. 592-46-1, les mots : « en matière industrielle ou commerciale » sont remplacés par les mots : « des affaires ».

V. – Au premier alinéa du II de l’article L. 283 D du livre des procédures fiscales, les mots : « commercial, industriel ou » sont remplacés par les mots : « des affaires ou un secret ».

VI. – Au a du 1° du I de l’article L. 213-2 du code du patrimoine, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires ».

VII. – À la fin du dernier alinéa de l’article L. 615-5-1 du code de la propriété intellectuelle, les mots : « de fabrication et de commerce » sont remplacés par les mots : « des affaires ».

VIII. – La section 1 du chapitre I^er du titre I^er du livre III du code des relations entre le public et l’administration est ainsi modifiée :

1° Au 1° de l’article L. 311-6, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires » ;

2° À la fin du 1° de l’article L. 311-8, les mots : « industriel et commercial » sont remplacés par les mots : « des affaires ».

IX. – Le code rural et de la pêche maritime est ainsi modifié :

1° À la seconde phrase de l’article L. 201-3, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires » ;

2° Au premier alinéa et à la première phrase du second alinéa de l’article L. 253-2, les mots : « industriel et commercial » sont remplacés par les mots : « des affaires » ;

3° Au premier alinéa du II de l’article L. 612-5, les mots : « commercial, industriel ou » sont remplacés par les mots : « des affaires ou un secret ».

X. – Le code de la santé publique est ainsi modifié :

1° À la fin de la première phrase de l’article L. 1313-2, de l’avant-dernier alinéa de l’article L. 1333-29 et du 7° de l’article L. 5311-2, les mots : « en matière industrielle et commerciale » sont remplacés par les mots : « des affaires » ;

2° Au dernier alinéa de l’article L. 1313-3, les mots : « industriel et commercial » sont remplacés par les mots : « des affaires » ;

3° À la première phrase du II de l’article L. 1413-9, les mots : « industriels ou commerciaux » sont remplacés par les mots : « des affaires » ;

4° À la fin de la première phrase du 1° de l’article L. 1413-12-3, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires » ;

5° Au premier alinéa de l’article L. 5324-1, les mots : « présentant un caractère de confidentialité industrielle ou commerciale ou relevant » sont remplacés par les mots : « relevant du secret des affaires ou ».

XI. – Le code de la sécurité sociale est ainsi modifié :

1° À la fin de la deuxième phrase du quatrième alinéa de l’article L. 162-18, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires » ;

2° À l’article L. 455-3, les mots : « en matière industrielle et commerciale » sont remplacés par les mots : « des affaires ».

XII. – À la première phrase du premier alinéa de l’article L. 1511-4 du code des transports, les mots : « en matière commerciale et industrielle » sont remplacés par les mots : « des affaires ».

XIII. – Au premier alinéa du I de l’article 44 de l’ordonnance n° 2015-899 du 23 juillet 2015 relative aux marchés publics, les mots : « en matière industrielle et commerciale » sont remplacés par les mots : « des affaires ».

Délibéré en séance publique, à Paris, le 28 mars 2018.

Le Président,
Signé : François de RUGY

La proposition de loi déposée le 19 mars 2018

(Renvoyée à la commission des lois constitutionnelles, de la législation et de l’administration générale
de la République, à défaut de constitution d’une commission spéciale
dans les délais prévus par les articles 30 et 31 du Règlement.)

L’article La protection du secret des affaires devant l’Assemblée Nationale et le Sénat est apparu en premier sur Philippe Schmitt Avocats.

– le RGPD , le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Applicable notamment à la matière civile et commerciale, il constitue le cadre général de la protection des données. Les obligations prévues par le règlement seront également applicables aux opérateurs installés hors de l’Union européenne et offrant des biens et services aux Européens. Ce règlement est applicable à compter du 25 mai 2018 ;

– la directive (UE) 2016/680 relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales. Cette directive doit être transposée d’ici le 6 mai 2018.

La protection des données personnelles : un droit fondamental

Au préalable, ce projet de loi rappelle un acquis essentiel à la protection des données personnelles : « La protection des données à caractère personnel constitue l’une des dimensions du droit au respect de la vie privée ; elle est désormais consacrée comme un droit fondamental à part entière dans la Charte des droits fondamentaux de l’Union européenne (article 8) ». S’ajoute par conséquent aux deux textes précités, la Charte des droits fondamentaux que doit également intégrer en droit national ce projet de loi.

Rappelant l’importance que les français attachent à la protection de leurs données personnelles, ce projet rappelle que « seul le cadre européen permet d’y répondre même si la France a pu dès 1978 légiférer en la matière ».

La création de nouveaux droits effectifs et un nouveau paradigme

Deux axes de réforme sont soulignés .

La création de nouveaux droits en faveur des personnes physiques .

Le règlement conforte les droits des personnes physiques sur leurs données à caractère personnel déjà garantis dans la loi du 6 janvier 1978 (notamment le droit d’information des personnes), et en crée de nouveaux comme le droit à l’effacement ou « droit à l’oubli » et le droit à la portabilité des données.  

Un changement de paradigme : la déclaration préalable transformée en une mise en conformité permanente.

« le passage d’un système de contrôle a priori de la CNIL, par le biais des déclarations et autorisations, à un contrôle a posteriori plus adapté aux évolutions technologiques. 

En contrepartie, la CNIL voit ses pouvoirs de contrôle et de sanctions renforcés avec la possibilité d’infliger des amendes pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’organisme concerné.

Un tel changement de paradigme nécessite une évolution des missions et pouvoirs de l’ensemble des autorités de protection des données de l’Union européenne et ainsi de la CNIL. »

Quant à la directive,  elle s’inscrit comme une exception au règlement, celle relative aux données personnelles en matière pénale mise en œuvre par une autorité compétente

« La directive s’applique aux traitements de données à caractère personnel mis en œuvre par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution des sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

La directive n’est pas applicable dès lors que le traitement de données est mis en œuvre pour des finalités qui ne sont pas pénales ou par une autorité qui n’est pas compétente ». 

La présentation du projet de loi faite par Madame Nicole BELLOUBET, Garde des Sceaux, Ministre de la Justice indique trois orientations.

1°) Le gouvernement ne souhaite pas intervenir sur tous les points ( il y a une cinquantaine) sur lesquels le règlement laisse un pouvoir d’intervention aux Etats

Le règlement étant directement applicable, le projet de loi ne peut recopier ses dispositions. Il en est ainsi des dispositions relatives au délégué à la protection des données. Toutefois, le règlement prévoit plus d’une cinquantaine de marges de manœuvre qui permettent aux États membres de préciser certaines dispositions ou de prévoir plus de garanties que ce que prévoit le droit européen. Certaines marges de manœuvre permettent de maintenir des dispositions déjà existantes dans notre droit national. D’autres, en revanche, peuvent être mises en œuvre afin notamment de prendre en compte l’évolution technologique et sociétale. À cet égard, l’article 8 du règlement fixe à 16 ans l’âge à partir duquel un mineur peut consentir à une offre directe de services de la société de l’information, tout en laissant aux États membres la possibilité d’abaisser cet âge du consentement jusqu’à 13 ans. Le Gouvernement ayant fait le choix de ne pas faire usage de cette marge de manœuvre, le projet de loi ne contient aucune disposition sur l’âge du consentement, le seuil de 16 ans fixé par le règlement s’appliquant.

2°) S’agissant du traitement des données personnelles pénales par des autorités compétentes, il s’agit de distinguer i) ce qui appartient au droit de l’Union des prérogatives conservées par les Etats, ii) ce qui est du domaine du règlement, ou de la directive, et partant, pour enfin déterminer  iii) les objectifs fixés par la directive.

La directive s’applique aux traitements de données à caractère personnel mis en œuvre par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution des sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

La directive n’est pas applicable dès lors que le traitement de données est mis en œuvre pour des finalités qui ne sont pas pénales ou par une autorité qui n’est pas compétente

La directive n’est pas non plus applicable aux traitements intéressant la sûreté de l’État et la défense, qui ne relèvent pas du droit de l’Union européenne.

L’articulation entre la directive et le règlement est précisée par le considérant 12 de la directive. Celui-ci indique notamment que relèvent de la directive les traitements concernant des « activités menées par la police ou d’autres autorités répressives [qui] sont axées principalement sur la prévention et la détection des infractions pénales et les enquêtes et les poursuites en la matière, y compris les activités de police effectuées sans savoir au préalable si un incident constitue une infraction pénale ou non ». Il précise que « ces activités peuvent également comprendre l’exercice de l’autorité par l’adoption de mesures coercitives, par exemple les activités de police lors de manifestations, de grands événements sportifs et d’émeutes », et que « parmi ces activités figure également le maintien de l’ordre public lorsque cette mission est confiée à la police ou à d’autres autorités répressives lorsque cela est nécessaire à des fins de protection contre les menaces pour la sécurité publique et pour les intérêts fondamentaux de la société protégés par la loi, et de prévention de telles menaces, qui sont susceptibles de déboucher sur une infraction pénale ». Il indique en revanche, qu’entrent dans le champ d’application du règlement, pour autant qu’ils relèvent du droit de l’Union, les traitements par lesquels « les États membres [confient] aux autorités compétentes d’autres missions qui ne sont pas nécessairement menées à des fins de prévention et de détection des infractions pénales, d’enquêtes ou de poursuites en la matière, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».

Les principales innovations de la directive consistent en la création :

– d’un droit à l’information de la personne concernée par les données personnelles traitées ;

– d’un droit d’accès, de rectification et d’effacement s’exerçant par principe de manière directe, alors que la loi actuelle prévoit un exercice indirect de ces droits pour les traitements intéressant la sécurité publique et la police judiciaire.

Elle précise également les conditions applicables aux transferts de données à caractère personnel vers les autres États membres, vers les États tiers et vers des entités privées au sein d’États tiers en instaurant un mécanisme à plusieurs niveaux en fonction du degré d’ « adéquation » du niveau de protection des données. Elle prévoit enfin que tous les accords incompatibles avec les règles de protection des données doivent être renégociés ou complétés par des protocoles pour assurer la protection des données à caractère personnel.

3°) la conservation de la loi de 1978

le Gouvernement a fait le choix symbolique de ne pas abroger la loi fondatrice du 6 janvier 1978. Certes, l’adaptation du droit national au règlement et la transposition de la directive exigent de remanier plusieurs articles de cette loi, mais les principes fondateurs dégagés par le législateur il y a près de quarante ans demeurent toujours valables.

L’article Données personnelles : projet de loi de transposition du paquet européen de protection des données personnelles est apparu en premier sur Philippe Schmitt Avocats.