Congrès des greffiers des tribunaux de commerce : protéger les données des entreprises dans la guerre économique

Le décor ne pouvait être plus à propos : à la veille de la venue du pape Léon XIV en France, Bertrand Dubujadoux, président du Conseil national des greffiers des tribunaux de commerce (CNGTC), a ouvert le 138e congrès de la profession dans la salle du Conclave du Palais des papes d’Avignon.

Face à un large public de greffiers des TC, de professionnels du droit et de chefs d’entreprise, et en écho au thème de cette nouvelle édition – « sentinelles de l’activité économique et garants de la sécurité de la vie des affaires » -, le président a d’abord posé trois mots : « Données, confiance, prévention. » « Trois piliers qui symbolisent l’équilibre que nous devons préserver », a-t-il martelé, avant d’en dérouler les ramifications : « Information, diffusion, open data, mais aussi occultation, sécurité, secret des affaires, espionnage, guerre économique. »

Derrière ces notions se joue, selon lui, une part essentielle de la mission des greffiers, « officiers publics et ministériels chargés de registres, chargés de données ». Dans une compétition économique mondialisée, « l’information sur les entreprises représente un enjeu stratégique majeur ». La donnée légale recueillie, certifiée et diffusée chaque jour par la profession constitue ainsi, à ses yeux, « un pilier indispensable d’une économie ouverte, transparente et accessible ».

Le président du CNGTC entend toutefois dépasser le seul rôle de gardien de cette information. « Nous ne sommes pas seulement les détenteurs, on dirait en termes religieux les custodes, d’un patrimoine d’informations légales. Nous sommes aussi des acteurs engagés, forces de proposition », a-t-il souligné. Cette responsabilité est d’autant plus sensible que, depuis 2025, les risques liés à la diffusion des informations sur les entreprises se sont concrétisés, avec des cas d’usurpation d’identité, voire d’agressions physiques.

Jérôme Dupré observe les manifestations de ces menaces dans les dossiers qu’il traite au quotidien :« La main invisible qu’on voit parfois dans certains dossiers, ce n’est pas la main invisible du marché. »

Le SISSE, vigie de l’État au service des entreprises

Mais l’État n’est pas démuni, a fait valoir Jérôme Dupré, magistrat détaché à Bercy, directeur de projet chargé de la lutte contre l’extraterritorialité du droit au Service de l’information stratégique et de la sécurité économiques (SISSE).

Créé en 2016, le SISSE a vu ses missions précisées par un décret de mars 2019. Rattaché à la direction générale des entreprises, le service travaille avec la Justice, le Quai d’Orsay, le ministère de la Défense, le SGDSN et les services de renseignement, notamment la DGSI et la DRSD. Sa mission : détecter les menaces qui pèsent sur les entreprises stratégiques et les aider à y faire face.

Il s’organise en quatre directions de projet, dont l’une recense les alertes de sécurité économique, au nombre de « 750 l’an passé ». Celle que dirige l’intervenant vise à aider les entreprises à se protéger contre l’extraterritorialité du droit. C’est vers elle que se tournent les entités sommées de transmettre des informations à une autorité ou à une juridiction étrangère, pour savoir si elles en ont le droit, et par quelle voie.

« On a à Paris un peu plus d’une trentaine d’agents et l’équivalent en région », a précisé Jérôme Dupré. Placés auprès des préfets, ces délégués à l’information stratégique et à la sécurité économiques (DISSE) détectent les menaces et font remonter les alertes. L’intervenant a notamment invité les greffiers à les solliciter. Car si les grands groupes sont souvent « déjà aguerris », les sous-traitants de premier ou de second rang le sont beaucoup moins. « C’est vraiment de ce côté qu’il faut faire pencher la balance », a-t-il insisté.

Changements de dirigeants, transferts de siège, défaut de dépôt des comptes : les greffiers voient passer ces signaux de vulnérabilité, et leurs registres constituent des « gisements importants d’informations » a alerté le directeur.

Pour lutter contre ces menaces, le SISSE s’appuie sur la loi de 1968, qui encadre la transmission de documents réclamés par des autorités étrangères. On la surnomme « loi de blocage », mais le directeur de projet du SISSE préfère parler de « filtrage » et d’« aiguillage ». Car ce texte pénal de quatre articles n’interdit pas de communiquer : il décide de ce qui peut l’être, et par quel chemin.

Depuis 2022, un guichet interministériel piloté par le SISSE examine ainsi les demandes et peut écarter les informations touchant à la souveraineté, à la sécurité nationale ou aux intérêts économiques essentiels de la France. À l’issue de l’examen, il rend un avis que l’entreprise peut présenter au juge étranger pour justifier son refus de transmettre certaines informations. Les entreprises peuvent d’ailleurs elles-mêmes saisir le SISSE lorsqu’elles estiment qu’une demande étrangère porte sur des informations sensibles.

Reste, pour les entreprises, à composer avec une double exigence : répondre au juge étranger tout en respectant le droit français. Coincées « entre le marteau et l’enclume », les entreprises trouvent dans ces avis un levier juridico-diplomatique pour « limiter la casse ». Encore faut-il que ceux-ci ne tombent pas entre de mauvaises mains : ils sont eux-mêmes confidentiels. En France, toute personne peut en principe demander à une administration la communication de ses documents. La loi prévoit toutefois des exceptions : c’est à ce titre que le SISSE a obtenu que ses avis échappent à toute communication.

Quand le droit devient une arme

« Très souvent, les captations d’informations ne se présentent pas comme telles. » Pour Jérôme Dupré, tout le piège est là. L’espionnage économique ne passe plus seulement par l’intrusion ou le vol : il emprunte désormais les voies du droit. On parle de « lawfare », contraction de law et de warfare, soit une guerre menée par le droit, qui sert tantôt à obtenir des informations sensibles, tantôt à affaiblir un concurrent.

Les formes sont multiples. Des « patent trolls », sociétés spécialisées dans le contentieux des brevets, engagent parfois des procédures dans le seul but de déstabiliser une entreprise. D’autres sociétés sont mises en cause, pour des motifs en apparence légitimes, sur des violations de sanctions internationales. L’affaire est médiatisée, et même si aucune condamnation n’intervient à l’issue, « le mal est fait », a déploré l’intervenant.

Reste à savoir comment un État peut poursuivre une entreprise qui n’est pas la sienne. C’est le rôle du « nexus », ce lien de rattachement, parfois très ténu, qui lui permet d’appliquer sa loi au-delà de ses frontières. Les critères retenus sont souvent très larges : payer dans sa monnaie, passer par ses banques, faire transiter des données par un serveur situé sur son sol, y avoir une présence commerciale ou y être coté en bourse.

Pour certaines législations, il suffit même d’un site internet qui s’adresse à son marché. La corruption d’agents publics étrangers en donne un exemple concret. « Une entreprise française soupçonnée d’avoir versé des pots-de-vin à un fonctionnaire d’un pays tiers peut être poursuivie par un troisième État, avec lequel le lien est pourtant loin d’être évident », a-t-il illustré. Difficile de ne pas penser à Alstom, qui l’a appris à ses dépens : pour des pots-de-vin versés notamment en Indonésie, en Égypte et en Arabie saoudite, le groupe a été condamné en 2014 aux États-Unis à 772 millions de dollars d’amende.

 « Qui oserait s’opposer à la lutte contre la corruption ? » C’est précisément ce qui rend ces procédures redoutables, a souligné Jérôme Dupré : « Derrière ça, il peut y avoir des objectifs tout à fait autres. »

Des procédures qui aspirent l’information

Une fois la procédure lancée, les outils de collecte ne manquent pas. La discovery permet de réclamer des informations de façon massive, y compris sans lien direct avec le litige. Dans certains pays, des agences étatiques mènent des enquêtes qui se soldent par des accords en amont, sans même que la culpabilité de l’entreprise soit débattue.

La France a repris ce modèle avec la convention judiciaire d’intérêt public (CJIP) : le parquet pousse l’entreprise à coopérer, en contrepartie notamment de la mise en place d’un programme de conformité. L’avantage du dispositif français est d’en confier le « monitorat », à l’Agence française anticorruption (AFA). Ce qui a été le cas pour Airbus.

En 2020, l’avionneur a conclu une CJIP avec le Parquet national financier, assortie d’une amende d’environ 2 milliards d’euros, dans le cadre d’un accord global passé également avec les autorités américaines et britanniques. Il a ensuite été placé sous le contrôle de l’AFA plutôt que sous celui d’un moniteur étranger, pour éviter que d’autres ne viennent « siphonner » les informations recueillies à cette occasion a affirmé le directeur du SISSE.

Les audits menés par des autorités étrangères relèvent de la même logique. Jérôme Dupré a cité le cas d’une agence chargée de vérifier la sécurité de produits exportés dans son pays, qui a réclamé le fichier client mondial de l’entreprise. « Pourquoi mondial ? Quel intérêt par rapport à la nature de l’enquête ? Eh bien, je ne sais pas », a-t-il ironisé. La même agence demandait aussi des informations sur des produits jamais exportés dans ce pays. Et les auditeurs ne choisissent pas le siège, mais le site où est fabriqué le produit phare de l’entreprise. Stratégie, R&D, fichier client, structure des coûts : tout peut alors être exposé.

Face à ces risques, la meilleure défense reste contractuelle et se prépare en amont. Le magistrat a notamment salué certaines clauses de confidentialité anglo-saxonnes qui ont, selon lui, « l’intelligence » de ne pas s’en tenir au principe. Elles précisent de quelle manière la confidentialité sera assurée, où seront stockées les données, dans quel type de locaux, et prévoient même des obligations de minimisation des dommages en cas de fuite. Une exigence encore rare dans les contrats français.

Des failles encore visibles

Pourtant, une faille demeure dans l’arsenal français. Si un groupe de commerciaux se rend dans une entreprise pour y présenter une solution, qu’en pleine réunion, l’un d’eux s’absente pour aller aux toilettes, et qu’on le retrouve dans une salle interdite d’accès, en train de photographier des machines, « que peut-on faire ? », a interrogé le magistrat. Presque rien, a-t-il souligné.

Entré licitement, le visiteur n’a commis aucune infraction pénale. Le retenir serait une séquestration, et il est impossible de saisir son téléphone ou de le placer en garde à vue. Contrairement aux États-Unis, à l’Allemagne ou au Canada, la France ne connaît pas de protection pénale du secret des affaires : elle s’en est tenue au volet civil, où la preuve reste difficile à rapporter. Pour Jérôme Dupré, les manœuvres elles-mêmes devraient pourtant suffire à caractériser l’atteinte. Si l’information n’était pas secrète, nul n’aurait eu besoin de ruser pour l’obtenir. « Avec les lunettes connectées, ces situations ne peuvent que se multiplier » a déploré le juriste.

Reste la question des données, de plus en plus hébergées chez des prestataires étrangers. Une fois stockées sur des serveurs soumis à une législation étrangère, elles peuvent devenir accessibles à d’autres États. Pour Jérôme Dupré, la parade consiste à cloisonner, en maîtrisant le lieu de stockage des données. Mais la menace ne vient pas seulement des États-Unis. La Chine multiplie à son tour les législations extraterritoriales, en matière douanière comme en matière de protection des données. Elle le fait dans une logique de contrôle gouvernemental, « un peu l’inverse de la logique RGPD ». Face à des régimes juridiques souvent contradictoires, les entreprises affrontent désormais un véritable « casse-tête ».