Secret des affaires : ce que la loi du 30 juillet 2018 change concrètement pour votre entreprise

La loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires est passée relativement inaperçue lors de son adoption, alors qu'elle offre aux entreprises françaises un vrai levier juridique pour protéger leurs informations sensibles. Elle transpose une directive européenne du 8 juin 2016, et son fonctionnement mérite d'être compris — parce qu'il conditionne directement si vos informations sont protégeables ou non.

Trois conditions cumulatives, pas automatiques

Contrairement à un brevet ou une marque, le secret des affaires ne s'enregistre nulle part. La loi (codifiée à l'article L.151-1 du Code de commerce) protège une information à condition qu'elle réponde simultanément à trois critères :

• Elle n'est pas généralement connue ou aisément accessible pour les personnes familières de ce type d'informations dans le secteur concerné
• Elle a une valeur commerciale, effective ou potentielle, du fait de son caractère secret
• Elle fait l'objet, de la part de son détenteur, de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret

Peuvent entrer dans ce champ : méthodes de vente, fichiers clients, listes de fournisseurs, procédés de fabrication, évaluations produits, stratégies commerciales ou financières — à peu près tout ce qui vous donne un avantage concurrentiel tant que ça reste confidentiel.

Le troisième critère est celui qui pose problème en pratique

Les deux premiers critères sont souvent faciles à établir. Le troisième, en revanche, suppose une démarche active et démontrable : la jurisprudence a confirmé que la charge de la preuve du secret des affaires repose sur celui qui l'invoque (Cour d'appel de Paris, 17 décembre 2020). Autrement dit, en cas de litige, ce n'est pas à l'adversaire de prouver que l'information n'était pas protégée — c'est à vous de prouver qu'elle l'était, mesures de protection à l'appui.

Sans preuve de mesures raisonnables, une entreprise peut perdre le bénéfice de la protection légale, même si l'information avait objectivement une vraie valeur commerciale et était réellement secrète.

Ce que la loi entend par « mesures raisonnables »

Le texte ne fixe pas de liste fermée, mais la pratique et la doctrine juridique convergent vers plusieurs types de mesures : classification des informations sensibles, restriction des accès, clauses de confidentialité dans les contrats, formation des collaborateurs, sécurisation des systèmes d'information — et, moins souvent citée mais tout aussi pertinente, la sécurisation physique et électronique des lieux où ces informations sont discutées ou stockées.

Une salle de réunion jamais auditée, où se discutent chaque mois des informations stratégiques, est difficilement compatible avec la notion de « mesures de protection raisonnables ».

Le lien avec les audits de sécurité électronique

C'est là que la loi rejoint directement notre métier. Un audit TSCM documenté et daté — avec son rapport et son empreinte spectrale de référence — constitue un élément de preuve concret que l'entreprise a pris des mesures actives pour protéger la confidentialité de ses échanges. À l'inverse, l'absence totale de démarche de ce type peut, en cas de litige, fragiliser la capacité d'une entreprise à faire valoir le secret des affaires sur une information qui aurait pourtant mérité protection.

Ce n'est pas une garantie absolue — la loi n'impose pas un audit TSCM en tant que tel — mais c'est un élément tangible qui s'ajoute utilement aux autres mesures (contractuelles, informatiques, organisationnelles) pour construire un dossier de protection cohérent.

Cet article a une vocation informative et ne constitue pas un conseil juridique. Pour toute question sur la qualification ou la protection d'une information au titre du secret des affaires, rapprochez-vous d'un avocat spécialisé.