Le Secret des Affaires se Perd des Années Avant la Démission. Demandez au Poulet Faccenda.
Le procès d'Apple contre OpenAI, autour de deux ingénieurs partis, se joue sur des frontières tracées, ou jamais tracées, bien avant la démission. Le droit anglais compte les points de la même façon depuis qu'une entreprise de poulets a attaqué son propre directeur commercial dans les années 1980, et la même directive européenne fonde aujourd'hui le secret des affaires en France.
« Comment protéger le secret des affaires quand un salarié s'en va ? » est la question que toute direction juridique finit par se poser, et elle arrive au mauvais moment. Le jour où la lettre de démission atterrit sur le bureau, la solidité d'une éventuelle action en justice est déjà scellée, non par les avocats mais par des choix d'identité numérique et de comptes pris des années plus tôt. Le droit anglais tient ce score depuis près de quarante ans. La plupart des systèmes informatiques n'ont jamais été conçus pour ça.
La démonstration en cours se joue chez Apple, qui poursuit deux de ses anciens ingénieurs. La plainte d'Apple cite Tang Tan et Chang Liu, deux anciens salariés d'Apple aujourd'hui chez OpenAI, accusés d'avoir emporté des informations confidentielles et débauché d'anciens collègues au passage. Ce ne sont que des allégations, pas des faits établis. OpenAI a demandé le rejet de l'affaire, tandis qu'Apple sollicite une injonction préliminaire pour bloquer toute utilisation des secrets revendiqués pendant que le litige suit son cours devant un tribunal fédéral californien. Ôtez les noms de marque et le tribunal, et vous retrouvez la mécanique standard de tout départ de talent contesté, à Lyon comme à Cupertino : un camp dit « ils ont pris nos documents », l'autre répond « montrez-moi le secret d'affaires ».
Que protège le droit anglais quand un salarié s'en va ?
Moins que ne le pensent la plupart des employeurs, et l'arrêt de référence parle de poulets. Dans Faccenda Chicken v Fowler, la Cour d'appel anglaise a examiné le cas d'un directeur commercial parti avec les tournées de livraison, les noms de clients et les grilles tarifaires en tête, pour s'installer à son compte en concurrence directe. Elle a jugé qu'une fois le contrat de travail rompu, l'obligation implicite de confidentialité ne protège plus que les secrets d'affaires au sens strict. Les informations confidentielles qui se sont fondues dans le savoir-faire, la mémoire et l'expérience du salarié partent avec lui, sauf clause de non-concurrence valable. Un savoir en tête est une mobilité protégée ; des fichiers dans un sac sont un contentieux potentiel. Une entreprise dont les systèmes ne savent pas distinguer les deux n'a aucun moyen de faire respecter une différence que le droit, lui, exige.
Le législateur a ensuite ouvert une seconde voie, avec un piège dedans. Le règlement britannique Trade Secrets (Enforcement, etc.) Regulations 2018 définit le secret d'affaires comme une information secrète, ayant une valeur commerciale du fait de son secret, et ayant fait l'objet de « dispositions raisonnables, compte tenu des circonstances » pour la garder secrète. Ce texte transpose au Royaume-Uni la même directive européenne 2016/943 que la France a transposée de son côté par la loi du 30 juillet 2018 relative à la protection du secret des affaires, codifiée aux articles L. 151-1 et suivants du Code de commerce. Le critère des mesures raisonnables n'est donc pas une bizarrerie britannique : c'est le même verrou qu'un juge parisien appliquerait à votre dossier.
Soyez précis sur la juridiction, car la plupart des commentaires ne le sont pas. Le Defend Trade Secrets Act américain intègre une exigence similaire de « mesures raisonnables » dans une définition fédérale unique, et c'est ce test qu'Apple doit satisfaire face à OpenAI. Le droit anglais est plus éclaté : les Regulations 2018 coexistent avec l'action de common law pour rupture de confidentialité (« breach of confidence »), qui ne comporte pas ce volet statutaire. Le droit français, lui, a tranché autrement : depuis 2018, le secret des affaires forme une catégorie unique du Code de commerce, sans action parallèle de droit commun équivalente. Le confort reste limité dans les trois systèmes : ratez le test des mesures raisonnables et vous perdez la qualification même de secret d'affaires, ce qui offre à la défense l'essentiel de son plan de contre-interrogatoire.
Pourquoi la liaison des comptes personnels aux appareils professionnels change-t-elle la donne ?
Parce que les mesures raisonnables s'apprécient sur ce qui s'est réellement passé dans votre parc informatique, pas sur ce que dit la charte interne. Une allégation qui gravite autour d'Apple devrait inquiéter toute entreprise qui carbure à la simplicité d'usage : une plainte de salarié distincte, rapportée par le Los Angeles Times, affirme que le personnel relie couramment les appareils fournis par l'entreprise à des comptes iCloud personnels. Une allégation, dans un autre litige, non prouvée à ce stade. Mais le schéma qu'elle décrit est quasi universel, car c'est le schéma que les plateformes encouragent. Faire vivre deux identités hermétiquement séparées sur des écosystèmes grand public suppose deux connexions, deux bibliothèques photo, deux moyens de paiement et un va-et-vient permanent. Le personnel relie les comptes parce que c'est le chemin de moindre résistance, et personne ne s'y oppose le premier jour. L'entreprise encaisse le confort immédiatement et le paie des années plus tard, dans la seule monnaie que les tribunaux acceptent : une frontière prouvable. Si un juge demande comment les joyaux de la couronne étaient protégés et que la réponse honnête est « ils vivaient dans un compte qui contenait aussi les photos de vacances du salarié », l'argument des mesures raisonnables s'effondre avant même l'examen des pièces.
L'exposition joue dans les deux sens. L'entreprise qui recrute hérite de l'ambiguïté : si votre nouvel ingénieur principal arrive avec un compte personnel plein de contenus qu'on ne peut classer proprement, la négligence de son ancien employeur devient votre risque contentieux.
Comment mesurer votre propre exposition ?
Faites un seul calcul cette semaine, sans avocat. Sortez l'inventaire des appareils de votre MDM et comptez les postes gérés qui ont aussi une identité grand public connectée à côté du profil professionnel : un identifiant Apple personnel qui synchronise iCloud Drive ou Photos, un compte Google personnel avec Drive activé, un compte Microsoft personnel logé dans le navigateur. Si votre outillage ne sait pas sortir ce chiffre, échantillonnez vingt ordinateurs à la main ; la version manuelle est déjà édifiante. Le pourcentage obtenu est votre taux de mélange (« commingling rate »), et il préfigure l'exercice de communication de pièces auquel vous feriez face en contentieux, puisque chacun de ces appareils est un endroit où documents de l'entreprise et contenus privés partagent un même contenant que vous demanderiez à un tribunal de croire séparé.
Posez ensuite deux questions complémentaires. Quelle part de votre matériel réellement secret, la catégorie stricte que protège Faccenda, est restreinte à une liste nominative plutôt qu'ouverte à « tout le personnel » ? Et lors du dernier départ géré, auriez-vous pu produire en une journée la liste complète des systèmes accessibles depuis ce compte ? Un haussement d'épaules à l'une ou l'autre question signifie que vos secrets d'affaires sont aujourd'hui protégés par l'espoir, rien de plus.
Comment protéger le secret des affaires quand un salarié s'en va ?
Surtout à l'embauche ; le départ ne fait que récolter les preuves. Quatre leviers font l'essentiel du travail. Faites de l'identité professionnelle le chemin de moindre résistance, pour que personne n'ait besoin d'un compte personnel de secours pour travailler. Adossez la classification à des contenants, car un secret qui vit partout ne répond à aucune définition d'un secret. Faites en sorte que la révocation corresponde à la réalité : couper un compte ne sert à rien si ce compte n'était pas l'unique porte d'accès. Et menez les départs en nommant des documents précis plutôt qu'en agitant la formule « informations confidentielles », car Faccenda, les Regulations 2018 et le Code de commerce français récompensent tous les trois la précision. Rien de tout cela n'est un ticket informatique. C'est une décision de stratégie sur la façon dont les systèmes de votre organisation incarnent sa position juridique, et le sujet se durcit à mesure que des agents logiciels commencent à détenir leurs propres identifiants : la même logique de frontière sous-tend la sécurisation des systèmes agentiques, où le « salarié » susceptible de partir avec vos données est un processus.
La version brute : le droit, anglais comme français, n'empêchera jamais un savoir de quitter les locaux, et il n'arrêtera les documents que si vous les avez traités en secrets pendant que vous les déteniez encore. Comptez vos appareils mélangés cette semaine, et vous saurez de quel côté de cette ligne vous vous trouvez avant qu'un tribunal ne vous l'apprenne.
Questions fréquentes
Une entreprise peut-elle empêcher un ancien salarié d'utiliser ce qu'il a appris pendant son contrat ?
Généralement non. Depuis Faccenda Chicken v Fowler, les tribunaux anglais jugent que le savoir-faire, l'expérience et les connaissances générales acquises pendant l'emploi appartiennent au salarié et partent avec lui ; seuls les secrets d'affaires au sens strict restent protégés après le départ, sauf clause de non-concurrence valable venant s'y ajouter. En France, la loi du 30 juillet 2018 pose un principe voisin : seule l'information répondant à la définition légale du secret des affaires (secrète, à valeur commerciale, couverte par des mesures raisonnables) reste opposable au salarié parti. Le vrai combat porte donc presque toujours sur des documents ou des données, pas sur des connaissances.
Que sont les « mesures raisonnables » pour protéger un secret d'affaires ?
Le règlement britannique de 2018 comme le Code de commerce français en font une condition de la qualification même de secret d'affaires : sans elles, il n'y a tout simplement pas de secret d'affaires à faire valoir. Les tribunaux regardent ce qui s'est réellement passé au quotidien : accès limité aux personnes qui en avaient besoin, documents identifiés et stockés dans des emplacements contrôlés, clauses de confidentialité dans les contrats, et révocation qui coupe réellement l'accès au départ. L'action de droit commun pour rupture de confidentialité, qui existe en parallèle en droit anglais, ne comporte pas ce volet statutaire, mais le même laxisme la fragilise tout autant en pratique.
Faut-il autoriser les salariés à se connecter à des comptes personnels sur leurs appareils professionnels ?
Seulement si vous l'encadrez délibérément. Les interdictions générales échouent presque toujours parce qu'elles luttent contre les incitations des plateformes ; les salariés relient leurs comptes parce que la séparation est pénible. L'approche qui fonctionne consiste à rendre l'identité professionnelle pleinement suffisante pour le travail quotidien, à utiliser des profils ou conteneurs gérés pour cloisonner les données, et à accepter que tout confort qui fusionne les deux identités fusionne aussi vos futures preuves.
À lire aussi
- Sur Ubuntu 26.04 LTS, le coreutils dont dépend votre build n'est plus du GNU
- La prime de souveraineté : pourquoi les entreprises paient plus cher une IA qu'aucun gouvernement étranger ne pourra couper
- La vérification d'âge migre vers le système d'exploitation, et scinde le marché en deux
- Security & Trust
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.