Les données, une composante du patrimoine informationnel de l’entreprise

Partant du postulat que le patrimoine informationnel correspond à l’ensemble des informations – au sens large – que possède une personne morale, nous pouvons nous interroger sur l’organisation et la méthode qui vont permettre de faire rentrer ces informations dans le patrimoine de l’entreprise. Ainsi, parmi ces informations, nous trouvons les données qui entrent dans le champ du patrimoine informationnel dès lors qu’elles sont exploitées et source de valeur pour la personne morale qui en dispose, ce que la jurisprudence a reconnu en lui conférant un statut juridique particulier.

Pour leur conférer la qualité de patrimoine informationnel au sein de l’entreprise, les données doivent faire l’objet d’une protection juridique appropriée (1) tout en s’assurant que ces mêmes données ne représentent pas un risque pour l’entreprise (2). Deux actions que nous proposons de voir successivement.  

1) La protection juridique des données

Les données, enjeu du siècle, qu’elles soient publiques, privées ou personnelles, doivent être protégées. Pour cela les données peuvent être protégées par :

• Le droit d’auteur en protégeant la structure ou l’agencement de la base de données sous condition de l’originalité (article L.112-3 du Code de la Propriété intellectuelle) ;

• Le droit sui generis des bases de données qui a été codifié au Titre IV du Livre III du Code de la Propriété intellectuelle qui est intégralement consacré aux Droits des producteurs de bases de données. Ce qui importe c’est que le producteur souhaitant bénéficier de la protection de ses données démontre qu’il est celui qui a investi dans la constitution de la base et que cet investissement est financier, matériel ou humain, qu’il est substantiel et qu’il porte sur la constitution, la vérification et/ou la présentation de la base ;

• Le droit du secret des affaires (article L.151-1 du Code de commerce) dès lors que ces données établissent une information secrète avec une valeur commerciale du fait de ce caractère secret.

C’est en établissant cette protection de ces données que l’entreprise va la faire rentrer dans son patrimoine informationnel, en mesurer non seulement sa valeur mais aussi les risques qu’elles peuvent lui engendrer.

2)    Les risques à identifier en cas de cession de l’entreprise

Les risques liés aux données composant le patrimoine informationnel de l’entreprise relèvent principalement de leur conformité au Règlement Général sur la Protection de la Donnée (RGPD) qui encadre strictement l’utilisation qui en est faite.

Le non-respect de cette règlementation peut avoir de graves conséquences en cas de cession de l’entreprise. D’abord le cessionnaire s’expose aux risques inhérents à une non-conformité :

• Impossibilité d’exploiter les données,
• Amende administrative,
• Sanction pénale ;  
• Risque réputationnel.

Ensuite, la cession peut être annulée purement et simplement. Ainsi, la connaissance par le cessionnaire du niveau de conformité est essentielle pour apprécier le niveau de risque et, partant, tenter de s’en prémunir.

Dès lors qu’il s’agit d’information, il est important de s’assurer que ces données peuvent être collectées. Dans le cas contraire, ces données deviennent une source de risque, car elles ne sont plus exploitables et elles peuvent engendrer un risque pénal. Ainsi des pratiques relatives à l’intelligence économique, qui sont légales voire aujourd’hui favorisées par les gouvernements, peuvent être interprétées comme étant de l’espionnage industriel entre Etats.

Au vu de la place de plus en plus importante que prennent les informations, et par voie de conséquence les données, dans le patrimoine informationnel de l’entreprise, il est important de bien établir leur protection pour bien mesurer les risques qu’elles peuvent engendrer en plus de la valeur que cette protection juridique va leur conférer.

A rapprocher : DSI – Comment gérer le patrimoine informationnel de l’entreprise ? (IT Social, 2 mars 2016) ; Protection du patrimoine informationnel (2007, FedISA – CIGREF) ; Cass. crim., 20 mai 2015, n°14-81.336 (une personne a téléchargé des fichiers informatiques de données et les a diffusés à des tiers « sans le consentement de leur propriétaire ». Il est alors reconnu qu’une donnée peut être la chose d’autrui.) ; Cass. com., 25 juin 2013, n°12-17.037, FS-PBI (annulation d’une cession d’actifs [fichiers informatiques contenant des données personnelles] pour absence de déclaration à la CNIL sous l’empire de la Loi Informatique et libertés.)