La responsabilité pénale du salarié après son départ de l’entreprise, lorsqu’il s’approprie des données de l’entreprise

Lorsqu’un collaborateur démissionne c’est bien souvent un nouveau départ pour celui-ci. Avant de quitter son entreprise, il est tentant de récupérer des documents auxquels on a eu accès et auxquels on a le plus souvent participé à leur élaboration.

Il s’agit pour le collaborateur de capitaliser sur son expérience dans les prochaines missions qui lui seront confiées.

Toutefois, cette pratique n’est pas sans risques, car elle peut tomber sous le coup de trois qualifications pénales différentes.

En premier lieu, les infractions d’atteinte à un Système de Traitement Automatisé de Données (« STAD »). Ainsi, le fait d’y accéder ou de s’y maintenir frauduleusement est puni de 2 ans d’emprisonnement et de 600.000 euros d’amende (art. 323-1 code pénal). Par exemple, le salarié qui après son départ de l’entreprise continu d’utiliser pendant deux ans une base de données uniquement accessible aux salariés de l’entreprise se rend coupable de l’infraction de maintien frauduleux dans un STAD (Cass. crim., 3 octobre 2007, n°07-81.045).

De la même manière, le fait d’extraire frauduleusement des données d’un STAD est puni de 5 ans d’emprisonnement et de 150.000 € d’amende (art. 323-3 code pénal). Ce qui peut être le cas du salarié qui récupère frauduleusement des données informatiques de l’entreprise avant son départ.

En second lieu, l’infraction d’abus de confiance, punie de 3 ans d’emprisonnement et de 375.000 euros d’amende, (art. 314-1 code pénal) peut être retenue à l’encontre d’un salarié qui conserve, après son départ de l’entreprise, un bien de celle-ci. Par exemple, l’employé qui a eu sa possession un fichier de clientèle appartenant à son employeur, le conserve après la cessation de ses fonctions et se l’approprie et l’utilise pour les besoins d’une société concurrente commet un abus de confiance (Cass. crim., 16 novembre 2011 : RJS 2/12, n°208).

En troisième lieu, le vol, qui est puni de 3 d’emprisonnement et 45.00 euros d’amende (art. 311-1 et s. code pénal). Par exemple, un directeur commercial commet un vol dès lors que, lorsqu’il est mis fin à ses fonctions, emporte différents documents commerciaux, administratifs et financiers de son employeur qu’il dissimule à son domicile sous un vide d’air retrouvés à l’occasion d’une perquisition. Le fait qu’il s’agisse de copies ou de doubles d’originaux étant impropres à écarter la qualification de vol (Cass. crim., 16 mars 1999, n°97-85.054).

Une limite importante : ces incriminations peuvent être mises en échec si l’ancien salarié démontre qu’il s’est accaparé les données pour assurer sa défense devant un tribunal (« droit à la preuve »).

Un récent arrêt de la chambre criminelle de la Cour de cassation revient sur ces qualifications possibles à l’égard des salariés s’étant approprié des données de leurs anciens employeurs, en reprécisant certains aspects essentiels (Cass. crim., 5 juin 2024, n°22-86.361).

Ici, il était reproché par un employeur à son ancien directeur produit et de gestion de l’offre de s’être procuré avant son départ un certain nombre de documents stratégiques en les photocopiant, les numérisant, puis les transmettant par sa messagerie électronique sur son disque dur externe. L’employeur soupçonnait son ancien cadre d’avoir voulu en faire profiter la société concurrente qui l’avait embauché après sa démission, dans le cadre d’attribution de marchés. Une plainte pour vol, abus de confiance, accès frauduleux à un STAD avait donc été déposée par l’ancien employeur. Le juge d’instruction a rendu une ordonnance de non-lieu, confirmée par la Cour d’appel de Versailles.

La chambre criminelle de la Cour de cassation approuve ce non-lieu.

Tout d’abord, s’agissant de l’incrimination de vol, la Cour rappelle, d’une part, que la société plaignante ne prouve pas, s’agissant de documents numérisés, que la charte informatique interne à l’entreprise interdise cette pratique et qu’elle soit opposable à son ancien salarié ; d’autre part, l’information n’a pas permis de démontrer que les documents numérisés, importés sur des supports informés personnels, dépassaient le champ de compétence de l’ancien salarié.

Le Cour rappelle que, pour qu’il y ait vol, la soustraction doit être « frauduleuse ».

Ensuite, sur l’incrimination d’abus de confiance, la Cour relève que l’étude des marchés remportés et perdus par l’ancien employeur plaignante et la nouvelle société employeur du salarié n’a révélé aucun avantage pris par cette dernière.

Le Cour rappelle que l’abus de confiance nécessite l’existence d’un préjudice.

Enfin, sur l’incrimination d’atteinte à un STAD, la Cour constate que l’accès à un STAD n’est réprimé que s’il est « frauduleux », ce qui n’était manifestement pas le cas ; et qu’il appartenait à la plaignante de qualifier correctement les faits, ici de reproduction et d’extraction frauduleuse, et que quoiqu’il en soit ce détournement n’était pas démontré ici.

La Cour rappelle que, que pour être réprimé, l’atteinte à un STAD doit être « frauduleux » ; et que, l’« accès », la « reproduction » et l’ « extraction » de données sont des incriminations différentes.

Cette espèce est l’occasion d’attirer l’attention sur la nécessité de mettre en place une véritable gouvernance des actifs au sein de l’entreprise, dans sa globalité, aux différents statuts envisageables de chaque actif. Si des mesures préventives de conformité ou de compliance sont utiles (telle une charte informatique), il faut que celles-ci s’inscrivent aussi dans des procédures et process de traitement des incidents afin d’éviter toutes déconvenues et rendre efficace la protection des actifs.

(Cass. crim., 5 juin 2024, n°22-86.361)

Pour plus d’informations, n’hésitez pas à nous contacter