Pourquoi les procédures de Discovery inquiètent-elles les entreprises ?
Plusieurs grandes entreprises, sollicitées pour des demandes de communication de données personnelles dans le cadre de procédures civiles américaines dites de "Discovery", ont saisi la CNIL. Leurs inquiétudes portent sur le respect des règles européennes de protection des données mais aussi sur les enjeux économiques face à l'accroissement des demandes. La CNIL a répondu à leurs questions sous la forme de recommandations pratiques.
Il s'agit d'une phase d'investigation et d'instruction préalable au procès, essentielle pour toute action en justice aux Etats-Unis. Elle fait obligation à chaque partie de divulguer à l'autre tous les éléments de preuve pertinents au litige dont elle dispose, y compris ceux qui lui sont défavorables.
Ces demandes sont essentiellement formulées dans le cadre de litiges commerciaux, notamment en matière de propriété intellectuelle (par exemple pour établir l'antériorité d'un brevet ou justifier de la réelle brevetabilité d'une invention protégée).
De nombreuses sociétés françaises et européennes sont désormais confrontées, dans le cadre de procédures américaines, à des demandes toujours plus importantes de communication d'informations détenues par elles. Il peut s'agir de demandes ponctuelles portant sur des documents papier. De plus en plus souvent, il s'agit de requêtes pour obtenir copie des disques durs ou des messageries électroniques de certains salariés, voire de l'ensemble du personnel.
Un certain nombre d'entreprises françaises ou étrangères établies en France, des avocats spécialisés, ont tenu à alerter la CNIL des conséquences de ce phénomène au regard des règles françaises et européennes de protection des données. Ces entreprises expriment également d'autres inquiétudes qui touchent à la protection de secrets industriels et commerciaux. Certaines évoquent parfois même de réelles craintes en matière de souveraineté économique.
Ces procédures offrent la possibilité d'inspecter, copier, examiner, ou prélever des éléments de tous documents couverts par la procédure de « discovery ». Ainsi, elles ne sont pas sans risques pour le secret des affaires et la protection du patrimoine économique.
Il est parfois demandé aux sociétés de dévoiler des détails de fabrication de leurs produits ou leurs plans stratégiques. Le refus de communication ou l'impossibilité de communication exposent les entreprises à des poursuites pour obstruction, une infraction sanctionnée pénalement aux Etats-Unis. Les sociétés s'exposent également à des amendes très lourdes et à une dégradation de leur image du fait de la publication de toutes les décisions rendues par les autorités en la matière.
Conséquence directe du développement des procédures de « discovery », un marché de prestataires spécialisés s'est développé pour permettre aux sociétés de répondre à ces demandes dans les délais impartis. Ils procèdent à la numérisation des documents demandés, ou à la copie des disques durs de la société ainsi qu'à la recherche par mots-clés des informations demandées par l'autre.
Compte tenu des enjeux que soulève cette question au regard de la protection des données des personnes concernées, le G29 (groupe des CNIL européennes) et la CNIL ont adopté des recommandations pratiques à destination des entreprises confrontées à des demandes de Discovery.
Ces recommandations précisent les règles que les procédures de Discovery doivent respecter :
- légitimité du traitement et respect du secret professionnel,
- proportionnalité des données (filtrage des données au niveau local),
- durée de conservation des données à prévoir,
- mesures de sécurité à mettre en place,
- respect des droits et information des personnes,
- règles relatives aux conditions de transferts internationaux de données.