Extraction massive de fichiers par un dirigeant révoqué : RGPD, secret des affaires et contentieux entre associés. Par Charlotte Galichet, Avocat.
Par un arrêt du 15 janvier 2026 (Cour d'appel d'Aix-en-Provence, 15 janvier 2026, chambre 3-1 RG 25/02993 ), la Cour d'appel d'Aix-en-Provence a ordonné à un ancien dirigeant, sous astreinte, la destruction de plus de 70 000 fichiers et courriels qu'il avait extraits des systèmes de son entreprise avant sa révocation. Les sociétés appelantes du groupe Twentytwo, Allowa et Scaprim obtiennent ainsi la destruction des fichiers extraits.
L’article relate un conflit entre Daniel Rigny, fondateur et principal actionnaire du groupe Twentytwo, et Philippe Couturier, un dirigeant devenu associé. Les tensions ont débuté en novembre 2023 lorsque Rigny a adressé des reproches à Couturier par email. En 2024, Couturier a tenté de négocier un accord, proposant par exemple d’obtenir 10 % des droits d’une société du groupe, mais sans succès. Il a alors menacé d’une « guerre totale ». Pour se défendre, Couturier a commandé des audits financiers et copié environ 70 000 documents (emails, données financières, informations sur les salariés et clients) afin de contester sa révocation et d’accuser le groupe de pratiques illicites. La cour a jugé ces actions disproportionnées et illégales.
Le Règlement Général sur la Protection des Données (RGPD) est une loi européenne qui encadre la collecte et l’utilisation des données personnelles. Ici, le groupe Twentytwo a invoqué le RGPD pour contester l’extraction massive de fichiers par Couturier. Normalement, le RGPD est utilisé par une personne pour accéder à ses propres données, mais dans ce cas, c’est le responsable de traitement (le groupe) qui l’a invoqué pour protéger les données de ses salariés et clients. La cour a rappelé que le RGPD exige que les données soient collectées de manière licite, loyale et sécurisée, et que les personnes concernées soient informées. Or, Couturier a collecté des données sans respecter ces principes, exposant le groupe à une infraction punie jusqu’à 5 ans d’emprisonnement et 300 000 € d’amende selon l’article 226-18 du Code pénal.
Le secret des affaires est une protection juridique qui empêche la divulgation d’informations confidentielles (données commerciales, stratégiques ou techniques) sans autorisation. L’article 151-4 du Code de commerce précise que l’obtention illicite de ces informations peut résulter d’un accès non autorisé ou d’un comportement déloyal. Dans cette affaire, la cour a estimé que Couturier avait commis une atteinte au secret des affaires en copiant massivement des fichiers, incluant des informations stratégiques. La collecte, non ciblée et exhaustive, a été jugée disproportionnée et contraire à la loi. De plus, la création par Couturier en mars 2025 d’une société concurrente a renforcé le doute sur sa bonne foi.
Couturier a tenté de justifier la conservation des fichiers en invoquant une convention de séquestre signée avec son avocat le 17 décembre 2024. Un séquestre est un dépôt de biens ou de documents entre les mains d’un tiers neutre (ici, un auxiliaire de justice) en attendant un règlement du litige. Cependant, la cour a rejeté cet argument, soulignant que le séquestre ne légalise pas automatiquement la collecte initiale des données. Le RGPD impose que même en cas de conservation par un tiers, les personnes concernées doivent être informées et des garanties de sécurité doivent être mises en place. La cour a estimé que cette situation n’était pas encadrée légalement.
La CNIL (Commission Nationale de l’Informatique et des Libertés) est l’autorité française chargée de veiller au respect du RGPD. Le groupe Twentwo a notifié à la CNIL une violation de données personnelles, c’est-à-dire une situation où des données ont été détournées ou accessibles à des personnes non autorisées. Selon l’article 33 du RGPD, une telle violation doit être signalée à la CNIL dans les 72 heures si elle présente un risque pour les droits et libertés des personnes. Bien que la CNIL n’ait pas encore donné suite à cette notification, la cour a considéré que cela ne remettait pas en cause la caractérisation du trouble causé par Couturier.
La cour a souligné que Couturier aurait dû utiliser des mesures d’instruction in futurum pour obtenir légalement les documents dont il avait besoin. Ces mesures, prévues par le Code de procédure civile, permettent à un juge d’ordonner des investigations futures pour préserver des preuves avant un procès. Cependant, ces mesures doivent être circonscrites dans le temps et dans leur objet, et proportionnées à l’objectif poursuivi. La cour a jugé que le détournement de documents par Couturier était disproportionné et illégal, car il ne respectait pas ces conditions. Cette décision rappelle que les conflits professionnels doivent être résolus par la voie judiciaire, et non par des actions unilatérales.
Cet arrêt illustre une tendance croissante de sévérité envers les salariés ou dirigeants qui, lors d’un conflit avec leur employeur ou associé, s’approprient massivement des données de l’entreprise pour se constituer des preuves ou exercer des pressions. Bien que cela puisse sembler tentant, cette pratique est risquée : elle est souvent interdite par la **charte informatique** de l’entreprise, elle viole la vie privée des autres salariés, et elle peut exposer à des poursuites pour violation du RGPD ou du secret des affaires. Les dirigeants ou salariés en conflit doivent privilégier les voies légales, comme les mesures d’instruction in futurum, pour obtenir des preuves sans enfreindre la loi. Couturier a d’ailleurs fait appel de cette décision devant la Cour de cassation.
