Enquêtes internes en France : les contrôles à effectuer avant d'utiliser une plateforme de e-descovery

Lorsque les avocats sont confrontés à la recherche d’information, qu'ils cherchent à obtenir des preuves lors de la communication préalable des éléments de preuves (les fameuses pièces dont parlent toujours les avocats) ou qu'ils mènent une enquête interne chez le client, ils envisagent immédiatement des situations apocalyptiques, en proposant un large éventail d'outils conçus pour protéger les données :

Les avocats plaidants savent que, lors de la préparation d'un dossier, les données peuvent être la clé d'une défense réussie.

Qu'un client soit confronté à des allégations de violations de règles ou d’engagements ou qu'il fasse l'objet d'une enquête pénale ou réglementaire de la part d’autorités internationales (DOJ, SFO, PNF, autorités de tout pays), le traitement des preuves dès le début est crucial pour assurer une conduite efficace de l’affaire.

En France, comme dans de nombreuses juridictions de droit civil, les procédures de communication préalable de common law (discovery) ne s'appliquent pas et les parties choisissent les éléments de preuve qu'elles vont communiquer à l'avocat adverse et au juge. En fait, il n'est pas obligatoire de divulguer les éléments qui pourraient nuire à la défense d'une partie.

Ce principe de Nemotenetur edere contra ne s'applique cependant pas lorsqu'une autorité judiciaire ou administrative demande l'accès à toutes les données détenues par une entreprise. C'est le cas lors d'un dawnraid ou d'une procédure pénale ou fiscale où les autorités peuvent procéder à des perquisitions et des saisies et exiger un accès complet aux données de l’entité contrôlée. Une entreprise faisant l'objet d'une telle enquête ainsi que son conseil doivent veiller à ce que la saisie de documents soit limitée aux éléments qui sont dans le champ de l'enquête et à ce que les règles applicables en matière de privilège légal/secret professionnel soient respectées.

Dès lors, tant dans les procédures précontentieuses que dans les cas de saisies, il est très utile de savoir quelles informations une entreprise détient :

À cet égard, les logiciels de discovery aident à recueillir et à identifier les informations pertinentes pour l'affaire en question. Les fournisseurs de logiciels peuvent expliquer, d'un point de vue technique, comment ils peuvent accéder aux serveurs et aux boîtes aux lettres pour télécharger et sélectionner les documents les plus pertinents, en procédant avec le plus grand soin possible, pour s'assurer que l’intégrité des informations n’est pas affectée et pour garantir la protection des données.

Cet article aborde les principales questions qu'une entreprise doit se poser avant de décider d'utiliser un tel outil, car il faut se rappeler que certaines contraintes doivent être respectées pour s'assurer qu'à terme la validité ou l'admissibilité des preuves ne soit pas compromise.

En France, l'accès aux documents des salariés est régi par le droit du travail qui vient protéger les droits des salariés quant à la protection de leur vie privée.

En conséquence, bien que le contenu d'un ordinateur professionnel soit présumé professionnel, aucune information concernant un employé ne peut être collectée par un système qui n'a pas été préalablement porté à sa connaissance.

À cette fin, en France, le Comité social et économique doit être informé et consulté avant de décider de mettre en place des systèmes de contrôle organisationnel pour surveiller les activités des salariés. En général, la possibilité pour l'entreprise de saisir des documents en cas d'enquête interne est mentionnée dans la charte informatique ou dans la procédure d'alerte, en particulier depuis la promulgation du nouveau régime juridique anticorruption (la loi Sapin 2).

L'employé est également informé personnellement de la procédure applicable. Lorsqu'une enquête est ouverte, les employés sont invités à signer un formulaire de consentement, expliquant le but de l'enquête. Il peut également être nécessaire d'informer à nouveau le comité d'entreprise lorsqu'une enquête spécifique est lancée.

Tout outil de collecte de données qui sera utilisé au cours de l'enquête doit cependant permettre d'isoler les données personnelles et confidentielles des employés.

Si tel n'était pas le cas, outre le fait que les preuves peuvent ne pas être recevables devant un tribunal, l'employé pourrait invoquer une violation de sa vie privée.

Les tribunaux ont toutefois jugé que la décision de mener une enquête sans avoir informé et consulté au préalable le comité d'entreprise peut être organisée si l'audit est effectué par l'employeur ou un service interne de l'entreprise.

Selon le RGPD, il convient de disposer d'une base légale pour traiter des données à caractère personnel conformément au principe de légalité, équité et transparence.

Parmi les six bases juridiques différentes pour le traitement des données à caractère personnel, le consentement ne peut pas être utilisé pour autoriser la conduite d'enquêtes internes. En ce qui concerne la collecte de la plupart des données relatives aux employés, on considère en effet généralement que les employés ne bénéficient pas de l'indépendance nécessaire pour exprimer leur libre consentement et que d'autres bases légales de traitement, tels que le fait d'avoir un "intérêt légitime", devraient être utilisées pour traiter les données personnelles des employés.

Dans le cas d'une enquête interne à l'initiative de l'employeur, un intérêt légitime est susceptible d'être plus approprié lorsqu'une entreprise utilise les données des personnes d'une manière qu'elles pourraient raisonnablement attendre et qui a un impact minimal sur la vie privée.

Il peut aussi y avoir une justification impérieuse, une obligation légale au traitement des données à caractère personnel, notamment en cas de demande par une autorité administrative ou judiciaire, soit un tiers autorisé au sens du RGPD (voir le Guide publié par la CNIL le 10 juillet 2020 au sujet des tiers autorisés).

L'objectif est ici de conserver les données de manière légitime ; l'employeur doit donc collecter et conserver les données de manière proportionnée et ne les stocker que pendant la période appropriée.

La CNIL reconnaît que la plateforme d'alerte permet de stocker le rapport d'alerte et les éléments recueillis au cours de l'enquête que l'entreprise peut décider d’engager. Elle recommande que seules les informations pertinentes et nécessaires aux fins du traitement soient collectées et/ou stockées dans le système et précise les délais de conservation selon qu'une violation a été ou non identifiée au cours de l'enquête.

Les enquêtes internes font partie de ce qu’on appelle les nouvelles missions dont un avocat peut être chargé.

En effet, certains membres de la communauté juridique étaient d'avis que cette activité n’est pas autorisée aux avocats car ils pourraient dans ce cadre être considérés comme des assesseurs des magistrats.

Pour répondre à cette opposition, le Barreau de Paris a publié des lignes directrices (Vademecum) en 2016, mises à jour en décembre 2019 et désormais disponibles sur le site du Barreau en tant qu'annexe au règlement intérieur : Annexe XXIV : Vademecum de l'avocat chargé d'une enquête interne.

Ces lignes directrices expliquent comment un avocat doit agir dans le cadre d'une enquête interne pour rester en conformité avec les règles déontologiques de l'Ordre des avocats. Elles prévoient principalement :

Ces lignes directrices confirment qu'un avocat peut aider son client à mener des enquêtes internes et que la désignation de cet avocat permettra au client de bénéficier de la protection du secret professionnel. C’est là un point essentiel pour la conduite de l'enquête interne, dans la mesure où les juristes internes ne bénéficient toujours pas de la protection de leurs actes par le secret professionnel.

Ces dernières années, des discussions ont eu lieu dans les juridictions de droit civil et de common law pour savoir si le Legal Privilege s'applique aux rapports d'enquête préparés par les avocats.

Il est important de comprendre qu'il existe de légères différences entre le secret professionnel de common law et le secret professionnel français.

En droit anglais, par exemple, le privilège appartient au client et non à l'avocat. Les tribunaux britanniques, par exemple, agiront en partant du principe que le  privilège de non-divulgation des communications entre un avocat et son client ou des communications entre un avocat et son client ou un tiers dans le cadre d’un contentieux réel ou envisagé ("legal professional privilege") est un droit fondamental de l'homme protégé à la fois par les principes de la common law et par la Convention européenne des droits de l'homme. Un tribunal britannique appliquera le droit anglais du privilège selon le principe de la lex fori, indépendamment du droit matériel applicable au litige. Ainsi, toute renonciation au privilège doit être demandée au nom du client.

Un avocat français ne peut pas être relevé du secret professionnel, même par son client, car, à quelques exceptions près, le secret professionnel est une règle générale d'ordre public illimitée dans le temps. Il garantit également la confidentialité des discussions entre avocats, à l'exception des courriers mentionnant clairement leur caractère "officiel".

La violation du secret professionnel peut d’ailleurs entraîner pour l'avocat des sanctions pénales et disciplinaires.

Le secret professionnel ne s'applique cependant pas lorsqu'il n'y a pas de secret effectif sur les éléments apportés par le client ou dans les cas où un avocat est soupçonné d'avoir participé à une infraction pénale.

Compte tenu de ces règles déontologiques, dans les lignes directrices portant sur les Conventions judiciaires d'intérêt public (CJIP) de l'Agence Française Anticorruption (AFA) et du Parquet National Financier (PNF), ces deux autorités ont clairement indiqué qu'il appartient à l'entreprise menant une enquête interne de décider de mettre à la disposition des procureurs les preuves recueillies par leurs avocats, rappelant ainsi que le secret professionnel ne s'applique qu'aux avocats et non à leurs clients.

Dans ce contexte juridique délicat, le refus d'une partie de renoncer au privilège peut être interprété comme un manque de coopération de bonne foi aux fins de l'obtention d'un accord transactionnel.

Ils ont également ajouté :

Il est important de savoir que dans une affaire relative à la défense d'un ancien Président de la République, la Cour de cassation a décidé dans un arrêt très controversé que le secret professionnel ne devrait s'appliquer que lorsque l'avocat agit dans le cadre d'une procédure pénale pour défendre son client.

En conséquence, le document serait protégé par le secret professionnel ou non selon le but pour lequel il a été demandé par un client.

Enfin, il a été souligné à de nombreuses reprises, et récemment dans le Rapport Gauvain, remis en 2019 par le député Raphaël Gauvain au Premier ministre, que les juristes d'entreprise français ne bénéficient pas du secret professionnel, même ceux qui étaient auparavant membres d'un barreau en tant qu'avocats. La conséquence directe de ce régime est que leurs conseils juridiques peuvent être saisis par les autorités administratives ou judiciaires lorsque ceux de leurs homologues étrangers, notamment ceux des États-Unis et du Royaume-Uni, sont généralement protégés.

Si une enquête est ouverte par une autorité étrangère, diverses conventions internationales s'appliquent pour organiser la communication des preuves.

Lorsqu'une autorité étrangère demande des informations à une société française, il convient de rappeler que la loi française de 1968 (Loi n°68-678 du 26 juillet 1968 relative à la communication des documents et renseignements d'ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères - connue sous le nom de "loi française de blocage") est la législation la plus connue visant à limiter la découverte transfrontalière d'informations. La loi de blocage doit être prise en compte lorsqu'il s'agit d'autoriser la communication de pièces dans le cadre d'une procédure judiciaire étrangère :

Sous réserve des traités ou accords internationaux, il est interdit à toute personne physique de nationalité française ou résidant habituellement sur le territoire français et à tout dirigeant, représentant, agent ou préposé d'une personne morale y ayant son siège ou un établissement de communiquer par écrit, oralement ou sous toute autre forme, en quelque lieu que ce soit, à des autorités publiques étrangères, les documents ou les renseignements d'ordre économique, commercial, industriel, financier ou technique dont la communication est de nature à porter atteinte à la souveraineté, à la sécurité, aux intérêts économiques essentiels de la France ou à l'ordre public, précisés par l'autorité administrative en tant que de besoin.

La loi de blocage reflète des différences majeures entre les juridictions de droit civil et de common law, considérant qu'elle a été promulguée pour garantir qu'aucune information sensible ne soit transférée à des autorités étrangères. Le juge américain fera droit à une demande de communication préalable approfondie (discovery), à moins qu'une telle demande ne soit déraisonnable ou peu sérieuse. Les Etats de droit civil, comme la France, critiqueront cette méthode considérant que la demande de communication comme excessive. On appelle ces demandes extensives des "fishing expéditions" (aller à la pêche aux renseignements).  En France, dans les procédures civiles, à moins que le tribunal n'ordonne aux parties de divulguer des documents spécifiques, elles ne sont généralement pas tenues de produire des documents qui ne soutiennent pas leur cause. Le cas des saisies ou des enquêtes administratives peut être différent.

La loi de blocage n'est pas pleinement prise en compte par les autorités étrangères bien qu'elle entraîne des sanctions pénales car les autorités françaises imposent rarement lesdites sanctions en cas de violation de cette loi. 

Toutefois, l'objectif réel de cette loi est plutôt de garantir le respect des processus de communication des preuves convenus dans les conventions internationales. En effet, le rapport Gauvain mentionné ci-dessus recommande qu'elle soit appliquée plus régulièrement et que les sanctions soient renforcées. D'autres propositions visent également à accompagner les entreprises françaises dans ce processus de communication.

Avec la loi Sapin 2 et la mise en place des CJIP, il appartient désormais aux procureurs français et à l'AFA d'accompagner les autorités françaises en cas de litige transfrontalier et de négocier avec leurs homologues les conditions dans lesquelles les preuves vont être communiquées à l'étranger. Ce qui est certain, c'est que la France est devenue plus coopérative en ce qui concerne la découverte et la production de preuves dans les affaires étrangères.

Tous ces éléments doivent être pris en compte lorsqu'il s'agit de planifier efficacement la manière dont une entreprise ou ses avocats utiliseront et configureront une plate-forme de découverte et doivent être pris en compte tout au long de l'enquête interne et de la procédure de poursuite pénale qui peut s'ensuivre.