Diplomatie
De la genèse de la loi de 1968 au rapport Gauvain : une nécessité de renforcer la protection des entreprises françaises face aux autorités étrangères
La loi du 26 juillet 1968 relative à la communication de documents et renseignements d’ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères (dite « de blocage ») est née d’une volonté de garantir le respect des règles de la coopération internationale, issues notamment de la Convention de La Haye de 1970 sur l’obtention des preuves à l’étranger en matière civile et commerciale. Restée lettre morte durant de longues années, cette loi a vu son champ d’application étendu par une seconde loi datant du 16 juillet 1980. Cette dernière interdit la communication, en cas de demande émanant d’une autorité publique étrangère, de toute information de nature à porter atteinte à la souveraineté, à la sécurité, aux intérêts économiques essentiels de la France ou à l’ordre public.
Malgré l’adoption de ces deux lois, les entreprises françaises semblent avoir cruellement manqué d’armes juridiques efficaces pour se défendre contre les nombreuses actions judiciaires et sanctions à caractère extraterritorial émanant de puissances étrangères à l’instar des États-Unis. Au-delà de l’amer constat de la quasi-absence de décision de justice mettant en œuvre la loi de blocage – une seule en plus de cinquante ans –, les intérêts français ont été malmenés par la justice américaine, notamment depuis une décision de la Cour suprême des États-Unis qui écarte l’application de la loi de blocage au motif qu’elle n’est pas de nature à priver un tribunal américain du pouvoir d’ordonner à une partie soumise à sa juridiction de produire des preuves, même en violation de la loi française [1]. Les entreprises françaises se sont donc souvent retrouvées prises en étau entre, d’une part, la menace de sanctions extraterritoriales et, d’autre part, l’obligation de se conformer à la loi française.
La multiplication des lourdes amendes imposées par la justice américaine sur le fondement du Foreign Corrupt Practices Act, dit « FCPA » (772 millions de dollars pour Alsom en 2014, 398.2 millions pour Total en 2013, 338 millions pour Technip en 2010, 293 millions pour la Société Générale en 2018 ou encore 138 millions pour Alcatel en 2010) s’est accompagnée du renforcement de l’arsenal juridique américain permettant d’obtenir les données parfois sensibles de nombre d’acteurs économiques. En effet, le Cloud Act, adopté sous Donald Trump en 2018, permet désormais aux autorités américaines d’accéder aux mails, documents électroniques, fichiers et métadonnées stockés par les entreprises américaines… dont font partie les grands groupes tels que Google, Amazon, Facebook et Microsoft. Cette loi à portée extraterritoriale s’ajoute ainsi à la procédure déjà existante du Discovery, qui oblige les entreprises américaines et étrangères à produire des éléments de preuve dont le contenu peut être particulièrement sensible (avis des juristes d’entreprises, etc…) aux autorités américaines.
Pour faire face aux sanctions prononcées, à répétition, par les États-Unis à l’encontre d’entreprises françaises réalisant des opérations avec des pays sous embargo américain (comme Cuba ou l’Iran) ou poursuivies pour des faits de corruption, de fraude fiscale ou de blanchiment de capitaux, la France a entrepris de reprendre une partie de sa souveraineté en la matière avec la loi Sapin 2 du 9 décembre 2016. Cette dernière prévoit des obligations en matière de compliance pour prévenir, en amont, les comportements frauduleux, ainsi que des procédures comme les contrôles de l’Autorité Française Anticorruption (AFA) et les conventions judiciaires d’intérêt public (CJIP) censées renforcer le poids des autorités françaises dans les enquêtes impliquant des entreprises françaises.
Dans son rapport intitulé « Rétablir la souveraineté de la France et de l’Europe et protéger nos entreprises des lois et mesures à portée extraterritoriale » du 26 juin 2019, le député Raphaël Gauvain montre que la vulnérabilité de la France face aux enquêtes extraterritoriales est due « en grande partie aux lacunes de notre droit »[2]. Ce faisant, le rapport Gauvain préconise l’adoption de plusieurs mesures, dont le renforcement de certains aspects de la loi de blocage de 1968. Figurent notamment dans les propositions du rapport la désignation d’un service d’État (le « Service de l’information stratégique et de la sécurité économiques » – SISSE) pour traiter de l’obligation de déclaration prévue par la loi de blocage, l’introduction d’une sanction des manquements à l’obligation de déclaration, l’augmentation du montant de la sanction pénale prévue par la loi de blocage (18,000 euros pour les personnes physiques et 90,000 euros pour les personnes morales) ou encore l’aménagement d’un véritable parcours d’accompagnement de l’entreprise déclarante par le SISSE.
La réponse du Gouvernement français : le renforcement de la loi de blocage
Dans son communiqué de presse du 16 mars 2022, le ministre de l’économie Bruno Le Maire affirme qu’avec cette première réforme de la loi de blocage depuis 41 ans, la France « franchit […] une nouvelle étape majeure en matière de protection des informations sensibles ». En effet, les décrets du 18 février 2022 et arrêté du 7 mars 2022 ont pour vocation de faire bénéficier les entreprises françaises d’un recours efficace auprès de l’État dans les procédures juridiques étrangères, conformément aux préconisations du rapport Gauvain. Le principal apport de cette réforme est de clarifier l’obligation incombant aux entreprises françaises d’informer sans délai le SISSE de toute demande de communication émise par une autorité publique étrangère ou par toute personne agissant pour son compte ou en vue de répondre à sa demande [3]. Le décret et l’arrêté enjoignent également aux entreprises de déposer un dossier accompagnant ladite demande qui doit contenir certaines informations comme les motifs de la demande de communication émise par le requérant à la société et la liste des principaux concurrents français et étrangers de la société. Après le dépôt d’une demande, le SISSE dispose d’un délai d’un mois pour instruire le dossier et rendre un avis sur l’applicabilité de la loi de blocage.
Afin d’accompagner les entreprises dans la mise en œuvre des dispositions de la loi de blocage réformée et de réduire, par là même, l’insécurité juridique à laquelle elles peuvent être confrontées, le SISSE a publié un « Guide à usage des entreprises d’identification des données sensibles » qui aide les entreprises à classifier leur patrimoine informationnel et à identifier les données possiblement assujetties à l’interdiction de communication. Selon ce guide, l’entreprise est encouragée à conduire un diagnostic en évaluant à la fois l’impact ou le préjudice et le caractère stratégique de l’entreprise et/ou de son activité. Une donnée est considérée comme « sensible souveraine » dès lors que sa sensibilité est de niveau 1 (secret) et que l’impact ou le préjudice est « majeur », c’est-à-dire que les séquelles potentielles subies par la société sont « extrêmement importantes, impactent le long terme, et sont susceptibles de porter atteinte à la souveraineté, l’indépendance, les intérêts économiques essentiels de la France et d’affecter l’ordre public » [4]. Ainsi, l’entreprise est amenée à considérer différents critères comme son indépendance vis-à-vis des puissances étrangères, sa contribution à la puissance économique française ou à son indépendance économique ou stratégique, l’importance de son savoir-faire ou encore sa contribution au rayonnement et à l’influence française [5].
L’avenir de la loi de blocage : des effets probablement limités
Malgré l’avancée réelle que représente le renforcement de la loi de blocage, la protection juridique des entreprises faisant l’objet de demandes d’informations émanant d’autorités étrangères demeure encore imparfaite en France et les effets concrets qu’aura la réforme restent difficiles à prévoir. Tout d’abord, la réforme de la loi de blocage ne reprend que partiellement les propositions du rapport Gauvain. Ainsi, des mesures telles que l’augmentation du montant de la sanction pénale relative à la communication des données visées par la loi de blocage ou la création d’une sanction en cas d’absence de déclaration au SISSE semblent avoir été écartées par le Gouvernement dans le cadre de la réforme afin de ne pas alourdir les mesures répressives auxquelles sont déjà exposées les entreprises françaises. De plus, il est peu probable que les avis du SISSE soient accueillis avec enthousiasme par les autorités étrangères, qu’il s’agisse des États-Unis ou des autres puissances prenant part à la guerre économiques comme la Chine ou la Russie. Il n’est donc pas certain que ces avis permettent aux entreprises françaises d’échapper aux pressions et menaces de sanctions dans le cadre d’enquêtes extraterritoriales. En outre, dans la continuité du Règlement européen « de blocage » de 1996, une action coordonnée au niveau de l’Union européenne serait idoine pour lutter plus efficacement contre l’espionnage de la part des puissances extra-européennes. Enfin, on ne saurait trop recommander aux entreprises françaises d’utiliser et de promouvoir l’utilisation des techniques existantes en matière de protection de l’information (chiffrement des données, etc…) afin de limiter les risques de fuite d’informations sensibles et de protéger ces dernières durant le délai de préparation de l’avis du SISSE.
La loi du 26 juillet 1968 relative à la communication de documents et renseignements d’ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères (dite « de blocage ») est née d’une volonté de garantir le respect des règles de la coopération internationale, issues notamment de la Convention de La Haye de 1970 sur l’obtention des preuves à l’étranger en matière civile et commerciale. Restée lettre morte durant de longues années, cette loi a vu son champ d’application étendu par une seconde loi datant du 16 juillet 1980. Cette dernière interdit la communication, en cas de demande émanant d’une autorité publique étrangère, de toute information de nature à porter atteinte à la souveraineté, à la sécurité, aux intérêts économiques essentiels de la France ou à l’ordre public.
Malgré l’adoption de ces deux lois, les entreprises françaises semblent avoir cruellement manqué d’armes juridiques efficaces pour se défendre contre les nombreuses actions judiciaires et sanctions à caractère extraterritorial émanant de puissances étrangères à l’instar des États-Unis. Au-delà de l’amer constat de la quasi-absence de décision de justice mettant en œuvre la loi de blocage – une seule en plus de cinquante ans –, les intérêts français ont été malmenés par la justice américaine, notamment depuis une décision de la Cour suprême des États-Unis qui écarte l’application de la loi de blocage au motif qu’elle n’est pas de nature à priver un tribunal américain du pouvoir d’ordonner à une partie soumise à sa juridiction de produire des preuves, même en violation de la loi française [1]. Les entreprises françaises se sont donc souvent retrouvées prises en étau entre, d’une part, la menace de sanctions extraterritoriales et, d’autre part, l’obligation de se conformer à la loi française.
La multiplication des lourdes amendes imposées par la justice américaine sur le fondement du Foreign Corrupt Practices Act, dit « FCPA » (772 millions de dollars pour Alsom en 2014, 398.2 millions pour Total en 2013, 338 millions pour Technip en 2010, 293 millions pour la Société Générale en 2018 ou encore 138 millions pour Alcatel en 2010) s’est accompagnée du renforcement de l’arsenal juridique américain permettant d’obtenir les données parfois sensibles de nombre d’acteurs économiques. En effet, le Cloud Act, adopté sous Donald Trump en 2018, permet désormais aux autorités américaines d’accéder aux mails, documents électroniques, fichiers et métadonnées stockés par les entreprises américaines… dont font partie les grands groupes tels que Google, Amazon, Facebook et Microsoft. Cette loi à portée extraterritoriale s’ajoute ainsi à la procédure déjà existante du Discovery, qui oblige les entreprises américaines et étrangères à produire des éléments de preuve dont le contenu peut être particulièrement sensible (avis des juristes d’entreprises, etc…) aux autorités américaines.
Pour faire face aux sanctions prononcées, à répétition, par les États-Unis à l’encontre d’entreprises françaises réalisant des opérations avec des pays sous embargo américain (comme Cuba ou l’Iran) ou poursuivies pour des faits de corruption, de fraude fiscale ou de blanchiment de capitaux, la France a entrepris de reprendre une partie de sa souveraineté en la matière avec la loi Sapin 2 du 9 décembre 2016. Cette dernière prévoit des obligations en matière de compliance pour prévenir, en amont, les comportements frauduleux, ainsi que des procédures comme les contrôles de l’Autorité Française Anticorruption (AFA) et les conventions judiciaires d’intérêt public (CJIP) censées renforcer le poids des autorités françaises dans les enquêtes impliquant des entreprises françaises.
Dans son rapport intitulé « Rétablir la souveraineté de la France et de l’Europe et protéger nos entreprises des lois et mesures à portée extraterritoriale » du 26 juin 2019, le député Raphaël Gauvain montre que la vulnérabilité de la France face aux enquêtes extraterritoriales est due « en grande partie aux lacunes de notre droit »[2]. Ce faisant, le rapport Gauvain préconise l’adoption de plusieurs mesures, dont le renforcement de certains aspects de la loi de blocage de 1968. Figurent notamment dans les propositions du rapport la désignation d’un service d’État (le « Service de l’information stratégique et de la sécurité économiques » – SISSE) pour traiter de l’obligation de déclaration prévue par la loi de blocage, l’introduction d’une sanction des manquements à l’obligation de déclaration, l’augmentation du montant de la sanction pénale prévue par la loi de blocage (18,000 euros pour les personnes physiques et 90,000 euros pour les personnes morales) ou encore l’aménagement d’un véritable parcours d’accompagnement de l’entreprise déclarante par le SISSE.
La réponse du Gouvernement français : le renforcement de la loi de blocage
Dans son communiqué de presse du 16 mars 2022, le ministre de l’économie Bruno Le Maire affirme qu’avec cette première réforme de la loi de blocage depuis 41 ans, la France « franchit […] une nouvelle étape majeure en matière de protection des informations sensibles ». En effet, les décrets du 18 février 2022 et arrêté du 7 mars 2022 ont pour vocation de faire bénéficier les entreprises françaises d’un recours efficace auprès de l’État dans les procédures juridiques étrangères, conformément aux préconisations du rapport Gauvain. Le principal apport de cette réforme est de clarifier l’obligation incombant aux entreprises françaises d’informer sans délai le SISSE de toute demande de communication émise par une autorité publique étrangère ou par toute personne agissant pour son compte ou en vue de répondre à sa demande [3]. Le décret et l’arrêté enjoignent également aux entreprises de déposer un dossier accompagnant ladite demande qui doit contenir certaines informations comme les motifs de la demande de communication émise par le requérant à la société et la liste des principaux concurrents français et étrangers de la société. Après le dépôt d’une demande, le SISSE dispose d’un délai d’un mois pour instruire le dossier et rendre un avis sur l’applicabilité de la loi de blocage.
Afin d’accompagner les entreprises dans la mise en œuvre des dispositions de la loi de blocage réformée et de réduire, par là même, l’insécurité juridique à laquelle elles peuvent être confrontées, le SISSE a publié un « Guide à usage des entreprises d’identification des données sensibles » qui aide les entreprises à classifier leur patrimoine informationnel et à identifier les données possiblement assujetties à l’interdiction de communication. Selon ce guide, l’entreprise est encouragée à conduire un diagnostic en évaluant à la fois l’impact ou le préjudice et le caractère stratégique de l’entreprise et/ou de son activité. Une donnée est considérée comme « sensible souveraine » dès lors que sa sensibilité est de niveau 1 (secret) et que l’impact ou le préjudice est « majeur », c’est-à-dire que les séquelles potentielles subies par la société sont « extrêmement importantes, impactent le long terme, et sont susceptibles de porter atteinte à la souveraineté, l’indépendance, les intérêts économiques essentiels de la France et d’affecter l’ordre public » [4]. Ainsi, l’entreprise est amenée à considérer différents critères comme son indépendance vis-à-vis des puissances étrangères, sa contribution à la puissance économique française ou à son indépendance économique ou stratégique, l’importance de son savoir-faire ou encore sa contribution au rayonnement et à l’influence française [5].
L’avenir de la loi de blocage : des effets probablement limités
Malgré l’avancée réelle que représente le renforcement de la loi de blocage, la protection juridique des entreprises faisant l’objet de demandes d’informations émanant d’autorités étrangères demeure encore imparfaite en France et les effets concrets qu’aura la réforme restent difficiles à prévoir. Tout d’abord, la réforme de la loi de blocage ne reprend que partiellement les propositions du rapport Gauvain. Ainsi, des mesures telles que l’augmentation du montant de la sanction pénale relative à la communication des données visées par la loi de blocage ou la création d’une sanction en cas d’absence de déclaration au SISSE semblent avoir été écartées par le Gouvernement dans le cadre de la réforme afin de ne pas alourdir les mesures répressives auxquelles sont déjà exposées les entreprises françaises. De plus, il est peu probable que les avis du SISSE soient accueillis avec enthousiasme par les autorités étrangères, qu’il s’agisse des États-Unis ou des autres puissances prenant part à la guerre économiques comme la Chine ou la Russie. Il n’est donc pas certain que ces avis permettent aux entreprises françaises d’échapper aux pressions et menaces de sanctions dans le cadre d’enquêtes extraterritoriales. En outre, dans la continuité du Règlement européen « de blocage » de 1996, une action coordonnée au niveau de l’Union européenne serait idoine pour lutter plus efficacement contre l’espionnage de la part des puissances extra-européennes. Enfin, on ne saurait trop recommander aux entreprises françaises d’utiliser et de promouvoir l’utilisation des techniques existantes en matière de protection de l’information (chiffrement des données, etc…) afin de limiter les risques de fuite d’informations sensibles et de protéger ces dernières durant le délai de préparation de l’avis du SISSE.
[1] U.S. Supreme Court, Société nationale industrielle aérospatiale v. U.S. District Court for the Southern District of Iowa, 482 U.S. 522 (1987)
[2] Rapport Assemblée nationale de M. le député Raphaël Gauvain, « Rétablir la souveraineté de la France et de l’Europe et protéger nos entreprises des lois et mesures à portée extraterritoriale », p. 4
[3] Article 2 du Décret n°2022-207 du 18 février 2022 relatif à la communication de documents et renseignements d’ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères
[4] SISSE, « Guide à usage des entreprises d’identification des données sensibles visées à l’article 1er de la loi dite de blocage ou d’aiguillage », p. 6
[5] Ibid. p. 7
