Par un arrêt du 15 janvier 2026, la cour d’appel d’Aix-en-Provence a ordonné à un ancien dirigeant, sous astreinte, la destruction de plus de 70 000 fichiers et courriels qu’il avait extraits des systèmes de son entreprise avant sa révocation. Les sociétés appelantes du groupe TWENTYTWO, ALLOWA et SCAPRIM obtiennent ainsi la destruction des fichiers extraits.
La cour d’appel a opéré une balance entre droit à la preuve et copie de fichiers non autorisée. Du RGPD au secret des affaires en passant par le code pénal, la plupart des fondements légaux ont été invoqués par les parties et examinés par les juges.
Les faits : un conflit entre le fondateur du groupe et un dirigeant devenu associé
L’affaire oppose de nombreuses sociétés du groupe TWENTYTWO, ALLOWA et SCAPRIM (ci-après le « Groupe ») et à un dirigeant devenu mandataire social, mais également détenteur de participations dans certaines sociétés du Groupe grâce à sa propre société Roma 18.
Les dissonances entre le fondateur et principal actionnaire du groupe TWENTYTWO, M. Daniel Rigny, et le dirigeant mécontent, M. Philippe Couturier, auraient démarré en novembre 2023, lorsque M. Rigny a adressé à M. Couturier divers emails comportant des griefs et des reproches (non exposés dans la décision). M. Couturier a fait des propositions au cours de l’année 2024 afin de trouver un accord amiable, demandant par exemple 10 % des droits d’une société du Groupe. Cela a été visiblement refusé, puisqu’il annonçait ensuite une « guerre qui sera totale ».
C’est dans cet esprit conflictuel que M. Couturier commandera une enquête interne et divers audits financiers (à l’égard d’une société dont il était pourtant le dirigeant), apparemment pour trouver les arguments pour confondre le Groupe TWENTYTWO et activer des moyens de pression contre M. Rigny et sa compagne.
Il copiera également de nombreux documents et fichiers : environ 70 000 pièces de nature très diverse, soit des messages, des données financières, comptables et commerciales, ainsi que des informations relatives aux salariés et aux clients. L’objectif était de conserver l’ensemble des éléments pouvant lui permettre de contester sa révocation, mais aussi d’incriminer des pratiques du Groupe qu’il considérait comme illicites : maître-chanteur ou lanceur d’alerte ? La nuance semble ici tenue pour qualifier une personne qui semble assez revancharde.
La cour n’a pas admis la légitimité des actions de M. Couturier et a retenu le trouble manifestement illicite, allant dans le sens d’une plus grande sévérité concernant les vols de données.
Une collecte de données non conforme aux exigences du RGPD
Le RGPD invoqué par l’entreprise victime, et non par la personne concernée
D’ordinaire, le RGPD est utilisé par le biais de l’article 15 pour avoir accès à ses propres données : le nombre de salariés ayant recours à ce mécanisme dans le contexte prud’homal est en constante augmentation.
L’arrêt commenté renverse cette logique : c’est ici le responsable de traitement, victime de l’extraction, qui oppose le RGPD à son ancien dirigeant pour contester la licéité de la collecte.
Licéité, loyauté et sécurité des données : les principes rappelés par la cour
La cour rappelle que le traitement de données à caractère personnel doit être licite et loyal, réalisé à des fins déterminées, explicites et légitimes, sans traitement ultérieur incompatible avec ces finalités, et garantir une sécurité appropriée des données, conformément aux articles 4 et 5 du RGPD.
Or, en détenant un ensemble exhaustif de données, y compris personnelles aux salariés et aux clients, sans que les personnes concernées en aient été informées, le dirigeant a placé le Groupe en situation de non-conformité.
Rappelons par ailleurs que l’article 226-18 du code pénal a érigé ce type de pratique en délit : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »
La convention de séquestre conclue avec son avocat ne régularise pas le traitement
Le moyen de défense tiré de la convention de séquestre conclue le 17 décembre 2024 avec son propre avocat est écarté par la cour, qui relève que « l’intimé invoque vainement la convention de séquestre » dès lors que « la pérennité de cette situation, qui est laissée à la seule discrétion des parties ayant conclu ladite convention, n’est pas assurée ».
Le raisonnement est transposable au droit des données personnelles : le séquestre entre les mains d’un tiers, fût-il un auxiliaire de justice, ne dispense ni d’informer les personnes concernées de ce nouveau traitement, ni de s’assurer, conformément à l’article 28 du RGPD relatif aux sous-traitants, que des garanties de sécurité appropriées encadrent la conservation des données par ce tiers.
L’extraction notifiée à la CNIL comme violation de données personnelles
Les appelants ont été cohérents avec leur argumentation, en allant jusqu’à notifier une violation de données personnelles à la CNIL. En effet, si une société considère que des données ont été détournées, volées, divulguées à des personnes non autorisées, il s’agit d’une violation. En raison de la quantité et de la nature des données, le responsable de traitement devait notifier cette violation à l’autorité de contrôle, la CNIL, au titre de l’article 33 du RGPD.
La cour retient que l’absence, à ce stade, de suite donnée par la CNIL à cette notification est indifférente à la caractérisation du trouble.
L’extraction de documents constitue également une atteinte au secret des affaires
Le texte applicable : l’article 151-4 du code de commerce
L’article 151-4 du code de commerce dispose :
« L’obtention d’un secret des affaires est illicite lorsqu’elle est réalisée sans le consentement de son détenteur légitime et qu’elle résulte :
1° D’un accès non autorisé à tout document, objet, matériau, substance ou fichier numérique qui contient le secret ou dont il peut être déduit, ou bien d’une appropriation ou d’une copie non autorisée de ces éléments ;
2° De tout autre comportement considéré, compte tenu des circonstances, comme déloyal et contraire aux usages en matière commerciale. »
Une collecte massive, sans sélection ciblée, porte atteinte au secret des affaires
La cour reconnaît l’atteinte au secret des affaires par le dirigeant évincé : « Dans le cas présent, la collecte des fichiers par M. Couturier a été massive, sans distinction ni sélection ciblée, et inclut nécessairement des informations chiffrées ou techniques ayant une valeur commerciale effective qui portent atteinte au secret des affaires. »
La voie légale ignorée : les mesures d’instruction in futurum
Au terme d’un raisonnement très pédagogique, la cour explique que le dirigeant aurait dû utiliser les voies de droit à sa disposition et demander des mesures d’instruction in futurum « dans un cadre légal pouvant autoriser des mesures légalement admissibles, circonscrites dans le temps et dans leur objet et proportionnées à l’objectif poursuivi. »
Elle constate que le détournement de documents « présente clairement un caractère disproportionné ».
La création d’une société concurrente fait douter de la bonne foi du dirigeant
Le fait que le dirigeant ait en plus créé une société spécialisée dans les transactions et l’investissement immobilier conduit la cour à douter de la bonne foi du défendeur : « La légitimité des objectifs de M. Couturier est d’autant plus remise en question qu’il a constitué le 13 mars 2025 la société par actions simplifiées à associé unique (…) ayant un objet social très proche des sociétés appelantes. »
De sorte que le trouble manifestement illicite est retenu au profit des sociétés appelantes du groupe TWENTYTWO.
Ce que cet arrêt change pour le salarié ou le dirigeant en conflit
Cet arrêt s’inscrit dans un mouvement de sévérité croissante à l’égard des salariés ou dirigeants qui, à l’occasion d’un conflit avec leur employeur ou leurs associés, s’approprient massivement des données de l’entreprise pour se constituer des preuves ou des moyens de pression.
S’il peut être tentant pour un salarié ou un dirigeant sur le départ de copier les emails et documents utiles à des fins de négociation ou de défense, cela n’est pas sans risque : la charte informatique l’interdit certainement, la vie privée des autres salariés doit être sauvegardée et aucun document stratégique ou comportant des informations comptables ne doit être utilisé à des fins concurrentielles (ou de menace de divulgation publique).
