Une entreprise française peut recevoir une demande de documents venue de l’étranger sans mesurer immédiatement le risque. La demande peut venir d’une autorité publique, d’un tribunal étranger, d’un régulateur, d’un cocontractant, d’une maison mère, d’une plateforme cloud ou d’un avocat intervenant dans une procédure hors de France. Elle peut viser des contrats, des prix, des données clients, des secrets de fabrication, des échanges internes, des informations financières ou des éléments techniques.
Le réflexe le plus dangereux consiste à répondre trop vite, surtout lorsque la demande paraît urgente ou lorsqu’elle est présentée comme obligatoire. En droit français, la loi dite de blocage encadre la communication à l’étranger de certains documents ou renseignements économiques, commerciaux, industriels, financiers ou techniques. La Direction générale des Entreprises a remis à jour sa page d’information le 13 mai 2026 et rappelle que le dispositif vise notamment les demandes étrangères susceptibles de contourner les canaux d’entraide judiciaire ou administrative internationale.
Pour une société, l’enjeu n’est donc pas de refuser par principe toute transmission. Il faut qualifier la demande, identifier les données concernées, vérifier si la loi de blocage s’applique, préserver les preuves et organiser une réponse qui protège l’entreprise, ses dirigeants et ses actifs stratégiques.
Loi de blocage : pourquoi une entreprise ne doit pas répondre seule
La loi n° 68-678 du 26 juillet 1968 interdit, sous certaines conditions, de communiquer à des autorités publiques étrangères des documents ou renseignements d’ordre économique, commercial, industriel, financier ou technique lorsque cette communication porterait atteinte à la souveraineté, à la sécurité, aux intérêts économiques essentiels de la France ou à l’ordre public.
Elle interdit aussi de demander, rechercher ou communiquer de tels documents ou renseignements lorsqu’ils tendent à constituer des preuves pour des procédures judiciaires ou administratives étrangères, sauf dans le cadre des traités, accords internationaux, lois et règlements applicables.
Cette règle ne concerne pas seulement les grands groupes cotés. Une PME, une start-up, un prestataire informatique, un fournisseur industriel, une filiale française, un dirigeant ou un salarié peuvent être exposés si la demande vise des informations sensibles et s’inscrit dans un contexte étranger.
La difficulté vient du fait que la demande étrangère ne mentionne pas toujours la loi de blocage. Elle peut prendre une forme apparemment banale : questionnaire de conformité, audit contractuel, demande de production de documents, injonction dans une procédure étrangère, demande d’un avocat, clause d’un contrat cloud, enquête interne menée par une maison mère ou exigence d’une plateforme étrangère.
Quels documents doivent alerter immédiatement ?
Tous les documents de l’entreprise ne sont pas protégés au même niveau. Mais certains signaux imposent une analyse avant transmission.
Il faut être particulièrement prudent lorsque la demande vise :
- des prix, marges, rabais, remises, coûts de revient ou conditions commerciales ;
- des contrats stratégiques, appels d’offres, négociations ou accords de distribution ;
- des données clients, fournisseurs, partenaires ou sous-traitants ;
- des plans techniques, procédés industriels, codes sources, schémas, recettes ou secrets de fabrication ;
- des informations financières non publiques ;
- des échanges internes de direction, notes d’audit, rapports de conformité ou enquêtes internes ;
- des données hébergées dans un cloud soumis à une législation étrangère ;
- des documents pouvant servir de preuve dans une procédure étrangère.
La DGE recommande aux entreprises de faire l’inventaire et de classifier leur patrimoine informationnel afin d’identifier les données susceptibles d’entrer dans le champ de la loi de blocage. Cette classification doit être pratique : il faut savoir qui détient le document, où il est stocké, qui peut y accéder, quelle est sa sensibilité et dans quel contexte il est demandé.
Que faire dans les premières 24 heures ?
Le premier réflexe est de geler la réponse. Il ne faut ni transmettre les documents, ni promettre une communication complète, ni laisser un salarié répondre seul depuis sa messagerie professionnelle.
Il faut ensuite constituer un dossier court :
- la demande reçue, dans sa version complète ;
- l’identité du demandeur et son pays ;
- le fondement invoqué : contrat, procédure, autorité, audit, enquête, clause, règlement ;
- la date limite de réponse ;
- la liste précise des documents demandés ;
- les personnes internes déjà contactées ;
- les transmissions déjà réalisées, même partielles ;
- les risques opérationnels en cas de silence ou de refus.
La société doit aussi identifier les canaux alternatifs. Si la demande relève d’une procédure judiciaire ou administrative étrangère, il peut exister des mécanismes d’entraide internationale. Si elle vient d’un partenaire privé, la réponse peut passer par une contestation contractuelle, une demande de précision, une production limitée, une anonymisation ou une saisine du guichet compétent.
Le rôle du SISSE et du guichet dédié
Depuis la réforme du dispositif, le Service de l’information stratégique et de la sécurité économiques, rattaché à la Direction générale des Entreprises, est présenté comme le guichet unique pour accompagner les entreprises confrontées à des demandes étrangères.
La page officielle de la DGE indique que les entreprises peuvent solliciter ce guichet pour obtenir un accompagnement vis-à-vis des demandes étrangères dans le respect de la loi de blocage. Elle met aussi à disposition un autodiagnostic et une brochure pratique sur la réaction à adopter face à une demande étrangère d’informations.
Cette saisine ne remplace pas l’analyse juridique du dossier. Elle permet en revanche de documenter la situation et de ne pas laisser l’entreprise isolée face à une autorité, une maison mère ou une plateforme étrangère. Elle peut être particulièrement utile lorsque le calendrier étranger impose une réponse rapide.
Cloud Act, cloud souverain et données hébergées : le point sensible
Le risque ne se limite pas aux documents rangés dans un serveur interne. Les données de l’entreprise peuvent être hébergées chez un prestataire cloud, traitées par un logiciel SaaS, sauvegardées par un sous-traitant ou accessibles depuis l’étranger.
Une demande étrangère peut alors viser directement le prestataire ou exploiter une clause contractuelle d’accès aux données. Pour l’entreprise française, il faut vérifier trois niveaux :
- le contrat cloud ou SaaS permet-il un accès par le prestataire ou ses sociétés liées ?
- les données concernées sont-elles économiques, commerciales, industrielles, financières ou techniques ?
- la demande étrangère contourne-t-elle les canaux normaux d’entraide ou de coopération internationale ?
Cette analyse rejoint les précautions à prendre dans les contrats cloud. Les clauses de localisation, de sous-traitance, de notification des demandes gouvernementales, de chiffrement, de réversibilité et de confidentialité doivent être relues avant toute transmission. Sur ce point, notre article consacré au cloud souverain et aux données sensibles dans les contrats cloud complète utilement l’analyse.
Répondre sans violer la loi de blocage
Une réponse utile doit éviter deux excès : transmettre tout le dossier sans contrôle ou opposer un refus brutal sans explication.
Dans certains cas, la société peut demander des précisions : base légale, qualité du demandeur, procédure concernée, documents réellement nécessaires, périmètre temporel, confidentialité, destinataires, mesures de protection et possibilité d’utiliser les canaux d’entraide.
Dans d’autres cas, elle peut proposer une production limitée : documents publics, données agrégées, version anonymisée, extrait non sensible, réponse par synthèse ou communication différée après avis. Mais cette stratégie doit être décidée après qualification juridique. Une anonymisation maladroite ne suffit pas si le document révèle tout de même des informations économiques sensibles.
Il faut également garder la trace de toutes les étapes : demande initiale, échanges internes, analyse des risques, documents écartés, documents transmis, version exacte des fichiers, date et destinataire. Si la situation se tend, cette traçabilité permettra de démontrer que l’entreprise n’a pas agi avec légèreté.
Quels risques pour le dirigeant et l’entreprise ?
La loi de blocage prévoit des sanctions pénales. L’article 3 de la loi mentionne une peine pouvant aller jusqu’à six mois d’emprisonnement et 18 000 euros d’amende, sans préjudice de peines plus lourdes prévues par d’autres textes.
Au-delà de la sanction, les risques pratiques sont souvent plus larges :
- perte d’un secret d’affaires ;
- affaiblissement dans une négociation internationale ;
- révélation d’une stratégie commerciale ;
- contradiction avec le RGPD ou un engagement de confidentialité ;
- conflit avec un partenaire français ;
- responsabilité du dirigeant si la transmission a été décidée sans contrôle ;
- difficulté de défense dans une procédure étrangère ou française.
Si la demande touche des informations confidentielles, il faut aussi raisonner avec le droit du secret des affaires. La question n’est pas seulement de savoir si la loi de blocage interdit la communication. Il faut aussi vérifier si l’entreprise a mis en place des mesures raisonnables de protection de ses informations stratégiques. À défaut, la défense du secret peut devenir plus fragile.
Checklist pratique avant toute transmission
Avant de répondre à une demande étrangère, l’entreprise devrait vérifier les points suivants.
- La demande vient-elle d’une autorité, d’un tribunal, d’un régulateur, d’un avocat, d’un cocontractant ou d’une maison mère ?
- La demande vise-t-elle une procédure judiciaire ou administrative étrangère ?
- Les documents demandés contiennent-ils des informations économiques, commerciales, industrielles, financières ou techniques ?
- Les informations peuvent-elles porter atteinte aux intérêts économiques essentiels de la France, à la sécurité, à la souveraineté ou à l’ordre public ?
- Existe-t-il un traité, un accord international ou un canal d’entraide applicable ?
- Le SISSE doit-il être saisi ou consulté ?
- Les données sont-elles protégées par le secret des affaires, le RGPD, un contrat de confidentialité ou une clause cloud ?
- Peut-on répondre par une demande de précision, une production limitée ou une version expurgée ?
- Qui valide la réponse en interne : direction juridique, dirigeant, DPO, RSSI, conseil externe ?
- La preuve de la décision et des fichiers transmis est-elle conservée ?
Cette checklist doit être utilisée avant l’envoi, pas après. Une fois les documents transmis à l’étranger, il est souvent trop tard pour reprendre le contrôle.
Paris et Île-de-France : les réflexes pour les sociétés exposées
Les entreprises situées à Paris et en Île-de-France sont souvent concernées par des groupes internationaux, des investisseurs étrangers, des contrats cloud, des prestataires technologiques ou des contentieux transfrontaliers. La demande peut arriver en anglais, depuis une maison mère, un cabinet étranger, un fournisseur SaaS ou une plateforme.
Dans ce contexte, il faut centraliser la réponse. Un salarié opérationnel ne doit pas envoyer seul les fichiers « pour débloquer le dossier ». Le dirigeant doit identifier les personnes autorisées à répondre, isoler les documents sensibles, vérifier les contrats concernés et, si nécessaire, prendre avis avant l’échéance étrangère.
Lorsque le dossier révèle un conflit commercial plus large, la stratégie doit aussi intégrer le droit des affaires français : clauses de confidentialité, responsabilité contractuelle, preuve, rupture de relation commerciale, litige entre associés ou protection d’un actif stratégique. Notre page sur le droit des affaires à Paris présente les principaux cadres d’intervention du cabinet.
Sources officielles utiles
Les textes et ressources à consulter en priorité sont :
- la page de la Direction générale des Entreprises sur la loi de blocage, mise à jour le 13 mai 2026 ;
- la loi n° 68-678 du 26 juillet 1968 sur Légifrance ;
- l’autodiagnostic et les documents pratiques mis à disposition par la DGE pour les entreprises confrontées à une demande étrangère d’informations.
Ces ressources donnent un cadre, mais elles ne remplacent pas l’analyse de la demande reçue. Le point décisif reste toujours le même : qui demande quoi, dans quel pays, pour quelle procédure, avec quel risque pour l’entreprise et ses informations sensibles ?
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Le cabinet peut analyser une demande étrangère de documents, vérifier l’application de la loi de blocage, préparer une réponse et sécuriser les données sensibles de l’entreprise.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact.
Pour une entreprise située à Paris ou en Île-de-France, l’analyse peut intégrer les contrats cloud, les demandes de maisons mères étrangères, les procédures internationales, le secret des affaires et les obligations de confidentialité déjà signées.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.