Le 7 octobre 2026, la requête « espionnage » bondit de plus de 1 000 % sur Google France avec plus de 20 000 recherches : selon Le Figaro, un ancien chef du renseignement extérieur allemand a été placé en détention provisoire, soupçonné de trahison, et Le Monde comme Les Echos rapportent la même arrestation pour des faits présumés d’espionnage constitutif de trahison. Cette affaire étrangère, encore en cours et couverte par la présomption d’innocence, ne se jugera pas en France. Elle réveille pourtant les vraies questions que se posent les internautes français, visibles dans les suggestions de recherche Google : « espionnage industriel peine », « espionnage industriel code pénal », « espionnage industriel france ». Autrement dit : quand un salarié, un prestataire ou un concurrent s’empare des secrets d’une entreprise, que risque l’auteur devant le juge pénal français, et de quels recours l’entreprise victime dispose-t-elle ? Cet article répond aux deux questions avec les textes en vigueur au 7 octobre 2026 et trois décisions de la Cour de cassation rendues entre 2025 et 2026, citées mot pour mot.
Premier point de méthode : l’espionnage industriel n’est pas une infraction unique du code pénal. Le droit français punit la captation de secrets par plusieurs qualifications qui se cumulent souvent dans un même dossier : le vol, l’abus de confiance, la violation du secret de fabrication et les atteintes aux systèmes de traitement automatisé de données. À côté du volet répressif, le code de commerce protège le secret des affaires depuis la loi du 30 juillet 2018 et ouvre une action civile en réparation. Comprendre l’articulation entre ces deux volets, pénal et civil, permet à l’entreprise de réagir vite et juste : porter plainte sans se tromper de qualification, préserver les preuves sans violer le droit à son tour, et chiffrer son préjudice.
I. Espionnage industriel et code pénal : les peines encourues par l’auteur
Voler des fichiers, détourner des données confiées, révéler un secret de fabrication ou pirater un serveur : chaque geste correspond à une infraction précise, avec sa peine. Le point commun de ces qualifications, c’est qu’elles visent des biens immatériels autant que matériels, et qu’elles s’appliquent parfaitement au salarié, à l’ancien salarié, au prestataire et au concurrent indélicat.
A. Vol, abus de confiance et secret de fabrication : trois ans, cinq ans et deux ans d’emprisonnement
Le vol reste la qualification de départ dans la plupart des dossiers d’espionnage industriel. L’article 311-1 du code pénal le définit en une phrase : « Le vol est la soustraction frauduleuse de la chose d’autrui. » La jurisprudence applique depuis longtemps cette définition aux fichiers informatiques copiés par un salarié : même si l’original reste sur le serveur de l’entreprise, la reproduction frauduleuse des données vaut soustraction. L’article 311-3 du code pénal fixe la peine de base : « Le vol est puni de trois ans d’emprisonnement et de 45 000 euros d’amende. » Ces chiffres constituent le socle : toute captation de documents, de plans, de listes de clients ou de codes sources par une personne qui n’en est pas propriétaire expose l’auteur à trois ans d’emprisonnement. Les circonstances aggravantes, notamment la commission par un salarié avec abus de la facilité que lui procure son emploi ou la commission en bande organisée, portent la peine jusqu’à cinq, sept ou dix ans selon les cas, avec des amendes qui suivent la même échelle.
Quand les données ont été confiées à l’auteur dans le cadre de ses fonctions, c’est l’abus de confiance qui prend le relais, avec une peine plus lourde. L’article 314-1 du code pénal dispose : « L’abus de confiance est le fait par une personne de détourner, au préjudice d’autrui, des fonds, des valeurs ou un bien quelconque qui lui ont été remis et qu’elle a acceptés à charge de les rendre, de les représenter ou d’en faire un usage déterminé. L’abus de confiance est puni de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Deux précisions de la Cour de cassation intéressent directement les entreprises. D’abord, dans un arrêt du 25 juin 2025 rendu à propos d’informations transmises lors d’un audit de pré-acquisition, la chambre criminelle a jugé que « des informations telles que celles transmises lors d’un audit de pré-acquisition (« due diligence ») peuvent constituer un bien immatériel susceptible de détournement », tout en ajoutant que « le préjudice se déduit de l’existence du détournement » et que l’infraction suppose que les informations litigieuses « n’ont pas été utilisées pour un but autre, à savoir une acquisition, que celles pour lesquelles elles ont été remises » (Cass. crim., 25 juin 2025, n° 21-83.384). Concrètement, le candidat repreneur qui utilise les données confidentielles de la cible à d’autres fins que l’acquisition envisagée s’expose à cinq ans d’emprisonnement. Ensuite, dans un arrêt du 25 mars 2026, la même chambre a rappelé que « l’abus de confiance ne peut porter que sur des fonds, valeurs ou biens remis à titre précaire » et que « l’insuffisance ou la contradiction des motifs équivaut à leur absence » (Cass. crim., 25 mars 2026, n° 24-80.202). L’entreprise qui veut voir condamner l’auteur doit donc établir précisément à quel titre précaire les biens ou les données avaient été remis : contrat de travail, mission, contrat de prestation, accord de confidentialité.
Troisième qualification, souvent méconnue alors qu’elle vise exactement le salarié indélicat : la violation du secret de fabrication. L’article L. 1227-1 du code du travail prévoit que « Le fait pour un directeur ou un salarié de révéler ou de tenter de révéler un secret de fabrication est puni d’un emprisonnement de deux ans et d’une amende de 30 000 euros. » La tentative suffit, et le texte vise aussi bien le directeur que le salarié. Cette infraction protège les procédés de fabrication au sens strict, là où le secret des affaires du code de commerce couvre un champ plus large, comme on le verra. Dans un dossier d’espionnage industriel interne, le cumul vol, abus de confiance et violation du secret de fabrication est fréquent, et c’est au stade de la plainte que l’entreprise doit viser large : le parquet et le juge d’instruction requalifieront si nécessaire, mais une plainte trop étroite risque de laisser passer une partie des faits.
B. Piratage et extraction de données : les peines cyber du code pénal
L’espionnage industriel moderne passe presque toujours par les systèmes informatiques : accès au serveur après la fin du contrat, maintien dans la messagerie d’un ancien collègue, extraction massive d’une base clients, introduction d’un logiciel espion. Le code pénal consacre tout un chapitre aux atteintes aux systèmes de traitement automatisé de données, avec des peines supérieures au vol simple. L’article 323-1 du code pénal punit d’abord l’intrusion : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le même article aggrave la peine à cinq ans d’emprisonnement et 150 000 euros d’amende quand l’intrusion a entraîné la suppression ou la modification de données ou une altération du fonctionnement du système, et la porte à sept ans d’emprisonnement et 300 000 euros d’amende quand elle vise un système de traitement de données à caractère personnel mis en œuvre par l’État. Pour l’entreprise, la leçon pratique est nette : le salarié qui conserve ses codes d’accès après son départ et se reconnecte au réseau commet déjà le délit d’accès et de maintien frauduleux, avant même toute copie de fichiers.
L’extraction elle-même est punie encore plus sévèrement. L’article 323-3 du code pénal dispose : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » Chaque verbe compte : extraire, détenir, reproduire, transmettre. Le concurrent qui reçoit les fichiers volés et les détient sur ses propres serveurs commet lui aussi le délit, ce qui ouvre la voie à des poursuites contre le bénéficiaire final de l’espionnage et pas seulement contre l’exécutant. Là encore, l’atteinte à un système de l’État fait grimper la peine à sept ans et 300 000 euros. Enfin, la révélation du secret capté peut tomber sous le coup de l’article 226-13 du code pénal : « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, est punie d’un an d’emprisonnement et de 15 000 euros d’amende. » Ce texte vise surtout les dépositaires professionnels du secret, et il complète l’arsenal quand l’auteur a eu accès aux informations par sa fonction. Au total, l’auteur d’un espionnage industriel mené par voie informatique cumule facilement des peines encourues de cinq ans d’emprisonnement et 150 000 euros d’amende par chef, avant application des règles du concours d’infractions qui permettent au juge de prononcer une peine unique dans la limite du maximum légal le plus élevé.
II. Secret des affaires et recours de l’entreprise victime : agir vite et dans les règles
Le volet pénal ne suffit pas : l’entreprise victime veut aussi faire cesser l’utilisation de ses secrets, obtenir réparation et empêcher la récidive. C’est l’objet du régime du secret des affaires du code de commerce, qui protège l’information elle-même, et d’une stratégie de réaction en trois temps : sécuriser, constater, poursuivre.
A. Secret des affaires : trois conditions, une action civile et des limites strictes
Depuis la loi du 30 juillet 2018 qui transpose la directive européenne du 8 juin 2016, toute entreprise peut faire protéger ses informations stratégiques sans formalité de dépôt, à condition de remplir trois critères cumulatifs. L’article L. 151-1 du code de commerce dispose : « Est protégée au titre du secret des affaires toute information répondant aux critères suivants : 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité ; 2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; 3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret. » La troisième condition est la plus piégeuse en pratique : sans mesures raisonnables, c’est-à-dire au minimum des clauses de confidentialité dans les contrats de travail et de prestation, des accès informatiques cloisonnés, des marquages « confidentiel » et des rappels réguliers, l’entreprise perd le bénéfice de la protection. L’audit des mesures de protection doit donc précéder tout litige, et les entreprises qui négligent ce point découvrent devant le juge que leurs informations, pourtant précieuses, ne sont juridiquement pas des secrets.
Quand les trois conditions sont réunies, l’obtention, l’utilisation ou la divulgation illicite du secret ouvre une action en responsabilité civile. L’article L. 152-1 du code de commerce est lapidaire : « Toute atteinte au secret des affaires telle que prévue aux articles L. 151-4 à L. 151-6 engage la responsabilité civile de son auteur. » Le juge civil peut ordonner la cessation de l’utilisation illicite sous astreinte, la destruction des supports, la publication du jugement et des dommages et intérêts qui réparent le préjudice réel, y compris le gain manqué et l’atteinte à l’image. Cette action se combine avec la plainte pénale : l’entreprise peut se constituer partie civile devant le juge répressif et demander réparation dans le procès pénal, ou agir séparément au civil en attendant l’issue du pénal. Le choix dépend du rythme souhaité, car le procès civil permet souvent d’obtenir plus vite des mesures d’interdiction provisoires.
Le secret des affaires n’est pourtant pas absolu, et deux limites intéressent directement les dossiers d’espionnage. La première tient au lanceur d’alerte : l’article L. 151-8 du code de commerce prévoit que le secret n’est pas opposable quand la divulgation est intervenue « Pour révéler, dans le but de protéger l’intérêt général et de bonne foi, une activité illégale, une faute ou un comportement répréhensible, y compris lors de l’exercice du droit d’alerte » défini par la loi du 9 décembre 2016, ni quand elle est intervenue « Pour la protection d’un intérêt légitime reconnu par le droit de l’Union européenne ou le droit national. » Le salarié qui révèle de bonne foi des agissements illicites en suivant la procédure de signalement ne commet donc pas d’atteinte au secret, et l’entreprise qui le poursuivrait s’exposerait à un débouté assorti de dommages et intérêts pour procédure abusive. Le pendant pénal figure à l’article 122-9 du code pénal : « N’est pas pénalement responsable la personne qui porte atteinte à un secret protégé par la loi, dès lors que cette divulgation est nécessaire et proportionnée à la sauvegarde des intérêts en cause, qu’elle intervient dans le respect des conditions de signalement définies par la loi et que la personne répond aux critères de définition du lanceur d’alerte prévus à l’article 6 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique. » Avant de qualifier un salarié de traître, l’entreprise doit vérifier s’il n’a pas agi comme lanceur d’alerte : la frontière entre espionnage et alerte licite passe par la bonne foi, la gravité des faits révélés et le respect du canal de signalement.
La seconde limite tient au droit à la preuve, tranchée par la Cour de cassation le 5 février 2025 dans une affaire de concurrence déloyale entre réseaux de pizza. La chambre commerciale a jugé : « Selon le premier de ces textes, à l’occasion d’une instance relative à une atteinte au secret des affaires, le secret n’est pas opposable lorsque son obtention, son utilisation ou sa divulgation est intervenue pour la protection d’un intérêt légitime reconnu par le droit de l’Union européenne ou le droit national », avant d’ajouter : « Il résulte du second que le droit à la preuve peut justifier la production d’éléments couverts par le secret des affaires, à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi » (Cass. com., 5 févr. 2025, n° 23-10.953, publié au Bulletin). La cour d’appel qui avait condamné les sociétés pour avoir produit une pièce couverte par le secret sans vérifier si elle était indispensable à la preuve de la concurrence déloyale a vu sa décision cassée. Pour l’entreprise victime d’espionnage, la leçon est double : elle peut produire en justice des pièces sensibles pour prouver le pillage, mais elle doit démontrer à chaque fois que la production est indispensable et proportionnée, sous peine de voir sa propre pièce écartée et sa loyauté procédurale sanctionnée.
B. Réagir à un espionnage : plainte, preuves et mesures d’urgence
La découverte d’un espionnage industriel appelle une réaction en trois temps, et l’ordre compte autant que la vitesse. Premier temps, sécuriser : révoquer immédiatement les accès informatiques de la personne soupçonnée, changer les mots de passe partagés, suspendre les comptes de prestataires arrivés à échéance, journaliser les connexions restantes et interdire toute suppression de données dans les services concernés. Cette phase doit rester discrète et strictement interne : une accusation publique prématurée, un licenciement brutal sans preuve ou une fouille irrégulière des outils du salarié retournent le dossier contre l’entreprise, qui s’expose alors à une condamnation pour licenciement sans cause réelle et sérieuse ou pour atteinte à la vie privée. La règle d’or consiste à geler la situation technique sans geler les droits de personne : on coupe les accès, on conserve les traces, on ne sanctionne qu’après avoir établi les faits.
Deuxième temps, constater et préserver la preuve. Le constat par commissaire de justice, dressé sur les postes, les serveurs et les journaux de connexion, fige l’état des systèmes avant toute altération et pèse lourd devant le juge pénal comme devant le juge civil. Les sauvegardes des journaux d’accès, les horodatages des copies massives, les courriels de transmission vers des adresses personnelles et les témoignages de collègues doivent être collectés vite, car les données volatiles s’effacent et les souvenirs se brouillent. C’est aussi le moment de réunir les pièces qui établissent la remise à titre précaire exigée pour l’abus de confiance : contrat de travail avec clause de confidentialité, charte informatique signée, accord de non-divulgation du prestataire, protocole d’audit de pré-acquisition qui encadrait l’usage des données transmises. Sans ces pièces, la plainte reste une dénonciation fragile ; avec elles, elle devient un dossier. Les entreprises parisiennes et franciliennes gagnent à faire réaliser ces constats sans attendre, car les juridictions de la capitale traitent un volume élevé de contentieux économiques et récompensent les dossiers documentés dès l’origine.
Troisième temps, poursuivre sur les deux fronts. Au pénal, la plainte avec constitution de partie civile permet à l’entreprise de mettre en mouvement l’action publique quand le parquet hésite, et donne accès au dossier d’instruction pour préparer le volet civil. Les qualifications à viser dans la plainte reprennent l’arsenal décrit plus haut : vol pour les copies de fichiers, abus de confiance pour le détournement de données confiées, violation du secret de fabrication pour les procédés révélés, accès et maintien frauduleux puis extraction de données pour l’intrusion informatique, avec la complicité ou le recel du concurrent bénéficiaire quand il a détenu ou exploité les secrets en connaissance de cause. Au civil, l’action en cessation de l’illicite et en réparation sur le fondement du secret des affaires permet d’obtenir l’interdiction d’exploiter les informations sous astreinte, la remise des supports et l’indemnisation du préjudice, tandis que l’action en concurrence déloyale sanctionne le démarchage de la clientèle détournée et la désorganisation de l’entreprise. Les deux voies se cumulent et se nourrissent : la condamnation pénale établit la faute pour le juge civil, et les mesures civiles d’interdiction protègent l’entreprise pendant la lenteur de l’instruction pénale. Pour le cas particulier du salarié qui part avec les fichiers clients, les réflexes opérationnels détaillés dans notre analyse dédiée complètent utilement ce cadre général : salarié parti avec vos fichiers clients, comment réagir. Enfin, quand l’espionnage passe par une cyberattaque externe plutôt que par un initié, la notification des violations de données personnelles et la gestion de la crise informatique obéissent à des réflexes voisins : couper, constater, notifier, poursuivre.
Conclusion
L’actualité allemande qui fait grimper la requête « espionnage » le 7 octobre 2026 concerne une affaire étrangère en cours, sur laquelle seul le juge saisi tranchera. Le droit français applicable aux entreprises, lui, est fixé : trois ans d’emprisonnement et 45 000 euros d’amende pour le vol de fichiers, cinq ans et 375 000 euros pour l’abus de confiance sur des données remises à titre précaire, deux ans et 30 000 euros pour la violation du secret de fabrication, trois à sept ans pour l’intrusion informatique et cinq ans et 150 000 euros pour l’extraction et la détention de données. À côté de ce volet répressif, le secret des affaires protège toute information secrète à valeur commerciale assortie de mesures raisonnables, et ouvre une action civile en cessation et en réparation, sauf quand la divulgation relève de l’alerte licite ou du droit à la preuve indispensable et proportionnée. Pour l’entreprise, trois réflexes décident de tout : protéger ses secrets avant le litige par des clauses et des accès cloisonnés, constater vite et proprement par commissaire de justice dès la découverte, puis poursuivre sur les deux fronts pénal et civil avec les bonnes qualifications. Retenez cinq nombres : 311-1, 314-1, 323-3, L. 151-1 et 122-9, et une date, le 5 février 2025, quand la Cour de cassation a rappelé que le secret des affaires cède devant la preuve indispensable. C’est avec ce socle que l’entreprise transforme un pillage subi en condamnation obtenue.