Votre commercial vient de démissionner et, quelques semaines plus tard, vos clients reçoivent ses offres sous sa nouvelle bannière. Les journaux de votre messagerie montrent un transfert massif vers son adresse personnelle la veille de son départ. Le doute n’est plus permis : le fichier clients est parti avec lui. Que vaut ce fichier sur le plan juridique, qui en répond et comment réagir sans commettre vous-même une faute qui ruinerait le dossier ? La réponse se joue sur quatre terrains à la fois : la protection des données personnelles, le contrat de travail, le droit pénal et la concurrence déloyale. Chacun obéit à ses propres règles de preuve et à ses propres délais, et une erreur sur l’un fragilise les autres. Ce point fait le tri entre les réflexes utiles des premières heures et les procédures qui tranchent le litige, avec les textes applicables et les décisions rendues sur des faits de ce type.

Avant d’agir, il faut poser les rôles. L’entreprise qui constitue le fichier clients et décide de son usage est le responsable du traitement : elle détermine les finalités et les moyens. Le salarié qui consulte ou enrichit ce fichier dans le cadre de sa mission agit sous l’autorité de ce responsable ; il n’est ni propriétaire des données ni libre d’en décider un usage personnel. Le contrat en cause est d’abord le contrat de travail, complété par la charte informatique, les habilitations d’accès, l’éventuelle clause de confidentialité et, le cas échéant, la clause de non-concurrence. Le fichier lui-même cumule deux natures : un ensemble de données à caractère personnel, dès qu’il identifie directement ou indirectement des personnes, et un actif commercial dont la valeur dépend de sa confidentialité. Cette double nature explique le cumul des fondements : le départ du salarié avec la copie peut engager à la fois le terrain disciplinaire, le terrain civil de la réparation, le terrain pénal et le terrain des données personnelles. Aucun de ces terrains ne se présume : chacun exige ses preuves, ses délais et sa juridiction.

I. Qualifier les faits : un fichier de données personnelles détourné par une personne autorisée

A. Le fichier clients, des données personnelles soumises à une finalité stricte

Un fichier clients qui contient des noms, des numéros de téléphone, des adresses électroniques ou des historiques d’achat se rapporte à des personnes physiques identifiées ou identifiables. Le règlement (UE) 2016/679 vise toute information se rapportant à une personne physique identifiée ou identifiable, l’identification pouvant être directe ou indirecte, par un nom, un numéro, des données de localisation ou un identifiant en ligne. Cette définition large couvre aussi les coordonnées professionnelles nominatives : l’adresse électronique d’un interlocuteur désigné chez un client reste une donnée personnelle, et son export vers une boîte privée reste un traitement au sens du même article 4, qui couvre la collecte, l’extraction, la consultation, l’utilisation et la transmission.

La règle centrale qui suit est celle de la limitation des finalités : les données doivent être collectées pour des finalités déterminées, explicites et légitimes, sans traitement ultérieur incompatible avec ces finalités (article 5 du règlement (UE) 2016/679). Un fichier constitué pour gérer la relation commerciale, la facturation et le suivi des commandes ne peut pas servir, sans base propre, à alimenter la prospection d’une société concurrente dirigée par l’ancien salarié. La réutilisation à des fins de démarchage pour son propre compte change de finalité et, en principe, de responsable du traitement : l’ancien salarié qui prospecte vos clients avec votre fichier devient lui-même responsable d’un nouveau traitement, soumis à ses propres obligations d’information, de base légale et de respect des oppositions. Les personnes démarchées conservent leurs droits : droit d’être informées, droit de s’opposer à la prospection et droit d’obtenir l’effacement, que le nouvel expéditeur devra honorer indépendamment du litige avec l’ancien employeur.

Le statut du salarié pendant la relation de travail verrouille ce raisonnement. Le règlement dispose que le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement, qui a accès à des données personnelles, ne peut les traiter que sur instruction de ce responsable, sauf obligation résultant du droit de l’Union ou d’un État membre (article 29). Autrement dit, l’habilitation d’accès n’est pas une autorisation d’usage personnel : le commercial peut consulter le fichier pour vendre, pas pour se constituer une copie privée en vue de son départ. Les instructions de l’employeur — charte informatique interdisant les transferts vers des messageries personnelles, politique d’habilitations, registre des traitements — matérialisent ce cadre et serviront de référentiel pour apprécier l’écart commis. En pratique, les dossiers solides montrent une interdiction écrite, connue du salarié, et des journaux d’accès qui datent l’export ; les dossiers fragiles reposent sur des usages tolérés pendant des années, que l’employeur découvre seulement le jour du conflit.

La dimension d’actif commercial ne doit pas être survendue. Le fichier peut relever du secret des affaires et fonder une action en responsabilité, puisque « toute atteinte au secret des affaires » engage, aux termes de ce texte, la responsabilité civile de son auteur (article L152-1 du code de commerce). Encore faut-il démontrer que l’information était réellement secrète, dotée d’une valeur et protégée par des mesures raisonnables. La cour d’appel de Rennes l’a rappelé le 4 mars 2025 (n° 23/06821) en déboutant une société qui dénonçait un parasitisme : les contrats litigieux étaient, selon la cour, un « contrat d’assurance commun » sans « valeur ajoutée tirée d’un savoir-faire particulier », et leur présence dans les répertoires concurrents ne prouvait rien à elle seule. Transposé au fichier clients, l’enseignement est direct : une simple liste de contacts publics, reconstituable par annuaires, ne porte pas la même charge probatoire qu’une base enrichie d’historiques d’achat, de marges, de préférences et de notes de suivi construites pendant des années. L’inventaire des mesures — accès restreints, mots de passe individualisés, rappels écrits, clauses de confidentialité — conditionne donc autant l’action en concurrence déloyale que la crédibilité du volet données personnelles.

B. Le salarié habilité qui s’approprie la donnée : loyauté, détournement et violation

Le premier réflexe consiste à qualifier le comportement dans le cadre du contrat de travail. « Le contrat de travail est exécuté de bonne foi » (article L1222-1 du code du travail), et cette bonne foi irrigue l’obligation de loyauté du salarié : ne pas détourner à son profit les moyens et les informations confiés pour la mission. Copier le fichier clients sur un support personnel, le transférer vers une messagerie privée ou le conserver après le départ, puis l’exploiter pour son compte ou celui d’un nouvel employeur, heurte cette loyauté dès lors que l’usage sort du périmètre de la mission. La gravité s’apprécie concrètement : volume des données copiées, caractère ciblé de l’extraction, dissimulation, récidive après un rappel écrit, exploitation effective chez le concurrent. Un envoi ponctuel et maladroit ne pèse pas comme une extraction massive programmée la veille du départ suivie d’une prospection systématique des meilleurs comptes.

La jurisprudence sociale rendue sur des faits voisins illustre ces curseurs. Dans un arrêt du 11 février 2025 (n° 22/06177), la cour d’appel de Paris a examiné le cas d’un salarié d’un établissement financier qui avait adressé un fichier clients sur sa messagerie personnelle pendant ses congés, en expliquant vouloir envoyer des vœux, alors que l’employeur rappelait une interdiction formelle et la sensibilité des données bancaires. La lettre de licenciement, reproduite dans l’arrêt, retenait que « La constitution de ce fichier et la tentative de transfert de celui-ci alors qu’il contenait une masse de données confidentielles liées à nos clients, sans le moindre garde-fou et en violation flagrante de toutes les règles de sécurité » constituait une faute, l’ancienneté ayant seulement conduit à écarter la faute grave. L’enseignement ne s’arrête pas là : la cour a finalement déclaré le licenciement nul et condamné l’employeur à 75 000 euros d’indemnité pour licenciement nul et 10 000 euros pour harcèlement moral, le dossier disciplinaire étant contaminé par un contexte de harcèlement. Le dirigeant doit en tirer une leçon de méthode : l’exfiltration, même établie, ne purge pas les autres griefs du salarié et ne dispense pas d’une procédure disciplinaire irréprochable. Le fait fautif doit être poursuivi vite — « Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois » (article L1332-4 du code du travail) — et l’enquête interne doit respecter les droits du salarié, sous peine de voir la sanction annulée malgré la réalité du détournement.

Sur le terrain pénal, plusieurs qualifications entrent en ligne de compte, et c’est au juge répressif d’en décider, pas à l’employeur dans ses courriers. L’accès au système et la copie peuvent relever de l’atteinte aux systèmes de traitement automatisé de données : « accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » (article 323-1 du code pénal). La qualité d’utilisateur autorisé ne protège pas celui qui détourne son accès de sa finalité : se connecter avec ses identifiants pour aspirer la base à des fins personnelles, ou se maintenir dans la messagerie après la révocation des droits, caractérise la fraude. La chambre criminelle a validé le 2 septembre 2025 (n° 24-83.605) une condamnation pour maintien frauduleux dans une messagerie et jugé que « la perte de confiance éprouvée par M. [G], suite aux agissements de M. [L], était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal » (Cass. crim., 2 septembre 2025, n° 24-83.605), avec 10 000 euros alloués à la victime. Dans un registre voisin, elle juge depuis un arrêt du 8 juin 2021 (n° 20-85.853) que « des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification » (Cass. crim., 8 juin 2021, n° 20-85.853) : la dissimulation, là encore, fait basculer un geste apparemment technique dans la fraude.

Le détournement du fichier remis pour la mission peut aussi être regardé comme un abus de confiance, défini comme le fait de « détourner, au préjudice d’autrui, des fonds, des valeurs ou un bien quelconque qui lui ont été remis » (article 314-1 du code pénal). La donnée confiée pour vendre et détournée pour concurrencer entre dans ce schéma lorsque la remise précaire et l’usage déterminé sont établis par les écrits : fiche de poste, habilitations, charte, engagements signés. Lorsque le fichier contient des informations secrètes confiées en raison de la fonction, la révélation à un tiers peut ajouter le délit de violation du secret, car « La révélation d’une information à caractère secret par une personne qui en est dépositaire » (article 226-13 du code pénal). Chaque qualification suppose ses éléments propres et ses preuves propres ; les cumuler dans une plainte sans les étayer affaiblit le dossier au lieu de le renforcer.

Enfin, l’exfiltration interne constitue une violation de données à caractère personnel au sens du règlement européen, avec ce que cela impose au responsable du traitement. Une copie non autorisée vers l’extérieur brise la confidentialité attendue et expose les personnes fichées à un démarchage non sollicité, voire à des risques d’usurpation si les données sont riches. L’entreprise ne peut pas traiter l’événement comme un simple différend commercial : elle doit le qualifier au regard de la sécurité due aux personnes. Le règlement exige du responsable et du sous-traitant des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (article 32), et l’audit post-incident portera sur ces mesures : habilitations individualisées, révocation des accès au départ, journalisation, chiffrement, sauvegardes, sensibilisation. Si les accès de l’ancien salarié sont restés ouverts des mois après son départ, ou si toute l’équipe partageait un identifiant unique, l’entreprise répondra aussi de ses propres manquements devant la CNIL, indépendamment des torts du salarié. Cette symétrie des responsabilités structure toute la suite : poursuivre l’auteur sans corriger la faille expose à une sanction pour les mêmes faits.

II. Réagir et obtenir réparation : preuves, CNIL et juges

A. Sécuriser, prouver et notifier sans se mettre en faute

Les premières heures décident du sort du dossier. La priorité est de stopper l’hémorragie : révoquer immédiatement les accès de la personne partie, changer les mots de passe partagés qu’elle connaissait, suspendre les comptes persistants et vérifier les délégations de messagerie subsistantes. Ces mesures de sécurité sont dues aux personnes fichées et ne préjugent d’aucune sanction : elles se documentent dans un registre d’incident horodaté qui servira pour la notification à la CNIL comme pour le juge. En parallèle, l’entreprise fige les preuves de l’exfiltration par des moyens loyaux : extraction des journaux de connexion et de transfert, conservation des courriels d’alerte, constats d’huissier — devenus constats de commissaire de justice — des démarchages reçus par les clients, attestations des clients démarchés décrivant l’expéditeur, le contenu et la date. Chaque pièce doit indiquer son origine et sa date ; un tableau de suivi qui relie chaque export à une trace technique et à un usage commercial constaté vaut mieux qu’un dossier volumineux mais désordonné.

La tentation de la contre-surveillance doit être contenue. Fouiller la messagerie personnelle du salarié, géolocaliser ses déplacements ou poser un logiciel espion sur son poste sans cadre licite retourne la procédure contre l’employeur et peut faire écarter les preuves. La limite est posée par le code du travail, qui n’admet que des restrictions encadrées : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » (article L1121-1 du code du travail). Concrètement, l’examen des outils professionnels — journaux du serveur, messagerie d’entreprise, poste de travail — reste possible dans le respect des règles internes et de l’information des salariés, tandis que l’accès aux espaces privés exige l’autorisation du juge. Lorsque la preuve ne peut pas être constituée seul, l’entreprise saisit le juge en amont lorsque « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits », les mesures d’instruction légalement admissibles pouvant être ordonnées sur requête ou en référé (article 145 du code de procédure civile). Constat sur requête, séquestre des supports, expertise informatique des traces d’export : ces mesures ordonnées par le juge donnent aux constats une force que l’enquête interne ne fournit jamais seule. Le dossier concurrent le plus complet du marché décrit la même boîte à outils — constat, ordonnance sur requête, expertise forensique, référé — sans traiter le volet données personnelles ; c’est précisément l’articulation entre ces mesures civiles et les obligations RGPD qui fait la valeur du présent dossier.

La mise en demeure suit la sécurisation. Un courrier précis, qui vise les faits datés, rappelle l’interdiction écrite violée, exige la restitution et la suppression de toute copie, la cessation de toute prospection issue du fichier et l’attestation écrite de destruction, avec un délai bref. Ce courrier n’est pas une formalité : il établit la mauvaise foi en cas de poursuite de l’usage et ouvre la voie au référé pour faire cesser un trouble manifestement illicite. Si une clause de non-concurrence lie l’ancien salarié, elle se met en œuvre selon ses termes — information, contrepartie financière, périmètre — sans se confondre avec l’interdiction d’utiliser le fichier, qui vaut même hors non-concurrence dès lors que les données restent celles de l’entreprise.

Vient ensuite l’obligation de notification. Dès lors que l’exfiltration expose les personnes fichées à un risque, le responsable du traitement notifie la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (article 33 du règlement (UE) 2016/679). La CNIL précise la méthode sur son téléservice de notification des violations : notification initiale dans le délai de 72 heures si possible, motifs du retard en cas de dépassement, puis notification complémentaire dès que les investigations aboutissent. Si la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, l’entreprise la communique à la personne concernée dans les meilleurs délais (article 34 du règlement (UE) 2016/679). Pour un fichier clients exfiltré, le risque élevé s’apprécie selon la nature des données — coordonnées simples, données bancaires, pièces d’identité, données de mineurs — et selon l’usage constaté : démarchage massif, revente, diffusion. La notification décrit la nature de la violation, ses conséquences probables et les mesures prises ; elle ne reconnaît aucune responsabilité pénale et ne préjuge pas du litige avec l’ancien salarié, mais son absence ou son retard constitue un manquement propre, sanctionnable en tant que tel. Le guide de référence sur la conduite à tenir après le piratage d’un fichier clients détaille cette séquence de notification et d’information des clients (fichier clients piraté : notifier la CNIL en 72 heures, informer les clients et gérer le sous-traitant) ; l’exfiltration par un insider suit la même discipline, avec un effort supplémentaire sur la preuve de l’auteur.

À Paris et en Île-de-France, la densité des acteurs impose une discipline particulière. Les constats de démarchage se font souvent dans des salons, des showrooms ou des sièges clients répartis entre Paris, La Défense et la petite couronne : chaque constat précise le lieu, l’interlocuteur et le support, car la compétence territoriale du juge du fond et du juge des requêtes peut en dépendre. Les juridictions parisiennes — conseil de prud’hommes de Paris pour le volet disciplinaire, tribunal de commerce de Paris pour la concurrence déloyale entre sociétés, tribunal judiciaire de Paris pour la réparation civile et les mesures d’instruction — traitent un volume élevé de ces dossiers et exigent des jeux de pièces ordonnés, paginés et visés dans les conclusions. Les constats sur requête s’exécutent tôt le matin en région parisienne pour préserver l’effet de surprise, avec un commissaire de justice muni de l’ordonnance ; toute exécution hors du périmètre autorisé expose à la rétractation, comme l’a illustré encore le 10 septembre 2026 une ordonnance du juge des référés de Créteil statuant sur la rétractation d’une ordonnance sur requête. Enfin, les entreprises franciliennes multi-sites veillent à la cohérence des habilitations entre le siège et les établissements : un accès parisien révoqué mais un accès maintenu sur le site logistique suffit à vider la révocation de sa substance et à nourrir le grief de manquement à la sécurité.

B. Poursuivre sur les bons fondements et chiffrer la réparation

Le choix des actions conditionne la réparation. Sur le terrain du contrat de travail, l’employeur qui a connaissance de l’exfiltration engage la procédure disciplinaire dans le délai de deux mois et réunit l’entretien préalable, la notification motivée et les pièces. La faute simple ouvre le licenciement avec indemnités ; la faute grave, qui suppose une violation rendant impossible le maintien dans l’entreprise, prive en outre d’indemnité de licenciement et de préavis ; la faute lourde, qui exige l’intention de nuire, ouvre la réparation du préjudice causé. La tentation de qualifier systématiquement en faute lourde un départ vers un concurrent doit être résistée : sans preuve de l’intention de nuire distincte du détournement, la qualification s’effondre et fragilise tout le dossier prud’homal. L’arrêt parisien du 11 février 2025 en administre la preuve par l’absurde : un dossier disciplinaire matériellement étayé sur l’exfiltration a produit 75 000 euros d’indemnité pour licenciement nul et 10 000 euros pour harcèlement moral parce que le contexte entourant la rupture viciait la sanction. La solidité du grief n’absorbe jamais les vices de la procédure ni les manquements propres de l’employeur.

Sur le terrain civil, l’ancien salarié et, le cas échéant, son nouvel employeur répondent du détournement de clientèle opéré par des moyens déloyaux. Le fondement de droit commun dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage », oblige son auteur à le réparer (article 1240 du code civil). La faute consiste ici dans l’appropriation et l’exploitation du fichier d’autrui, distincte du simple exercice d’une activité concurrente, qui reste libre. Le préjudice se chiffre à partir des marges perdues sur les clients détournés, des coûts de reconstitution de la base et de l’atteinte à l’organisation commerciale, avec expertises comptables et comparatifs de chiffre d’affaires à l’appui. Lorsque le fichier relevait du secret des affaires, l’action fondée sur l’article L152-1 précité s’ajoute sans s’y substituer, avec ses mesures propres dont l’interdiction de l’usage illicite. Le juge des référés peut ordonner en urgence la cessation de la prospection issue du fichier, la restitution des supports et la suppression des copies sous astreinte, ce qui vaut souvent davantage que des dommages-intérêts lointains : tarir la source du détournement avant l’audience au fond.

Le volet données personnelles ouvre un troisième front indemnitaire, au profit des personnes fichées comme de l’entreprise elle-même. Le règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation du responsable du traitement ou du sous-traitant (article 82). Les clients démarchés sur la base du fichier détourné peuvent ainsi agir contre l’auteur du nouveau traitement illicite, et l’entreprise dont la base a été pillée peut réclamer la réparation de son propre préjudice économique et moral, y compris la perte de confiance de sa clientèle. Parallèlement, la CNIL peut être saisie par plainte des personnes concernées et contrôler l’entreprise victime sur ses mesures de sécurité : conservation des traces, habilitations, révocation des accès, information des personnes. Une entreprise qui notifie dans les délais, coopère, corrige la faille et documente ses mesures se présente autrement qu’une structure qui découvre l’exfiltration sans journaux, sans charte et sans registre. La sanction administrative — mise en demeure, amende, injonction — frappe les manquements du responsable, pas la faute du salarié ; les deux responsabilités coexistent sans se confondre.

La plainte pénale complète le dispositif lorsqu’elle est étayée. Déposée avec constitution de partie civile, pièces techniques et chiffrage, elle vise les qualifications établies par l’enquête : accès ou maintien frauduleux, abus de confiance, violation du secret selon les cas. Elle n’a rien d’automatique : le ministère public apprécie l’opportunité des poursuites et le juge répressif exige la preuve de chaque élément constitutif, intention comprise. Utilisée à bon escient, elle produit des effets que le civil n’offre pas — perquisitions, saisie des supports, exploitation des constatations des enquêteurs — et la victime peut obtenir au pénal la réparation de son préjudice, la perte de confiance indemnisée en 2025 sur le fondement de l’article 323-1 en témoignant. Utilisée comme un moyen de pression sans pièces techniques à l’appui, elle se classe et dessert les autres procédures. L’articulation se prépare dès le dépôt : demande d’actes ciblée, suivi du dossier, coordination avec le calendrier prud’homal et commercial pour éviter les contradictions entre les récits produits devant chaque juge.

Reste la question que tout dirigeant pose : combien de temps et pour quel résultat. Compter, dans un dossier francilien bien tenu, quelques semaines pour la sécurisation, la mise en demeure et la notification CNIL, quelques mois pour les mesures d’instruction et le référé, et une à deux années pour le fond commercial et prud’homal en cas d’appel. Le résultat dépend moins de l’indignation que de trois actifs : des écrits antérieurs qui interdisaient l’usage personnel, des traces techniques qui datent l’export et des constats qui relient l’export à la prospection. Sans ces trois actifs, même le dossier le plus scandaleux s’enlise ; avec eux, la négociation raisonnée — restitution, suppression attestée, cessation, indemnisation — redevient possible et le juge, s’il doit trancher, dispose d’une matière vérifiable.

Un salarié qui part avec le fichier clients commet plus qu’une déloyauté : il détourne des données personnelles confiées pour une mission précise, contourne les instructions de son employeur et expose des tiers à un traitement qu’ils n’ont pas choisi. L’entreprise qui subit ce geste sécurise d’abord, prouve loyalement, notifie dans les délais, puis poursuit sur chaque terrain avec ses preuves propres : discipline et prud’hommes pour la rupture, référé et fond civil pour la cessation et la réparation, plainte pénale pour la sanction des atteintes les plus graves, coopération avec la CNIL pour la sécurité des données. La jurisprudence récente montre les deux faces du contentieux : la fraude avérée se condamne, y compris par la perte de confiance indemnisée, mais l’employeur qui néglige la procédure ou ses propres mesures de sécurité paie à son tour. Dans ce contentieux à quatre dimensions, la rigueur documentaire n’est pas un luxe de procédure : c’est elle qui sépare l’entreprise qui obtient la restitution, la cessation et la réparation de celle qui ajoute une condamnation à sa violation de données.