Partie VII : Secrets d’affaires et objets numériques

Sujets abordés dans cette partie :

• Catégories d’objets numériques, y compris les données numériques

• Éligibilité des objets numériques à la protection des secrets d’affaires

• Gestion des secrets d’affaires numériques

• Défis et risques des secrets d’affaires numériques, cyberattaques, audits

• Secrets d’affaires ou autres droits de propriété intellectuelle pour les objets numériques

Avec l’évolution rapide des technologies numériques, les entreprises se heurtent à des défis uniques en matière de protection de leurs connaissances et informations exclusives précieuses. Si les stratégies “traditionnelles” de protection de la propriété intellectuelle centrée sur les brevets peuvent encore être valables dans ce secteur technologique, la protection des secrets d’affaires est apparue comme l’un des mécanismes de protection cruciaux pour les technologies numériques.

Les secrets d’affaires couvrant potentiellement un large éventail de données et informations numériques, l’expression “objets numériques” est utilisée aux fins de la présente partie. Elle désigne de manière générale les données ou informations stockées et transmises dans un format électronique ou numérique. Par conséquent, la protection des objets numériques par le secret d’affaires peut englober deux domaines distincts :

• les données numériques (en format texte, audio ou image), les algorithmes ou un code de programmation constituent, en soi, des informations précieuses relevant du secret d’affaires, et

• des informations relevant du secret d’affaires dans un domaine technique, conservées dans un format numérique (telles que des informations sur une méthode de fabrication de la substance X conservées dans un fichier numérique).

La partie VII se concentrera essentiellement sur la première catégorie des “objets numériques”. Toutefois, les mesures de sécurité des technologies de l’information abordées dans les sections 4 et 6 de cette partie peuvent s’appliquer à toute information relevant du secret d’affaires dans un format numérique (voir également la partie IV : Gestion des secrets d’affaires, en général, et sa section 2.3, en particulier).

1. Émergence d’objets numériques et potentiel de protection des secrets d’affaires

Les objets numériques jouent un rôle essentiel dans l’environnement commercial actuel. Avec l’avènement de l’informatique et du stockage en nuage, des communications électroniques, de l’analyse avancée de données et des grands modèles de langage comme GPT-4, les organisations dépendent fortement des plateformes numériques. La nature des objets numériques présente tout à la fois des avantages et des défis pour la protection des secrets d’affaires.

D’une part, les formats numériques permettent un stockage, une reproduction, un calcul et une transmission efficaces de l’information. D’autre part, ces caractéristiques mêmes augmentent également les risques de divulgation non autorisée, de vol ou d’exploitation, en raison de la facilité avec laquelle les données numériques peuvent être copiées, partagées et diffusées.

Pour être éligibles à la protection des secrets d’affaires, les objets numériques doivent satisfaire les conditions essentielles de la protection des secrets d’affaires, à savoir :

• avoir une valeur commerciale parce qu’ils sont confidentiels;

• être connus uniquement d’un groupe limité de personnes; et

• faire l’objet de mesures raisonnables prises par leur détenteur légitime pour les garder secrets, notamment des accords de confidentialité avec les partenaires commerciaux et le personnel.

Afin de déterminer l’éligibilité des objets numériques à la protection des secrets d’affaires, il convient d’analyser la finalité de l’“objet numérique” et de déterminer si son caractère secret rend la finalité commercialement précieuse, avant d’aborder les mécanismes spécifiques de contrôle d’accès et de confidentialité.

2. Sous-catégories d’objets numériques et éligibilité à la protection des secrets d’affaires

Les objets numériques comprennent différents éléments, tels que des algorithmes, un code (source et objet), du texte, des images et des données audio et vidéo. Lorsque l’on envisage la protection des secrets d’affaires, il convient de tenir compte de nuances très importantes entre les différentes sous-catégories d’objets numériques et leur valeur commerciale.

Algorithmes

Les algorithmes sont la colonne vertébrale du traitement de données numériques. Ce sont des ensembles de règles ou d’instructions qui définissent une séquence d’étapes destinées à résoudre un problème spécifique ou à accomplir une tâche particulière. Les algorithmes jouent un rôle capital dans la transformation de données brutes en informations utiles au moyen d’applications d’analyse des données, d’apprentissage automatique et d’intelligence artificielle. Ils servent de cadre logique et de calcul, permettant de traiter, d’analyser et d’interpréter des données numériques pour en tirer des enseignements précieux. Les algorithmes se situent donc au cœur des économies numériques, en permettant une prise de décision axée sur des données, une modélisation prédictive et une automatisation.

Code

Un code, également appelé code machine ou code de programmation, est le langage utilisé pour écrire des programmes informatiques et exécuter des algorithmes. Il consiste en une série d’instructions et de commandes qui font accomplir des tâches ou opérations spécifiques aux ordinateurs. Un code sert de passerelle entre l’intention humaine (source) et l’exécution par la machine (objet), en permettant de traduire des algorithmes en programmes exécutables. Grâce au code, des données brutes ou prétraitées sont transformées, modifiées et présentées de manière à fournir les fonctionnalités souhaitées et les expériences utilisateurs recherchées. Un code est la pierre angulaire des applications logicielles, des systèmes et des plateformes qui exploitent et utilisent des données numériques.

Données brutes et données traitées

Les données brutes peuvent être considérées comme la forme la plus élémentaire des données fournies en tant que résultat initial non traité, obtenu directement des sources de données, p. ex. un flux de valeurs numériques, les relevés d’un capteur saisis au fil du temps, des documents textes ou des messages non structurés. Les données brutes sont des données sous leur forme la plus granulaire et détaillée, consistant en des points de données ou des enregistrements, et généralement caractérisées par leur absence de structure ou d’organisation. Elles peuvent nécessiter un prétraitement, un nettoyage et un formatage avant de pouvoir être effectivement analysées ou utilisées à des fins décisionnelles. Elles servent de fondement aux étapes ultérieures du traitement des données, telles que la transformation, l’agrégation, l’analyse et la visualisation des données.

Les données, en soi, ne sont généralement pas envisagées pour la protection des secrets d’affaires, étant donné que ce sont normalement l’analyse, les enseignements ou les processus dérivés de ces données qui sont potentiellement éligibles à la protection des secrets d’affaires. Il convient toutefois d’observer qu’il peut y avoir des exceptions et des nuances à cette règle générale. Dans certains cas, les données brutes peuvent avoir une valeur commerciale, si elles sont uniques, difficiles à obtenir, associées à un objet, un lieu, une partie ou un individu particulier, et si les méthodes de collecte de ces données sont exclusives.

À la différence des données brutes, les données traitées sont celles qui ont déjà subi l’une ou l’autre forme de traitement algorithmique ou analytique pour en extraire des informations importantes ou les transformer dans un format plus structuré et utilisable. En règle générale, les données transformées sont plus affinées, structurées et adaptées à des objectifs spécifiques ou à des exigences d’analyse et elles ont, de ce fait, une valeur commerciale supérieure à celle des données brutes.

Métadonnées

Les métadonnées désignent les informations descriptives qui fournissent un contexte, une structure et des informations supplémentaires sur (d’autres) données numériques, qu’elles soient brutes ou traitées. Elles incluent des attributs tels que la date de création, l’auteur, le format de fichier, la taille, le lieu et les relations avec d’autres éléments de données. Les métadonnées sont une forme de données sur des données et facilitent l’organisation, la recherche et l’interopérabilité des informations numériques. Elles aident les utilisateurs à comprendre le contenu, la source et les caractéristiques des données et facilitent la localisation, la récupération et l’analyse d’informations spécifiques. Dans le contexte des données numériques, les métadonnées jouent un rôle essentiel dans les processus de gestion, d’intégration et de gouvernance des données.

Ensemble, les algorithmes, le code et les métadonnées constituent la base de l’agrégation, du traitement et de l’interprétation des données numériques (brutes et prétraitées). Alors que le paysage numérique ne cesse d’évoluer, ces éléments restent essentiels parce qu’ils utilisent le pouvoir des données numériques à des fins d’innovation, de résolution de problèmes, d’automatisation et de prise de décisions dans différents domaines et secteurs.

3. “Confidentialité” des données numériques, des métadonnées, des algorithmes et du code

Pour satisfaire une condition préalable fondamentale de la protection des secrets d’affaires, les objets numériques doivent être confidentiels. Il s’agit, en fait, du principal défi pratique, dans la mesure où les organisations partagent, traitent et analysent des objets numériques quotidiennement. Il est essentiel de préserver la confidentialité pour sauvegarder des données sensibles, des algorithmes et un code contre toute exposition ou exploitation non autorisée.

3.1 Données numériques brutes et traitées et métadonnées

Collecte de données

L’Internet des objets, les téléphones portables, les terminaux de paiement et d’autres appareils de communication électronique rassemblent des centaines de millions de points de données par jour. Le simple fait de collecter des données n’est pas en soi nécessairement un secret d’affaires, mais le “comment” et le “quoi” de la collecte peuvent prétendre à un certain type de protection.

Par exemple, un appareil industriel de l’Internet des objets peut utiliser des capteurs exclusifs ou d’autres moyens pour collecter des paramètres d’exploitation qui n’étaient pas disponibles auparavant, créant ainsi un ensemble de données unique. Si cet ensemble de données est crypté au moment de la collecte, le titulaire pourrait affirmer que ces données constituent un secret d’affaires parce que le “cryptage” serait une mesure raisonnable pour préserver le secret. De la même manière, le simple fait qu’un programme d’autorisation de carte de crédit recueille le comportement de dépenses d’un consommateur dans un point de vente n’est pas un secret d’affaires, mais ce qu’il collecte et dans quel format il le fait peut constituer un secret d’affaires, en particulier si c’est associé à des métadonnées que le consommateur ou le marchand ne peut pas obtenir aisément.

Données collectées pour le compte d’un tiers

Qu’en est-il des données collectées pour le compte d’un tiers ou de celles qui ne sont pas “détenues” par le collecteur ou le transformateur? Ces scénarios soulèvent d’importantes questions concernant la revendication de la protection des secrets d’affaires. Comme indiqué précédemment, les secrets d’affaires sont un actif incorporel; par conséquent, seul le propriétaire des données (ou l’utilisateur exclusif dans certains ressorts juridiques) peut revendiquer le droit de propriété intellectuelle.

Les données collectées pour le compte d’un tiers apparaissent généralement dans le cadre d’une relation de consultance ou de fourniture, dans laquelle le collecteur et le générateur de données ont un lien contractuel. Les termes du contrat déterminent normalement qui détient quel type de données (p. ex. des données brutes ou traitées) et comment les parties doivent traiter ces données. La revendication de la protection de ces données par le secret d’affaires requerra une analyse du contrat afin de déterminer qui en est le véritable propriétaire et les restrictions connexes de confidentialité ou d’utilisation. Par exemple, une entreprise industrielle de l’Internet des objets, qui installe et gère des capteurs de l’Internet des objets, aura très probablement conclu un contrat de services avec le propriétaire des données régissant, notamment, le type de données qui sont collectées, la manière dont elles sont gérées et traitées et les droits respectifs d’utilisation de ces données. Dans ce cas, il est probable que tant l’entreprise de l’Internet des objets que le propriétaire des données peuvent prétendre à la protection des secrets d’affaires sur certains aspects des données.

Données collectées en l’absence de lien contractuel

À l’inverse, les données collectées et traitées par un tiers en l’absence de lien contractuel peuvent être éligibles à la protection des secrets d’affaires, mais la question de savoir qui peut se prévaloir de cette protection n’appelle pas une réponse peu claire. Ces situations surviennent le plus souvent avec des consommateurs, lorsqu’un organisme de traitement des paiements, un vendeur ou d’autres parties impliquées dans le traitement des paiements des consommateurs traitent les données des consommateurs. Si une carte de crédit est utilisée, le consommateur peut avoir un lien contractuel avec la banque émettrice de la carte qui détermine le type de données collectées et les droits d’utilisation, mais il n’a très probablement aucun lien avec le commerçant, le vendeur ou l’organisme de traitement (p. ex. VISA).

Dans ce cas, chaque partie peut “revendiquer” la protection des secrets d’affaires pour certains aspects des données, mais qui d’autre dans la chaîne de paiement a également accès aux données et existe-t-il un lien contractuel régissant la confidentialité et l’utilisation des données? En l’absence de définition claire de ces limites (et de détermination précise des droits de propriété ou d’utilisation exclusive), ces données pourraient ne pas relever de la définition d’un secret d’affaires. La section suivante examine ces droits d’utilisation plus en détail.

Échange et partage de données

Avec l’avènement des réseaux sociaux, du commerce en ligne, de l’analyse industrielle et des économies numériques, le partage de données (p. ex. au moyen d’interfaces de programmation ou API) et la revente de données commerciales ont acquis une importance de plus en plus vitale pour les applications commerciales. L’importance du partage des données réside dans sa capacité à promouvoir la collaboration et à accélérer le progrès. À une époque caractérisée par les énormes quantités de données générées dans diverses disciplines, le partage de données permet aux chercheurs d’accéder à un ensemble plus vaste d’informations, ce qui facilite la génération d’idées et de découvertes interdisciplinaires. À l’heure actuelle, les interfaces de programmation jouent un rôle capital dans l’intégration et l’interopérabilité sans heurts de différents systèmes et plateformes en proposant des interfaces standardisées pour l’accès aux données et la communication de celles-ci.

Par ailleurs, l’essor des revendeurs de données commerciales et des accords de partage de données a offert à chacun de nouvelles possibilités d’accéder à des ensembles de données importantes, qui étaient inaccessibles auparavant ou dont la collecte était trop chronophage. Ces revendeurs conservent et agrègent des données provenant de sources multiples, en appliquant une analyse de pointe et des mesures de contrôle de la qualité qui rendent ces données immédiatement disponibles pour la recherche scientifique. Si des difficultés persistent en ce qui concerne la confidentialité des données, l’éthique et la qualité des données, l’importance croissante du partage de données numériques, des interfaces de programmation et des revendeurs de données commerciales représente un changement de paradigme vers une recherche collaborative et guidée par les données, qui renforce en fin de compte les connaissances scientifiques et l’innovation dans tous les domaines.

Données partagées à accès limité

En raison de cette nouvelle dimension collaborative des données, il peut être difficile de déterminer si des données numériques spécifiques sont un secret d’affaires ­ qui y a accès et quelles mesures raisonnables ont été prises par le détenteur légitime des informations pour les garder secrètes – et, dans l’affirmative, comment gérer et exploiter le secret d’affaires.

Dans la pratique, la confidentialité de données partagées (brutes, traitées et métadonnées) est souvent établie, lorsque c’est possible ⁽¹⁾Pour le Japon, par exemple, voir les Lignes directrices sur les données partagées à accès limité disponibles à l’adresse : https://www.meti.go.jp/english/policy/economy/chizai/chiteki/pdf/guidelines_on_shared_data_with_limited_access.pdf Voir également le règlement de l’Union européenne établissant des règles harmonisées relatives à l’accès et à l’utilisation équitables des données (règlement sur les données), disponible à l’adresse : https://ec.europa.eu/commission/presscorner/detail/fr/ip_22_1113., en appliquant le concept de “données partagées à accès limité”. Les données partagées peuvent inclure des informations qui ne sont pas nécessairement confidentielles ou exclusives, mais qui nécessitent un accès contrôlé pour des raisons de sécurité ou de respect de la vie privée. L’accès physique à ces données est généralement restreint au moyen d’une authentification de l’utilisateur, de listes de contrôle d’accès, d’un contrôle d’accès en fonction du rôle, d’un cryptage et d’autres mesures de sécurité.

Le plus souvent, il existe un accès contractuel également. L’objet de l’accès limité est de faire en sorte que seules les personnes autorisées puissent voir ou utiliser les données partagées, tout en permettant toujours une collaboration et un échange d’informations à l’intérieur d’un réseau défini d’utilisateurs de confiance. Lorsqu’ils cherchent à invoquer un statut de secret d’affaires pour des données partagées, les propriétaires de données ont généralement des difficultés à démontrer le caractère secret et le degré de granularité concernant le contrôle d’accès aux données partagées à accès limité.

Cela dit, il peut être difficile d’établir des limites précises entre les données partagées à accès limité et les secrets d’affaires, étant donné que la distinction réside dans la finalité, la portée et le niveau de confidentialité associés à chaque concept dans chaque cas particulier. Néanmoins, en principe et contrairement au concept des données partagées à accès limité, les données ayant un statut de secret d’affaires ne sont généralement ni partagées ni divulguées à quiconque en dehors de l’organisation qui les détient et sont soumises à des mécanismes de contrôle d’accès internes très stricts, comme on le verra plus loin en ce qui concerne le code et les algorithmes.

Pour illustrer l’importance de différencier la protection des secrets d’affaires et la protection de données partagées à accès limité, on peut prendre l’exemple hypothétique suivant d’un algorithme exclusif destiné à optimiser la consommation d’énergie dans des procédés de fabrication industriels.

Dans cet exemple, les données partagées à accès limité représentent un partage contrôlé d’informations non essentielles avec un collaborateur, tandis que le secret d’affaires couvre l’algorithme exclusif fondamental, qui est gardé strictement confidentiel au sein de l’entreprise. L’organisation A gère de façon stratégique les limites entre données partagées et secret d’affaires afin de trouver un équilibre entre la collaboration et la protection de sa propriété intellectuelle la plus précieuse.

3.2 Code et algorithmes

Comme indiqué précédemment, un code est le langage utilisé pour écrire des programmes logiciels; il contient les détails de mise en œuvre des algorithmes et peut révéler des informations commerciales cruciales sur la manière dont les données sont traitées et utilisées. À moins qu’une stratégie de source ouverte ne soit suivie, il est capital de protéger la confidentialité du code et des algorithmes pour empêcher des personnes non autorisées de comprendre un logiciel protégé ou d’effectuer de l’ingénierie inverse pour le reconstituer afin de développer et de défendre des avantages concurrentiels par rapport aux concurrents. Dans la pratique, des techniques telles que le brouillage, le cryptage et des contrôles d’accès stricts sont appliquées pour préserver la confidentialité du code (et des algorithmes sous-jacents) et empêcher un accès ou une copie non autorisés.

Cela a certaines conséquences spécifiques pour l’industrie, mais il est généralement beaucoup moins courant de partager un code et/ou des algorithmes entre entreprises que des ensembles de données traitées, par exemple. Cela montre et souligne la valeur commerciale attribuée au code et aux algorithmes et le degré de secret auquel ils sont soumis, et ouvre un premier terrain de jeux pour les secrets d’affaires relatifs aux données numériques.

Le droit d’auteur est une autre forme de protection de la propriété intellectuelle accessible au code et aux algorithmes. Toutefois, il convient d’observer que certains ressorts juridiques n’autorisent pas un titulaire à revendiquer à la fois un secret d’affaires et un droit d’auteur, en particulier si le logiciel protégé par un droit d’auteur divulgue la majorité du code source ou les parties “exclusives” de celui-ci ⁽²⁾Capricorn Mgm’t Sys., Inc. v. Gov’t Emps. Ins. Co. et al., 15-CV-2926 (DRH) (SIL) (E.D.N.Y.). Dans l’affaire Capricorn, le tribunal a jugé que le titulaire du code source ne pouvait pas se prévaloir de la protection des secrets d’affaires parce que le code était également enregistré en tant que droit d’auteur et, partant, accessible au public. Dès lors, le titulaire du code source doit examiner soigneusement les avantages et les inconvénients de chaque type de protection.

4. Gestion des secrets d’affaires numériques

Nous avons vu que les objets numériques peuvent être protégés par des secrets d’affaires (c’est-à-dire des secrets d’affaires numériques) pour autant qu’ils satisfassent les critères d’éligibilité à une telle protection. La question suivante consiste à savoir comment les détenteurs de secrets d’affaires numériques peuvent les gérer adéquatement afin d’être en mesure de démontrer, dans une procédure administrative et/ou judiciaire, que les critères d’éligibilité à la protection des secrets d’affaires ont été satisfaits dans un cas particulier.

Une bonne gestion des secrets d’affaires numériques implique de définir et de classer les informations afin d’établir leur statut protégé, en exposant les mesures nécessaires à la sauvegarde continue de leur confidentialité et en élaborant une procédure de gestion des secrets d’affaires pour chacun d’entre eux ou pour chaque type de secret d’affaires. Cette section présente les défis et opportunités spécifiques entourant une gestion efficace des actifs constitués par des secrets d’affaires numériques. Les descriptions des mesures techniques destinées à éviter la divulgation et l’utilisation non autorisée de secrets d’affaires s’appliquent toutefois aussi aux informations en format numérique relatives à des secrets d’affaires non numériques.

4.1 Recensement et sélection des secrets d’affaires numériques

Les entreprises doivent d’abord recenser et sélectionner les informations numériques spécifiques qui peuvent être considérées comme un ou plusieurs secrets d’affaires et préciser quel objet numérique ou ensemble d’objets numériques définit chaque secret d’affaires particulier.

Saisie d’informations relevant de secrets d’affaires numériques

En supposant que les objets numériques soient étiquetés et puissent être identifiés précisément, la première étape de la saisie d’informations relevant de secrets d’affaires numériques est assez simple. Elle requiert la création, le transfert ou la copie des objets numériques pertinents dans un système dédié ou une structure dédiée de gestion de fichiers afin de les séparer clairement des objets numériques non pertinents (p. ex. dans un système de gestion des secrets d’affaires sur site, dans un système de stockage en nuage commercial ou de l’organisation, dans un appareil crypté de l’Internet des objets, sur des disques durs verrouillés et spécialement destinés à cet effet, etc.).

Cette étape peut être exécutée simultanément pour un objet unique ou pour des objets multiples. Les saisies en lot d’objets multiples requérant le même ensemble d’autorisations sont plus faciles pour la personne qui saisit les informations, étant donné que les métadonnées du processus de saisie sont partagées entre tous les objets enregistrés lors d’une session et ne doivent pas être fournies (souvent manuellement) pour chaque objet numérique. Selon cette approche, l’introduction de secrets d’affaires numériques potentiels dans un ensemble peut être automatisée, alors que l’attribution du statut de secret d’affaires est traitée par du personnel spécialement formé (p. ex. le responsable des secrets d’affaires ou des professionnels du service de la propriété intellectuelle spécialisés en secrets d’affaires), au moyen de leurs propres ressources ou de manière entièrement automatisée par une passerelle API ou un autre mécanisme de transfert de fichiers vers un lieu de stockage sécurisé.

Il convient d’observer que l’étape de la saisie initiale peut être réalisée de manière totalement anonyme ou elle peut être combinée avec la saisie par le créateur du secret d’affaires. La seconde option peut permettre d’identifier plus aisément les employés à récompenser dans le cadre de programmes d’incitation ou de prime pour les employés.

Désignation des secrets d’affaires numériques

Une fois saisies les informations relatives à un secret d’affaires potentiel, il est essentiel de désigner les secrets d’affaires numériques, en tenant compte de leur valeur et de leurs risques. En définissant clairement leur portée, les entreprises sont mieux à même de comprendre le niveau de protection requis et la rigueur du contrôle d’accès.

En règle générale, lors de la sélection des informations à protéger par des secrets d’affaires, une approche trop inclusive est préférée à une sélection trop restrictive, étant donné que cette dernière pourrait entraîner un risque de perte de contrôle sur des informations qui pourraient ultérieurement se révéler capitales. Toutefois, il convient d’éviter une désignation excessive en tant que secrets d’affaires de toutes les informations collectées sans un examen de leur éligibilité au statut de secret d’affaires afin : i) de garder une quantité gérable et bien structurée d’informations relevant de secrets d’affaires numériques; et ii) d’être en mesure de démontrer que les secrets d’affaires numériques sont gérés dans un système de classification parfaitement différenciée et ne sont pas simplement dans un “fichier de vidage”. Dans le cas contraire, un tribunal pourrait ne pas accepter la revendication de secret d’affaires du titulaire ⁽³⁾Cela arrive fréquemment avec des fichiers ou des courriels marqués “confidentiels et protégés”, mais qui en fait ne sont ni l’un ni l’autre. Les cours et tribunaux n’apprécient pas ces affirmations générales et non réfléchies. Voir FormFactor, Inc. v. Micro-Probe, Inc., et al., No. C 10-3095 PJH, 2012 WL 2061520 (N.D. Cal. 7 juin 2012)..

Il est important de souligner ici que les informations numériques qui n’obtiennent pas le statut de secret d’affaires au cours de cette étape intermédiaire peuvent néanmoins être précieuses en tant qu’informations contextuelles dans des transactions, étant donné qu’elles peuvent faciliter l’application des secrets d’affaires, par exemple en tant que savoir-faire, et être protégées par des accords commerciaux.

4.2 Horodatage

L’un des principaux avantages des secrets d’affaires numériques est la possibilité de les horodater. L’horodatage du contenu des documents constitue une manière d’établir l’existence, l’intégrité et la possession du contenu à un instant T. En règle générale, l’horodatage implique un tiers de confiance ou un organisme d’horodatage centralisé qui attribue une date spécifique au document, lequel est ensuite signé de manière numérique par l’organisme, créant ainsi une preuve vérifiable de l’existence du document à cet instant. Pour être précis, l’utilité de l’horodatage ne se limite pas aux secrets d’affaires numériques, mais couvre également les secrets d’affaires non numériques dans un format numérique (p. ex. une méthode de fabrication du composé chimique X décrite dans un fichier numérique).

À cet effet, certains offices nationaux ou régionaux de propriété intellectuelle ont créé un service qui propose une empreinte digitale numérique mentionnant la date et l’heure de tout fichier ⁽⁴⁾L’Office coréen de la propriété intellectuelle propose un service baptisé “KIPRIS” (voir http://eng.kipris.or.kr/enghome/main.jsp). Le service offert par l’INPI français s’appelle “enveloppe Soleau” (voir https://www.inpi.fr/proteger-vos-creations/lenveloppe-soleau/enveloppe-soleau). L’Office Benelux de la propriété intellectuelle (OBPI) propose un service nommé i-DEPOT (voir https://www.boip.int/fr/entrepreneurs/idees/maintenir-un-i-depot).. Si les services gouvernementaux bénéficient dans une large mesure de la fiabilité de l’organisme d’horodatage, l’horodatage numérique est une option qui peut désormais être activée dans de nombreuses solutions commerciales de stockage de données ⁽⁵⁾Par exemple, pour l’AWS S3 : https://aws.amazon.com/blogs/big-data/working-with-timestamp-with-time-zone-in-your-amazon-s3-based-data-lake/. Par ailleurs, l’horodatage de données brutes ou traitées survient automatiquement lors de la collecte sous la forme de métadonnées. Toutefois, cet horodatage requiert que ce “tag” de métadonnées soit en permanence associé aux données. Si le lien est brisé, il n’y a pas de preuve du moment où la collecte a eu lieu.

Chaîne de blocs

La chaîne de blocs peut offrir une solution décentralisée et inviolable à l’horodatage d’un service ou d’un organisme centralisé ⁽⁶⁾La publication suivante de l’OMPI fait également référence à la chaîne de blocs et aux écosystèmes de propriété intellectuelle : https://www.wipo.int/export/sites/www/cws/en/pdf/blockchain-for-ip-ecosystem-whitepaper.pdf.. L’horodatage basé sur la chaîne de blocs implique d’enregistrer un hachage cryptographique du document dans une chaîne de blocs en même temps que l’horodatage.

Le caractère décentralisé de la chaîne de blocs garantit qu’une entité unique ne contrôle pas les horodatages, ce qui rend difficile une manipulation des données par quiconque. En outre, le caractère immuable de la chaîne de blocs empêche qu’un document, une fois horodaté, puisse être altéré ou supprimé sans laisser de trace.

L’horodatage basé sur la chaîne de blocs garantit également la transparence, étant donné que les informations horodatées entrent dans un registre public (sans divulguer les informations confidentielles proprement dites, voir la section 4.3 ci-dessous), qui peut être vérifié de manière indépendante par tout un chacun. Cela offre un niveau élevé de confiance et de responsabilité, étant donné que l’intégrité et l’authenticité du document peuvent être vérifiées par de multiples participants au réseau de la chaîne de blocs. De plus, les systèmes d’horodatage basés sur la chaîne de blocs sont souvent dotés de mécanismes intégrés, tels que des algorithmes de consensus, pour assurer l’exactitude et la cohérence des horodatages.

4.3 Mesures de prévention contre une divulgation et un accès non autorisé

La saisie d’informations relevant du secret d’affaires dans des systèmes numériques (systèmes de gestion des secrets d’affaires, services d’horodatage ou de stockage de données internes ou dans le nuage) peut être à l’origine de divers risques liés à la sécurité, qui peuvent : i) détruire le statut de secret d’affaires des informations saisies dans leur ensemble; ou ii) créer des possibilités d’appropriation illicite des secrets d’affaires. Dès lors, des mesures de protection spécifiques doivent être prises pour les secrets d’affaires numériques. Pour être précis, les diverses mesures de protection numériques examinées dans cette section s’appliquent également aux représentations numériques de tout secret d’affaires.

Mesures de prévention contre la divulgation des secrets d’affaires numériques

Un risque imminent lié à la saisie des secrets d’affaires dans des systèmes numériques (centralisés ou décentralisés) est le risque de divulguer accidentellement un secret d’affaires à des personnes non autorisées, voire au public.

Un grand nombre de systèmes traditionnels de gestion des secrets d’affaires opèrent intentionnellement sur des ordinateurs sans connexion Internet (p. ex. des ordinateurs de laboratoire) ou sont situés sur des serveurs locaux sur le site de clients professionnels, avec un contrôle d’accès très strict au matériel (p. ex. interdiction de périphériques USB, pas d’autre connectivité permettant des transferts de données comme Bluetooth) et des journaux de sécurité détaillés. Toutefois, les systèmes de gestion actuels sont “toujours connectés”, que ce soit un stockage en nuage, un appareil de communication personnel (p. ex. un téléphone portable) ou un appareil de l’Internet des objets. Par conséquent, les systèmes de saisie des secrets d’affaires numériques sont généralement soumis à de nombreuses mesures de sécurité relevant du devoir de diligence lorsqu’ils impliquent un stockage dans le nuage (en particulier externe), des liens de communication et/ou une intégration à une chaîne de blocs pour mettre en œuvre des protections techniques et obtenir les certifications standards pertinentes ⁽⁷⁾Par exemple, ISO/IEC 27001, Contrôles du système et de la sécurité (SOC) – audits de sécurité 2..

Le hachage et le cryptage sont deux piliers de la sécurité des secrets d’affaires numériques. Ce sont deux techniques cryptographiques utilisées pour protéger les données, mais elles servent des objectifs différents et présentent des caractéristiques distinctes.

Le hachage est un processus unidirectionnel qui transforme des données de toute taille en une chaîne de caractères de longueur fixe appelée valeur de hachage ou somme de contrôle, par exemple en hachant des documents à l’aide d’une somme de contrôle SHA (ou algorithme de hachage sûr) afin de garantir l’intégrité des données et de vérifier l’authenticité des fichiers. Les sommes de contrôle SHA génèrent une chaîne alphanumérique de longueur fixe qui représente uniquement le contenu d’un document. Lorsqu’un document est haché avec l’algorithme SHA, tout léger changement dans le fichier entraînera une somme de contrôle totalement différente. Il est donc virtuellement impossible de trafiquer le document sans altérer la somme de contrôle. En comparant la somme de contrôle SHA calculée d’un document avec la somme de contrôle originale, il est possible de déterminer rapidement si le fichier a été modifié ou corrompu.

Dans l’exemple précité, où des secrets d’affaires sont horodatés en utilisant une chaîne de blocs, le document proprement dit n’est ni divulgué dans le registre proprement dit ni stocké dans un système de stockage de fichiers numériques (comme l’Interplanetary File System ou IPFS). En revanche, le hachage du document (représentant un fichier individuel ou un ensemble de fichiers numériques, comme des fichiers .zip) est enregistré en permanence dans le registre avec l’horodatage correspondant, ce qui permet d’éviter effectivement une divulgation publique d’informations confidentielles tout en exploitant les avantages de la transparence d’une chaîne de blocs publique. Il n’est pas possible de recréer le document haché en se fondant sur sa somme de contrôle. Toutefois, à l’inverse, il est possible de prouver qu’un document avec un hachage identique était en possession de la personne (ou du portefeuille de chaînes de blocs) à laquelle le hachage horodaté peut être attribué au moment de l’horodatage.

En hachant les documents, des informations peuvent être stockées et hachées hors ligne et en interne, alors que seul le hachage est enregistré et horodaté en ligne. Bien évidemment, la récupération de documents du système numérique proprement dit n’est pas possible dans ce cas, étant donné que seul le hachage ou la somme de contrôle est divulgué au système numérique.

Le cryptage, en revanche, est un processus bidirectionnel qui convertit les données en un chiffre-texte utilisant un algorithme de cryptage et une clé secrète. L’objectif premier du cryptage est la confidentialité des données. Il garantit que les données restent sûres et illisibles pour les personnes non autorisées. Le cryptage permet de convertir les données originales dans une forme cryptée et de les décrypter pour qu’elles retrouvent leur forme originale en utilisant l’algorithme de décryptage correspondant et la clé correcte. C’est ainsi que fonctionnent les appareils de communication sans fil modernes lorsqu’ils envoient et reçoivent des données.

Dans la pratique, l’horodatage, le hachage et le cryptage peuvent être combinés, en fonction du niveau et de la nature des exigences de confidentialité individuelles que le titulaire du secret d’affaires souhaite introduire.

Mesures de contrôle d’accès

De plus, des mesures de contrôle d’accès devraient être mises en place pour empêcher l’accès non autorisé, la divulgation ou le vol d’informations relevant du secret d’affaires provenant de systèmes numériques. La norme minimale pour ces contrôles d’accès est l’authentification à deux facteurs (2FA), une mesure de sécurité conçue pour apporter une couche de protection supplémentaire aux comptes et systèmes des utilisateurs, en imposant à ces derniers de fournir au moins deux modes d’identification ou des références pendant le processus d’authentification.

Comme son nom l’indique, la 2FA utilise deux facteurs d’authentification. En principe, ces facteurs comprennent un élément que l’utilisateur connaît (comme un mot de passe ou un code PIN) et un élément que l’utilisateur possède (comme un appareil mobile ou un jeton de sécurité). En se connectant, les utilisateurs introduisent leur mot de passe, qui constitue le premier facteur, et ensuite le second, qui est souvent un code temporaire généré par une appli d’authentification ou reçu par SMS.

En fonction du niveau de protection requis, une authentification multi-facteurs (MFA) peut renforcer le concept de la 2 FA en intégrant des facteurs supplémentaires, qui s’ajoutent aux deux facteurs précités. Ces facteurs supplémentaires peuvent inclure un élément propre à l’utilisateur (données biométriques comme des empreintes digitales ou la reconnaissance faciale) ou un élément que l’utilisateur possède (p. ex. une carte à puce physique ou un appareil enregistré). En combinant de multiples facteurs, la MFA offre un niveau de sécurité encore supérieur et réduit le risque d’accès non autorisé.

Une autre option pour les contrôles d’accès et la sécurité consiste à créer une enclave sécurisée, qui sépare une base de données ou une portion de mémoire assortie de contrôles de sécurité accrus. Elle peut être utilisée avec la plupart des dispositifs de stockage et des bases de données (p. ex. un ordinateur portable, un serveur ou un mobile) ⁽⁸⁾https://learn.microsoft.com/en-us/sql/relational-databases/security/encryption/always-encrypted-enclaves?view=sql-server-ver16.. À titre d’exemple, la plupart des grandes entreprises utilisent l’enclave sécurisée Microsoft Office 365 Mobile pour séparer les données de l’entreprise et permettre un accès à distance sur un appareil mobile en cas de problème de sécurité ⁽⁹⁾https://learn.microsoft.com/en-us/microsoft-365/admin/basic-mobility-security/set-up?view=o365-worldwide.. Ainsi, si un appareil mobile est volé ou perdu, l’équipe informatique de l’entreprise peut désactiver l’enclave à distance et/ou supprimer ses données.

4.4. Interopérabilité

Un autre élément à mentionner dans le cadre de la saisie et de la désignation des secrets d’affaires numériques est l’exigence potentielle d’interopérabilité. L’interopérabilité désigne la capacité de différents systèmes ou technologies à travailler ensemble et à échanger des informations sans heurts.

Dans le contexte d’une solution de saisie de secrets d’affaires, l’interopérabilité est essentielle pour permettre à la solution d’accepter les transactions futures, même si elles n’étaient pas prévues au départ. La solution de saisie conçue en tenant compte de l’interopérabilité sera capable d’intégrer d’autres systèmes, plateformes ou protocoles, et d’interagir avec eux, si nécessaire. Cette anticipation permet à la solution de supporter différentes transactions, telles que des transferts (vente ou transferts internes à l’entreprise après des accords de fusion-acquisition), des échanges ou des interactions dans le cadre de contrats intelligents, indépendamment de l’écosystème ou de la technologie spécifique utilisé.

Une absence d’interopérabilité peut entraîner divers inconvénients, notamment des coûts de transaction accrus, étant donné que les entreprises pourraient devoir utiliser des plateformes multiples pour traiter différents aspects de leurs opérations relatives aux secrets d’affaires. En outre, des difficultés de validation/preuve des horodatages non synchronisés peuvent survenir, ce qui peut rendre plus difficile le maintien d’enregistrements précis et cohérents des secrets d’affaires.

5. Secrets d’affaires numériques et grands modèles de langage

L’émergence des grands modèles de langage, tels que GPT-4 (Generative Pre-trained Transformer 4), a révolutionné le traitement automatique du langage naturel et a créé de nouveaux débouchés et défis pour la protection des secrets d’affaires. Ces modèles de pointe sont capables d’analyser et de générer du texte comme un humain, ce qui fait d’eux des outils précieux pour diverses applications, notamment la génération de contenu, l’automatisation des services à la clientèle et l’analyse des données. Les entreprises doivent toutefois trouver un équilibre subtil entre l’exploitation des avantages des grands modèles de langage en interne et la protection de leurs secrets d’affaires contre une divulgation non autorisée. Un cas récent qui a fait la une des journaux concernait des salariés de Samsung qui avaient prétendument fait fuiter des données confidentielles, telles que le code source d’un nouveau programme, des notes de réunions internes et des données relatives à du matériel en utilisant ChatGPT pour les aider à accomplir des tâches ⁽¹⁰⁾https://www.techradar.com/news/sansung-workers-leaked-company-secrets-by-using-chatgpt..

Pour protéger leurs secrets d’affaires tout en utilisant de grands modèles de langage (LLM) en interne, les entreprises doivent envisager d’adopter diverses stratégies :

1. Se concentrer sur la sauvegarde d’intrants spécifiques ou de données exclusives. En gardant le contrôle des informations confidentielles et en limitant leur accès à des personnes autorisées, les entreprises peuvent réduire le risque d’exposer des secrets d’affaires sensibles aux grands modèles de langage. Comme indiqué précédemment, ceci peut impliquer la mise en œuvre de contrôles d’accès, de cryptage et de mécanismes de contrôle de l’accès au grand modèle de langage.

2. Adopter des techniques telles que le masquage ou le brouillage de données afin d’éviter l’exposition directe d’informations exclusives au modèle. En modifiant ou en anonymisant certains aspects des données avant de les introduire dans le modèle, les entreprises peuvent préserver la confidentialité des secrets d’affaires tout en profitant des capacités de traitement du langage du modèle. La sélection et le traitement des données doivent être examinés soigneusement pour trouver un équilibre entre utilité et confidentialité.

3. Élaborer des politiques et des accords clairs avec les salariés et les contractants impliqués dans l’utilisation des grands modèles de langage. Les accords de non-divulgation et les clauses de confidentialité peuvent détailler les responsabilités et les obligations des individus en matière de protection des secrets d’affaires. Les salariés doivent être formés à l’importance de préserver la confidentialité, aux bonnes pratiques en matière de sécurité des données et aux risques associés à une divulgation non autorisée.

4. Envisager un grand modèle de langage privé (mais gratuit), prévoyant des garanties contractuelles avec le fournisseur en ce qui concerne l’utilisation et la destruction des données exclusives téléchargées dans le modèle. Il convient de noter qu’OpenAI possède un tel produit, qui permet aux particuliers ou aux entreprises d’utiliser GPT-4 de manière privée en recourant à des API.

En conclusion, à mesure que les grands modèles de langage comme GPT-4 se répandent, les entreprises doivent trouver un juste milieu entre l’exploitation de leurs capacités et la protection de leurs secrets d’affaires. Elles peuvent ainsi continuer à innover, à améliorer leur efficacité opérationnelle et à maintenir leur avantage concurrentiel à l’ère des technologies avancées de traitement du langage.

6. Défis et risques en matière de protection des secrets d’affaires numériques et stratégies d’atténuation

Les secrets d’affaires numériques peuvent être exposés à un éventail de défis potentiels et de risques spécifiques en matière de sécurité. Cette section traite des défis et risques les plus courants et de la manière dont ils peuvent être atténués à un niveau élevé. Elle peut également être pertinente pour les informations relevant de secrets d’affaires non numériques dans un format numérique.

Les mesures contractuelles et opérationnelles générales d’atténuation des risques de fuite et d’appropriation illicite des secrets d’affaires sont expliquées dans la partie IV : Gestion des secrets d’affaires. Comme indiqué dans la partie IV, l’importance de la mise en place de structures décisionnelles institutionnelles, d’une gestion des documents, de mesures logistiques, d’une formation des salariés, de mesures relatives aux technologies de l’information et de contrats avec les salariés et les partenaires extérieurs s’applique également à la protection des secrets d’affaires numériques.

Fondamentalement, dès qu’il y a fuite ou appropriation illicite de secrets d’affaires numériques, il existe un risque élevé qu’ils ne puissent pas être totalement récupérés. La prévention contre la divulgation et l’accès non autorisé à des secrets d’affaires numériques doit donc être la priorité absolue de tout détenteur de secrets d’affaires.

6.1 Vulnérabilité au vol, aux cyberattaques et aux violations de données

À l’ère numérique, la protection des secrets d’affaires numériques présente des défis et des risques, en particulier en ce qui concerne la vulnérabilité au vol, aux cyberattaques et aux violations de données. Ces menaces représentent un risque considérable pour la confidentialité et l’intégration d’informations exclusives précieuses et sont susceptibles d’avoir des conséquences graves sur les finances et la réputation des entreprises.

L’un des principaux défis de la protection des secrets d’affaires numériques est la vulnérabilité accrue au vol, étant donné qu’ils peuvent être aisément copiés, partagés et diffusés. Les cyberattaques menées par des pirates informatiques et des cybercriminels avertis peuvent représenter un autre risque important pour la protection des secrets d’affaires numériques. En outre, les violations de données (exposition d’informations sensibles par des personnes non autorisées ou des pirates informatiques ayant eu accès à l’infrastructure numérique d’une entreprise) peuvent entraîner la perte du secret et de l’ensemble de la valeur des secrets d’affaires.

Des mesures de sécurité fortes, notamment des mises à jour régulières et des plans de réponse aux incidents, peuvent être prises pour atténuer les risques. Dans le même temps, les mesures de sécurité doivent aussi être raisonnables, comme toute autre mesure de protection des secrets d’affaires. Il peut aussi arriver que la valeur du secret d’affaires par rapport au coût de sa protection et la configuration de l’organisation doivent être prises en considération (voir la partie IV, section 2.3).

Comme cela a déjà été souligné dans la partie IV, les secrets d’affaires numériques sont aussi exposés à un risque élevé de divulgation et d’appropriation illicite par des salariés actuels et anciens ou par des collaborateurs extérieurs et des partenaires commerciaux avec lesquels des informations relevant du secret d’affaires ont été partagées. Dans les secteurs des services et des technologies numériques, la mobilité mondiale des salariés, les contrats de sous-traitance et l’utilisation de ressources étrangères font partie de l’activité quotidienne de nombreuses organisations, ce qui augmente le risque.

Pour l’atténuer, la mise en place de contrôles d’accès basés sur le besoin d’en connaître, des mesures contractuelles solides, d’une formation et d’entretiens d’entrée et de sortie est importante pour éviter, d’une part, une appropriation illicite et, d’autre part, la contamination par des secrets d’affaires détenus par des tiers (voir la partie IV, sections 3.1 et 5.1).

6.2 Exposition pendant les audits

Les audits internes et externes jouent un rôle crucial dans le respect de la conformité, le recensement des efficacités opérationnelles et l’évaluation des résultats financiers. Toutefois, la conduite d’audits nécessite également que les vérificateurs des comptes, même liés par des accords de non-divulgation, aient accès à des informations confidentielles des entreprises afin d’évaluer leurs états financiers, les contrôles internes et le respect de la réglementation. Ce partage d’informations entraîne un risque d’appropriation illicite de secrets d’affaires ou de divulgation accidentelle à des personnes non autorisées.

Afin d’atténuer le risque d’exposition des secrets d’affaires durant les audits, les entreprises doivent conclure des accords de confidentialité stricts avec les vérificateurs des comptes, précisant expressément la portée des informations auxquelles ils ont accès et définissant leurs obligations en matière de protection de secrets d’affaires. Cet accord doit également inclure des dispositions concernant le retour ou la destruction de toute information relevant du secret d’affaires qui aurait été obtenue pendant l’audit. En outre, la mise en œuvre de garanties techniques, telles que le cryptage, les contrôles d’accès et la traçabilité des données, peut renforcer la protection des secrets d’affaires numériques au cours des audits.

6.3 Récupération et reprise de contrôle des données relatives aux secrets d’affaires numériques

Du fait de leur disponibilité numérique, dès lors que des secrets d’affaires numériques ont fait l’objet d’une appropriation illicite ou ont été utilisés sans autorisation, la récupération et la reprise du contrôle de ces informations deviennent un défi colossal.

Les organisations peuvent prendre certaines mesures pour résoudre ce problème et tenter d’en atténuer les dommages potentiels. Outre l’approche “traditionnelle” destinée à récupérer des secrets d’affaires numériques par des moyens légaux, les entreprises peuvent envisager d’utiliser la technologie et des outils d’informatique légale pour tracer et récupérer des secrets d’affaires numériques. Cela peut nécessiter de collaborer avec des entreprises spécialisées en cybersécurité ou des experts en informatique légale pour tracer l’utilisation non autorisée de secrets d’affaires, identifier les endroits ou les systèmes impliqués et tenter de reprendre le contrôle des informations. Ce processus peut impliquer d’employer des techniques de pointe en matière d’analyse des données, de surveiller des réseaux ou d’utiliser des outils d’informatique légale pour suivre les mouvements et le stockage des données relevant des secrets d’affaires.

Le succès de ces efforts dépend dans une large mesure du savoir-faire de l’utilisateur non autorisé, de l’étendue de ses activités et de la disponibilité de preuves numériques.

Les mesures légales et techniques destinées à récupérer et à reprendre le contrôle des informations relevant du secret d’affaires ne garantissent pas toujours une récupération totale. Par conséquent, il convient de répéter que la prévention contre la divulgation et l’utilisation non autorisée de secrets d’affaires numériques au moyen de mesures contractuelles et de sécurité, de la formation des salariés, etc., reste essentielle.

7. Secrets d’affaires ou autres droits de propriété intellectuelle pour les objets numériques

7.1 Objets numériques : secrets d’affaires ou brevets

Comme expliqué dans la partie III : Éléments fondamentaux relatifs à la protection des secrets d’affaires, la plupart des entreprises appliquent une stratégie combinant la protection par brevet et la protection des secrets d’affaires, en tenant compte des avantages et des inconvénients de chaque régime de protection. Dans cette section, nous allons brièvement examiner certains aspects particulièrement pertinents pour les objets numériques.

Brevetabilité des objets numériques

En règle générale, conformément à la législation de nombreux pays en matière de brevets, les données, un code logiciel et la simple présentation d’informations ne sont pas, en soi, considérés comme des inventions éligibles à la protection conférée par un brevet. De même, des idées abstraites, des méthodes mathématiques ou des méthodes commerciales ne sont, en soi, pas éligibles à l’octroi d’un brevet dans bon nombre de pays. Toutefois, il n’est pas toujours aisé pour les innovateurs d’établir une distinction claire entre les objets exclus de la protection par brevet et des inventions brevetables mises en œuvre par un logiciel ou un ordinateur.

De plus, en raison des différences quant à la manière dont les législations et les pratiques nationales en matière de critères de brevetabilité et d’éligibilité à la protection par brevet sont appliquées aux objets numériques, même si elles semblent mineures, les déposants d’une demande de brevet peuvent devoir adapter leurs demandes pour satisfaire des exigences nationales spécifiques, ce qui pourrait ajouter une couche de complexité et entraîner un risque accru de rejet des demandes de brevet.

Du fait de ce manque de clarté concernant la possibilité d’obtenir une protection par brevet pour ces inventions, il est plus difficile pour les innovateurs opérant dans les secteurs des services et technologies numériques de décider s’ils doivent protéger leurs créations par un brevet ou un secret d’affaires.

Défis dans les procédures judiciaires relatives aux brevets mis en œuvre par un logiciel

Preuve de l’usage

En ce qui concerne les inventions mises en œuvre par un logiciel, la plupart des titulaires de brevet ne possèdent pas de preuves directes de l’atteinte à leurs droits lorsqu’ils engagent une procédure judiciaire, parce que ces preuves directes requièrent d’accéder au code source de l’auteur de l’atteinte présumée. En revanche, ils affirment de bonne foi qu’un défendeur peut porter atteinte au brevet parce que les fonctionnalités externes du programme concerné sont similaires à l’invention revendiquée. Il n’est pas aisé d’obtenir des preuves directes. Dans certains pays, des procédures solides de découverte permettent aux titulaires de brevets d’examiner un code source pendant le litige. Étant donné que la plupart des défendeurs considèrent le code source comme un secret d’affaires, des agents fiduciaires tiers examinent le code source de l’auteur de l’atteinte présumée. En fait, le tiers accède à une copie statique du code et gère l’accès (généralement sur site pour limiter l’impression ou la copie) du titulaire du brevet et/ou de ses experts ⁽¹¹⁾Les parties sont souvent soumises à une ordonnance de protection qui limite ou restreint l’accès du titulaire du brevet, en particulier dans une situation de concurrence.. Dès que le titulaire du brevet identifie des sections du code source à présenter comme preuve de l’atteinte, les parties (souvent avec l’aide du tribunal) négocient comment cette présentation se déroulera.

Territorialité

Étant donné que les brevets sont des droits de propriété intellectuelle strictement territoriaux, si l’atteinte présumée à certains éléments (mais pas tous) de l’invention revendiquée est distribuée géographiquement entre différents pays, cela peut donner lieu à une série de questions pendant la phase contentieuse, par exemple :

• si les données sont fragmentées et stockées à plusieurs endroits (dans le nuage ou sur site);

• si l’atteinte a lieu sur des serveurs multiples couvrant plus d’un pays;

• si les données sont exportées vers un pays où il n’existe pas d’options de protection par brevet pour le “traitement” de données et que les résultats du traitement sont ensuite réimportés à des fins d’exploitation commerciale;

• si un personnel non autorisé déplace les données (sur une clé USB, par exemple) dans des pays où il n’existe pas de protection par brevet ou dans lesquels aucune protection par brevet n’a été demandée.

Ce ne sont que quelques exemples des difficultés que soulève l’application des brevets sur des objets numériques. Il n’existe malheureusement pas de réponse unique à ces questions. Si une protection des secrets d’affaires est recherchée (potentiellement aussi dans le cadre d’une stratégie la combinant avec des brevets), des mesures de sécurité solides (comme un cryptage 2FA, une détection des atteintes) sont actuellement la meilleure solution pour réduire les risques. Lorsqu’une appropriation illicite ou une atteinte est détectée, il convient d’agir rapidement, en particulier si cette détection a eu lieu dans un territoire où l’état de droit est solidement établi.

Recours équitables contre une atteinte portée à un brevet

La disponibilité de recours équitables, tels qu’une injonction, varie également d’un ressort juridique à un autre. Si une injonction est prononcée, le défendeur peut généralement modifier quelques lignes du code ou réorganiser une base de données (parfois plus facile à dire qu’à faire) pour contourner l’injonction. Cela peut aboutir à un jeu du chat et de la souris sans fin avec le défendeur.

7.2 Objets numériques : secrets d’affaires ou droit d’auteur

Il convient d’étudier soigneusement le droit d’auteur en fonction du type d’objets numériques qui est protégé. Par exemple, la protection au titre du droit d’auteur peut être la meilleure solution pour les enregistrements audio et vidéo, en particulier si ce sont les enregistrements d’une œuvre d’auteur originale et/ou s’ils seront largement diffusés ⁽¹²⁾Les ressorts juridiques s’efforcent actuellement de déterminer comment attribuer un droit d’auteur à des données audio, vidéo ou à du texte générés par de grands modèles de langage ou d’autres modèles génératifs. Ce contenu généré doit donc être examiné au regard des multiples régimes de protection disponibles.. Toutefois, la protection des secrets d’affaires peut mieux convenir à des données numériques brutes ou traitées qui sont utilisées en interne ou partagées de manière sélective par contrat. Par ailleurs, certaines données ne sont pas éligibles à la protection au titre du droit d’auteur si elles ne sont pas considérées comme une œuvre d’auteur originale. En ce qui concerne le code source et les algorithmes, certains ressorts juridiques n’autorisent pas le titulaire à revendiquer à la fois la protection au titre du droit d’auteur et la protection des secrets d’affaires pour un code source, de sorte que le titulaire doit examiner les avantages et les inconvénients de cette protection.

7.3 Objets numériques : secrets d’affaires ou droits contractuels

Les secrets d’affaires et les droits contractuels doivent être examinés ensemble. En effet, si un tiers génère des données relevant du secret d’affaires pour le compte du titulaire légal, un contrat doit être conclu pour déterminer des “moyens raisonnables de protection”. Lorsqu’il revendique la protection des secrets d’affaires, le titulaire du secret d’affaires fait le plus souvent référence à un certain type d’arrangement contractuel (tel qu’un accord de non-utilisation ou de non-divulgation) avec l’auteur de l’appropriation illicite présumée. Si le titulaire échoue à démontrer l’appropriation illicite du secret d’affaires, il peut le plus souvent invoquer comme recours une violation élémentaire du contrat.

Le titulaire doit toutefois plaider correctement et séparément les deux causes d’action. Sans quoi, le tribunal peut considérer que si les données ne font pas l’objet d’un secret d’affaires, elles ne sont pas non plus soumises à des règles de confidentialité ou de non-utilisation. C’est la raison pour laquelle il est capital que les données relevant du secret d’affaires soient gérées séparément des simples données confidentielles ou exclusives.

7.4 Stratégies mixtes de protection pour les données numériques

Compte tenu de ce qui précède, une combinaison de droits conférés par un brevet, un secret d’affaires et un contrat est probablement la meilleure stratégie pour protéger une innovation technologique. La protection conférée par un brevet peut être la plus appropriée pour un dispositif unique de l’Internet des objets, un protocole de communication ou un stockage de données utilisé pour collecter et transmettre les données numériques. La protection des secrets d’affaires se prête le mieux aux algorithmes et aux données proprement dites (brutes et traitées). Les droits contractuels sont nécessaires lorsqu’un tiers est impliqué dans la collecte, le traitement ou le partage des données. Cette triple approche donne au titulaire des données un large éventail d’options pour faire appliquer ses droits.