Qui est concerné
La loi française de 2017 vise les grandes entreprises dépassant certains seuils d’effectifs. La directive CSDDD (Corporate Sustainability Due Diligence Directive) étend progressivement le périmètre à toutes les grandes entreprises européennes et aux entreprises non européennes réalisant un chiffre d’affaires significatif dans l’UE. Les seuils et le calendrier d’application varient selon la taille.
Les entreprises qui sont en dessous des seuils peuvent néanmoins être concernées indirectement : leurs clients soumis au devoir de vigilance leur demandent de se conformer aux mêmes exigences. Le devoir de vigilance se propage donc le long des chaînes de valeur, bien au-delà des seuls acteurs directement visés.
La clause de confidentialité : bien au-delà de l’NDA simple
Un NDA (Non-Disclosure Agreement) simple couvre l’information sensible à court terme. Une clause de confidentialité mure dans un contrat long terme doit être plus sophistiquée.
Dimension 1 , La définition de l’information confidentielle. Qu’est-ce qui est confidentiel ? Les données personnelles ? Les méthodes de travail ? La liste des clients ? Cette définition doit être précise sans être excessive : trop large et elle étouffe la relation, trop étroite et elle ne protège rien.
Dimension 2 , Les exclusions. Quelles informations ne sont PAS confidentielles ? Celles public ? Celles connues avant le contrat ? Celles que les parties ont le droit de communiquer (avocats, auditeurs) ? Ces exclusions doivent être explicites.
Dimension 3 , La durée de protection. Pendant le contrat ? Un an après ? Pour toujours ? Cette durée varie selon la nature de l’information (secrets de fabrique : longtemps ; informations commerciales : quelques années).
Les quatre volets du plan de vigilance
Le plan de vigilance, pièce centrale du dispositif, comporte quatre volets structurants.
Volet 1 , Cartographie des risques. Identification des risques d’atteintes dans les activités propres et dans la chaîne de valeur. Cette cartographie est la base de toute action.
Volet 2 , Procédures d’évaluation des partenaires. Évaluation des fournisseurs et sous-traitants pour identifier ceux qui présentent des risques élevés. Cette évaluation se fait en amont et de manière régulière.
Volet 3 , Actions d’atténuation et de prévention. Mesures concrètes pour réduire les risques identifiés : formation, contrôles, audits, plans d’action correctifs.
Volet 4 , Mécanismes d’alerte et de suivi. Dispositif pour recueillir les signalements, système de suivi de l’efficacité des mesures, reporting annuel.
Ces quatre volets se traduisent directement par des exigences contractuelles envers les fournisseurs et partenaires.
Les clauses à intégrer dans les contrats
Clause 1 , Engagement de conformité. Le fournisseur s’engage à respecter les normes sociales, environnementales et éthiques définies par le donneur d’ordre (typiquement via une charte fournisseur ann exée).
Clause 2 , Droit d’audit. Le donneur d’ordre se réserve le droit d’auditer le fournisseur sur le respect de ces engagements, avec des modalités précises.
Clause 3 , Reporting. Le fournisseur fournit des informations périodiques sur ses pratiques et sur celles de ses propres sous-traitants critiques.
Clause 4 , Transmission aux sous-traitants. Le fournisseur s’engage à imposer des obligations équivalentes à ses propres fournisseurs significatifs. C’est la condition de la vigilance qui se propage dans la chaîne.
Clause 5 , Sanctions. Pénalités, droit de résiliation pour manquement grave, droit de suspendre les commandes. Sans ces mécanismes, les engagements restent déclaratifs.
Les difficultés opérationnelles
Le déploiement de clauses de vigilance rencontre plusieurs difficultés pratiques qu’il faut anticiper.
Difficulté 1 , Inventaire des fournisseurs. Les grandes entreprises ont souvent plusieurs milliers de fournisseurs. Identifier ceux qui relèvent réellement de la chaîne de valeur au sens du devoir de vigilance demande un travail structuré.
Difficulté 2 , Propagation effective des engagements. Imposer contractuellement des obligations à un fournisseur est une chose. S’assurer qu’elles sont effectivement respectées et transmises à ses propres fournisseurs en est une autre.
Difficulté 3 , Articulation avec les clauses existantes. Les clauses de vigilance viennent s’ajouter à des clauses de conformité déjà présentes (RGPD, anti-corruption, qualité). L’articulation doit éviter les redondances et les contradictions.
Difficulté 4 , Traçabilité. La démonstration de la conformité au devoir de vigilance suppose une traçabilité qui est souvent absente des systèmes historiques.
La clause de confidentialité : bien au-delà de l’NDA simple
Beaucoup d’entreprises pensent que ajouter une clause de confidentialité standard suffit. Mais une clause standard est généralement soit trop faible (elle ne protège rien d’utile) soit trop stricte (elle expose le destinataire à une responsabilité excessive). Une bonne clause de confidentialité doit d’abord définir précisément ce qui est confidentiel. Ne dites pas « toutes les informations partagées » mais plutôt « les informations marquées comme confidentielles, les stratégies non publiques, les données financières prévisionnelles, et les données techniques qui ne sont pas accessibles au public ».
Cette définition doit aussi identifier comment l’information confidentielle est désignée. L’information orale est-elle confidentielle si vous la dites « c’est confidentiel »? Les documents numériques doivent-ils être marqués avec un watermark ou un header? Sans cette clarté, le destinataire ne sait pas toujours s’il doit traiter quelque chose comme confidentiel. La meilleure pratique est une approche hybride : information écrite marquée en watermark ou en header est automatiquement confidentielle, information orale est confidentielle si confirmée par écrit dans les 5 jours suivants.
Les exceptions à la confidentialité : où le risque se cache
Une clause de confidentialité sans exceptions expose le destinataire à un risque inacceptable. Si vous êtes destinataire et que la loi vous oblige de divulguer certaines informations (par exemple, à un régulateur ou dans une procédure judiciaire), vous êtes techniquement en violation du contrat même si vous avez une obligation légale. Une bonne clause doit inclure une exception explicite : « le destinataire peut divulguer l’information confidentielle (a) pour respecter un jugement, une assignation ou une demande réglementaire, ou (b) sur avis écrit au révélateur avec délai raisonnable pour que le révélateur puisse chercher une protection légale ».
Une autre exception critique est les informations déjà publiques. Si l’information devient publique par aucune faute du destinataire, elle ne peut plus être confidentielle. Mais vous devez aussi clarifier : est-elle publique dès qu’elle est mentionnée une fois sur internet? Ou faut-il qu’elle soit largement connue? La meilleure approche est « publique et largement connue dans l’industrie », ce qui protège contre le cas où quelqu’un publie accidentellement quelque chose une seule fois.
Une troisième exception est les informations indépendamment développées. Si le destinataire développe une fonctionnalité similaire par son propre travail, sans utiliser l’information confidentielle, il ne doit pas être bloqué. Mais cette exception doit être documentée : le destinataire doit pouvoir prouver qu’il a développé indépendamment. Sans cette exigence de preuve, l’exception devient trop facile à abus. Une clause bien rédigée dit « le destinataire peut révéler l’information confidentielle s’il peut prouver par écrit qu’il a développé indépendamment l’information ou l’avait déjà avant de la recevoir ».
Obligations post-résiliation : comment garder la main après la fin de la relation
Un piège classique est une clause de confidentialité qui ne spécifie pas ce qui se passe après la fin du contrat. Le révélateur assume que la confidentialité persiste indéfiniment. Le destinataire assume qu’elle s’arrête avec le contrat. Cette ambiguïté crée des disputes : le destinataire utilise l’information après résiliation, le révélateur le poursuit, et les deux prétendent avoir raison selon la clause.
Une bonne clause spécifie d’abord la durée de l’obligation de confidentialité : 2 ans après résiliation? 5 ans? Indéfini? Cela dépend de la nature de l’information. Pour des stratégies commerciales, 5 ans est courant. Pour des secrets manufacturiers, indéfini est justifié. Ensuite, elle doit spécifier les obligations à résiliation : le destinataire doit-il détruire ou restituer les documents? Peut-il conserver une copie pour des raisons légales ou de conformité? Une clause bien rédigée dit « à résiliation, le destinataire détruit ou restitue tous les documents confidentiel, sauf qu’il peut en conserver une copie pour des raisons légales, de conformité, ou d’archivage qui doivent rester confidentielles ».
La gestion proactive de ces clauses confidentialité est un élément clé d’une stratégie de protection de données robuste. Consultez comment une solution CLM vous aide à gérer et monitor vos obligations de confidentialité à travers toutes vos relations contractuelles.
FAQ , Devoir vigilance contrat
Mon entreprise est sous les seuils. Dois-je quand même intégrer ces clauses ?
Pas par obligation directe, mais par propagation. Si vos clients sont soumis au devoir de vigilance, ils exigeront de vous un niveau d’engagement équivalent. Anticiper cette propagation est pragmatique , c’est un vrai sujet commercial autant que juridique.
La directive CSDDD remplace-t-elle la loi française ?
Non, elle s’ajoute et s’impose par ses dispositions plus strictes. Les entreprises soumises aux deux textes doivent se conformer au niveau d’exigence le plus élevé. La transposition en droit national interviendra selon un calendrier progressif.
Comment prouver ma conformité en cas de contrôle ?
Par la traçabilité : plan de vigilance à jour, cartographie des risques, historique des évaluations fournisseurs, plans d’action correctifs, reportings reçus, mesures prises. Cette démonstration exige un système d’information qui centralise ces éléments , une gestion par feuilles de calcul ne tient pas face à un contrôle sérieux.
Ce que nous retenons
Le devoir de vigilance transforme les contrats fournisseurs en outils de conformité actifs. Les cinq clauses structurantes , engagement, audit, reporting, propagation, sanctions , doivent être intégrées dans les contrats significatifs. Un clausier gouverné qui propose une base de clauses de vigilance à jour et un outil CLM qui centralise la traçabilité sont des conditions pratiques de maîtrise.
Pour approfondir, consultez notre pilier Conformité, notre article sur la conformité contractuelle et notre article sur la gestion des contrats fournisseurs. Demandez une démo ciblée.