TYGlobe

Au début de la nouvelle année, Jiangjiao Online, le site de consultation des notes de l'Examen national d'admission aux établissements d'enseignement supérieur (Gaokao) relevant du Département de l'Éducation de la province du Jiangxi, a suscité de vastes et vives discussions sur Internet. Selon des informations diffusées, la base de données de ce site a été supprimée, un incident ironiquement surnommé «suppression de base de données et fuite des personnes responsables». Si cet accident s'était produit pendant la période de consultation des notes du Gaokao, il aurait affecté des dizaines de millions de candidats.

À l'ère du numérique, les données sont devenues l'actif central de l'exploitation des entreprises, et leur sécurité est liée à la survie et au développement de ces dernières. Toutefois, des actes malveillants tels que la suppression des bases de données par les employés suivie de leur fuite, à l'instar de ce qui s'est produit dans l'incident de Jiangjiao Online, se produisent de temps à autre et causent des chocs considérables aux entreprises. Le présent article analysera en profondeur, du point de vue professionnel du droit, la nature de ces actes, les stratégies de défense des droits et intérêts des entreprises ainsi que les points juridiques pertinents, afin de fournir aux entreprises et aux praticiens des orientations juridiques complètes et opérationnelles.

I. La qualification juridique du comportement dit «de l'employé qui supprime les bases de données de l'entreprise et s'enfuit après avoir commis l'acte»

En tant qu'expression humoristique très répandue sur Internet, la locution «shanku paolu» (suppression des bases de données de l'entreprise et fuite du salarié auteur de l'acte) désigne l'acte par lequel un salarié d'entreprise, avant son départ de l'entreprise, procède de sa propre initiative à la suppression des données de l'entreprise sans avoir obtenu l'autorisation légale de celle-ci, pour des motifs malveillants tels que l'exercice de vengeance, la menace de l'entreprise en vue d'obtenir des intérêts indus, etc. Ces données couvrent tous les domaines clés de l'exploitation de l'entreprise, y compris sans s'y limiter les informations sur les clients, les documents d'activité, les données financières et les résultats clés de recherche et développement, etc. Ce type de données constitue le soutien essentiel permettant à l'entreprise de développer ses activités et de maintenir sa compétitivité sur le marché. Une fois supprimées de manière malveillante, l'entreprise sera confrontée à de multiples crises telles que l'interruption d'activité et la divulgation de secrets commerciaux, etc.

II. Examen juridique multidimensionnel du phénomène de «suppression des bases de données de l'entreprise et départ abusif des employés»

(I) Violation du règlement intérieur de l'entreprise

Conformément à la Loi de la République populaire de Chine sur les contrats de travail et au principe de gestion autonome des entreprises, la plupart des entreprises prévoient des dispositions détaillées sur la gestion et la protection des données dans des documents tels que les contrats de travail et les manuels du personnel. Les dispositions visant la suppression illicite des données de la base de données et la fuite du personnel responsable sont souvent dispersées dans les chapitres consacrés aux normes opérationnelles, aux clauses de confidentialité et aux régimes de sécurité de l'information, entre autres.

La suppression non autorisée des données d'entreprise est généralement expressément qualifiée de violation grave de la discipline et de manquement aux obligations professionnelles. Lorsque la violation atteint le degré de gravité prévu par le règlement intérieur de l'entreprise, l'entreprise est habilitée, conformément à l'article 39 du *Code du droit du travail de la République populaire de Chine*, à résilier le contrat de travail en vertu de la loi sans avoir à verser d'indemnité de compensation économique. Dans l'affaire du litige relatif au contrat de travail opposant M. Qin à la Société à responsabilité limitée Song, le tribunal, s'appuyant sur l'enregistrement sonore produit par le défendeur, l'aveu du demandeur quant à la suppression des fichiers, ainsi que les frais engagés pour la récupération des données par un tiers, a constaté que l'entreprise avait subi un préjudice économique, et a par conséquent jugé légale la résiliation du contrat de travail effectuée par l'entreprise. Dans l'affaire en deuxième instance relative à un litige de droit du travail opposant M. Dai et d'autres personnes, le tribunal, conformément aux dispositions du manuel du personnel de l'entreprise en cause, a établi que les salariés sont tenus de l'obligation de conserver convenablement les actifs de données de l'entreprise avant leur départ, et a confirmé le caractère légal de la résiliation du contrat de travail effectuée par l'entreprise. Dans l'affaire du litige de droit du travail opposant la Société Yan de Chengdu à M. Zhang, le tribunal, s'appuyant sur le règlement intérieur de l'entreprise et l'aveu du travailleur quant à la suppression des données de l'entreprise figurant dans l'historique de conversations en ligne, a également jugé légale la résiliation du contrat de travail.

Pour les entreprises technologiques et leurs services clés tels que la recherche et développement (R&D), l'exploitation et la maintenance, la sécurité des données revêt une importance capitale. Si une entreprise n'établit pas de système de gestion des données explicite, lorsqu'elle est confrontée aux actes de suppression de bases de données commis par ses employés, elle sera dépourvue de bases valables pour exercer des contraintes effectives et procéder aux traitements correspondants, et éprouvera des difficultés à sauvegarder ses propres droits et intérêts légitimes.

(II) Constitue un délit civil

Du point de vue du droit civil, l'acte par lequel un employé supprime sans autorisation les données de l'entreprise constitue un acte délictuel. Conformément à l'article 1165 du Code civil de la République populaire de Chine, toute personne qui, par sa faute, porte atteinte aux droits et intérêts civils d'autrui et cause un préjudice, est tenue d'assumer la responsabilité délictuelle. L'acte de suppression de la base de données de l'entreprise commis par l'employé présente une faute subjective manifeste, entraîne des pertes économiques pour l'entreprise et doit conformément à la loi assumer la responsabilité d'indemnisation.

Dans l'affaire de responsabilité délictuelle opposant la Société Ai à M. Su, la Société Ai a allégué que M. Su avait conçu un programme pour supprimer les données de journal d'exploitation, ce qui a rendu inutilisables les résultats des rapports de sécurité de l'information de l'entreprise, et a réclamé une indemnité d'un montant proche de 90 000 yuans. Dans l'affaire de responsabilité délictuelle opposant la Société Le établie à Shenzhen à M. He, la Société Le a affirmé que M. He avait supprimé les données d'images lors de sa démission, ce qui a porté préjudice aux activités de maintenance du matériel et de recherche-développement et entraîné le report de l'ouverture du point de vente. Elle a donc demandé la récupération des données ainsi qu'une indemnité d'un montant supérieur à 50 000 yuans.

Selon l'expérience de l'auteur dans le traitement de ce type d'affaires, les dommages subis par les entreprises comprennent généralement les frais directs de récupération des données, ainsi que les dommages indirects résultant de l'atteinte aux secrets d'affaires causée par la fuite de données. Par exemple, un vendeur d'une société a supprimé la base de données des informations clients avant son départ de l'entreprise. Celle-ci a dépensé plusieurs centaines de milliers de yuans pour récupérer les données et a perdu dans le même temps des clients importants en raison de la fuite des informations clients. Le salarié auteur de l'acte délictuel doit assumer la responsabilité d'indemnisation pour l'ensemble de ces dommages.

(3) Soupçon d'infraction pénale

1. Crime de sabotage du système d'information informatique : Conformément à l'article 286 du Code pénal de la République populaire de Chine, quiconque, contrairement aux dispositions de l'État, procède à la suppression, à la modification, à l'ajout ou à l'interférence des fonctions du système d'information informatique, ce qui empêche le fonctionnement normal dudit système et entraîne des conséquences graves ; ou quiconque procède à la suppression, à la modification ou à l'ajout des données et des programmes d'application stockés, traités ou transmis dans le système précité, si les conséquences sont graves, est présumé avoir commis le crime de sabotage du système d'information informatique. Dans la pratique judiciaire, l'employé qui supprime de mauvaise foi des données clés, entraînant la paralysie du système opérationnel de l'entreprise et satisfaisant aux critères légaux relatifs aux conséquences graves, sera poursuivi en responsabilité pénale conformément à la loi.

Dan Mou a pénétré dans le serveur du site web cp.59.cn en octobre 2013, a supprimé les données originales et a réclamé 5 000 yuans, entraînant une perte économique directe de 22 000 yuans pour la Société de développement de technologie électronique Zhengzhou Moumou Co., Ltd. Comme il disposait d'antécédents judiciaires pertinents, il a été finalement reconnu coupable du crime de sabotage des systèmes d'information informatiques et condamné à une peine d'emprisonnement à durée déterminée de deux ans et six mois. Après avoir quitté son poste à l'issue d'un différend du travail avec la Société de technologie de l'information Shanghai Yunmou Co., Ltd., Wu Mou a supprimé les documents importants stockés sur le serveur de la société entre octobre et décembre 2020, ce qui a entraîné l'altération des fonctions de l'application «Zhu Mou», et la société a déboursé 12 000 yuans pour la récupération des données.

2. Crime de perturbation des activités de production et d’exploitation : Conformément à l’article 276 du Code pénal de la République populaire de Chine, quiconque, pour des motifs de vengeance par dépit ou d’autres motifs personnels, détruit des machines et équipements, mutile ou tue des bêtes de labour ou recourt à d’autres moyens pour perturber les activités de production et d’exploitation, est susceptible de commettre le crime de perturbation des activités de production et d’exploitation. À l’ère du numérique, les données revêtent une importance vitale pour les activités de production et d’exploitation des entreprises. L’employé qui procède à la suppression de bases de données, entraînant une grave entrave aux activités de production et d’exploitation et des conséquences graves, peut également commettre ce crime.

Luo Mou a été licencié par une société établie à Shenzhen en juillet 2018. Dans un but de vengeance, il s'est connecté à deux reprises au serveur de ladite société et a supprimé les systèmes Jinmou et E-Tuo, ce qui a entraîné la suspension des activités de la société et des pertes économiques évaluées à 171 000 yuans à l'issue de l'évaluation. Le tribunal a constaté que son acte constitue le délit d'atteinte aux activités de production et d'exploitation, et l'a condamné à une peine d'emprisonnement d'un an et deux mois.

3. Délit de violation des secrets d'affaires : Conformément à l'article 9 de la Loi de la République populaire de Chine sur la lutte contre la concurrence déloyale, constituent des actes de violation des secrets d'affaires le fait d'obtenir, de divulguer, d'utiliser ou d'autoriser autrui à utiliser les secrets d'affaires du titulaire du droit par des moyens déloyaux, ou de divulguer ou d'utiliser les secrets d'affaires en violation de l'obligation de confidentialité. Si les données supprimées par un salarié contiennent les secrets d'affaires de l'entreprise et que les éléments constitutifs de la violation des secrets d'affaires sont réunis, il doit non seulement assumer la responsabilité civile d'indemnisation, mais peut également faire l'objet d'une poursuite en responsabilité pénale pour infraction à l'article 219 du Code pénal de la République populaire de Chine.

III. Stratégies juridiques globales pour la protection des droits et intérêts des entreprises

(I) Faire cesser sans délai les actes d'atteinte aux droits.

Dès qu'une entreprise constate que son employé a supprimé les bases de données, elle doit activer immédiatement le mécanisme d'urgence et faire cesser sans délai les actes d'atteinte aux droits. Conformément aux stipulations contractuelles et aux normes techniques, elle adresse aux partenaires commerciaux une demande de réinitialisation des autorisations, réinitialise le compte de super-administrateur, de manière à prévenir le risque de dommages supplémentaires aux données. Dans le même temps, elle envoie à l'employé par écrit un avis de violation de la discipline du travail, une lettre d'avertissement ou une lettre d'avocat, afin de l'informer clairement du caractère illégal de son acte, de lui demander de cesser immédiatement l'acte d'atteinte aux droits, et de déclarer qu'elle se réserve le droit de poursuivre sa responsabilité juridique. Ces documents peuvent jouer un rôle d'avertissement et de fixation des preuves.

(II) Consolidation exhaustive des preuves d'atteinte aux droits

Lorsque l'entreprise fait cesser les actes de tort, elle doit collecter des preuves simultanément. D'une part, elle utilise les technologies de back-office pour obtenir les enregistrements des opérations de suppression de données, y compris l'heure de l'opération, le compte concerné, le chemin d'accès au fichier, etc. D'autre part, elle procède à la conservation sous scellés des données électroniques telles que les enregistrements de conversations entre les salariés et l'entreprise, les courriers électroniques, etc. Par exemple, les journaux du serveur d'une entreprise ont clairement attesté l'opération de suppression de la base de données effectuée par un salarié, ce qui a fourni une preuve solide à l'appui de la défense des droits de l'entreprise. En outre, l'entreprise doit également collecter les preuves relatives aux pertes économiques, telles que les factures des frais de récupération de données payés à des tiers, les enregistrements des frais d'heures supplémentaires raisonnables, les états de pertes économiques directes résultant de l'interruption des activités opérationnelles, etc., afin de fournir des fondements factuels à l'appui de sa demande d'indemnisation.

(III) Utilisation rationnelle de l'alerte à la police et du recours en justice

Après l'achèvement de la conservation des preuves, l'entreprise doit choisir les voies de recours pour la défense de ses droits en fonction de la nature des actes commis par son employé. Si les actes de l'employé sont soupçonnés de constituer une infraction pénale, l'entreprise doit déposer plainte auprès des organes de la sécurité publique dans les meilleurs délais, collaborer aux travaux d'enquête, et réclamer l'indemnisation des dommages et intérêts économiques par voie d'action civile incidente à la procédure pénale. Si les actes ne constituent pas une infraction pénale ou si l'entreprise opte pour une action civile distincte, elle peut engager une instance devant le tribunal conformément au *Code de procédure civile de la République populaire de Chine*, demander à l'employé d'assumer sa responsabilité indemnitaire pour atteinte aux droits, faire valoir pleinement les preuves au cours de la procédure et s'efforcer d'obtenir une décision favorable du tribunal.

IV. Éclairages juridiques et guides de conformité

I. Les droits et intérêts relatifs aux données bénéficient d'une protection juridique à tous azimuts.

L'article 127 du Code civil de la République populaire de Chine dispose que lorsque la loi comporte des dispositions relatives à la protection des données et des biens virtuels du réseau, il est procédé conformément à ces dispositions, ce qui établit clairement que les données, en tant que nouveau type de biens, bénéficient de la protection juridique. L'article 7 de la Loi de la République populaire de Chine sur la sécurité des données souligne que l'État protège les droits et intérêts relatifs aux données des particuliers et des organisations. En vertu de la relation de contrat de travail et de l'éthique professionnelle, les travailleurs sont tenus de l'obligation de conserver dûment les données concernées dans l'exercice de leurs fonctions.

(II) Les entreprises doivent établir un système de gestion de la sécurité des données perfectionné.

Les entreprises doivent porter la gestion de la sécurité des données au niveau stratégique. Dans les contrats de travail et le règlement intérieur, elles doivent préciser les règles de gestion détaillées relatives à la collecte des données, à leur sauvegarde, aux droits d'accès, etc., et définir la responsabilité indemnitaire des salariés pour les dommages causés aux données. Elles organisent périodiquement des formations à la sécurité des données à l'intention des salariés afin de renforcer leur conscience juridique. Elles doivent en outre établir et perfectionner le mécanisme de conservation et de sauvegarde des données pour réduire les risques de perte de données.

(III) Les employés doivent respecter scrupuleusement la déontologie professionnelle et régler les différends conformément à la loi.

Les salariés doivent respecter strictement l'éthique professionnelle et la discipline du travail, s'acquitter de l'obligation de loyauté envers l'entreprise, conserver dûment les données de l'entreprise et transférer les documents conformément aux dispositions réglementaires lors de leur départ. En cas de litige de travail avec l'entreprise, ils doivent le régler par des voies légales telles que la négociation, l'arbitrage ou l'action en justice. Il est strictement interdit de commettre des actes illégaux tels que la suppression de bases de données, sous peine d'assumer la responsabilité civile d'indemnisation, voire la responsabilité pénale.

Les actes des employés consistant à supprimer illégalement les bases de données de l'entreprise et à s'enfuir par la suite sont extrêmement préjudiciables. Les entreprises et les employés doivent prendre pleinement conscience de l'importance de la sécurité des données, se conformer strictement aux lois et règlements ainsi qu'aux règlements internes des entreprises, et préserver conjointement un bon ordre professionnel et un environnement sain de sécurité des données.