Ex-dirigeant, 70 000 fichiers copiés et une sanction à Aix

Copier massivement les fichiers d’une entreprise pour préparer sa défense face à une révocation expose à une condamnation. La cour d’appel d’Aix-en-Provence l’a jugé à propos d’un ancien dirigeant du groupe Twentytwo, comme le relate village-justice.com.

Un conflit d’associés qui dégénère

L’affaire oppose plusieurs sociétés du groupe Twentytwo, ainsi qu’Allowa et Scaprim, à un dirigeant devenu mandataire social. Il détenait aussi des participations dans certaines sociétés du groupe, par l’intermédiaire de sa société Roma 18.

Les tensions entre le fondateur et principal actionnaire, Daniel Rigny, et le dirigeant, Philippe Couturier, auraient commencé en novembre 2023, avec des courriels de griefs que la décision n’expose pas. En 2024, Philippe Couturier a soumis l’idée d’un accord amiable, en demandant notamment un dixième des droits d’une des sociétés. Cette demande a visiblement été refusée : il a alors annoncé une « guerre qui sera totale ».

Il a ensuite fait réaliser une enquête interne et plusieurs audits financiers portant sur une entreprise qu’il dirigeait lui-même.

70 000 pièces copiées

L’objectif était de garder de quoi contester sa révocation et dénoncer des pratiques du groupe qu’il jugeait illicites. La cour n’a pas reconnu la légitimité de ces actions et a retenu le trouble manifestement illicite.

Les fondements juridiques retenus

Le RGPD est ici invoqué à rebours de l’usage habituel : c’est l’entreprise, responsable de traitement et victime de l’extraction, qui s’en prévaut contre son ancien dirigeant. Une personne concernée qui réclamerait ses propres données sur le fondement de l’article 15 n’est pas dans la situation jugée.

• Principes du RGPD. Les articles 4 et 5 exigent un traitement de données personnelles licite, loyal, sécurisé, répondant à des finalités déterminées, explicites et légitimes. En conservant un ensemble exhaustif de données, dont celles de salariés et de clients, sans informer les personnes, le dirigeant a mis le groupe en situation de non-conformité.
• Sanction pénale. Selon l’article 226-18 du Code pénal, collecter des données personnelles de façon frauduleuse, déloyale ou illicite est passible de cinq ans de prison et de 300 000 euros d’amende.
• Notification à la CNIL. Les sociétés ont déclaré une violation de données en application de l’article 33 du RGPD. Pour la cour, le fait que la CNIL n’ait pas donné suite à ce stade est indifférent pour caractériser le trouble.
• Secret des affaires. Au titre de l’article 151-4 du Code de commerce, la cour juge qu’une collecte massive, sans tri ciblé, porte atteinte à ce secret, car elle inclut des informations chiffrées ou techniques ayant une valeur commerciale.

Ce que la cour reproche, et la voie qui existait

La cour a écarté l’accord de séquestre daté du 17 décembre 2024 et passé avec l’avocat du dirigeant, dont la pérennité dépendait de la seule volonté des parties. Selon elle, « l’intimé invoque vainement la convention de séquestre ».

La bonne foi du dirigeant est aussi mise en doute : le 13 mars 2025, il a créé une société par actions simplifiée à associé unique, dont l’objet social est très proche de celui des sociétés appelantes. Le trouble manifestement illicite est donc retenu au profit des sociétés du groupe Twentytwo.

Le dirigeant s’est pourvu en cassation.

Photo : Mikhail Nilov / Pexels