TRIBUNAL

JUDICIAIRE

DE [Localité 5] [1]

[1] Copies exécutoires

délivrées le :

■

4ème chambre 1ère section

N° RG 22/00774

N° Portalis 352J-W-B7F-CVTLI

N° MINUTE :

Assignation du :

1er décembre 2021

ORDONNANCE DU JUGE DE LA MISE EN ETAT

rendue le 09 décembre 2025

DEMANDEUR

Monsieur [R] [Z]

[P] [Y]

[Adresse 2]

[Localité 3] (TURQUIE)

représenté par M^e Géraldine SALORD, avocat au barreau de PARIS, vestiaire #R0268

DEFENDERESSE

S.A.S. LEDGER

[Adresse 1]

[Localité 4]

représentée par M^e Georgie COURTOIS, avocat au barreau de PARIS, vestiaire #K0035

MAGISTRAT DE LA MISE EN ETAT

Madame Géraldine DETIENNE, Vice-Présidente

assistée de Madame Nadia SHAKI, Greffier

DEBATS

A l’audience du16 septembre 2025, avis a été donné aux avocats que l’ordonnance serait rendue le 09 décembre 2025.

Décision du 09 décembre 2025

4ème chambre1ère section

RG n° 22/00774

ORDONNANCE

Prononcée par mise à disposition

Contradictoire

Avant dire-droit

EXPOSE DU LITIGE

Vu l’assignation délivrée par M. [R] [Z] à la SAS Legder le 1er décembre 2021 ;

Vu le jugement avant dire droit en date du 4 mars 2025 ayant ordonné la réouverture des débats, révoqué l’ordonnance de clôture prononcée le 5 décembre 2023 et renvoyé l’affaire à l’audience de mise en état du mardi 8 avril 2025 pour fixation d’un calendrier relatif à la demande de communication de la décision rendue le 10 octobre 2024 par la Commission nationale de l’informatique et des libertés (ci-après la CNIL) ;

Le 30 avril 2025, M. [Z] a régularisé des conclusions d’incident aux fins de voir ordonner la production forcée de cette pièce.

Aux termes de ses dernières conclusions d’incident notifiées par la voie électronique le 5 septembre 2025, M. [Z] demande au juge de la mise en état de :

« Vu les articles 10 du Code civil

Vu les articles 11, 138, 139, 788 et 142 du Code de procédure civile

Vu les articles L100-1, L300-2, L311-1, L311-6 du Code des relations entre le public et l’administration

Vu l’article 22 et 36 de la loi n°78-17 du 6 janvier 1978 modifiée

Vu la jurisprudence

(…)

— CONSTATER que la décision de sanction rendue le 10 octobre 2024 par la Commission nationale de l’informatique et des Libertés à l’encontre de la société LEDGER est communicable dans le cadre de la présente instance ;

Et en conséquence,

— REJETER l’ensemble des fins, moyens et prétentions présentés par la société LEDGER ;

— ENJOINDRE la société LEDGER de communiquer l’intégralité de la décision de sanction rendue le 10 octobre 2024 à son encontre par la Commission nationale de l’informatique et des Libertés à Monsieur [R] [Z], et ce sous astreinte de 200 euros par jour de retard à l’issue d’un délai de deux (2) jours à compter du prononcé de la décision à intervenir ;

— CONDAMNER la société LEDGER à verser à Monsieur [R] [Z] la somme de 1.500,00 euros au titre de l’article 700 du Code de procédure civile ;

— CONDAMNER la société LEDGER aux entiers dépens. ».

Au visa des articles 10, 11 et 142 du code de procédure civile, M. [Z] fait valoir que la décision du 10 octobre 2024 intéresse la solution du litige et est nécessaire à la manifestation de la vérité dès lors que la CNIL, qui est en France l’autorité chargée de veiller au respect de l’application du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le RGPD), s’est prononcée sur le manquement à ce texte qu’il invoque dans le cadre de la présente procédure. Il soutient que la communication de cette décision permettrait de rapporter la preuve que la société Ledger a manqué à l’obligation de sécurité mise à sa charge et que ses manquements ont occasionné les fuites de données des mois d’avril et juin 2020 qui ont exposé ses clients à des attaques susceptibles de leur faire subir des dommages. Il affirme qu’il s’agit en conséquence d’un élément essentiel qui doit faire l’objet d’un débat contradictoire et relève que la CNIL a indiqué à des journalistes qu’elle estimait que « les violations des données [d’avril et juin 2020] exposent les personnes concernées à des tentatives de fraude (hameçonnage, usurpations d’identité) » et que « toute personne concernée qui se prévaut d’un préjudice et souhaite obtenir réparation peut saisir les juridictions compétentes ».

En réponse à l’argumentation invoquée en défense, M. [Z] soutient, en premier lieu, que l’absence de publication de sa décision par la CNIL ne constitue pas un empêchement légitime permettant à la société Ledger de se soustraire à son obligation de concourir à la manifestation de la vérité et de refuser de communiquer la décision dès lors que cette absence de publicité ne relève d’aucun principe de secret, notamment pas du secret des affaires, mais uniquement des pouvoirs de sanction de la CNIL. Il prétend en effet que la faculté dont dispose la CNIL, en vertu de l’article 22 de la loi n°78-17 du 6 janvier 1978 relative à l’information, aux fichiers et aux libertés (dite loi « Informatiques et Libertés »), de « rendre publique les mesures qu’elle prend » est une peine complémentaire qui relève de son pouvoir discrétionnaire et qu’il ne peut être déduit de l’absence de publication que la décision serait confidentielle et ne pourrait de ce fait pas être produite dans le cadre d’une autre procédure à la demande d’une partie qui y a intérêt. Il affirme que le droit à l’information du public est un droit à valeur constitutionnelle tiré de l’article 6 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales (CESDH), que l’article 11 du code de procédure civile met en œuvre ce droit sur le plan procédural et qu’en application de cet article et de l’article 10 du code civil, tout élément de preuve nécessaire à la manifestation de la vérité doit pouvoir être utilisé dans le cadre d’une procédure pour garantir le droit à un procès équitable, dont découle le principe d’égalité des armes.

Il relève également que la société Ledger invoque d’une façon générale l’absence de publication de la décision sans faire état d’un intérêt légitime concret qui l’aurait justifiée, ni démontrer en quoi elle constituerait un empêchement opposable à sa production en justice, qu’elle n’apporte aucun élément démontrant qu’elle repose sur des considérations tenant au secret des affaires et partant ne peut pas prétendre qu’elle est fondée sur ce motif.

Il soutient qu’en tout état de cause, à supposer même que la décision soit considérée comme confidentielle, la confidentialité ne constitue pas en elle-même un empêchement légitime de nature à faire obstacle à la communication d’une pièce dès lors d’une part, que celle-ci est nécessaire à la protection des intérêts probatoires du requérant et d’autre part, qu’en application de l’article 139 du code de procédure civile, le juge de la mise en état peut prévoir des modalités de production garantissant sa confidentialité.

Il considère ainsi qu’il convient de distinguer entre le pouvoir de la CNIL d’assortir les décisions de sanction qu’elle prononce d’une peine complémentaire de publication et la possibilité pour elle de les communiquer à toute personne qui y aurait intérêt, notamment dans le cadre d’un procès. Il prétend que la loi Informatique et Libertés prévoit en son article 36 un régime spécifique en matière de communication par la CNIL des actes administratifs, régime qui correspond à la mise en œuvre du droit à un procès équitable alors que le pouvoir de sanction de l’autorité, portant publication de la décision, répond à une logique punitive. Il en conclut que la société Ledger opère volontairement une confusion entre le fait que la décision n’ait pas été publiée et le fait qu’elle ne puisse pas être communiquée pour des motifs légitimes.

En deuxième lieu, M. [Z] fait valoir que contrairement à ce que soutient la société Ledger, le régime de communication des documents administratifs prévu par le code des relations entre le public et l’administration (ci-après le CRPA) est inapplicable en l’espèce dès lors que les décisions de sanction prises par la CNIL bénéficient d’un régime de communication spécifique dérogatoire prévu à l’article 22 de la loi Informatique et Libertés.

A titre subsidiaire, à supposer les dispositions du CRPA applicables, M. [Z] soutient que les exceptions à la communicabilité prévues par son article L.311-6 ne sont pas caractérisées en l’espèce. Il prétend sur ce point tout d’abord que ce régime ne s’impose qu’aux administrations et ne confère aucun droit aux personnes de droit privé n’exerçant pas de mission de service public. Il affirme donc que la société Ledger qui n’est ni bénéficiaire de la non-communicabilité, ni susceptible de violer ce principe en produisant la décision de la CNIL ne peut pas exciper de sa seule qualité de destinataire pour refuser sa production.

Il allègue ensuite que les arguments développés par la défenderesse en lien avec les exceptions prévues par l’article L.311-6 du CRPA sont inopérants dès lors d’une part, que l’adage selon lequel « nul n’est tenu de produire contre soi-même » n’est pas susceptible de constituer un empêchement légitime permettant de s’opposer à une demande de production forcée de pièce et d’autre part, que le secret des affaires ne constitue pas un empêchement légitime automatique ou insurmontable, notamment parce que le code de commerce prévoit des mesures spécifiques pour le protéger. Il ajoute qu’il appartient à la partie qui entend se prévaloir de la protection au titre du secret des affaires de justifier de la réunion des critères constitutifs de sa définition mentionnés à l’article L.151-1 du code de commerce et que la société Legder procède par voie d’affirmations sans produire aucun élément de preuve à l’appui de ses allégations.

Il prétend encore qu’en affirmant que le contenu de la décision ne pourrait pas être divulgué et que, pour ne pas « en révéler indirectement la portée », elle ne peut que procéder par voie de présomptions, la société Ledger utilise un raisonnement spécieux pour travestir la réalité dès lors que, même si la décision n’a pas été publiée dans son intégralité, sa portée en a été révélée par la CNIL elle-même.

A titre très subsidiaire, à supposer que le CRPA soit jugé applicable et la société Ledger légitime à revendiquer la non-communicabilité de la décision en application des exceptions prévues à l’article L.311-6, M. [Z] rappelle que le document administratif est communicable dans sa version complète à l’intéressé, c’est-à-dire à la personne qui a un intérêt direct à la décision, et affirme qu’en l’espèce, il a un intérêt direct à obtenir la communication de la décision litigieuse dès lors que les informations qu’elle contient apparaissent en lien avec les faits qu’il tente de prouver dans le cadre de la présente instance fondée sur l’article 82 du RGPD, qu’il se trouve dans la même situation que les autres personnes ayant adressé une plainte à la CNIL et dont les dossiers doivent être examinés par le tribunal en même temps que le sien et qu’il doit donc pouvoir comme elles obtenir la communication de la décision.

M. [Z] fait valoir, en troisième lieu, que la société Ledger ne justifie pas que la question de la communicabilité de la décision rendue par la CNIL ne relèverait pas des dispositions du code de procédure civile mais du droit administratif, que le juge de la mise en état dispose, en vertu des articles 788, 11 et 138 du code de procédure civile, de tous les pouvoirs pour obtenir sa production forcée, qu’il est de jurisprudence constante que l’obligation d’apporter son concours à la justice s’applique aussi bien aux personnes privées qu’aux personnes publiques et qu’à ce titre, le juge civil peut, sans violer le principe de séparation des pouvoirs, ordonner à une personne publique de produire un élément de preuve.

Il affirme également que le fait que la société Ledger soit en désaccord avec l’appréciation de la CNIL et que la décision ne soit pas assortie de l’autorité de la chose jugée ne constitue pas un empêchement légitime au sens du code de procédure civile.

Décision du 09 décembre 2025

4ème chambre1ère section

RG n° 22/00774

Il fait aussi valoir que la société Ledger ne peut sérieusement soutenir que la décision du 10 octobre 2024 est inutile à la solution du litige dès lors qu’il est patent qu’un lien de causalité existe entre les manquements relevés par la CNIL et les préjudices qu’il subit à la suite de l’attaque par hameçonnage dont il a été victime et qui a été permise par les fuites de données de 2020.

Il prétend enfin que la société Ledger, qui a adopté un comportement manifestement dilatoire ne visant qu’à faire obstacle à la manifestation de la vérité et à retarder indûment l’issue du litige, a violé l’article 11 du code de procédure civile et relève qu’elle ne répond pas à ses moyens relatifs aux seuls critères applicables en l’espèce résultant du code de procédure civile, ce dont il déduit qu’elle reconnaît implicitement leur bien-fondé et renonce par conséquent à toute contestation sur ce point.

Aux termes de ses dernières conclusions d’incident notifiées par la voie électronique le 10 septembre 2025, la société Ledger demande au juge de la mise en état de :

« Vu les articles L.300-2, L.311-5, L.311-6 et L.311-7 du Code des relations entre le public et l’administration (CRPA),

Vu l’article L.151-1 du Code de commerce,

Vu l’article 77.2 du Règlement général sur la protection des données n°2016/679 (RGPD),

Vu les articles 8.I.2° d) et 22, alinéa 2 de la loi n°78-17 du 6 janvier 1978 et l’article 43, alinéa 3 du décret n°2019-536 du 29 mai 2019 pris pour l’application de cette loi,

Vu la jurisprudence,

Vu les pièces versées au débat,

(…)

— Constater que la décision rendue par la CNIL le 10 octobre 2024 est un document administratif non-communicable en application du Code des relations entre le public et l’administration ;

— Dire et juger qu’aucune injonction ne saurait être faite à la société Ledger de produire un document couvert par la non-publicité administrative ;

— Dire et juger, à titre subsidiaire, qu’il n’existe aucun lien de causalité entre les fautes alléguées de Ledger qui seraient détaillées dans la décision de la CNIL et les prétendus préjudices des Demandeurs ;

— Débouter Monsieur [R] [Z] de l’ensemble de ses demandes, fins et prétentions ;

— Condamner Monsieur [R] [Z] à verser la somme de 1.500 euros à la société LEDGER sur le fondement de l’article 700 du Code de procédure civile ;

— Condamner Monsieur [R] [Z] à la charge des entiers dépens qui seront recouvrés par Maître Georgie Courtois, Avocat au Barreau de Paris, conformément aux dispositions de l’article 699 du Code de procédure civile. ».

La société Ledger fait valoir, en premier lieu, que la décision rendue par la CNIL est non communicable en application du CRPA et que cette non-communicabilité s’impose à elle comme à la CNIL. Elle affirme en effet que les documents produits par la CNIL ou reçus par elle dans le cadre de l’exercice de ses missions sont des documents administratifs au sens de l’article L.300-2 du CRPA, qu’ils ne sont communicables aux personnes qui en font la demande que si les conditions fixées par l’article L.311-1 de ce code sont réunies et qu’en l’espèce, la décision du 10 octobre 2024 n’est pas communicable en raison, d’une part, de sa nature, en ce qu’il s’agirait d’une décision de sanction mettant en évidence des manquements à la réglementation dont la divulgation serait susceptible de lui porter préjudice, et, d’autre part, de son contenu, en ce qu’elle porterait sur la sécurité des données personnelles et comprendrait dès lors nécessairement des informations protégées par le secret des affaires, notamment le secret des stratégies de sécurité, informatiques, organisationnelles, réglementaires et/ou commerciales. Elle souligne que compte tenu de la non-communicabilité de la décision, elle ne peut que faire état de présomptions pour démontrer qu’elle contient des informations protégées par le secret des affaires.

Décision du 09 décembre 2025

4ème chambre1ère section

RG n° 22/00774

En réponse à l’argumentation de M. [Z] qui conteste l’application du CRPA aux décisions de la CNIL, elle prétend que l’article 22 de la loi Informatique et libertés se limite à reconnaître au président de la CNIL la possibilité de rendre publique les mesures qu’elle prend mais ne fait pas obstacle à l’application dudit code.

La société Ledger soutient, en deuxième lieu, que la décision de la CNIL de ne pas rendre publique sa décision a autorité de la chose jugée et s’impose au juge judiciaire qui ne peut par conséquent pas la contraindre à la produire dans le cadre de la présente procédure. Elle souligne que la CNIL a décidé de la non-communicabilité de sa décision en intégralité à la fois aux particuliers qui l’auraient saisie d’une plainte mais aussi à tout tiers qui en formulerait la demande.

Elle affirme, en troisième lieu, que la question de la communicabilité de la décision litigieuse relève exclusivement du droit administratif, que les dispositions du code de procédure civile, en particulier son article 142, sont inapplicables en l’espèce et ne peuvent pas écarter les règles impératives du droit administratif et que le juge judiciaire n’a pas le pouvoir d’imposer la communication d’un document non-communicable au sens du droit administratif, seule la Commission d’accès aux documents administratifs (ci-après la CADA) puis, le cas échéant, les juridictions administratives étant compétentes pour apprécier la légalité d’une décision de non-communication émanant de la CNIL.

Elle fait valoir qu’en application des articles 77.2 du RGPD et 8.I.2° d) de la loi Informatique et Libertés, la CNIL était uniquement tenue d’informer les personnes qui lui avaient adressé une plainte de la nature des manquements retenus et de la teneur de la sanction prononcée et que M. [Z] ne peut pas bénéficier de plus de droits que ces personnes, en ayant accès à l’intégralité d’une décision jugée non-communicable et non-publique par la CNIL elle-même.

Elle considère en définitive qu’il ne lui appartient pas de violer à son détriment la non-communicabilité à l’égard de tout tiers d’un document administratif relevant du CRPA dont la non-publicité a été décidée par l’autorité administrative compétente et dont la non-communication est imposée par les textes en vigueur, en particulier par les articles L.311-5 et L.311-6 du CRPA, et qu’elle ne peut pas davantage se voir imposer cette production.

A titre subsidiaire, si les dispositions du code de procédure civile étaient jugées applicables, la société Ledger soutient que la non-communicabilité de la décision de la CNIL, en raison de sa nature et de son contenu, constitue un « empêchement légitime » à sa production.

A titre subsidiaire également, la société Ledger prétend que M. [Z] ne rapporte pas la preuve d’un lien de causalité entre les fautes qu’il lui impute qui seraient détaillées dans la décision de la CNIL et le préjudice qu’il prétend subir et partant ne justifie pas de son utilité pour l’issue du litige.

En tout état de cause, la société Ledger souligne qu’elle est en désaccord avec l’appréciation de la CNIL et renvoie aux moyens qu’elle a développés dans ses conclusions au fond, rappelant que la décision de la CNIL n’a pas autorité de la chose jugée et ne lie pas le juge judiciaire.

Pour un plus ample exposé des faits de la cause et des prétentions des parties, il est fait expressément référence aux pièces du dossier et aux dernières écritures des parties conformément aux dispositions de l’article 455 du code de procédure civile.

Décision du 09 décembre 2025

4ème chambre1ère section

RG n° 22/00774

MOTIFS DE LA DÉCISION

A titre liminaire, il convient de rappeler que les demandes tendant à voir « dire et juger » et « constater » ne constituent pas nécessairement des prétentions au sens des dispositions de l’article 4 du code de procédure civile en ce qu’elles ne sont pas susceptibles d’emporter des conséquences juridiques mais constituent, en réalité, les moyens invoqués par les parties au soutien de leurs demandes. Il ne sera donc pas statué sur ces « demandes » qui ne donneront pas lieu à mention au dispositif.

Sur la demande de production de la décision rendue par la CNIL le 10 octobre 2024

En application de l’article 788 du code de procédure civile, « Le juge de la mise en état exerce tous les pouvoirs nécessaires à la communication, à l’obtention et à la production des pièces. ».

L’article 10 du code civil dispose : « Chacun est tenu d’apporter son concours à la justice en vue de la manifestation de la vérité.

Celui qui, sans motif légitime, se soustrait à cette obligation lorsqu’il en a été légalement requis, peut être contraint d’y satisfaire, au besoin à peine d’astreinte ou d’amende civile, sans préjudice de dommages et intérêts. ».

Cette obligation d’apporter son concours à la justice est reprise à l’article 11 du code de procédure civile aux termes duquel : « Les parties sont tenues d’apporter leur concours aux mesures d’instruction sauf au juge à tirer toute conséquence d’une abstention ou d’un refus.

Si une partie détient un élément de preuve, le juge peut, à la requête de l’autre partie, lui enjoindre de le produire, au besoin à peine d’astreinte. Il peut, à la requête de l’une des parties, demander ou ordonner, au besoin sous la même peine, la production de tous documents détenus par des tiers s’il n’existe pas d’empêchement légitime. ».

En application de l’article 142 du code de procédure civile, « Les demandes de production des éléments de preuve détenus par les parties sont faites, et leur production a lieu, conformément aux dispositions des articles 138 et 139. ».

L’article 138 auquel il est renvoyé prévoit : « Si, dans le cours d’une instance, une partie entend faire état d’un acte authentique ou sous seing privé auquel elle n’a pas été partie ou d’une pièce détenue par un tiers, elle peut demander au juge saisi de l’affaire d’ordonner la délivrance d’une expédition ou la production de l’acte ou de la pièce. ».

L’article 139 énonce quant à lui que : « La demande est faite sans forme.

Le juge, s’il estime cette demande fondée, ordonne la délivrance ou la production de l’acte ou de la pièce, en original, en copie ou en extrait selon le cas, dans les conditions et sous les garanties qu’il fixe, au besoin à peine d’astreinte. ».

Il est de principe que le juge dispose en matière de production forcée de pièces d’une simple faculté dont l’exercice est laissé à son pouvoir discrétionnaire. Il en résulte que le juge peut refuser d’ordonner la communication d’une pièce s’il considère qu’elle n’est pas utile à la solution du litige et/ou à la défense d’une des parties. Il est également de droit que le pouvoir du juge civil d’ordonner la production des éléments de preuve détenus par les parties est limité par l’existence d’un empêchement légitime.

S’agissant du secret des affaires, l’article L.151-1 du code de commerce dispose : « Est protégée au titre du secret des affaires toute information répondant aux critères suivants:

1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité;

2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret;

3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret. ».

Les articles L.151-7 à L.151-9 du code de commerce prévoient un certain nombre d’exceptions à la protection du secret des affaires et d’hypothèses dans lesquelles celui-ci n’est pas « opposable ».

Ces textes transposent une partie des dispositions visées par la directive (UE) 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites comme constituant une limite à l’étendue de la protection du secret des affaires que les Etats membres peuvent consacrer (articles 1 alinéa 2, 5, 7, paragraphe 1, 9, paragraphe 3, 13 et 15, paragraphe 3). Ces dispositions rappellent notamment que cette protection du secret des affaires doit faire l’objet d’un contrôle de proportionnalité (considérant 21 de la directive) et être ainsi conciliée non seulement avec les droits fondamentaux susceptibles d’être invoqués (liberté d’expression, droit au respect des biens, droits de la défense, droit à la preuve, etc. ) mais également avec d’autres intérêts légitimes, telles que l’effectivité et l’efficacité du droit de l’Union européenne, les intérêts de la répression pénale et administrative ou encore avec les droits que les entreprises concernées tirent de la loi auxquels la protection du secret porterait atteinte.

Il en résulte l’obligation pour le juge de procéder à une balance des intérêts entre, d’une part, le droit à la protection du secret des affaires, que la Cour de justice de l’Union européenne (CJUE) a érigé en principe général du droit de l’Union européenne (Varec, 14 février 2008, C-450/06, pt. 49), et d’autre part, les droits et intérêts légitimes concurrents, comme le rappelle à plusieurs reprises la directive (notamment en ces articles 7, paragraphe 1, 3, 11, paragraphe 2, et 13, paragraphe 1).

Ainsi, si le secret des affaires ou le principe de confidentialité ne constituent pas en eux-mêmes un obstacle à la production forcée d’une pièce, c’est à la condition que le juge constate que les mesures qu’il ordonne procèdent d’un motif légitime, sont nécessaires à la protection des droits de la partie qui les a sollicitées et ne portent pas une atteinte disproportionnée aux droits de l’autre partie au regard de l’objectif poursuivi.

Les articles L.153-1, L.153-2 et R.153-2 à R.153-9 du code de commerce prévoient des modalités de production, de communication et d’utilisation des pièces au cours d’une instance judiciaire, qui doivent permettre au juge d’assurer la protection du secret des affaires dans le respect du principe de proportionnalité.

Aux termes de l’article L.153-1 du code de commerce, « Lorsque, à l’occasion d’une instance civile ou commerciale ayant pour objet une mesure d’instruction sollicitée avant tout procès au fond ou à l’occasion d’une instance au fond, il est fait état ou est demandée la communication ou la production d’une pièce dont il est allégué par une partie ou un tiers ou dont il a été jugé qu’elle est de nature à porter atteinte à un secret des affaires, le juge peut, d’office ou à la demande d’une partie ou d’un tiers, si la protection de ce secret ne peut être assurée autrement et sans préjudice de l’exercice des droits de la défense :

1° Prendre connaissance seul de cette pièce et, s’il l’estime nécessaire, ordonner une expertise et solliciter l’avis, pour chacune des parties, d’une personne habilitée à l’assister ou la représenter, afin de décider s’il y a lieu d’appliquer des mesures de protection prévues au présent article ;

2° Décider de limiter la communication ou la production de cette pièce à certains de ses éléments, en ordonner la communication ou la production sous une forme de résumé ou en restreindre l’accès, pour chacune des parties, au plus à une personne physique et une personne habilitée à l’assister ou la représenter ;

3° Décider que les débats auront lieu et que la décision sera prononcée en chambre du conseil ;

4° Adapter la motivation de sa décision et les modalités de publicité de celle-ci aux nécessités de la protection du secret des affaires. ».

En application de l’article L.153-2, « Toute personne ayant accès à une pièce ou au contenu d’une pièce considérée par le juge comme étant couverte ou susceptible d’être couverte par le secret des affaires est tenue à une obligation de confidentialité lui interdisant toute utilisation ou divulgation des informations qu’elle contient.

Dans le cas d’une personne morale, l’obligation prévue au premier alinéa du présent article s’applique à ses représentants légaux ou statutaires et aux personnes qui la représentent devant la juridiction.

Les personnes ayant accès à la pièce ou à son contenu ne sont liées par cette obligation ni dans leurs rapports entre elles ni à l’égard des représentants légaux ou statutaires de la personne morale partie à la procédure.

Les personnes habilitées à assister ou représenter les parties ne sont pas liées par cette obligation de confidentialité à l’égard de celles-ci, sauf dans le cas prévu au 1° de l’article L. 153-1.

L’obligation de confidentialité perdure à l’issue de la procédure. Toutefois, elle prend fin si une juridiction décide, par une décision non susceptible de recours, qu’il n’existe pas de secret des affaires ou si les informations en cause ont entre-temps cessé de constituer un secret des affaires ou sont devenues aisément accessibles. ».

L’article R.153-2 prévoit : « Lorsqu’en application du 1° de l’article L.153-1, le juge restreint l’accès à la pièce aux seules personnes habilitées à assister ou représenter les parties, il peut également décider que ces personnes ne peuvent pas en faire de copie ou de reproduction, sauf accord du détenteur de la pièce. ».

Aux termes de l’article R.153-3, « A peine d’irrecevabilité, la partie ou le tiers à la procédure qui invoque la protection du secret des affaires pour une pièce dont la communication ou la production est demandée remet au juge, dans le délai fixé par celui-ci :

1° La version confidentielle intégrale de cette pièce ;

2° Une version non confidentielle ou un résumé ;

3° Un mémoire précisant, pour chaque information ou partie de la pièce en cause, les motifs qui lui confèrent le caractère d’un secret des affaires.

Le juge peut entendre séparément le détenteur de la pièce, assisté ou représenté par toute personne habilitée, et la partie qui demande la communication ou la production de cette pièce. ».

Il résulte des articles R.153-4 à R.153-7 que :

— « Le juge statue, sans audience, sur la communication ou la production de la pièce et ses modalités. »,

— « Le juge refuse la communication ou la production de la pièce lorsque celle-ci n’est pas nécessaire à la solution du litige. »,

— « Le juge ordonne la communication ou la production de la pièce dans sa version intégrale lorsque celle-ci est nécessaire à la solution du litige, alors même qu’elle est susceptible de porter atteinte à un secret des affaires »,

Dans ce dernier cas, le juge désigne la ou les personnes pouvant avoir accès à la pièce dans sa version intégrale. Lorsqu’une des parties est une personne morale, il désigne, après avoir recueilli son avis, la ou les personnes physiques pouvant, outre les personnes habilitées à assister ou représenter les parties, avoir accès à la pièce »,

— « Lorsque seuls certains éléments de la pièce sont de nature à porter atteinte à un secret des affaires sans être nécessaires à la solution du litige, le juge ordonne la communication ou la production de la pièce dans une version non confidentielle ou sous forme d’un résumé, selon les modalités qu’il fixe. ».

Décision du 09 décembre 2025

4ème chambre1ère section

RG n° 22/00774

L’article R.153-9 prévoit que :

« I.-Lorsqu’elle est rendue dans le cadre d’une instance au fond, la décision rejetant la demande de communication ou de production de la pièce n’est susceptible de recours qu’avec la décision sur le fond.

II.-La décision faisant droit à la demande de communication ou de production de la pièce peut être frappée d’appel indépendamment de la décision au fond dans un délai de quinze jours à compter de la signification de l’ordonnance du juge de la mise en état ou de la date de l’ordonnance du juge chargé d’instruire l’affaire. L’appel est formé, instruit et jugé selon les règles applicables à la procédure avec représentation obligatoire. Il est fait application de l’article 905 du code de procédure civile.

Le juge de la mise en état et le juge chargé d’instruire l’affaire ne peuvent ordonner l’exécution provisoire de leur décision.

III.-Lorsqu’elle est rendue par le conseiller de la mise en état, la décision faisant droit à la demande de communication ou de production de la pièce peut être déférée par requête à la cour dans les quinze jours de sa date.

Le délai pour former une requête en déféré et le déféré exercé dans ce délai sont suspensifs. L’exécution provisoire de la décision ne peut être ordonnée. ».

S’agissant de l’accès du public aux documents administratifs, il est notamment encadré par le CRPA, code qui, aux termes de son article L.100-1, « régit les relations entre le public et l’administration en l’absence de dispositions spéciales applicables. ».

Son article L.311-1 dispose : « Sous réserve des dispositions des articles L. 311-5 et L. 311-6, les administrations mentionnées à l’article L. 300-2 sont tenues de publier en ligne ou de communiquer les documents administratifs qu’elles détiennent aux personnes qui en font la demande, dans les conditions prévues par le présent livre. » .

En application de l’article L.311-6 de ce code, « Ne sont communicables qu’à l’intéressé les documents administratifs :

1° Dont la communication porterait atteinte à la protection de la vie privée, au secret médical et au secret des affaires, lequel comprend le secret des procédés, des informations économiques et financières et des stratégies commerciales ou industrielles et est apprécié en tenant compte, le cas échéant, du fait que la mission de service public de l’administration mentionnée au premier alinéa de l’article L. 300-2 est soumise à la concurrence;

2° Portant une appréciation ou un jugement de valeur sur une personne physique, nommément désignée ou facilement identifiable;

3° Faisant apparaître le comportement d’une personne, dès lors que la divulgation de ce comportement pourrait lui porter préjudice.

Les informations à caractère médical sont communiquées à l’intéressé, selon son choix, directement ou par l’intermédiaire d’un médecin qu’il désigne à cet effet, dans le respect des dispositions de l’article L. 1111-7 du code de la santé publique. ».

L’article L.311-7 du même code prévoit : « Lorsque la demande porte sur un document comportant des mentions qui ne sont pas communicables en application des articles L. 311-5 et L. 311-6 mais qu’il est possible d’occulter ou de disjoindre, le document est communiqué au demandeur après occultation ou disjonction de ces mentions. ».

S’agissant de la publication des mesures prononcées par la CNIL, l’alinéa 2 de l’article 22 de loi n°78-17 du 6 janvier 1978 relative à l’information, aux fichiers et aux libertés prévoit :

« La formation restreinte peut rendre publiques les mesures qu’elle prend. Elle peut également ordonner leur insertion dans des publications, journaux et supports qu’elle désigne, aux frais des personnes sanctionnées. ».

A titre liminaire, il sera relevé que la société Ledger ne conteste pas être en possession d’une version complète de la décision rendue par la CNIL le 10 octobre 2024.

Il est de principe que lorsqu’elle exerce son pouvoir de sanction, la CNIL agit en qualité d’autorité administrative chargée d’une mission de service public. Les documents qu’elle produit ou reçoit en cette qualité constituent dès lors des documents administratifs communicables dans les conditions et sous les réserves prévues par le livre III du CRPA.

Cependant, le présent litige ne concerne pas la communication par la CNIL de sa décision mais la communication de cette décision par la société Ledger dans le cadre de la procédure initiée à son encontre devant le tribunal de céans par le demandeur.

C’est par conséquent à tort que la société Ledger soutient que la communicabilité de la décision relève exclusivement des règles du droit administratif. Le fait que la décision n’ait pas été rendue publique par la CNIL et qu’elle puisse ne pas être communicable en application de l’article L.311-6 du CRPA ne constitue dès lors pas à lui seul un motif lui permettant de refuser de la produire dans le cadre de la présente procédure. Si la CADA puis, le cas échéant, les juridictions administratives sont compétentes pour statuer sur un refus de communication opposé par une administration, le juge de la mise en état a lui compétence pour se prononcer sur la demande de production forcée d’une pièce formée dans le cadre d’une instance civile et doit pour ce faire appliquer les dispositions régissant la communication des pièces dans ce cadre qui ont été précédemment rappelées.

Il est constant que la décision de la CNIL n’a pas autorité de la chose jugée et qu’elle ne lie pas le tribunal.

Cependant, ainsi que le rappelle à juste titre M. [Z], la CNIL est en France l’autorité chargée de veiller au respect du RGPD. Elle exerce pour ce faire différents types de missions et dispose de pouvoirs étendus. A l’occasion de leur contrôle, ses agents, qui disposent de compétences techniques, peuvent ainsi avoir accès à toutes les informations techniques et juridiques, quel qu’en soit le support, leur permettant d’apprécier les conditions dans lesquelles sont mis en œuvre par l’entité concernée les traitements de données personnelles et s’entretenir avec son personnel. Ils ne peuvent alors pas se voir opposer le secret professionnel sauf si les données relèvent de correspondances entre un avocat et son client ou sont couvertes par le secret des traitements journalistiques. Tenu à une obligation de coopération, le responsable de traitement doit prendre toutes les mesures utiles afin de faciliter leur action, étant rappelé que le fait d’entraver l’action de la CNIL constitue une infraction pénale punie d’un an d’emprisonnement et de 15.000 euros.

En l’espèce, il ressort des pièces versées aux débats et des explications des parties qu’à l’issue du contrôle effectué sur les violations des données personnelles des clients et prospects de la société Ledger à la suite des cyberattaques dont celle-ci a été victime en avril et juin 2020, la CNIL a considéré que la société n’avait pas mis en place une politique de conservation des données à caractère personnel satisfaisante, ni mis en œuvre des mesures techniques et organisationnelles suffisantes pour s’assurer de la sécurité de ces données. Elle a en conséquence prononcé à son encontre une amende administrative de 750.000 euros pour manquement aux articles 5, paragraphe 1, point e) et 32 du RGPD.

Or, dans le cadre de la présente procédure, le demandeur reproche notamment à la société Ledger d’avoir manqué à l’obligation lui incombant au titre de l’article 32 du RGPD et prétend subir un préjudice à la suite de la violation de ses données en ayant résulté.

L’appréciation du manquement invoqué nécessite d’étudier les circonstances ayant conduit aux fuites des données des clients et prospects de la société Ledger ainsi que les mesures techniques et organisationnelles mises en œuvre par la société pour prévenir de telles fuites et d’une façon générale garantir la sécurité des données dont elle assurait le traitement. Les éléments relatifs aux investigations effectuées par la société Ledger à la suite des fuites de données, à ses systèmes d’informations et aux contrats conclus avec ses sous-traitants font partie des éléments à prendre en considération pour ce faire et leur analyse requiert des compétences techniques. Compte tenu de la nature des informations en cause, les seules qui sont actuellement en débat sont celles dont la société Ledger a fait état dans ses communications publiques et/ou qu’elle invoque dans le cadre de la présente procédure. Dans ces conditions, compte tenu du rôle de la CNIL, des pouvoirs d’investigations dont elle dispose à l’occasion de ses contrôles et des compétences techniques de ses agents, la décision du 10 octobre 2024 apparaît a priori utile à la solution du litige et à l’exercice du droit à la preuve du demandeur. Il sera relevé que cette appréciation est fondée sur des considérations générales dès lors que le contenu précis de la décision est ignoré, ce qui ne peut pas être reproché au demandeur, et que le caractère nécessaire de la communication devra être à nouveau examiné pour le cas où il serait fait application des dispositions du code de commerce protégeant le secret des affaires.

Pour s’opposer à la production de la décision de la CNIL, la société Ledger se prévaut en effet d’un empêchement légitime tenant au secret des affaires, étant relevé que le fait que la décision en cause soit une décision de sanction détaillant les manquements qu’elle a commis et soit susceptible de ce fait, de par sa nature, de contenir des éléments dont la divulgation serait susceptible de lui porter préjudice ne constitue pas un tel empêchement.

Ainsi, que rappelé précédemment, le secret des affaires ne constitue pas en lui-même un obstacle à la production forcée d’une pièce, les articles L.153-1, L.153-2 et R.153-2 à R.153-9 du code de commerce précités permettant d’assurer sa protection dans le respect du principe de proportionnalité.

Pour justifier que la décision de la CNIL relève du secret des affaires, la société Ledger expose qu’elle serait susceptible de contenir des « informations concernant le secret des stratégies de sécurité, informatiques, organisationnelles, réglementaires et/ou commerciales de la société Ledger. Ces informations relatives à la politique et aux pratiques de sécurité d’une entreprise, ne sont pas connues ou aisément accessibles par des tiers. Elles présentent une valeur économique, dans la mesure où leur divulgation pourrait compromettre la sécurité des systèmes d’information de la société Ledger, révéler ses choix technologiques ou organisationnels, ou encore affaiblir ses positions concurrentielles. ». Si ces considérations présentent un certain degré de généralité, elles apparaissent néanmoins suffisantes pour considérer que la décision litigieuse est susceptible de contenir des éléments couverts par le secret des affaires.

Il convient par conséquent de faire application d’office des dispositions du code de commerce protégeant le secret des affaires et d’ordonner à la société Ledger de remettre au juge de la mise en état avant le 20 février 2026, conformément aux dispositions de l’article R.153-3 du code de commerce :

1° La version confidentielle de la décision rendue par la CNIL le 10 octobre 2024,

2° Une version expurgée de cette même pièce,

3° Un mémoire précisant, pour chaque information ou partie de la pièce en cause, les motifs qui lui confèrent le caractère d’un secret des affaires en application de chacun des critères de l’article L.151-1 du code de commerce (l’information n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité ; elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret (les préciser dans ce cas),

et de conclure avant cette date sur les mesures de protection demandées.

L’affaire est renvoyée à l’audience du 10 mars 2026 à 10 heures 30 pour poursuite de l’examen de la demande fondée sur la protection du secret des affaires, chacune des parties étant entendue séparément.

Les demandes formées au titre des dépens et de l’article 700 du code de procédure civile sont réservées.

PAR CES MOTIFS

Le juge de la mise en état, statuant publiquement, par ordonnance mise à disposition au greffe, contradictoire et avant dire droit,

Ordonne à la société Ledger de remettre au juge de la mise en état (par dépôt au greffe de la 4ème chambre – 1ère section – I.37.01), conformément aux dispositions de l’article R.153-3 du code de commerce, avant le mardi 20 février 2026 :

1° La version confidentielle de la décision rendue par la CNIL le 10 octobre 2024,

2° Une version expurgée de cette même pièce,

3° Un mémoire précisant, pour chaque information ou partie de la pièce en cause, les motifs qui lui confèrent le caractère d’un secret des affaires en application de chacun des critères de l’article L.151-1 du code de commerce (l’information n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité; elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret (les préciser dans ce cas),

et de conclure avant cette date sur les mesures de protection demandées ;

Renvoie l’examen de l’affaire à l’audience du l’audience du 10 mars 2026 à 10 heures 30 pour poursuite de l’examen de la demande fondée sur la protection du secret des affaires, chacune des parties étant entendue séparément ;

Réserve les demandes formées au titre des dispositions de l’article 700 du code de procédure civile et les dépens.

Faite et rendue à [Localité 5] le 09 décembre 2025.

Le greffier Le juge de la mise en état

Nadia SHAKI Géraldine DETIENNE