Le business plan d'un client se retrouve chez son concurrent : anatomie d'une fuite à 280 000 €

Marc (le prénom est fictif, le scénario est typique) est consultant en stratégie indépendant. Il accompagne une ETI industrielle sur un projet de croissance externe : identifier et évaluer trois cibles d'acquisition, dont un concurrent direct. Le dossier contient les marges réelles du client, sa capacité d'endettement, et la liste nominative des cibles approchées.

Un vendredi soir, Marc envoie le rapport d'étape au directeur financier. La saisie automatique de son client de messagerie complète une adresse : au lieu de d.martin@client.fr, le mail part vers d.martin@… une entreprise homonyme. Le destinataire ouvre la pièce jointe, comprend qu'il a sous les yeux le plan de bataille d'un acteur du secteur, et la transmet — par curiosité ou par calcul — à une relation dans le milieu.

Trois semaines plus tard, l'une des cibles d'acquisition met fin aux discussions de façon inexpliquée et augmente brutalement ses prétentions. Le client comprend que sa stratégie a fuité. L'enquête interne remonte jusqu'à l'e-mail de Marc.

La plupart des professionnels manipulent des données personnelles ; le consultant en stratégie manipule quelque chose de plus rare et de plus monétisable : l'information avant qu'elle ne devienne publique. C'est sa matière première, et c'est aussi sa zone d'exposition maximale.

Le contenu d'un dossier de mission typique :

• La valorisation réelle d'une entreprise, souvent éloignée de ce qui est communiqué.
• Les cibles d'acquisition et l'ordre de priorité — une information qui, entre de mauvaises mains, fait flamber les prix.
• Les marges par produit, talon d'Achille de toute négociation commerciale.
• Un plan de réorganisation ou de réduction d'effectifs avant son annonce, dont la fuite déclenche un risque social immédiat.

Chacune de ces lignes a une valeur de marché pour un concurrent. C'est ce qui distingue radicalement le sinistre du consultant en stratégie d'une simple fuite de fichier clients : ici, la divulgation détruit l'avantage stratégique lui-même, et ce préjudice est immédiatement chiffrable.

Depuis la loi du 30 juillet 2018 (articles L. 151-1 et suivants du Code de commerce), une information est protégée au titre du secret des affaires dès lors qu'elle est secrète, qu'elle a une valeur commerciale du fait de ce secret, et qu'elle fait l'objet de mesures de protection raisonnables.

Un dossier stratégique remplit ces trois conditions par nature. Et le texte ne distingue pas selon que la divulgation est volontaire ou non : le détenteur légitime peut agir contre toute personne ayant obtenu, utilisé ou divulgué le secret sans son consentement. Le consultant qui, par négligence, laisse fuiter l'information se trouve donc exposé à :

• une action en réparation du préjudice économique (manque à gagner, surcoût d'acquisition, perte de chance) ;
• une demande de mesures correctives à ses frais ;
• une atteinte à sa réputation professionnelle, souvent plus coûteuse à long terme que l'indemnité elle-même.

À cela s'ajoute, si des données personnelles figuraient dans le dossier (salariés concernés par un plan social, par exemple), une obligation de notification à la CNIL au titre du RGPD sous 72 heures, avec sa propre exposition à sanction.

Reconstituons le coût réel de l'incident de Marc, poste par poste :

Pour un indépendant facturant la mission 35 000 €, l'écart est vertigineux. Une clause limitative de responsabilité ne tiendrait pas ici : la divulgation d'un secret des affaires par négligence grave peut être qualifiée de faute lourde, et le plafond contractuel saute (voir notre décryptage sur les clauses limitatives de responsabilité).

Le sinistre de Marc venait de sa propre erreur. Mais une part croissante des fuites dans le conseil en stratégie vient d'un maillon que le consultant ne contrôle qu'imparfaitement : le sous-traitant.

Beaucoup d'indépendants délèguent une partie du travail — modélisation financière, étude de marché, retraitement de données — à un analyste freelance ou à un confrère. Or, vous restez juridiquement le point de contact unique du client. Si votre sous-traitant laisse fuiter le dossier, c'est vous que le client mettra en cause, en vertu du contrat qui vous lie à lui. Vous répondez de vos sous-traitants comme de vous-même.

Trois précautions s'imposent :

• Répercutez vos obligations de confidentialité par un accord écrit à chaque sous-traitant, avec les mêmes exigences que celles que vous devez à votre client.
• Limitez ce que vous transmettez : anonymisez ou pseudonymisez les données dès que la mission le permet, et ne partagez que le strict nécessaire.
• Vérifiez la couverture assurantielle de vos sous-traitants réguliers, et assurez-vous que votre propre contrat couvre les fautes commises dans le cadre de la sous-traitance.

La chaîne de confidentialité est aussi solide que son maillon le plus faible. Un dossier stratégique qui passe par trois mains a triplé sa surface d'exposition.

L'imaginaire de la fuite de données, c'est le hacker. La réalité du consultant en stratégie, c'est beaucoup plus prosaïque. Les vecteurs réels, par ordre de fréquence :

1. Le mauvais destinataire : auto-complétion d'adresse, mail transféré à la mauvaise personne, « répondre à tous » malheureux.
2. Le cloud personnel non sécurisé : un dossier stratégique synchronisé sur un Drive personnel partagé par mégarde.
3. Le terminal perdu ou volé : un ordinateur portable non chiffré contenant l'intégralité des dossiers clients.
4. Le sous-traitant négligent : un analyste freelance à qui vous avez délégué une partie du travail et qui ne respecte pas vos exigences de confidentialité.
5. Le rançongiciel, vrai mais minoritaire, qui chiffre puis exfiltre vos dossiers.

Le risque cyber du consultant n'est pas d'abord technique. C'est un risque organisationnel et humain, qui se gère par des process autant que par des outils.

La protection se construit sur trois niveaux complémentaires.

Niveau organisationnel : chiffrez vos terminaux, bannissez le cloud personnel pour les dossiers clients, activez le délai d'envoi sur votre messagerie (pour rattraper un mauvais destinataire), et imposez par écrit vos règles de confidentialité à tout sous-traitant.

Niveau contractuel : formalisez un accord de confidentialité réciproque, et précisez dans votre lettre de mission les mesures de protection que vous mettez en œuvre — c'est aussi ce qui démontre votre diligence en cas de litige.

Niveau assurance : c'est le filet qui rattrape ce que les deux premiers niveaux ne suffisent pas à empêcher. La garantie cyber finance la gestion de l'incident — investigation, notification CNIL, frais de reconstitution, accompagnement de crise — tandis que la RC Pro couvre le volet manquement à la confidentialité vis-à-vis du client et vos frais de défense. Sur un sinistre à 280 000 €, c'est la différence entre un incident géré et une faillite personnelle.