Les filiales françaises de sociétés américaines cotées tout comme les sociétés françaises cotées aux États-Unis sont de plus en plus exposées au risque d’être la cible d’enquêtes menées par les autorités américaines du fait de l’application de lois nationales visant, d’une manière générale, à améliorer la gouvernance des entreprises et à lutter contre la corruption (Foreign Corrupt Practices Act, notamment). À cet égard, la procédure américaine dite de Discovery s’inscrit dans la phase d’investigation préalable au procès civil ou commercial relatif à ces législations. Chaque partie a alors l’obligation de divulguer à l’autre tous les éléments de preuve pertinents au litige dont elle dispose, même si ceux-ci lui sont contraires, quelles que soient leur localisation et leur forme.

Il n’existe aucun fondement légal en France pour diligenter une enquête interne. Se posent néanmoins des questions pratiques liées à leur impact sur le fonctionnement de l’entreprise et à l’égard des salariés.

Selon le périmètre de l’enquête et les personnes concernées, les répercussions susceptibles d’en résulter peuvent être substantielles (saisie du matériel informatique, interviews, etc.) et facteur de stress pour les salariés. L’audition des salariés, étape cruciale dans le processus, doit être menée avec prudence. Les salariés doivent pouvoir parler librement sans craindre d’éventuelles sanctions disciplinaires. Ainsi peut-il être utile de prévoir la possibilité pour les salariés concernés d’être assistés ou de mettre en place des garanties, immunité disciplinaire par exemple, comme l’a fait Volkswagen dans le cadre de l’enquête relative à la fraude des tests antipollution. Dans d’autres cas, il faudra être en mesure d’enclencher la procédure disciplinaire dans le délai de prescription de deux mois des faits fautifs. Les outils de télécommunication (ordinateurs, smartphones, etc.) seront également analysés, pas nécessairement dans le respect du secret des correspondances…

Les règles européennes interdisent les transferts de données personnelles d’un État membre vers un État tiers, sauf si ces transferts présentent un niveau de protection adéquat. Ainsi, les sociétés françaises sont souvent contraintes de faire un arbitrage entre lois américaines et lois européennes/françaises. Le refus de transférer certaines données aux États-Unis les expose à de lourdes conséquences, le juge pouvant assimiler ce refus à un aveu de culpabilité. À l’inverse, le transfert de données peut contrevenir à de nombreuses règles d’ordre public françaises (secret bancaire, secret des correspondances, loi de blocage, etc.).

La Cour de justice de l’Union européenne (CJUE) a rendu une décision le 6 octobre 2015 par laquelle elle a invalidé le Safe Harbor, accord entre l’Union européenne (UE) et les États-Unis autorisant le transfert et le stockage de données personnelles depuis l’UE vers des entreprises américaines adhérentes. La CJUE considère en outre que, même en présence d’une décision d’adéquation de la Commission européenne, les autorités nationales de protection des données (la Cnil) doivent néanmoins pouvoir examiner si le transfert des données personnelles vers un pays tiers respecte ou non les exigences de la directive européenne.

Ainsi, dans l’attente d’une solution annoncée pour le début de l’année 2016 par le G29, il n’est désormais plus possible de réaliser un transfert de données personnelles sur la base du Safe Harbor. Si d’autres outils sont prévus par la législation européenne afin d’autoriser ces transferts (clauses contractuelles types, Binding Corporate Rules, etc.), ils n’offrent a priori pas non plus un niveau de protection adéquat.