Un NDA offshore ne se résume pas à un modèle téléchargé puis signé. Pour un cabinet d’expertise comptable ou d’audit qui confie des travaux à une équipe basée au Maroc, il faut au minimum : une définition précise des informations couvertes, une durée proportionnée, des engagements individuels, un contrôle de la sous-traitance en cascade et, dès qu’il y a des données personnelles, des clauses contractuelles types du RGPD en complément. Voici comment nous articulons ces briques, et ce que vous devez exiger de tout partenaire.
TL;DR
- Le NDA protège le secret des affaires et des échanges commerciaux. Il ne remplace pas les clauses contractuelles types (CCT) exigées pour transférer des données personnelles hors de l’UE.
- La durée de l’obligation doit être écrite, liée à la nature des informations et à la finalité de la mission.
- Faites signer un engagement de confidentialité à chaque collaborateur, pas seulement à la société prestataire.
- Interdisez toute sous-traitance ultérieure sans autorisation écrite préalable.
- Une mention « confidentiel » ne bloque pas toujours une mesure judiciaire : prévoyez séquestre et traçabilité des accès.
Table des matières
- Pourquoi le NDA seul ne suffit pas à l’offshore
- Les clauses à examiner une à une
- Le tableau de synthèse
- Ce que le droit français permet, et ne permet pas
- Notre point de vue : la confidentialité se prouve dans l’organisation
- Checklist avant de signer
- Une équipe satellite pensée pour la confidentialité
- FAQ
- Sources
Pourquoi le NDA seul ne suffit pas à l’offshore
Beaucoup de dirigeants pensent qu’un accord de non-divulgation classique règle la question. Or deux régimes distincts s’appliquent.
Le premier est contractuel : le NDA protège vos informations stratégiques, vos méthodes, vos fichiers clients et vos échanges commerciaux. Le second est réglementaire : dès que des données personnelles (celles des clients de vos clients, des salariés de ceux-ci, des dirigeants dont vous tenez la comptabilité) sont accessibles depuis un pays tiers, le RGPD impose des garanties spécifiques. Le chapitre V du RGPD prévoit qu’un transfert repose soit sur une décision d’adéquation (article 45), soit sur des garanties appropriées (article 46).
Pour un transfert vers un pays sans décision d’adéquation, ces garanties passent le plus souvent par les clauses contractuelles types adoptées par la Commission européenne. Le texte de référence est la décision d’exécution (UE) 2021/914 du 4 juin 2021. Les anciennes versions de 2001 et 2004 ne sont plus valables depuis le 27 décembre 2022 : si votre contrat offshore date d’avant, vérifiez-le.
La conclusion pratique est simple : NDA et CCT ont des finalités différentes mais complémentaires. Un cabinet doit exiger les deux. Nous détaillons le volet RGPD dans notre article sur ce que le RGPD impose vraiment pour les données offshore.
Les clauses à examiner une à une
1. La définition des informations confidentielles
Évitez la formule « toute information communiquée ». Listez les catégories : dossiers de clients, balances, liasses, rapports de mission, méthodologies d’audit, tarifs, identifiants d’accès. Précisez les exclusions classiques (information déjà publique, déjà connue légitimement du destinataire). Une définition trop vague est difficile à faire respecter, une définition trop large est fragile.
2. La finalité et l’usage limité
L’information ne doit servir qu’à l’objet défini au contrat : les travaux de production confiés. Interdisez la copie hors des outils fournis, le stockage local et tout usage pour d’autres clients.
3. La durée et la survie de l’obligation
La durée est librement fixée par les parties, mais elle doit rester proportionnée. La jurisprudence, par exemple la cour d’appel de Versailles le 7 mai 1998, indique que l’obligation ne survit pas nécessairement sans limite après l’exécution de la prestation si elle n’a plus d’objet. Écrivez donc noir sur blanc si l’obligation survit à la fin du contrat et pour combien de temps. Pour des dossiers comptables ou d’audit, une survie de plusieurs années après la fin de la mission se justifie par la nature des informations ; pour des données personnelles, elle doit s’aligner sur vos propres obligations.
4. L’engagement individuel de chaque collaborateur
C’est le point le plus souvent oublié. Les CCT exigent que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité. En pratique, une signature globale de la société prestataire ne vaut pas engagement de chaque personne qui ouvre vos fichiers. Chaque membre de l’équipe doit signer le sien, avec rappel des sanctions.
5. L’interdiction de sous-traitance en cascade
Un prestataire offshore peut déléguer lui-même une partie des tâches. Le contrat doit interdire toute sous-traitance ultérieure sans autorisation écrite préalable, faute de quoi vous perdez la maîtrise de la chaîne. Le cabinet, responsable de traitement, doit garder un contrôle actif : c’est la logique de la décision 2021/914.
6. La clause pénale
Sans montant fixé à l’avance, il faut prouver un préjudice réel devant un juge, ce qui prend du temps. Une clause pénale chiffrée de façon raisonnable accélère et dissuade. Elle doit rester proportionnée pour ne pas être réduite par le juge.
7. Restitution, destruction et audit
Prévoyez la restitution ou la destruction certifiée des données en fin de mission, un droit d’audit, la notification rapide de toute violation et la journalisation des accès.
Le tableau de synthèse
| Clause | Ce qu’elle protège | Point de vigilance |
|---|---|---|
| Définition des informations | Périmètre du secret | Ni trop vague, ni exhaustive à l’excès |
| Finalité | Usage limité à la mission | Interdire stockage local et réutilisation |
| Durée et survie | Protection après la mission | Proportionnée, écrite |
| Engagements individuels | Chaque collaborateur lié | Un document par personne |
| Sous-traitance ultérieure | Maîtrise de la chaîne | Autorisation écrite préalable |
| CCT (RGPD) | Données personnelles transférées | Version 2021 uniquement |
| Séquestre et litige | Documents sensibles | Procédure prévue d’avance |
Ce que le droit français permet, et ne permet pas
Le secret n’est pas une immunité. La Cour de cassation a jugé que le secret des affaires ne fait pas en soi obstacle à l’article 145 du Code de procédure civile (chambre commerciale, 10 février 2015). Une mesure d’instruction peut donc être ordonnée, sous contrôle du juge, avec par exemple une mise sous séquestre par huissier, comme l’illustre l’arrêt de la première chambre civile du 3 novembre 2016.
Cela change votre rédaction : au lieu de compter sur une simple étiquette, documentez les accès, limitez la diffusion au strict nécessaire et prévoyez une procédure de protection en cas de litige.
Sur le volet pénal, la révélation d’un secret de fabrication par un directeur ou un salarié est punie, selon l’article L. 1227-1 du Code du travail, de deux ans d’emprisonnement et de 30 000 euros d’amende. Cette disposition vise les secrets de fabrication, pas tous les secrets d’un cabinet : elle souligne surtout l’intérêt d’engagements individuels clairs dans les contrats de travail ou de sous-traitance. Pour approfondir la rédaction, consultez notre guide sur les conditions de validité des clauses de confidentialité.
Notre point de vue : la confidentialité se prouve dans l’organisation
Nous le constatons auprès des dirigeants de cabinets : la question n’est pas de savoir si le NDA existe, mais si la confidentialité est opérationnelle. Un papier parfait, signé par une structure qui ne maîtrise ni ses collaborateurs ni ses sous-traitants, ne protège rien.
C’est la raison d’être de notre modèle Employer of Record. Chaque membre de votre équipe satellite au Maroc est employé en CDI, ce qui rend l’engagement individuel naturel et la stabilité des équipes réelle : moins de rotation, donc moins de personnes différentes ayant vu vos dossiers. Vous conservez le contrôle opérationnel et la supervision directe, tandis que nous assurons la gestion juridique, sociale et administrative, dans un cadre encadré par un cabinet d’expertise comptable, sensible à la déontologie de vos métiers.
Notre conseil à un associé : traitez le NDA comme une pièce d’un dispositif. Ajoutez les CCT, les engagements individuels, la maîtrise des accès et une vraie procédure de fin de mission. Notre analyse du modèle est détaillée dans RGPD et sous-traitance au Maroc.
— SENHADJI
Checklist avant de signer
- Vérifiez que les CCT en vigueur (2021) sont annexées dès qu’il y a des données personnelles.
- Demandez la liste nominative des collaborateurs ayant accès à vos dossiers et leurs engagements signés.
- Faites écrire l’interdiction de sous-traitance ultérieure sans accord écrit.
- Fixez la durée de survie et la clause pénale.
- Prévoyez la restitution ou destruction des données et un droit d’audit.
- Documentez les accès et limitez-les aux besoins de chaque mission.
Avant d’externaliser, notre article sur les risques d’externalisation à anticiper complète utilement cette liste.
Une équipe satellite pensée pour la confidentialité
Si vous cherchez à renforcer votre production sans fragiliser la confidentialité de vos dossiers, nos offres FrancoExperts (expertise réglementée en finance et audit) et FrancoAdmin (back-office structuré) s’appuient sur des collaborateurs en CDI, supervisés par vos équipes. Pour cadrer votre contrat, parlons-en directement.
FAQ
Un NDA suffit-il pour travailler avec une équipe au Maroc ?
Non, dès lors que des données personnelles sont accessibles depuis le Maroc. Le NDA protège la confidentialité des informations ; le RGPD impose en plus des garanties de transfert, généralement les CCT de la Commission européenne. Les deux sont complémentaires.
Quelle est la durée d’un accord de confidentialité ?
Il n’existe pas de durée légale unique : les parties la fixent librement, en restant proportionnées. Elle doit tenir compte de la nature des informations et de la finalité de la mission. Précisez dans le contrat si l’obligation survit à la fin de la relation.
Qui doit signer le NDA ?
La société cliente et la société prestataire, mais aussi, en pratique de qualité, chaque collaborateur qui accède aux informations. Un engagement individuel rend la responsabilité de chacun explicite.
Un NDA protège-t-il contre une procédure judiciaire ?
Pas totalement. Le secret des affaires n’empêche pas une mesure d’instruction ordonnée par un juge, qui peut toutefois être encadrée, par exemple par un séquestre. Prévoyez cette hypothèse dans vos clauses et, pour votre situation, consultez un avocat.
Sources
- CNIL, RGPD chapitre V : transferts vers des pays tiers
- CNIL, définition des clauses contractuelles types
- EUR-Lex, décision d’exécution (UE) 2021/914
- CNIL, fin de validité des anciennes CCT
- Cour d’appel de Versailles, 7 mai 1998
- Cour de cassation, chambre commerciale, 10 février 2015
- Cour de cassation, première chambre civile, 3 novembre 2016
- Légifrance, article L. 1227-1 du Code du travail
