puis-je conclure un accord de confidentialité et néanmoins respecter le passeport
Oui, la confidentialité et le passeport ne s'excluent pas mutuellement
Une clause de confidentialité (NDA) avec un fournisseur ou un client peut coexister avec les obligations du passeport numérique de produit. L'ESPR oblige à mettre à disposition certaines données de produit via le passeport, mais ne dit rien sur la façon dont les parties conviennent entre elles de qui peut utiliser, partager ou revendre quelles informations en dehors de ce passeport. Un NDA régit la relation entre deux parties ; le passeport régit ce qui devient visible vers le marché, l'autorité de surveillance et le maillon suivant de la chaîne. Ce sont deux niveaux différents, et ils peuvent tout à fait coexister tant que l'NDA n'est pas utilisé pour soustraire les données de passeport obligatoires elles-mêmes.
Ce qu'un NDA peut et ne peut pas protéger
Un NDA peut fixer des accords sur des éléments qui ne font pas partie du contenu obligatoire du passeport : accords de prix, procédés de production, relations avec les fournisseurs, données de qualité interne ou conditions commerciales. Ce qu'un NDA ne peut pas faire, c'est soustraire à cette obligation les données que l'article 10 de l'ESPR (Règlement (UE) 2024/1781) désigne comme information obligatoire pour le passeport de produit. Une fois qu'un acte délégué pour l'acier fixe quelles données doivent figurer dans le passeport — pensez à l'origine, à la composition ou aux informations de conformité — cette obligation s'applique indépendamment de ce qui figure dans un contrat de confidentialité entre deux partenaires commerciaux. Un NDA s'applique entre les parties qui le signent ; l'obligation de passeport s'applique vers la chaîne et l'autorité de surveillance, et ces deux éléments ne fonctionnent pas automatiquement en parallèle.
Cette distinction est particulièrement pertinente lors de la rédaction de contrats d'achat. Celui qui fixe des accords dans le contrat d'achat sur la fourniture de données de passeport ferait bien de séparer ces accords d'un éventuel NDA concernant d'autres informations commerciales. Un fournisseur qui refuse de fournir les données obligatoires pour le passeport en invoquant une clause de confidentialité confond deux obligations différentes — il s'agit d'une situation décrite séparément dans ce qu'il faut faire si un fournisseur ne livre pas les données.
Pas encore de date fixe, mais un ordre fixe
Aucun acte délégué n'a encore été publié fixant précisément quelles données doivent obligatoirement figurer dans le passeport pour l'acier et le fer. Sans cet acte, il n'est pas possible de dire avec certitude où se situe exactement la limite entre ce qui doit être obligatoirement public ou disponible à l'échelle de la chaîne, et ce qui peut rester protégé par un NDA. Ce qui est établi, c'est que l'ESPR elle-même fixe déjà le cadre à l'article 10 pour ce que doit contenir un passeport de produit, et à l'article 38 les obligations pour les acteurs de la chaîne d'approvisionnement de transmettre les informations pertinentes. Jusqu'à la publication de l'acte délégué, il existe donc un cadre général mais pas de liste de données spécifique au secteur pour l'acier. Dès que cet acte sera publié, la date et le contenu précis figureront ici.
Comment aborder cela dans la pratique
Celui qui envisage dès maintenant un accord de confidentialité aux côtés des obligations relatives au passeport ferait bien de déterminer d'abord quelles données feront partie du contenu obligatoire du passeport à l'avenir — cela deviendra clair dès la publication de l'acte délégué, mais la systématique de l'article 10 donne déjà une indication des catégories (origine, composition, conformité). Il est ensuite utile de formuler l'accord de confidentialité de manière à ce qu'il n'ait expressément pas trait aux données qui doivent légalement figurer dans le passeport; cela évite les discussions ultérieures sur l'accord auquel s'applique telle ou telle information. Ensuite, il est pratique de préciser qui, au sein de sa propre organisation ou chez le fournisseur, est responsable de la séparation des « données du passeport » et des « données commerciales confidentielles » — il peut s'agir de la même personne, mais c'est une autre considération. Pour celui qui importe de l'acier de pays tiers à l'UE, une question supplémentaire se pose: les obligations des importateurs découlent de l'article 29 de l'ESPR, et cette obligation est indépendante de tout accord de confidentialité avec le fournisseur étranger — plus de détails à ce sujet figurent à ce que le passeport de produit signifie lors de l'importation de l'extérieur de l'Union européenne. Enfin, il est judicieux de réfléchir d'avance, lors de la compilation du passeport à partir de plusieurs sources, à la manière dont cela s'harmonise avec d'éventuels accords de confidentialité par fournisseur, point qui est développé plus loin à la combinaison des données de plusieurs fournisseurs.
La base juridique: articles 10, 38 et 29 de l'ESPR
L'article 10 de l'ESPR (Règlement (UE) 2024/1781) établit quelles catégories d'informations un passeport numérique doit en principe pouvoir contenir et fixe ainsi le minimum de ce qui ne peut être soustrait à la confidentialité contractuelle. L'article 38 régit les obligations des acteurs de la chaîne d'approvisionnement de mettre les informations pertinentes à disposition de l'acteur suivant, ce qui signifie qu'un accord de confidentialité entre deux acteurs ne peut pas écarter l'obligation de transmission. L'article 29 fixe spécifiquement pour les importateurs des obligations relatives aux informations sur les produits qu'ils doivent être en mesure de démontrer, indépendamment des accords qu'ils ont conclus avec leur fournisseur étranger sur la confidentialité d'autres données commerciales. Ensemble, ces articles stipulent qu'un accord de confidentialité peut être un complément à la relation commerciale, mais ne peut pas remplacer l'obligation du passeport.
Celui qui rédige ou révise actuellement un accord de confidentialité en vue de la future obligation de passeport ferait mieux de structurer le texte de manière à ce qu'il laisse intacte l'obligation légale de communication d'informations et se limite aux informations commerciales qui sortent de ce cadre — et à vérifier la délimitation définitive dès la publication de l'acte délégué pour l'acier.
Sur quoi cela s'appuie
- Règlement (UE) 2024/1781 (ESPR), article 10 (exigences relatives au passeport numérique de produit)
- Règlement (UE) 2024/1781 (ESPR), article 38 (exigences applicables aux acteurs de la chaîne d'approvisionnement)
- Règlement (UE) 2024/1781 (ESPR), article 29 (obligations des importateurs)
Le règlement lui-même figure sur EUR-Lex. Nous renvoyons à chaque affirmation ; vous n'avez pas besoin de nous croire sur parole.
Ce que vous devez concrètement faire
Ce qu'on attend de vous
Une clause de confidentialité avec un fournisseur ou un client n'est en soi pas un problème. La question qui compte n'est pas s'il existe un accord de confidentialité, mais si les données prescrites comme obligatoires par le passeport restent disponibles pour le passeport malgré cet accord. Ce sont deux questions distinctes: ce que vous convenez mutuellement sur la confidentialité, et ce qui doit finalement figurer dans le passeport selon l'article 10 de l'ESPR (Règlement (UE) 2024/1781).
Le contenu du passeport n'est pas à débattre
L'article 10 de l'ESPR décrit les informations sur les produits que doit contenir un passeport numérique. Les données exactes requises pour le fer et l'acier découlent de l'acte délégué pour ce groupe de produits — voir aussi ce qu'est un acte délégué et pourquoi il détermine ce que vous devez faire. Un accord de confidentialité ne peut pas faire en sorte qu'une donnée obligatoire disparaisse du passeport. Pour une entreprise de 10 à 100 salariés, cela signifie concrètement: une clause de confidentialité peut limiter la manière dont les données sont partagées et utilisées, mais non la question de savoir si la donnée figure dans le passeport.
Les acteurs de la chaîne doivent transmettre les données
L'article 38 du ESPR décrit les obligations pour les acteurs de la chaîne d'approvisionnement concernant la mise à disposition des informations sur les produits. Pour un transformateur de métaux ou un négociant en acier qui achète et revend des demi-produits, cela signifie que son rôle dans la chaîne exige de recevoir les données du prédécesseur et, le cas échéant, de les transmettre à la partie suivante. Un accord de confidentialité avec un fournisseur ne change rien à cette obligation ; il règle au mieux comment les documents sources sous-jacents sont traités de manière confidentielle. Les données exactes dont vous avez besoin auprès d'un fournisseur sont décrites dans les données que vous devez demander à votre fournisseur d'acier.
Les importateurs ont leur propre responsabilité
Quiconque importe de l'acier de l'extérieur de l'UE relève de l'article 29 du ESPR, qui décrit les obligations pour les importateurs. Cette obligation est indépendante de tout accord de confidentialité éventuel avec le fabricant non-UE. Un importateur qui invoque un accord de confidentialité avec un fournisseur non-UE pour ne pas partager les données ne change rien à sa propre obligation en tant qu'importateur. Plus d'informations sur cette situation sont disponibles dans ce que le passeport de produit signifie lors de l'importation de l'extérieur de l'Union européenne.
Où cela tourne mal en pratique
L'accord de confidentialité est utilisé comme raison pour ne rien partager. Un fournisseur se réfère à une clause de confidentialité et ne fournit ensuite aucune donnée, pas même les données nécessaires au passeport. La clause avait pour but de protéger, par exemple, une formule ou des accords de prix, non pas de retenir les données du passeport — mais dans la pratique, elle est utilisée de cette manière.
Les données confidentielles et obligatoires ne sont pas distinguées. Une entreprise de production inclut dans un seul accord de confidentialité toutes les informations techniques en tant que « confidentielles », sans faire de distinction entre les données sensibles concurrentiellement et les données qui doivent simplement figurer dans le passeport. Dans une discussion ultérieure, il n'est plus possible de retracer quelle donnée a été retenue pour quelle raison.
Un accord de confidentialité est établi après coup, après un différend. Un négociant et un fournisseur sont en désaccord sur le partage des données, et ce n'est qu'alors qu'une clause de confidentialité est invoquée comme argument pour ne rien livrer. Sans que soit établi au préalable ce qui est couvert ou non par l'accord de confidentialité, cela crée une position difficile pour les deux parties.
Le traitement ultérieur modifie le flux de données, mais pas l'accord de confidentialité. Une entreprise de construction transforme l'acier en un autre produit et doit transmettre à ce titre les données du fournisseur initial à l'acteur suivant de la chaîne. Si l'accord de confidentialité avec ce fournisseur ne prévoit pas ce type de transmission, une incertitude apparaît sur ce qui peut ou ne peut pas être transmis. Pour cette situation, voir qu'advient-il du passeport si l'acier est transformé en un autre produit.
Données de plusieurs fournisseurs en vertu d'accords de confidentialité différents. Un transformateur combine des matériaux de plusieurs fournisseurs, chacun avec son propre accord de confidentialité assorti de conditions spécifiques. Lors de la compilation d'un seul passeport, une incertitude apparaît concernant les données de quel fournisseur peuvent être incluses dans quelles conditions. Cette situation est abordée dans comment vous combinez les données de différents fournisseurs dans un seul passeport.
Ce que vous pouvez documenter
- Une exception dans l'accord de confidentialité pour les données légalement obligatoires dans le passeport, afin que l'accord de confidentialité ne heurte pas accidentellement l'obligation du passeport.
- Une liste de données qui restent confidentielles en vertu de l'accord de confidentialité, séparée d'une liste de données destinées au passeport et qui peuvent donc être partagées avec les parties qui en ont besoin.
- Des accords sur qui peut consulter, modifier ou transmettre les données du passeport, même si les documents sources sous-jacents (tels que les rapports de test ou les données de composition) restent confidentiels.
- Une disposition concernant la transmission dans la chaîne, de sorte que le transformateur ou le destinataire suivant reçoive les données nécessaires sans que cela soit considéré comme une violation de l'accord de confidentialité.
- L'inscription de ces accords dans le contrat d'achat lui-même, plutôt que dans un document d'accord de confidentialité séparé — voir la manière dont vous consignez la fourniture des données de passeport dans votre contrat d'achat pour une structure qui combine les deux éléments.
- Un point de contrôle où il est vérifié si les données reçues correspondent effectivement à ce qui est nécessaire, indépendamment des accords de confidentialité — plus de détails à ce sujet dans comment vous vérifiez si les données de votre fournisseur sont correctes.
Ce n'est pas un avis juridique. Cette page fournit des informations générales sur la réglementation qui s'applique à cette plateforme. Nous ne connaissons pas votre situation. En cas de doute sur votre cas particulier, consultez un avocat ou l'autorité de contrôle compétente.
Rédigé avec l'IA sur la base des sources ci-dessus, contrôlé par un humain le 2026-09-05. Y a-t-il quelque chose qui ne va pas ? Faites-le-nous savoir — les corrections sont prioritaires.