Omissions et informations confidentielles selon les ESRS : préjudice commercial, secrets d’affaires et vie privée

Note sur le statut technique. L’architecture des omissions décrite ici figure dans la Directive (EU) 2026/470 et dans l’annexe révisée des ESRS adoptée en tant que C(2026) 5010 final le 3 July 2026. Le texte final du Journal officiel et le droit national applicable restent des vérifications obligatoires lors des mises à jour.

Note d’utilisation. Une préoccupation de confidentialité ne crée pas automatiquement une omission autorisée par les ESRS. L’entité déclarante devrait utiliser le traitement le moins restrictif qui protège l’intérêt légitime tout en répondant à l’objectif de l’information à fournir. Des avis juridiques, en matière de vie privée, de concurrence, de sécurité et d’assurance peuvent être nécessaires.

Lors de la préparation, les équipes placent souvent tout élément délicat dans une seule colonne « confidentiel ». Cette colonne peut contenir de véritables secrets d’affaires protégés, des noms de clients, des informations personnelles relatives à des réclamations, des prévisions non approuvées, des calculs incomplets et de mauvaises performances. Il ne s’agit pas du même problème et ces éléments n’appellent pas le même traitement dans les rapports.

Le premier contrôle est la classification. Il convient de déterminer si le problème concerne :

une préoccupation de préjudice commercial ;

un secret d’affaires répondant aux critères légaux ou un élément classifié ;

une restriction légale en matière de vie privée, de confidentialité ou de sécurité ;

une confidentialité contractuelle ordinaire pouvant être gérée au moyen d’une agrégation ou d’une caviardisation ; ou

des informations manquantes, incertaines ou non approuvées.

Seuls les trois premiers groupes peuvent justifier une omission autorisée au titre des catégories ESRS spécifiées, et chacun nécessite toujours le respect de conditions, l’indication de l’exemption et une réévaluation annuelle. La confidentialité ordinaire devrait normalement être traitée au moyen d’une présentation soigneuse. Les données manquantes sont régies par les dispositions relatives aux estimations et aux mesures d’allègement, et non par les règles d’omission.

Figure 1. Appliquer le traitement le moins restrictif qui préserve à la fois la protection légitime et l’objectif de l’information à fournir.

1. Information complète

Utiliser une information complète lorsque l’information est importante, qu’aucune restriction légale ne s’applique et que le désavantage potentiel relève d’une transparence ordinaire plutôt que d’un préjudice grave. Une mauvaise performance, un objectif manqué, un incident important ou une dépendance difficile n’est pas confidentiel simplement parce que la direction préférerait ne pas le mettre en évidence.

2. Agrégation

L’agrégation est généralement la première technique de protection. Elle peut regrouper les informations par zone géographique, ligne d’activité, catégorie de relation, période ou type de risque, de sorte que l’information à fournir reste utile sans révéler une contrepartie, un prix unitaire, une vulnérabilité d’installation ou une personne identifiable.

L’agrégation ne doit pas masquer les différences importantes. ESRS 1 exige que le niveau d’agrégation et de désagrégation reflète les variations significatives et évite de dissimuler des informations importantes. Un chiffre mondial qui masque un impact grave propre à un site peut ne pas répondre à l’objectif, même s’il protège le nom du site. La solution peut consister à fournir une information au niveau régional ou par catégorie, accompagnée d’une explication claire du contexte.

3. Caviardisation ou anonymisation

La caviardisation consiste à supprimer un élément protégé limité tout en conservant les informations environnantes. L’anonymisation est particulièrement pertinente pour les cas de réclamation, les données relatives au personnel, les communautés affectées et les consommateurs. Elle devrait empêcher la réidentification, y compris au moyen de combinaisons du lieu, de la fonction, de la date de l’incident et d’une population réduite.

Une information à fournir peut décrire la nature, la gravité, la réponse et le statut d’un incident sans identifier le plaignant, le fournisseur, la technologie ou le client. Le dossier probant peut rester plus détaillé sous accès contrôlé que dans le rapport public.

4. Omission autorisée

Le paragraphe 100 autorise l’omission pour les catégories définies. La catégorie relative au préjudice commercial est particulièrement exigeante. Elle n’est disponible que dans des cas exceptionnels où la communication causerait un préjudice grave à la position commerciale, où l’omission n’empêche pas une compréhension juste et équilibrée, et où l’entité déclarante a déterminé qu’il est impossible d’atteindre l’objectif de l’information à fournir par une autre présentation telle que l’agrégation.

Le traitement des secrets d’affaires dépend de la définition légale figurant dans la Directive (EU) 2016/943. Tout fait commercial confidentiel n’est pas un secret d’affaires. L’entité déclarante devrait disposer d’éléments probants établissant que l’information est secrète, qu’elle a une valeur commerciale parce qu’elle est secrète et qu’elle fait l’objet de mesures raisonnables destinées à la garder secrète.

Les informations classifiées et les autres restrictions légales, de confidentialité ou de sécurité nécessitent une base juridique documentée. L’équipe chargée des rapports ne devrait pas créer une catégorie informelle « sécurité » sans examen spécialisé.

5. Traitement des données manquantes

Les données indisponibles, incomplètes, non vérifiées ou non approuvées ne sont pas automatiquement omises au titre du paragraphe 100. L’entité déclarante devrait examiner les estimations, les indicateurs de substitution, le périmètre partiel, les mesures d’allègement quantitatives, les informations qualitatives, la correction d’erreurs ou les mises à jour postérieures à la période de reporting. L’explication publique devrait préciser la limitation et le plan d’amélioration plutôt que laisser entendre que la communication est légalement interdite.

Une omission fondée sur un préjudice commercial devrait satisfaire aux quatre tests :

Préjudice grave. Le préjudice probable est important et crédible, et non un simple inconfort concurrentiel ou un embarras ordinaire.

Compréhension juste et équilibrée. L’omission n’empêche pas les utilisateurs de comprendre l’évolution, la performance, la situation ou les risques et impacts importants de l’entité déclarante.

Absence de présentation moins restrictive. L’agrégation, les fourchettes, un niveau de granularité différé, une description par catégorie ou une autre présentation ne peuvent atteindre l’objectif de l’information à fournir sans causer le préjudice grave.

Indication de la donnée et réévaluation annuelle. L’entité déclarante indique que l’exemption a été utilisée pour chaque donnée omise et réévalue la situation à chaque date de clôture.

Les exemples pouvant nécessiter une analyse comprennent les projets sensibles d’acquisition ou de cession, les négociations, les technologies de transition exclusives, les sorties de produits non annoncées et les hypothèses commerciales importantes sur le plan financier. L’analyse devrait distinguer les informations déjà reflétées dans les montants financiers comptabilisés des détails stratégiques dont la communication prématurée crée un préjudice spécifique.

La disposition révisée relative aux omissions couvre les informations correspondant au capital intellectuel, à la propriété intellectuelle, au savoir-faire, aux informations technologiques ou aux résultats d'innovation qui sont qualifiées de secret d'affaires. Un dossier juridique utile comprend :

description des informations et de leur propriétaire ;

raisons pour lesquelles elles ne sont pas généralement connues ou facilement accessibles ;

valeur commerciale découlant du secret ;

contrôles d'accès, accords de confidentialité, protections techniques et autres mesures raisonnables ;

point de données précis et objectif de publication concernés ;

présentation alternative envisagée ;

date d'approbation et de réévaluation.

L'exemption ne devrait pas être utilisée pour supprimer toutes les informations relatives à un plan de transition, à l'impact d'un produit ou à un programme d'innovation. L'entreprise déclarante peut souvent publier l'objectif, la gouvernance, les ressources, l'effet attendu, la dépendance et l'incertitude sans exposer la formule protégée ou la conception technique.

Les restrictions relatives à la vie privée sont particulièrement importantes lorsque le rapport public pourrait identifier une personne physique au moyen de petits groupes ou de détails relatifs à des incidents. Les principes de protection des données soutiennent la minimisation et l'anonymisation, mais ils ne justifient pas automatiquement l'omission de toutes les informations relatives à la main-d'œuvre ou aux réclamations. La publication destinée au public devrait être conçue autour du besoin d'information : prévalence, nature, gravité, accès à des voies de recours, mesures correctives et tendance.

La sécurité peut concerner les personnes, les installations, les infrastructures critiques, les capacités de défense, les vulnérabilités informatiques et la sécurité commerciale des personnes morales. Le dossier devrait identifier le fondement juridique ou sécuritaire applicable et éviter de révéler les détails sensibles dans l'explication publique de l'exemption.

Le classeur Excel joint contient un REGISTRE DES OMISSIONS. Un dossier complet devrait comprendre :

Figure 2. Différents problèmes d'information nécessitent des explications publiques et des contrôles des éléments probants différents.

Contexte. Horizon Mobility prépare des informations relatives au climat, aux effectifs et aux consommateurs. Quatre questions sont classées comme « confidentielles ».

Question A — projet non annoncé de conversion d’une usine

Le plan de transition comprend la conversion d’une installation faisant l’objet de négociations commerciales actives. La divulgation du site, du calendrier et du prix contractuel pourrait compromettre la négociation. Horizon teste une agrégation régionale, une fourchette de dépenses d’investissement et une description narrative. Elle conclut qu’une description régionale et une fourchette répondent à l’objectif d’information sans préjudice sérieux. Traitement : agrégation, et non omission.

Question B — chimie de batterie exclusive

Une action climatique dépend d’une nouvelle chimie protégée par un savoir-faire contrôlé. La formule exacte constitue un secret d’affaires. Horizon communique l’action, la gouvernance, l’effet attendu sur la production, la dépendance à l’égard des capitaux et l’incertitude, mais omet la formule. Elle indique que l’exemption relative au secret d’affaires a été utilisée pour l’information technique concernée. Traitement : omission autorisée du détail protégé.

Question C — enquête pour harcèlement dans une équipe de cinq personnes

La publication du lieu, du rôle, de la date et du résultat rendrait le plaignant identifiable. Horizon agrège l’incident avec une population plus large et décrit l’enquête, le recours et l’amélioration des contrôles. Les détails sous-jacents restent dans un dossier de preuves à accès restreint. Traitement : anonymisation et agrégation.

Question D — données manquantes relatives à un incident impliquant un fournisseur

L’entité dispose d’informations incomplètes provenant de fournisseurs indirects. Il n’existe aucune restriction de confidentialité ou restriction juridique. Horizon utilise une estimation fondée sur les risques, explique la couverture et l’incertitude, et établit un plan d’amélioration. Traitement : estimation et information relative à une lacune de données, et non omission.

Ce cas montre pourquoi une seule étiquette de confidentialité est inadéquate. Trois questions sont présentées au moyen d’une présentation différente ; seul le détail technique protégé fait l’objet de l’exemption relative à l’omission.

Pourquoi cela fonctionne. Elle identifie l’exemption, en limite la portée, préserve les informations environnantes utiles à la prise de décision, consigne les solutions alternatives et la gouvernance, et prévoit une réévaluation annuelle.

Ce qui doit être adapté. La qualification juridique, l’information exacte, les méthodes alternatives, l’approbateur et les informations restantes communiquées doivent correspondre aux faits propres à l’entité.

Étape 1. Identifier l’information exacte et l’objectif de l’information

Ne pas examiner une section entière de manière abstraite. Marquer le texte précis, le chiffre, l’hypothèse ou l’élément probant dont la divulgation est contestée.

Étape 2. Classer la question

Utiliser la taxonomie des cinq traitements. Si la question concerne une confidentialité ordinaire ou des données manquantes, la transmettre aux contrôles relatifs à l’agrégation/à la rédaction ou à l’estimation plutôt qu’au registre des omissions.

Étape 3. Tester les solutions moins restrictives

Préparer au moins une information alternative : formulation au niveau de la catégorie, fourchette, quantité non monétaire, niveau de détail différé, cas anonymisé, renvoi ou rédaction partielle. Évaluer si elle permet toujours de parvenir à une compréhension fidèle et équilibrée.

Étape 4. Obtenir un examen spécialisé

Un préjudice commercial nécessite des éléments probants commerciaux et juridiques. Les revendications relatives au secret d’affaires nécessitent une qualification juridique. Les questions de vie privée et de sécurité nécessitent l’intervention des spécialistes concernés. Les responsables de l’information ne devraient pas prendre seuls ces décisions.

Étape 5. Approuver au niveau de la gouvernance

Les omissions significatives doivent être portées à l’attention du comité chargé des informations et, lorsqu’elles sont importantes pour l’approbation de l’état relatif à la durabilité, de l’organe de direction ou de surveillance concerné. Le procès-verbal de l’approbation devrait préciser ce qui reste communiqué.

Étape 6. Contrôler l’avis public et les informations connexes

S’assurer que l’avis relatif à l’information est inclus. Vérifier que les renvois, les cibles, les effets financiers, les descriptions des risques et la déclaration de conformité ne contredisent pas l’omission.

Étape 7. Réévaluer chaque année et en cas d’événements déclencheurs

Réévaluer si les négociations prennent fin, si l’information devient publique, si la qualification juridique change, si un risque de sécurité est résolu, si une population devient suffisamment importante pour permettre une agrégation sûre ou si de nouvelles orientations en matière d’information sont publiées.

Les noms des clients ou des fournisseurs peuvent-ils être omis ?

Souvent, des informations utiles peuvent être fournies au niveau de la catégorie, de la zone géographique ou de la concentration, sans mentionner les noms. La question de savoir si un nom doit ou peut être occulté dépend de l’importance relative, des restrictions contractuelles et légales, du préjudice commercial et de l’objectif de l’information à fournir. La suppression d’un nom ne justifie pas la suppression de l’impact ou du risque sous-jacent.

Un NDA suffit-il pour utiliser l’exemption d’omission des ESRS ?

Pas automatiquement. Un NDA peut constituer un élément probant pertinent de la confidentialité, mais l’entité déclarante a toujours besoin d’une catégorie visée au paragraphe 100 et de ses conditions, ou devrait utiliser une agrégation ou une occultation qui répond à l’objectif de l’information à fournir.

Les effets financiers anticipés peuvent-ils être omis pour cause de préjudice commercial ?

Le guide d’application des ESRS précise que les dispositions relatives à l’omission s’appliquent aux effets financiers anticipés. L’entité déclarante doit néanmoins satisfaire aux conditions pertinentes relatives à l’omission et préserver les informations connexes utiles à la prise de décision.

Comment l’utilisation d’une exemption doit-elle être indiquée sans révéler le secret ?

Indiquez que l’exemption a été utilisée pour le point de données concerné et, lorsque cela ne présente pas de risque, identifiez la catégorie et le champ d’application. Ne décrivez pas les informations protégées avec une précision telle que l’avis prive la protection de son effet.

« Non approuvé par le conseil d’administration » constitue-t-il un motif d’omission ?

Non. Le statut de projet peut influer sur le fait que les informations sont fiables ou constituent un plan, mais il ne constitue pas en soi une exemption de confidentialité. L’entité déclarante devrait évaluer l’importance relative, le caractère estimatif, la gouvernance et l’obligation d’information applicable.