Le point que personne n'aborde
Et le patrimoine personnel du dirigeant ?
Beaucoup de dirigeants pensent que la forme sociale les met à l'abri en toutes circonstances. C'est vrai en principe, et faux dans plusieurs situations précises qu'il vaut mieux connaître avant qu'après.
Entrepreneur individuel
Une protection récente, mais réelle
Depuis la loi n° 2022-172 du 14 février 2022, l'entrepreneur individuel dispose de plein droit de deux patrimoines séparés : un patrimoine professionnel et un patrimoine personnel. Les créanciers professionnels n'ont en principe pour gage que le patrimoine professionnel.
Cette séparation comporte des exceptions, notamment en cas de renonciation à la protection au profit d'un créancier — pratique courante avec les banques — ou de manœuvre frauduleuse. Vérifiez ce que vous avez signé lors de vos derniers financements.
SARL, EURL, SAS, SASU
Responsabilité limitée aux apports… en principe
L'associé d'une société à responsabilité limitée ou par actions simplifiée ne supporte les pertes qu'à concurrence de ses apports. C'est le principe, et il protège effectivement dans la grande majorité des cas.
Mais ce principe connaît des limites que la pratique rend fréquentes : la caution personnelle consentie à la banque, et la responsabilité pour insuffisance d'actif en cas de liquidation judiciaire.
Le cas le plus fréquent
La caution personnelle
Lorsqu'une petite société emprunte, la banque exige presque toujours la caution personnelle du dirigeant. Ce cautionnement est indépendant de la forme sociale : si la société ne peut plus rembourser parce qu'elle s'est effondrée après une attaque, la banque se retourne vers la caution, donc vers votre patrimoine personnel.
C'est, en pratique, le principal canal par lequel un sinistre d'entreprise atteint le patrimoine privé d'un dirigeant de TPE.
La responsabilité pour insuffisance d'actif
L'article L. 651-2 du code de commerce prévoit que, lorsqu'une liquidation judiciaire fait apparaître une insuffisance d'actif, le tribunal peut mettre tout ou partie de cette insuffisance à la charge des dirigeants ayant commis une faute de gestion ayant contribué à cette insuffisance.
Ce texte comporte une protection importante, introduite par la loi du 9 décembre 2016 : « en cas de simple négligence du dirigeant dans la gestion de la société, sa responsabilité au titre de l'insuffisance d'actif ne peut être engagée ». Autrement dit, une négligence simple ne suffit pas.
Où se situe la frontière, en matière de cybersécurité
À notre connaissance, la jurisprudence n'a pas encore fixé de doctrine établie sur le défaut de mesures de cybersécurité comme faute de gestion. La prudence commande néanmoins de distinguer deux situations très différentes :
- Le dirigeant qui ignorait le risque et n'avait rien mis en place, sans alerte préalable : on est vraisemblablement dans la négligence simple.
- Le dirigeant averti qui n'a rien fait : prestataire ayant signalé par écrit l'absence de sauvegarde, assureur ayant demandé des mesures, incident antérieur resté sans suite, obligation contractuelle non respectée. La qualification devient nettement plus discutable.
La conséquence pratique est contre-intuitive : un rapport de diagnostic qui pointe des faiblesses vous protège si vous agissez, et vous fragilise si vous le rangez dans un tiroir. Raison de plus pour traiter les recommandations plutôt que de les collectionner.
D'autres textes peuvent entrer en jeu selon les circonstances, notamment les articles L. 223-22 (gérants de SARL) et L. 225-251 (dirigeants de sociétés anonymes) du code de commerce, qui prévoient la responsabilité des dirigeants pour violation des lois et règlements, violation des statuts ou faute de gestion. Le RGPD étant un règlement d'application directe, son inobservation caractérisée entre dans le champ des violations de la réglementation.