Devoir de vigilance : plan, seuils et RGPD en 2026

Le 25 juin 2026, le tribunal judiciaire de Paris a enjoint à TotalEnergies de compléter son plan de vigilance sous six mois, avec exécution provisoire, au motif qu’il excluait ses émissions de gaz à effet de serre de scope 3. C’est la première fois qu’une grande entreprise française se voit ordonner de réécrire son plan par un juge. Et pendant que le contentieux français s’installe, le droit européen du devoir de vigilance vient d’être profondément réécrit par l’Omnibus.

Voici où en est réellement le devoir de vigilance à l’été 2026 — et ce que la fonction conformité doit en retenir, y compris sur le terrain des données personnelles.

Devoir de vigilance : de quoi parle-t-on ?

Le devoir de vigilance est né en France de la loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre. Elle est la réponse législative directe à l’effondrement du Rana Plaza au Bangladesh en avril 2013, qui a fait 1 138 morts dans des ateliers textiles travaillant pour des marques européennes.

Le mécanisme tient en une phrase : certaines très grandes sociétés doivent établir, publier et mettre en œuvre de manière effective un plan destiné à identifier les risques et à prévenir les atteintes graves aux droits humains, aux libertés fondamentales, à la santé et à la sécurité des personnes, ainsi qu’à l’environnement — non seulement pour leur propre activité, mais aussi pour celle de leurs filiales, sous-traitants et fournisseurs avec lesquels elles entretiennent une relation commerciale établie.

Un point souvent négligé : le législateur a inséré cette obligation à l’article L. 225-102-4 du code de commerce, dans la section consacrée aux assemblées d’actionnaires. Le devoir de vigilance est donc d’abord, techniquement, une obligation d’information des actionnaires. Cette localisation explique une bonne partie de la manière dont les juges l’interprètent aujourd’hui.

Qui est concerné en droit français

L’article L. 225-102-4 vise deux hypothèses de seuil, appréciées à la clôture de deux exercices consécutifs :

• au moins 5 000 salariés dans la société et ses filiales directes ou indirectes dont le siège social est en France ;
• au moins 10 000 salariés dans la société et ses filiales directes ou indirectes, que leur siège soit en France ou à l’étranger.

Les filiales qui franchissent elles-mêmes ces seuils sont réputées satisfaire à l’obligation dès lors que la société qui les contrôle, au sens de l’article L. 233-3 du code de commerce, établit un plan couvrant l’ensemble du périmètre. En pratique, seules quelques centaines de groupes français sont directement assujettis — mais leurs fournisseurs, eux, se comptent en dizaines de milliers.

Les cinq mesures obligatoires du plan de vigilance

Le plan doit comporter a minima :

1. Une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation ;
2. Des procédures d’évaluation régulière de la situation des filiales, sous-traitants et fournisseurs au regard de cette cartographie ;
3. Des actions adaptées d’atténuation des risques ou de prévention des atteintes graves ;
4. Un mécanisme d’alerte et de recueil des signalements, établi en concertation avec les organisations syndicales représentatives ;
5. Un dispositif de suivi des mesures mises en œuvre et d’évaluation de leur efficacité.

Le plan et le compte rendu de sa mise en œuvre sont inclus dans le rapport de gestion et rendus publics.

Ce que le jugement TotalEnergies change concrètement

Le jugement du 25 juin 2026 (TJ Paris, 34e chambre, Notre Affaire à Tous, Sherpa, Zéa et France Nature Environnement c/ TotalEnergies SE) est la décision la plus substantielle rendue à ce jour sur la loi de 2017. Trois enseignements méritent d’être retenus.

Premier enseignement : le climat entre dans le champ de la vigilance. Le tribunal juge que le terme « environnement », « selon l’intention du législateur, doit être interprété dans son acceptation la plus large, qui inclut le changement climatique causé par le rejet des émissions de GES dans l’atmosphère ». Il ajoute — et l’argument est habile — que les risques climatiques constituent aussi une menace pour la jouissance des droits humains, ce qui les fait entrer dans le plan par une seconde porte. Le tribunal s’appuie explicitement sur l’arrêt Verein KlimaSeniorinnen Schweiz c. Suisse de la Cour européenne des droits de l’homme (Grande Chambre, 9 avril 2024, req. n° 53600/20) et sur l’avis consultatif de la Cour internationale de justice du 23 juillet 2025.

Deuxième enseignement : la cartographie doit couvrir le scope 3. TotalEnergies traitait ses émissions de scope 1 et 2 dans son plan de vigilance et renvoyait le scope 3 à ses informations déclaratives de durabilité. Le tribunal refuse cette séparation : les émissions de scope 3, « dont le lien de cause à effet avec la production d’énergies est établi et sur lequel TotalEnergies SE est en mesure d’exercer une influence », font partie des incidences négatives résultant de l’activité du groupe. L’injonction porte donc sur la cartographie des risques, pas sur les objectifs de réduction.

Troisième enseignement — le plus important pour les directions juridiques : le contrôle du juge est formel, pas substantiel. Le tribunal pose une limite nette : la loi de 2017 « ne saurait conduire le juge à se substituer à la société pour exiger d’elle l’instauration de mesures précises et détaillées ». Et il en tire la conséquence : « il n’appartient pas au tribunal de fixer à TotalEnergies SE la cible à atteindre pour prévenir ou atténuer les incidences négatives climatiques résultant de son activité ». Les demandes indemnitaires formées par les associations au titre du rapport de gestion ont, elles, été rejetées.

Autrement dit : le juge vérifie que le plan est complet et cohérent, il ne fixe pas la trajectoire. Le tribunal a sursis à statuer sur le reste et renvoyé l’affaire au juge de la mise en état du 21 janvier 2027, sans prononcer d’astreinte. Le contentieux n’est donc pas clos.

Dans mon expérience, c’est exactement le message que les groupes assujettis doivent entendre : le risque juridique immédiat n’est pas de rater une cible de décarbonation, il est de publier un plan incomplet ou incohérent avec ce que l’entreprise sait déjà de ses propres risques. Le tribunal relève d’ailleurs que TotalEnergies identifiait déjà les risques climatiques dans ses plans — l’incohérence interne a joué contre elle.

Rappel utile : il n’y a pas d’amende civile

Le projet de loi de 2017 prévoyait une amende civile pouvant atteindre 10 millions d’euros. Le Conseil constitutionnel l’a censurée par sa décision n° 2017-750 DC du 23 mars 2017, au motif que les notions de « droits humains », « libertés fondamentales », « mesures de vigilance raisonnable » et « actions adaptées d’atténuation des risques » étaient trop imprécises au regard du principe de légalité des délits et des peines (article 8 de la Déclaration de 1789).

Le levier contentieux reste donc double, et non pécuniaire au sens répressif :

• l’injonction (article L. 225-102-4) : mise en demeure préalable, délai de trois mois pour se conformer, puis saisine du juge par toute personne justifiant d’un intérêt à agir, éventuellement en référé si l’urgence le requiert ;
• l’action en responsabilité (article L. 225-102-5), sur le fondement des articles 1240 et 1241 du code civil, pour réparer le préjudice que l’exécution des obligations aurait permis d’éviter.

Depuis la loi n° 2021-1729 du 22 décembre 2021, le tribunal judiciaire de Paris a compétence exclusive pour ces actions (article L. 211-21 du code de l’organisation judiciaire).

La CSDDD après l’Omnibus : ce qui a réellement changé

La directive (UE) 2024/1760 du 13 juin 2024, dite CSDDD ou CS3D, devait européaniser le modèle français. L’Omnibus l’a considérablement resserrée.

La directive (UE) 2026/470, publiée au Journal officiel de l’Union européenne le 26 février 2026 et entrée en vigueur le 18 mars 2026, modifie à la fois la CSRD et la CSDDD. C’est le même texte qui a relevé le seuil CSRD à 1 000 salariés et 450 millions d’euros — un point que nous détaillons dans notre analyse de l’Omnibus CSRD.

Les nouveaux seuils CSDDD

	Avant Omnibus (CSDDD 2024/1760)	Après Omnibus (directive 2026/470)
Sociétés de l’UE	1 000 salariés et 450 M€ de CA net mondial	5 000 salariés et 1,5 Md€ de CA net mondial
Sociétés hors UE	450 M€ de CA net réalisé dans l’UE	1,5 Md€ de CA net réalisé dans l’UE
Entreprises visées (estimation)	environ 13 000	environ 6 000
Transposition	26 juillet 2027	26 juillet 2028
Application	échelonnée 2027-2029	26 juillet 2029, date unique

Les seuils sont cumulatifs pour les sociétés européennes : il faut franchir les deux. Pour les groupes, l’appréciation se fait sur une base consolidée au niveau de la société mère ultime.

Les autres changements de fond

• Suppression du plan de transition climatique obligatoire. La CSDDD imposait d’adopter et de « mettre en œuvre » un plan de transition aligné sur 1,5 °C. Cette obligation disparaît. Les entreprises qui disposent d’un tel plan devront en revanche continuer à en rendre compte au titre de la CSRD et des normes ESRS.
• Suppression du régime européen harmonisé de responsabilité civile. La responsabilité pour manquement à la vigilance relève désormais du droit national de chaque État membre. Une clause de réexamen (article 36) prévoit une évaluation d’ici juillet 2031.
• Approche par les risques en deux temps. L’article 8, le plus disputé du trilogue, impose désormais un scoping fondé sur les seules informations raisonnablement disponibles, puis une évaluation approfondie limitée aux zones où les incidences sont les plus probables et les plus graves. En cas d’égalité, l’entreprise peut prioriser ses partenaires commerciaux directs.
• Plafond d’information de la chaîne de valeur. L’entreprise ne peut solliciter des informations auprès de ses partenaires que lorsque c’est nécessaire et, pour ceux de moins de 5 000 salariés, uniquement lorsque l’information ne peut raisonnablement être obtenue autrement. Ce plafond est distinct — et bien plus élevé — que celui de la CSRD, fixé à 1 000 salariés et adossé au standard VSME.
• Fin de l’obligation de rupture. L’entreprise n’est plus tenue de mettre fin, en dernier recours, à une relation commerciale. Des règles de suspension subsistent, mais la poursuite de la relation n’expose pas à sanction s’il existe une « attente raisonnable » que le plan d’action correctif aboutisse.
• Plafond de sanction. Les États membres doivent prévoir un plafond de sanction pécuniaire d’au moins 3 % du chiffre d’affaires net mondial. C’est plus sévère que le plafond du RGPD (4 % du CA mondial pour les manquements les plus graves), rapporté au fait qu’il s’agit d’un plancher imposé aux législateurs nationaux.

Le calendrier à retenir

• 18 mars 2026 — entrée en vigueur de la directive (UE) 2026/470.
• 26 juillet 2027 — échéance pour les premières lignes directrices de la Commission (processus de diligence, hiérarchisation, mesures appropriées, désengagement responsable, clauses contractuelles types, sources de données, outils numériques).
• 26 juillet 2028 — date limite de transposition de la CSDDD révisée par les États membres.
• 26 juillet 2029 — date unique d’application pour toutes les entreprises dans le champ.
• 31 mars 2029 — actes délégués sur le contenu de la déclaration annuelle en ligne pour les entreprises non exemptées par leur reporting CSRD.

Et la loi française dans tout cela ?

C’est la vraie question ouverte. La loi de 2017 et la CSDDD ne coïncident ni sur les seuils (5 000 salariés seuls contre 5 000 salariés et 1,5 Md€), ni sur la sanction (injonction sans amende contre plafond de 3 % du CA), ni sur la méthode (cinq mesures énumérées contre processus de diligence en étapes).

L’Omnibus renforce par ailleurs la clause d’harmonisation de la CSDDD, qui couvre désormais aussi la hiérarchisation, le suivi et le reporting. Le législateur français devra donc trancher d’ici le 26 juillet 2028 entre abrogation-remplacement, modification ou coexistence des deux régimes. Aucune orientation n’a été rendue publique à ce jour.

Mon conseil aux groupes assujettis : ne pas attendre 2028 pour aligner la méthodologie. Une cartographie construite selon la logique en deux temps de l’article 8 de la CSDDD satisfait déjà, et au-delà, l’exigence française de cartographie hiérarchisée. L’inverse n’est pas vrai.

Le volet RGPD du devoir de vigilance

C’est l’angle mort de la plupart des plans de vigilance que j’ai eu l’occasion d’examiner. Un plan de vigilance est une machine à traiter des données personnelles, et il en traite parmi les plus sensibles qui soient.

Le mécanisme d’alerte

La quatrième mesure obligatoire du plan est un dispositif d’alerte. Il se superpose au dispositif imposé, depuis la loi n° 2022-401 du 21 mars 2022 dite loi Waserman, à toute entité d’au moins 50 salariés. Le référentiel de la CNIL relatif aux dispositifs d’alertes professionnelles (délibération n° 2023-064 du 6 juillet 2023) constitue le mode d’emploi de conformité. Quatre points structurent le sujet :

• la base légale, généralement l’obligation légale de l’article 6(1)© du RGPD pour la partie imposée par la loi, et l’intérêt légitime de l’article 6(1)(f) au-delà du périmètre légal ;
• la stricte confidentialité de l’identité de l’auteur du signalement, qui est une obligation de sécurité au sens de l’article 32 et pas seulement une bonne pratique ;
• le traitement des données sensibles au sens de l’article 9 du RGPD, fréquentes dans les alertes portant sur le harcèlement, la santé ou les conditions de travail ;
• les durées de conservation, strictement encadrées par le référentiel, avec conservation sans limitation de durée uniquement après anonymisation.

Nous détaillons ce régime dans notre guide du dispositif d’alerte professionnelle.

Un détail procédural mérite attention : l’article L. 225-102-4 exige que le mécanisme d’alerte soit établi en concertation avec les organisations syndicales représentatives. Cette concertation ne dispense pas de la consultation du CSE ni de l’inscription du traitement au registre des activités de traitement. Ce sont trois formalités distinctes que l’on voit régulièrement confondues.

L’évaluation des fournisseurs

La deuxième mesure obligatoire — l’évaluation régulière des filiales, sous-traitants et fournisseurs — implique de collecter des données sur des personnes physiques : dirigeants, mandataires sociaux, bénéficiaires effectifs, parfois salariés d’un site audité. S’y ajoutent, en pratique, des consultations de bases de sanctions internationales, de listes de personnes politiquement exposées et de sources de presse.

Quatre réflexes s’imposent :

1. Identifier une base légale par finalité. L’obligation légale de l’article 6(1)© couvre ce que la loi de 2017 impose ; elle ne couvre pas les vérifications étendues que l’entreprise décide d’ajouter, lesquelles relèveront de l’article 6(1)(f) après mise en balance documentée.
2. Appliquer strictement la minimisation de l’article 5(1)©. Un questionnaire fournisseur qui collecte l’état civil complet et les données familiales des dirigeants pour évaluer un risque environnemental ne passe pas ce test.
3. Informer les personnes concernées. Lorsque les données ne sont pas collectées auprès d’elles — cas fréquent des données issues de bases tierces — l’article 14 du RGPD impose une information dans un délai raisonnable, au plus tard un mois après l’obtention.
4. Encadrer les prestataires. Les plateformes d’évaluation ESG et les cabinets d’audit tiers agissent le plus souvent comme sous-traitants : un contrat conforme à l’article 28 du RGPD est requis, avec une vigilance particulière sur les transferts hors UE lorsque l’évaluation porte sur des chaînes d’approvisionnement asiatiques ou américaines.

Faut-il une analyse d’impact ?

Souvent, oui. Un dispositif d’alerte combiné à une évaluation systématique de fournisseurs coche plusieurs critères des lignes directrices du CEPD (Guidelines WP248 rev.01) : évaluation ou notation, traitement de données sensibles, données relatives à des personnes vulnérables, croisement d’ensembles de données. L’analyse d’impact de l’article 35 du RGPD s’impose alors, et il est plus économique de la conduire une fois pour l’ensemble du dispositif de vigilance que de la fractionner par outil. C’est ce type de cartographie croisée — quel traitement, quelle finalité, quelle base légale, quel sous-traitant — que des outils comme Legiscope permettent de structurer sans repartir d’une feuille blanche.

L’articulation avec la CSRD

Le devoir de vigilance et le reporting de durabilité se nourrissent des mêmes données sans obéir aux mêmes règles. Le plan de vigilance est un instrument de prévention ; le rapport de durabilité est un instrument d’information. Le jugement TotalEnergies illustre précisément ce point : l’entreprise ne pouvait pas se contenter de renvoyer le scope 3 à ses informations déclaratives, parce que la finalité de prévention n’est pas la finalité d’information.

Cette distinction a une traduction RGPD directe : une donnée collectée pour le reporting CSRD ne peut pas être réutilisée sans examen pour la vigilance, et réciproquement. Le test de compatibilité de l’article 6(4) du RGPD doit être conduit et documenté. Nos articles sur la CSRD et la chaîne d’approvisionnement et sur la collecte des données ESG traitent des cas de figure les plus courants.

Ce qu’il faut retenir

• Le jugement TJ Paris du 25 juin 2026 enjoint à TotalEnergies de compléter la cartographie des risques de son plan de vigilance avec ses émissions de scope 3, sous six mois avec exécution provisoire, et renvoie l’affaire au 21 janvier 2027. Le climat entre bien dans le champ de la loi de 2017.
• Le contrôle du juge est formel, pas substantiel : il vérifie que le plan est complet et cohérent, il ne fixe pas de cible de réduction. Le risque contentieux principal est l’incohérence interne du plan, pas l’insuffisance de l’ambition.
• Il n’existe pas d’amende civile en droit français depuis la censure du Conseil constitutionnel du 23 mars 2017 : les leviers sont l’injonction et la responsabilité civile, devant le seul tribunal judiciaire de Paris.
• La CSDDD a été fortement resserrée par la directive (UE) 2026/470 : seuils portés à 5 000 salariés et 1,5 Md€, suppression du plan de transition obligatoire et du régime européen de responsabilité civile, transposition au 26 juillet 2028 et application au 26 juillet 2029.
• Le volet RGPD est le point faible récurrent : mécanisme d’alerte, évaluation des fournisseurs et croisement avec la CSRD supposent une base légale par finalité, un contrat de sous-traitance conforme à l’article 28, une information au titre de l’article 14 et, le plus souvent, une analyse d’impact.

FAQ

Mon entreprise de 2 000 salariés est-elle soumise au devoir de vigilance ?

Non, ni au titre de la loi française de 2017 (seuils de 5 000 ou 10 000 salariés), ni au titre de la CSDDD révisée (5 000 salariés et 1,5 milliard d’euros de chiffre d’affaires). Vous pouvez en revanche être sollicité en tant que fournisseur d’un groupe assujetti. La CSDDD limite ces demandes à ce qui est nécessaire, et pour les partenaires de moins de 5 000 salariés, à ce qui ne peut être obtenu autrement.

Quelle est la sanction en cas de plan de vigilance incomplet ?

En droit français, il n’y a pas d’amende. Toute personne justifiant d’un intérêt à agir peut mettre l’entreprise en demeure ; à défaut de mise en conformité dans les trois mois, elle peut saisir le tribunal judiciaire de Paris d’une demande d’injonction, le cas échéant en référé. Une action en responsabilité civile reste possible sur le fondement de l’article L. 225-102-5. La CSDDD imposera à partir de 2029 un plafond de sanction d’au moins 3 % du chiffre d’affaires net mondial.

La CSDDD remplace-t-elle la loi française de 2017 ?

Pas encore, et pas automatiquement. La transposition est attendue pour le 26 juillet 2028, avec une application au 26 juillet 2029. D’ici là, la loi de 2017 s’applique pleinement. Le législateur français devra choisir entre abroger, modifier ou faire coexister les deux régimes, qui divergent sur les seuils, la méthode et les sanctions.

Le plan de vigilance doit-il faire l’objet d’une analyse d’impact RGPD ?

Le plus souvent, oui. Le mécanisme d’alerte et l’évaluation systématique des fournisseurs réunissent plusieurs critères des lignes directrices du CEPD justifiant une analyse d’impact au sens de l’article 35 du RGPD : évaluation ou notation, données sensibles, données de personnes vulnérables. Il est préférable de conduire une analyse unique couvrant l’ensemble du dispositif plutôt que de la fractionner par outil.

Le devoir de vigilance couvre-t-il vraiment le climat ?

Oui, selon le tribunal judiciaire de Paris. Dans son jugement du 25 juin 2026, il retient que la notion d’environnement de la loi de 2017 doit être interprétée « dans son acceptation la plus large », ce qui inclut le changement climatique, et que les risques climatiques relèvent aussi de la prévention des atteintes graves aux droits humains. Le périmètre des émissions à cartographier inclut les scopes 1, 2 et 3.

---

Vous suivez l’évolution de la conformité européenne ? Recevez chaque semaine nos analyses juridiques sur le devoir de vigilance, la CSRD, le RGPD et la réglementation numérique. Abonnez-vous à notre newsletter pour être averti des prochaines étapes — lignes directrices de la Commission et transposition française.