Le 12 mars 2026, le tribunal judiciaire de Paris a rendu une décision majeure en condamnant la société mère de la marque de cosmétiques Yves Rocher pour manquement à son devoir de vigilance à raison des activités de sa filiale turque1. Cette décision marque une étape déterminante dans l’appréhension contentieuse du devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre, ainsi que dans la mise en œuvre concrète des obligations pesant sur ces sociétés à l’égard de leur chaîne de valeur et de leurs filiales, telles qu’issues du cadre instauré par la loi du 27 mars 2017.
Au-delà de sa portée nationale, cette décision doit également être replacée dans un contexte normatif européen en pleine recomposition. Elle intervient en effet quelques semaines après l’adoption, le 24 février 2026, de la directive dite « Omnibus »2, venue substantiellement modifier la portée de la directive CS3D sur le devoir de vigilance des entreprises en matière de durabilité, initialement adoptée le 13 juin 20243.
Dans ce contexte en pleine recomposition, l’articulation entre les exigences nationales et européennes, éclairée par les premières décisions rendues au fond – de l’affaire La Poste à la décision Groupe Rocher – apparaît plus que jamais déterminante, appelant les entreprises à une vigilance accrue dans la structuration et la mise en œuvre de leurs dispositifs de conformité.
Notre analyse portera en conséquence sur trois axes complémentaires : d’abord, le cadre fondateur issu de la loi du 27 mars 2017, véritable pierre angulaire du dispositif (I) ; ensuite, sa mise en perspective et ses recompositions au niveau européen à travers la directive CS3D et le paquet « Omnibus » (II) ; enfin, l’éclairage apporté par les dernières décisions jurisprudentielles, qui en précisent concrètement la portée et les exigences opérationnelles (III).
Pour rappel, le devoir de vigilance trouve son origine dans la loi n° 2017-399 du 27 mars 20174. Cette loi, pionnière en Europe, a introduit dans le Code de commerce les articles L. 225-102-1 et L. 225-102-2 (avant l’Ordonnance n° 2023-1142 du 6 décembre 2023, entrée en vigueur le 1er janvier 2025, les articles L. 225-102-4 et L. 225-102-5), posant une obligation inédite à la charge de certaines sociétés mères et entreprises donneuses d’ordre.
Ces sociétés doivent établir, publier et mettre en œuvre un « plan de vigilance » destiné à « identifier les risques et à prévenir les atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l’environnement », résultant non seulement de leurs propres activités, mais également de celles des sociétés qu’elles contrôlent, ainsi que des activités des sous-traitants et fournisseurs avec lesquels elles entretiennent une relation commerciale établie.
Le cadre légal, volontairement général et dépourvu de décret d’application, a laissé une large marge d’appréciation aux entreprises quant aux modalités concrètes de mise en œuvre du devoir de vigilance. Cette souplesse initiale, si elle a favorisé une appropriation progressive du dispositif, a également nourri de nombreuses incertitudes, appelées à être progressivement levées par la jurisprudence et, désormais, par le droit européen.
Dans le prolongement de l’initiative française, l’Union européenne (UE) s’est à son tour dotée d’un cadre normatif ambitieux en matière de devoir de vigilance, avec l’adoption de la directive (UE) 2024/1760 du 13 juin 2024 relative au devoir de vigilance des entreprises en matière de durabilité (CSDDD ou CS3D)5.
À bien des égards, la CS3D va au-delà du dispositif instauré par la loi française de 2017. Elle élargit notamment sensiblement le périmètre des entreprises concernées et adopte une approche extensive de la chaîne de valeur, couvrant l’ensemble des activités des entreprises, en amont comme en aval.
Toutefois, ce cadre initial a été substantiellement remanié par l’adoption de la directive (UE) 2026/470, publiée au Journal officiel le 24 février 2026, relative aux exigences d’information en matière de durabilité applicables aux entreprises et à certaines exigences relatives au devoir de vigilance6. Ce texte, dit « Omnibus », entré en vigueur le 18 mars 2026, redessine en profondeur l’architecture européenne du devoir de vigilance et modifie7, voire, selon certaines associations et organisations, « détricote »8, plusieurs directives existantes, dont la CS3D, dans un objectif affiché de simplification et d’efficacité opérationnelle.
La France devra ainsi adopter et publier, au plus tard le 26 juillet 2028, les dispositions nécessaires à la transposition de la directive CS3D telle que modifiée par le texte Omnibus, lesquelles entreront finalement en application au 26 juillet 2029. Les modalités de transposition et de manière plus générale, l’articulation entre le droit national et le droit européen demeurent toutefois incertaines et soulèvent de réelles difficultés pratiques.
Quoi qu’il en soit, en dépit de ces ajustements et incertitudes, les entreprises françaises restent pleinement soumises aux obligations issues de la loi nationale et aux sanctions qui y sont attachées. Le devoir de vigilance constitue une réalité juridique pleinement effective, dont la judiciarisation s’accélère.
Près de dix ans après l’entrée en vigueur de la loi du 27 mars 2017, la décision rendue dans l’affaire Groupe Rocher constitue seulement la deuxième décision, après la décision La Poste, statuant sur le fond en matière de devoir de vigilance.
Contrairement à certaines idées reçues, la loi n’a donc pas entraîné une prolifération incontrôlée des contentieux. La judiciarisation du devoir de vigilance s’est, au contraire, structurée de manière progressive et mesurée.
L’affaire La Poste constitue une étape jurisprudentielle fondamentale dans l’appréhension contentieuse du devoir de vigilance. Par un jugement du 5 décembre 2023, le tribunal judiciaire de Paris a condamné, pour la première fois au fond, une entreprise sur le fondement de la loi du 27 mars 2017, en raison de l’insuffisance de son plan de vigilance9. Cette décision a été intégralement confirmée le 17 juin 2025 par la nouvelle chambre 5-12, spécialisée en matière de devoir de vigilance, de la cour d’appel de Paris10.
Le litige faisait suite à la découverte, par un syndicat, de situations de travail dissimulé au sein de certaines filiales et chez des sous-traitants du groupe postal. Malgré deux mises en demeure, La Poste n’avait pas, selon le syndicat, remédié aux manquements identifiés dans son plan de vigilance pour l’année 2021. Saisis de l’affaire, le tribunal judiciaire, puis la cour d’appel, ont fait droit à une partie substantielle des demandes du syndicat, et ont dégagé certains principes directeurs appelés à guider les entreprises dans l’élaboration et la mise en œuvre de leur dispositif de vigilance.
Les juges ont tout d’abord souligné le rôle central de la cartographie des risques, qualifiée d’élément fondamental du dispositif, dès lors que ses résultats conditionnent l’ensemble des étapes ultérieures et, partant, l’effectivité du plan. La cartographie doit permettre d’identifier des facteurs de risques précis, liés aux activités et à l’organisation de l’entreprise, et ne saurait se limiter à une présentation abstraite ou excessivement générale. En l’espèce, La Poste s’est vue enjoindre de compléter son plan par une cartographie des risques bruts, tenant concrètement compte, sur l’ensemble de la chaîne de valeur, des facteurs susceptibles d’engendrer la réalisation des risques, en les identifiant, les analysant et les hiérarchisant.
Les juridictions ont également précisé la portée de l’exigence d’élaboration du plan de vigilance « en concertation » avec les parties prenantes, en particulier les organisations syndicales. Cette concertation ne se confond pas avec une simple consultation formelle : elle implique une véritable transmission d’informations ainsi qu’un échange effectif de points de vue et de propositions en amont de l’élaboration du dispositif. Il incombe ainsi à l’entreprise assujettie de démontrer l’existence d’un dialogue réel et structuré. En l’espèce, la production de courriels d’invitation et de documents de travail, sans traçabilité des échanges, a été jugée insuffisante.
En ce qui concerne le dispositif de suivi des mesures mises en œuvre, les juges ont relevé que, si la loi de 2017 ne précise pas la forme attendue du compte rendu de mise en œuvre du plan, celui-ci doit néanmoins être étroitement articulé avec les mesures prévues et refléter les attentes du plan de vigilance. Les mesures de remédiation ne peuvent dès lors se réduire à de simples déclarations générales d’intention, mais doivent être directement corrélées aux risques identifiés.
La cour d’appel a, par ailleurs, clarifié l’articulation entre le droit national et le droit de l’UE, en précisant que les demandes d’injonction devaient être examinées exclusivement à la lumière de la loi française de 2017, la directive CS3D n’ayant pas encore été transposée. Elle a toutefois souligné la cohérence de son analyse avec les articles 8 et 9 de la directive européenne, anticipant ainsi l’évolution future du cadre normatif.
Ces arrêts ont permis au juge de tracer les premières lignes directrices prétoriennes relatives au contenu attendu d’un plan de vigilance11. Si la décision La Poste demeure circonscrite à des manquements intervenus sur le territoire national, la décision Groupe Rocher viendra, quant à elle, consacrer pleinement la dimension extraterritoriale du devoir de vigilance.
Par une décision rendue le 12 mars 2026, la 34e chambre du tribunal judiciaire de Paris (nouvelle chambre créée en septembre 2024 et dédiée notamment au contentieux du devoir de vigilance) a condamné le Groupe Rocher pour des manquements graves à ses obligations de vigilance, au titre des plans de vigilance des années 2017 et 201812.
Cette décision constitue un jalon essentiel dans la construction jurisprudentielle du dispositif, en ce qu’elle consacre, pour la première fois, la responsabilité civile d’une société mère française pour des atteintes aux droits fondamentaux commises au sein d’une filiale étrangère, affirmant ainsi explicitement la portée extraterritoriale de la loi du 27 mars 2017.
Le litige trouve son origine dans une vague de licenciements intervenue entre 2018 et 2019 au sein de Kosan Kozmetik, filiale turque du Groupe Rocher, à la suite de l’implantation du syndicat Petrol-Is dans l’usine. Après une tentative de négociation sur des conditions de travail jugées indignes, de nombreux salariés syndiqués ont été licenciés. Plusieurs anciens salariés, le syndicat Petrol-Is ainsi que les associations Sherpa et ActionAid France ont donc assigné la société mère du Groupe devant le TJ de Paris en réparation des atteintes graves portées à leurs droits fondamentaux, notamment à la liberté syndicale.
Avant de statuer au fond, le tribunal a tranché plusieurs questions de principe majeures.
Il a tout d’abord précisé la loi applicable et confirmé la portée impérative du devoir de vigilance en écartant l’application du droit turc, invoqué par le Groupe Rocher sur le fondement du règlement Rome II, pour retenir celle de la loi française sur le devoir de vigilance. Se fondant sur l’intention clairement exprimée du législateur, le tribunal rappelle que ces dispositions revêtent un caractère impératif, y compris en cas de dommages survenus à l’étranger, afin de favoriser un comportement responsable des entreprises françaises au sein de leurs chaînes de valeur. Cette analyse s’inscrit dans la continuité des objectifs désormais consacrés par le droit international et le droit de l’UE, notamment par la directive CS3D.
Le tribunal qualifie ensuite le régime instauré par la loi de 2017 de régime spécial de responsabilité délictuelle pour faute, applicable aux seules sociétés dépassant les seuils légaux. Cette responsabilité peut être engagée non seulement pour les dommages résultant de leurs propres activités, mais également pour ceux causés par leurs filiales, sous-traitants ou fournisseurs. Il rappelle que l’obligation de vigilance constitue une obligation de moyens renforcée, supposant la mise en œuvre de mesures adaptées aux risques identifiés, sans garantir l’absence totale de dommage.
Le tribunal apporte une précision importante concernant le point de départ du délai de prescription, qu’il fixe non à la date des licenciements, mais à celle à laquelle les demandeurs ont eu accès aux plans de vigilance et ont pu en identifier les carences alléguées.
Le tribunal souligne que si le contenu de la cartographie des risques n’est pas précisément détaillé dans le Code de commerce, il résulte de ce dernier que cette cartographie doit être élaborée en considération du critère déterminant de gravité afin de prévenir et atténuer « les atteintes graves » et mettre en œuvre leur suivi.
Sur le fond, la juridiction retient ainsi de graves manquements dans l’élaboration des plans de vigilance :
– la cartographie des risques est jugée manifestement insuffisante, en ce qu’elle ne prenait pas en compte les risques propres aux filiales du groupe, se limitant aux fournisseurs, sous-traitants et achats à risque. Le tribunal relève en outre que les risques d’atteinte à la liberté syndicale en Turquie étaient largement documentés et connus de la société mère, notamment au regard d’un audit social antérieur et de nombreuses sources issues de l’Organisation internationale du travail ;
– il en déduit qu’un plan de vigilance correctement élaboré aurait permis d’éviter les licenciements, qualifiés par le tribunal de répression syndicale, et que le lien de causalité entre les carences des plans de vigilance et le préjudice subi par les salariés est établi.
En conséquence, le Groupe Rocher a été condamné à indemniser certains anciens salariés à hauteur de 48 000 euros au titre de leur préjudice moral et économique, ainsi qu’à verser 40 000 euros au syndicat Petrol-Is, les associations obtenant un euro symbolique.
Par sa portée tant symbolique que juridique, la décision Groupe Rocher ouvre la voie à de nouvelles condamnations fondées sur le devoir de vigilance. Plusieurs contentieux d’envergure visant de grands groupes français (TotalEnergies, BNP Paribas, Casino13), sont désormais pendants devant les juridictions, confirmant l’entrée du devoir de vigilance dans une phase pleinement opérationnelle et contentieuse.
L’actualité jurisprudentielle récente révèle donc un développement progressif du contentieux relatif au devoir de vigilance, par lequel les juridictions, désormais spécialisées, commencent à préciser le contenu et la portée des obligations de vigilance, tandis que les organisations non gouvernementales et les syndicats s’approprient de façon croissante les mécanismes contentieux issus de la loi du 27 mars 2017. Il est donc impératif, pour les entreprises concernées, d’adopter une démarche proactive, ambitieuse et solidement documentée.
Une telle approche suppose, dès à présent, un pilotage transversal et une intégration effective du devoir de vigilance au cœur des politiques internes et des systèmes de gestion des risques. Elle implique notamment une définition rigoureuse et évolutive du périmètre de vigilance, ainsi qu’un approfondissement de la cartographie des risques. Elle repose également sur l’instauration d’un dialogue structuré, renforcé et traçable avec les parties prenantes, ainsi que sur des mécanismes d’alerte crédibles et opérationnels. Enfin, une attention particulière doit être portée à la traçabilité des actions engagées, laquelle constitue désormais un facteur déterminant tant pour démontrer la conformité de l’entreprise que pour maîtriser le risque contentieux.
Dans ce contexte, le devoir de vigilance s’impose désormais comme un dispositif stratégique, opérationnel et juridiquement contraignant, de nature à engager pleinement la responsabilité civile des groupes assujettis, et, de manière plus indirecte, à les exposer à des risques réputationnels et financiers accrus. n
