En l’espèce, un employé de l’AFP, qui était également le correspondant informatique et liberté au sein de l’agence, est licencié pour faute grave pour avoir adressé à une entreprise cliente et concurrente, cinq demandes de renseignements par voie électronique en usurpant l’identité de sociétés clientes.
L’AFP, ayant été alertée par l’une de ces sociétés, a identifié ce salarié comme l’auteur des messages litigieux en consultant les fichiers de journalisation conservés sur ses serveurs au moyen de l’adresse IP fournie par l’entreprise ayant donné l’alerte. L’AFP a ainsi pu déterminer avec précision que cet employé était l’auteur de ces messages. Ces données extraites par un expert informatique ont fait l’objet d’un constat d’huissier.
Mais ces données n’ayant pas fait l’objet d’une déclaration à la CNIL conformément aux articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiées par la loi n°2004-801 du 6 août 2004, l’employé de l’AFP contestait en appel la recevabilité de ces données en tant que preuve.
La Cour d’appel avait jugé le licenciement justifié, estimant que l’information du salarié et la déclaration préalable à la CNIL n’étaient pas nécessaires pour les logs, fichiers de journalisation et adresses IP « dès lors qu’ils n’avaient pas pour vocation première le contrôle des utilisateurs ».
La Chambre sociale de la Cour de cassation casse l’arrêt d’appel sur ce point, jugeant au contraire que « les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel » et que « leur collecte par l’exploitation du ficher de journalisation constitue un traitement de données à caractère personnel », qui doit donc faire l’objet d’une déclaration préalable à la CNIL conformément aux lois précitées.
En l’espèce, cette déclaration n’étant pas intervenue, le moyen de preuve était donc illicite, et selon sa jurisprudence antérieure, la Cour de cassation déclarait automatiquement irrecevable toute preuve fondée sur des données personnelles si celles-ci n’avaient pas fait l’objet d’une déclaration préalable à la CNIL.[[1]]
L’arrêt du 25 novembre 2020 vient donc adoucir cette jurisprudence puisque dans cet arrêt, la Cour a jugé que « l’illicéité d’un moyen de preuve, au regard des dispositions de la loi n° 78 17 du 6 janvier 1978 modifiée par la loi n° 2004 801 du 6 août 2004, dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données, n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi. ».
La Cour vient également durcir sa jurisprudence selon laquelle le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit nécessaire à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi[[2]]. Elle avait également décidé qu’un salarié ne peut s’approprier des documents appartenant à l’entreprise que s’ils sont strictement nécessaires à l’exercice des droits de sa défense dans un litige l’opposant à son employeur, ce qu’il lui appartient de démontrer. [[3]]
En effet, dans cet arrêt du 25 novembre 2020, elle ne requiert pas seulement que la preuve illicite soit nécessaire mais bien indispensable, rejoignant ainsi la jurisprudence de la chambre civile sur cette question. [[4]]
Mais ce durcissement de jurisprudence en est vraiment un si cette jurisprudence s’applique à tout moyen de preuve et non seulement, comme en l’espèce, aux seules données qui doivent faire l’objet d’une déclaration préalable à la CNIL.
Ainsi, l’avenir nous dira si cette solution n'est vouée à s’appliquer qu’aux moyens de preuve fondés sur des données personnelles qui n’ont pas fait l’objet d’une déclaration préalable à la CNIL ou si, par cet arrêt, la Cour de cassation entendait durcir de manière générale sa jurisprudence sur la recevabilité des preuves illicites en droit du travail.
Cette question se pose d’autant plus que le Règlement RGPD, entré en vigueur le 25 mai 2018, a supprimé la majorité des déclarations de fichiers à effectuer auprès de la CNIL dans une volonté de responsabilisation de ses acteurs. En effet, seules certaines formalités préalables subsistent (demande d’avis pour les secteurs policier et de la justice, demande d’autorisation pour certains traitements de données de santé notamment). La Cour de cassation ne pourra donc plus se servir de ce critère pour déterminer si les preuves fondées sur des données personnelles sont licites et recevables.
Cass., Soc., 25 novembre 2020, n° 17-19.523
L’AFP, ayant été alertée par l’une de ces sociétés, a identifié ce salarié comme l’auteur des messages litigieux en consultant les fichiers de journalisation conservés sur ses serveurs au moyen de l’adresse IP fournie par l’entreprise ayant donné l’alerte. L’AFP a ainsi pu déterminer avec précision que cet employé était l’auteur de ces messages. Ces données extraites par un expert informatique ont fait l’objet d’un constat d’huissier.
Mais ces données n’ayant pas fait l’objet d’une déclaration à la CNIL conformément aux articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiées par la loi n°2004-801 du 6 août 2004, l’employé de l’AFP contestait en appel la recevabilité de ces données en tant que preuve.
La Cour d’appel avait jugé le licenciement justifié, estimant que l’information du salarié et la déclaration préalable à la CNIL n’étaient pas nécessaires pour les logs, fichiers de journalisation et adresses IP « dès lors qu’ils n’avaient pas pour vocation première le contrôle des utilisateurs ».
La Chambre sociale de la Cour de cassation casse l’arrêt d’appel sur ce point, jugeant au contraire que « les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel » et que « leur collecte par l’exploitation du ficher de journalisation constitue un traitement de données à caractère personnel », qui doit donc faire l’objet d’une déclaration préalable à la CNIL conformément aux lois précitées.
En l’espèce, cette déclaration n’étant pas intervenue, le moyen de preuve était donc illicite, et selon sa jurisprudence antérieure, la Cour de cassation déclarait automatiquement irrecevable toute preuve fondée sur des données personnelles si celles-ci n’avaient pas fait l’objet d’une déclaration préalable à la CNIL.[[1]]
L’arrêt du 25 novembre 2020 vient donc adoucir cette jurisprudence puisque dans cet arrêt, la Cour a jugé que « l’illicéité d’un moyen de preuve, au regard des dispositions de la loi n° 78 17 du 6 janvier 1978 modifiée par la loi n° 2004 801 du 6 août 2004, dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données, n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi. ».
La Cour vient également durcir sa jurisprudence selon laquelle le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit nécessaire à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi[[2]]. Elle avait également décidé qu’un salarié ne peut s’approprier des documents appartenant à l’entreprise que s’ils sont strictement nécessaires à l’exercice des droits de sa défense dans un litige l’opposant à son employeur, ce qu’il lui appartient de démontrer. [[3]]
En effet, dans cet arrêt du 25 novembre 2020, elle ne requiert pas seulement que la preuve illicite soit nécessaire mais bien indispensable, rejoignant ainsi la jurisprudence de la chambre civile sur cette question. [[4]]
Mais ce durcissement de jurisprudence en est vraiment un si cette jurisprudence s’applique à tout moyen de preuve et non seulement, comme en l’espèce, aux seules données qui doivent faire l’objet d’une déclaration préalable à la CNIL.
Ainsi, l’avenir nous dira si cette solution n'est vouée à s’appliquer qu’aux moyens de preuve fondés sur des données personnelles qui n’ont pas fait l’objet d’une déclaration préalable à la CNIL ou si, par cet arrêt, la Cour de cassation entendait durcir de manière générale sa jurisprudence sur la recevabilité des preuves illicites en droit du travail.
Cette question se pose d’autant plus que le Règlement RGPD, entré en vigueur le 25 mai 2018, a supprimé la majorité des déclarations de fichiers à effectuer auprès de la CNIL dans une volonté de responsabilisation de ses acteurs. En effet, seules certaines formalités préalables subsistent (demande d’avis pour les secteurs policier et de la justice, demande d’autorisation pour certains traitements de données de santé notamment). La Cour de cassation ne pourra donc plus se servir de ce critère pour déterminer si les preuves fondées sur des données personnelles sont licites et recevables.
Cass., Soc., 25 novembre 2020, n° 17-19.523
Contentieux et procédures
