Dans un arrêt du 25 novembre 2020 – n° 17-19.523 – la chambre sociale de la cour de cassation admet désormais que « l’illicéité d’un moyen de preuve n’entraîne pas nécessairement son rejet des débats , le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en, mettant en balance le droit au respect de la vie personnel du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi. »
Cette décision intéresse tant l’employeur que le salarié.
Mais il reste à savoir si la Cour de cassation adoptera la même solution quand le salarié souhaitera justifier que son licenciement est sans cause réelle et sérieuse au moyen par exemple d’un enregistrement audio de l’employeur.
Ci dessous l’arrêt reproduit :
Arrêt n°1119 du 25 novembre 2020 (17-19.523) – Cour de cassation – Chambre sociale
-ECLI:FR:CCAS:2020:SO01119
PROTECTION DES DROITS DE LA PERSONNE
Cassation partielle
Sommaire
En application des articles 2 et 22 de la loi n°78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004, dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données (RGPD), les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l’article 2 susvisé, de sorte que leur collecte par l’exploitation du fichier de journalisation constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la Commission nationale de l’informatique et des libertés en application de l’article 23 de la loi précitée.
En application des articles 6 et 8 de la Convention de sauvegarde de droits de l’homme et des libertés fondamentales, l’illicéité d’un moyen de preuve, au regard des dispositions de la loi n°78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004, dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données, n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi
Encourt la cassation l’arrêt qui énonce que les logs, fichiers de journalisation et adresses IP ne sont pas soumis à une déclaration à la CNIL, ni ne doivent faire l’objet d’une information du salarié en sa qualité de correspondant informatique et libertés lorsqu’ils n’ont pas pour vocation première le contrôle des utilisateurs, alors que la collecte des adresses IP par l’exploitation du fichier de journalisation constitue un traitement de données à caractère personnel au sens de l’article 2 de la loi du 6 janvier 1978 susvisée et est soumise aux formalités préalables à la mise en oeuvre de tels traitements prévues au chapitre IV de ladite loi, ce dont il résulte que la preuve était illicite et les dispositions des articles 6 et 8 de la Convention de sauvegarde de droits de l’homme et des libertés fondamentales invocables.
Demandeur(s) : M. A… X…
Défendeur(s) : Agence France Presse, organisme autonome
Faits et procédure
1. Selon l’arrêt attaqué (Paris, 16 mars 2017), M. X…, engagé par l’Agence France Presse (AFP) le 9 septembre 1991, a saisi la juridiction prud’homale le 17 février 2012 de diverses demandes en paiement. Il a fait l’objet d’une mise à pied conservatoire le 27 février 2015 et a été licencié pour faute grave le 23 mars 2015, au motif d’une usurpation de données informatiques.
Examen des moyens
Sur le premier moyen du pourvoi principal du salarié et les trois moyens du pourvoi incident de l’employeur, ci après annexés
2. En application de l’article 1014, alinéa 2, du code de procédure civile, il n’y a pas lieu de statuer par une décision spécialement motivée sur ces moyens qui ne sont manifestement pas de nature à entraîner la cassation.
Sur le second moyen du pourvoi principal du salarié, pris en sa première branche
Énoncé du moyen
3. Le salarié fait grief à l’arrêt de juger son licenciement justifié par une faute grave et de le débouter de sa demande principale de réintégration et de ses demandes subsidiaires d’indemnité de préavis et de congés payés afférents, d’indemnité de licenciement et de dommages intérêts pour licenciement sans cause réelle et sérieuse, alors « qu’aux termes de l’article 32 du règlement intérieur de l’AFP, aucune sanction autre qu’un simple avertissement ne sera notifiée sans qu’aient été préalablement avisés les délégués du personnel de la catégorie de l’intéressé ; que le caractère préalable de l’information a pour finalité d’offrir au salarié une protection supplémentaire par l’assistance ou l’intervention des représentants du personnel, laquelle ne peut avoir d’effet utile que si l’information est effectuée dans un délai suffisant rendant l’assistance effective ; que la cour d’appel a relevé que les délégués du personnel avaient été avisés le 23 mars 2015 à 19 heures 38 d’un licenciement par lettre datée du 23 mars 2015 et notifiée au plus tôt le 24 mars, dans un délai lui permettant de modifier sa position ; qu’en statuant de la sorte, quand il n’était pas contesté par l’AFP que la lettre de licenciement avait été envoyée le 23 mars 2015, pour une première présentation le 24 mars 2015, de sorte que l’information des représentants du personnel effectuée postérieurement à l’envoi de la lettre de licenciement ne permettait pas au salarié de se faire assister utilement pour permettre le cas échéant à l’employeur de revenir sur sa décision, la cour d’appel a violé l’article 32 du règlement intérieur de l’AFP, ensemble l’article L. 1232 1 du code du travail. »
Réponse de la Cour
4. La cour d’appel qui a, d’une part, relevé que l’article 32 du règlement intérieur de la société prévoit qu’aucune sanction autre qu’un simple avertissement ne sera notifiée sans qu’aient été préalablement avisés les délégués du personnel de la catégorie de l’intéressé et, d’autre part, constaté que l’avis aux délégués du personnel avait été effectué le 23 mars 2015 et que la notification du licenciement, au sens des dispositions conventionnelles applicables, était intervenue le 24 mars 2015, en a déduit à bon droit que l’employeur avait respecté l’article 32 précité.
5. Le moyen n’est donc pas fondé.
Sur le second moyen du pourvoi principal du salarié, pris en sa deuxième branche
Énoncé du moyen
6. Le salarié fait les mêmes griefs à l’arrêt, alors « qu’aux termes de l’article 51 de la convention d’entreprise AFP du 29 octobre 1976, les conflits individuels seront soumis à la commission paritaire amiable ; qu’il en résulte que ce texte institue une procédure particulière obligatoire permettant de rechercher une solution amiable ; qu’en jugeant qu’en cas de licenciement, sa saisine préalable par l’employeur ne constituait pas une obligation, mais qu’il appartenait seulement à la partie la plus diligente de la saisir, la cour d’appel a violé l’article 51 de la convention d’entreprise AFP du 29 octobre 1976, ensemble l’article L. 1232 1 du code du travail. »
Réponse de la Cour
7. Selon l’article 51 de la convention d’entreprise AFP du 29 octobre 1976, les conflits individuels seront soumis à une commission paritaire amiable, ayant uniquement une mission conciliatrice. Si l’une des parties récuse cette commission, ou si la tentative de conciliation échoue, les intéressés pourront toujours porter le différend devant toute juridiction française compétente en la matière. Le recours à la commission paritaire amiable est notifié par la partie la plus diligente à l’autre partie par lettre exposant le ou les points sur lesquels porte le litige.
8. La cour d’appel en a exactement déduit que l’employeur n’avait pas l’obligation de saisir la commission paritaire amiable préalablement au licenciement.
9. Le moyen n’est donc pas fondé.
Mais sur le second moyen du pourvoi principal du salarié, pris en sa quatrième branche
Énoncé du moyen
10. Le salarié fait grief à l’arrêt de juger son licenciement justifié par une faute grave et de le débouter de sa demande principale de réintégration et de ses demandes subsidiaires d’indemnité de préavis et de congés payés afférents, d’indemnité de licenciement et de dommages intérêts pour licenciement sans cause réelle et sérieuse, alors « que le licenciement pour faute grave, dont la preuve incombe à l’employeur, ne peut être justifié par des éléments de preuve obtenus de façon illicite et dont la production est de ce fait irrecevable ; que constituent un moyen de preuve illicite les informations collectées, avant toute déclaration à la CNIL, par un système de traitement automatisé de données personnelles comme la collecte des adresses IP, permettant d’identifier indirectement une personne physique ou encore le traçage des fichiers de journalisation ; que la cour d’appel a retenu que les logs, fichiers de journalisation et adresses IP, qui constituaient un traçage informatique, n’étaient pas soumis à une déclaration de la CNIL, ni à une information du salarié, dès lors qu’ils n’avaient pas pour vocation première le contrôle des utilisateurs ; qu’en statuant de la sorte, par un motif inopérant, quand seule la condition de la possible identification d’une personne physique était déterminante, la cour d’appel a violé les articles 2 et 22 de la loi n° 78 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ensemble les articles L. 1234 1, L. 1234 5 et L. 1234 9 du code du travail, l’article 9 du code de procédure civile et l’article 6 § 1 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales. »
Réponse de la Cour
Vu les articles 2 et 22 de la loi n° 78 17 du 6 janvier 1978 modifiée par la loi n° 2004 801 du 6 août 2004, dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données, les articles 6 et 8 de la Convention de sauvegarde de droits de l’homme et des libertés fondamentales :
11. Les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l’article 2 de la loi n° 78 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, de sorte que leur collecte par l’exploitation du fichier de journalisation constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la Commission nationale de l’informatique et des libertés en application de l’article 23 de la loi précitée.
12. Toutefois, ainsi que la Cour l’a déjà jugé (Soc., 9 novembre 2016, pourvoi n° 15 10.203, Bull. 2016, V, n° 209), le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit nécessaire à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi. De même, elle a déjà jugé (Soc., 31 mars 2015, pourvoi n° 13 24.410, Bull. 2015, V, n° 68), qu’un salarié ne peut s’approprier des documents appartenant à l’entreprise que s’ils sont strictement nécessaires à l’exercice des droits de sa défense dans un litige l’opposant à son employeur, ce qu’il lui appartient de démontrer.
13. Il résulte par ailleurs de la jurisprudence de la Cour européenne des droits de l’homme, s’agissant plus particulièrement de la surveillance des employés sur le lieu de travail, qu’elle a estimé que l’article 8 de la Convention de sauvegarde de droits de l’homme et des libertés fondamentales laissait à l’appréciation des États le choix d’adopter ou non une législation spécifique concernant la surveillance de la correspondance et des communications non professionnelles des employés (CEDH, Barbulescu, 5 sept. 2017, n° 61496/08, (§ 119). Elle a rappelé que, quelle que soit la latitude dont jouissent les États dans le choix des moyens propres à protéger les droits en cause, les juridictions internes doivent s’assurer que la mise en place par un employeur de mesures de surveillance portant atteinte au droit au respect de la vie privée ou de la correspondance des employés est proportionnée et s’accompagne de garanties adéquates et suffisantes contre les abus (Barbulescu, précité, (§ 120).
14. La Cour européenne des droits de l’homme a jugé également que, pour déterminer si l’utilisation comme preuves d’informations obtenues au mépris de l’article 8 ou en violation du droit interne a privé le procès du caractère équitable voulu par l’article 6, il faut prendre en compte toutes les circonstances de la cause et se demander en particulier si les droits de la défense ont été respectés et quelles sont la qualité et l’importance des éléments en question (CEDH, 17 oct. 2019, Lopez Ribalda, n° 1874/13 et 8567/13, (§ 151).
15. Enfin, aux termes de l’article 13. 1 g) de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, applicable à l’époque des faits, les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder la protection de la personne concernée ou des droits et libertés d’autrui.
16. Il y a donc lieu de juger désormais que l’illicéité d’un moyen de preuve, au regard des dispositions de la loi n° 78 17 du 6 janvier 1978 modifiée par la loi n° 2004 801 du 6 août 2004, dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données, n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi.
17. Pour juger le licenciement fondé sur une faute grave et débouter le salarié de sa demande principale de réintégration et de ses demandes subsidiaires d’indemnité de préavis et de congés payés afférents, d’indemnité de licenciement et de dommages intérêts pour licenciement sans cause réelle et sérieuse, l’arrêt retient que selon un procès verbal de constat d’huissier, le recoupement des informations de fichiers de journalisation extraites de données du gestionnaire centralisé de logs de l’AFP sur la journée du 30 janvier 2015 et la plage horaire de 12 heures 02 à 16 heures 02 et de l’adresse utilisée pour l’envoi des messages incriminés, a permis de constater que l’adresse IP utilisée est celle de M. X…. Il énonce également que les logs, fichiers de journalisation et adresses IP, qui constituent un traçage informatique que ne peut ignorer le salarié compte tenu de ses fonctions, ne sont pas soumis à une déclaration à la CNIL, ni ne doivent faire l’objet d’une information du salarié en sa qualité de correspondant informatique et libertés, lorsqu’ils n’ont pas pour vocation première le contrôle des utilisateurs. Il ajoute que seule la mise en œuvre d’un logiciel d’analyse des différents journaux (applicatifs et systèmes) permettant de collecter des informations individuelles poste par poste pour contrôler l’activité des utilisateurs doit être déclarée à la CNIL en ce qu’il s’agit d’un traitement automatisé d’informations nominatives. L’arrêt en conclut que s’agissant non pas de la mise en œuvre d’un tel logiciel, mais d’un simple traçage issu des fichiers de journalisation, pour lesquels la charte des ressources informatiques et internet en vigueur à l’AFP précise qu’ils sont conservés par l’administrateur pour une durée pouvant atteindre six mois, la preuve opposée au salarié est légale et ne procède pas d’une exécution déloyale du contrat.
18. En statuant ainsi, alors que l’exploitation des fichiers de journalisation, qui permettent d’identifier indirectement une personne physique, constitue un traitement de données à caractère personnel au sens de l’article 2 de la loi du 6 janvier 1978 susvisée, et était ainsi soumise aux formalités préalables à la mise en œuvre de tels traitements prévues au chapitre IV de ladite loi, ce dont il résultait que la preuve était illicite et, dès lors, les prescriptions énoncées au paragraphe 16 du présent arrêt invocables, la cour d’appel a violé les textes susvisés.
PAR CES MOTIFS, et sans qu’il y ait lieu de statuer sur les autres griefs, la Cour :
REJETTE le pourvoi incident formé par l’Agence France Presse ;
CASSE ET ANNULE, mais seulement en ce qu’il juge le licenciement de M. X… fondé sur une faute grave et le déboute en conséquence de sa demande principale de réintégration et de ses demandes subsidiaires d’indemnité de préavis et de congés payés afférents, d’indemnité de licenciement et de dommages intérêts pour licenciement sans cause réelle et sérieuse, l’arrêt rendu le 16 mars 2017, entre les parties, par la cour d’appel de Paris ;
Remet, sur ces points, l’affaire et les parties dans l’état où elles se trouvaient avant cet arrêt et les renvoie devant la cour d’appel de Paris autrement composée ;
Président : M. Cathala
Rapporteur : Mme Richard
Avocat général : Mme Trassoudaine Verger
Avocat(s) : SCP Thouvenin, Coudray et Grévy – SCP L. Poulet Odent ; Me Grévy ; Me Poulet
