[Jurisprudence] Droit de la preuve et possibilité pour l’employeur de produire devant le juge prud’homal des moyens de preuve illicites

Mots clés : moyens de preuve • droit à la preuve • vie privée • traitement de données à caractère personnel • droits fondamentaux • loi informatique et libertés • RGPD

Jusqu’à présent, le moyen de preuve issu d’un traitement de données à caractère personnel ne respectant pas les formalités préalables imposées par la loi informatique et libertés du 6 janvier 1978 (N° Lexbase : L8794AGS), ne pouvait être mobilisé par l’employeur dans le cadre d’une procédure prud’homale. Dans cet arrêt, la Cour de cassation opère un revirement de jurisprudence en considérant que cette illicéité n’entraîne pas nécessairement son rejet des débats. En pareille hypothèse, le juge doit apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi.

Le cadre juridique. Alors que les adresses IP, logs et fichiers de journalisation, données à caractère personnel, étaient soumis à une déclaration à la CNIL, l’employeur qui n’aurait pas procédé à cette déclaration peut être autorisé à produire cette preuve portant atteinte à la vie privée du salarié, dès lors qu’elle est indispensable à l’exercice du droit à la preuve et que l’atteinte est strictement proportionnée au but poursuivi.

L’affaire. Le 23 mars 2015, un salarié de l’Agence France Presse (AFP), responsable de la valorisation et des usages numériques mais également correspondant informatique et libertés (cela a son importance), a été licencié pour avoir usurpé l’identité de sociétés clientes afin d’obtenir des informations auprès d’une autre entreprise à la fois cliente et concurrente.

Alerté par l’une des entreprises, l’employeur a eu recours à un expert informatique, en présence d’un huissier de justice, qui a identifié le salarié concerné grâce à l’exploitation des fichiers de journalisation et à son adresse IP. En synthèse, les fichiers de journalisation retracent les différentes activités d’un périphérique informatique et l’adresse IP est le numéro d’identification de ce périphérique sur un réseau.

Rappelons que les faits de l’espèce se sont donc déroulés antérieurement à l’entrée en vigueur du Règlement général sur la protection des données dit « RGPD » (N° Lexbase : L0189K8I). Aussi, en application de la loi informatique et libertés du 6 janvier 1978, dans ses dispositions alors applicables, une déclaration devait être réalisée auprès de la CNIL avant l’utilisation de tout traitement de données à caractère personnel, sauf dispense.

C’est dans ces conditions que le salarié a décidé de contester le bienfondé de son licenciement en invoquant notamment l’impossibilité pour son employeur de mobiliser les fichiers de journalisation et l’adresse IP faute d’avoir déclaré leur traitement préalablement à la CNIL.

Saisie du litige, la cour d’appel de Paris a coupé court au débat en considérant d’emblée que l’exploitation des fichiers de journalisation et de l’adresse IP n’était pas soumise à une déclaration ou à une information du salarié « dès lors qu’il n’avait pas vocation première le contrôle des utilisateurs ». Par son arrêt du 16 mars 2017, la cour d’appel considérait alors que la faute du salarié était établie et justifiait le licenciement pour faute grave prononcé. Le salarié était débouté de ses demandes à ce titre.

Le pourvoi. Ce dernier décidait de former un pourvoi en cassation.

Outre des moyens relatifs à l’échelle des sanctions et à la procédure disciplinaire applicable au sein de l’AFP, qui ne seront pas commentés ici, le requérant soutenait que l’appréciation de la cour d’appel était entachée d’une erreur de droit dans la mesure où « seule la condition de la possibilité identification d’une personne physique était déterminante » pour l’application des obligations issues de la loi informatique et libertés.

L’objectif poursuivi par le requérant était in fine de se prévaloir des arrêts de la Cour de cassation rendus par le passé, selon lesquels le moyen de preuve illicite, en raison du non-respect des formalités imposées par les dispositions de la loi informatique et libertés, devait être écarté des débats.

Si la Cour de cassation donne raison au requérant pour la première partie de son raisonnement, elle modifie sa jurisprudence antérieure quant aux conséquences du non-respect des prescriptions de la loi informatique et libertés en mettant en balance le droit à la preuve de l’employeur et le droit au respect de la vie personnelle du salarié.

Ainsi, en premier lieu, s’appuyant sur l’analyse de la CNIL dont elle a sollicité l’avis, la Cour de cassation considère que les adresses IP sont des données à caractère personnel. Leur exploitation dans le cadre du fichier de journalisation constitue, par conséquent, un traitement de données à caractère personnel qui doit faire l’objet d’une déclaration préalable auprès de la CNIL en application de l’article 23 de la loi informatique et libertés du 6 janvier 1978 (paragraphe 11). En l’espèce, le moyen de preuve mobilisé par l’employeur était donc illicite.

C’est à ce stade du raisonnement que la Cour de cassation opère une évolution par rapport à sa jurisprudence antérieure. En effet, la Haute Cour considère « désormais que l’illicéité d’un moyen de preuve, au regard des dispositions de la loi n° 78 17 du 6 janvier 1978 […], dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données, n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi » (paragraphe 16).

Cassation partielle. La Cour de cassation décide, par conséquent, de casser l’arrêt de la cour d’appel de Paris et de renvoyer l’affaire à cette même cour pour qu’elle procède au contrôle du caractère indispensable et proportionné de la production du moyen de preuve en cause par l’employeur.

Par cet arrêt, la Cour de cassation réalise une analyse classique de la notion de traitement de données à caractère personnel qu’elle rattache au droit au respect de la vie personnelle du salarié (I.). Elle opère, en revanche, un revirement de jurisprudence en considérant, sur le fondement du droit à la preuve, que la violation des règles de protection des données à caractère personnel ne doit pas entraîner nécessairement le rejet des moyens de preuve qui en sont issus (II.).

I. Du droit à la protection des données à caractère personnel au droit au respect de la vie personnelle du salarié

La question portée par le pourvoi concernait, en premier lieu, une question d’application et de respect de la loi informatique et libertés dans le cadre de l’exploitation d’un fichier de journalisation et d’une adresse IP. Sur ce point, la Cour de cassation réalise une analyse tout à fait classique (A.). En concluant au non-respect des disposition de cette loi, la Cour de cassation en tire une atteinte au droit au respect de la vie personnelle du salarié qu’elle mettra en balance avec le droit à la preuve de l’employeur (B.).

A. Le non-respect des prescriptions de la loi informatique et libertés…

Dans le cadre de la présente affaire, la cour d’appel de Paris avait considéré, à tort, que l’exploitation de l’adresse IP du salarié et du fichier de journalisation ne devaient pas faire l’objet d’une déclaration auprès de la CNIL ou une information du correspondant informatique et libertés dans la mesure où ces traitements « n’ont pas pour vocation première le contrôle des utilisateurs ». Pour la cour d’appel, c’est donc la finalité du traitement qui conditionne l’application des formalités prescrites par la loi informatique et libertés du 6 janvier 1978.

Cette analyse est censurée par la Cour de cassation qui rappelle que, sauf dispense, tout traitement de données à caractère personnel est soumis aux formalités prévues par la loi précitée, quel que soit sa finalité.

Or, en l’occurrence, elle considère que l’adresse IP est une donnée à caractère personnel et que sa collecte par l’exploitation du fichier de journalisation constitue un traitement de données à caractère personnel (paragraphe 11).

Cette solution est en pleine conformité avec sa jurisprudence antérieure. En effet, la Haute Cour a pu considérer, par le passé, que l’adresse IP est une donnée à caractère personnel dont le traitement doit faire l’objet d’une déclaration préalable à la CNIL [1].

Cette position ne surprend pas à la lecture des définitions des notions de données à caractère personnel et de traitement de données à caractère personnel inscrites à l’article 2 de la loi informatique et libertés du 6 janvier 1978, dans sa rédaction applicable à l’espèce :

• « constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. » ;
• « constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ».

L’adresse IP est un numéro permettant d’identifier un périphérique informatique et donc, indirectement, l’utilisateur de ce périphérique. Il s’agit, par conséquent, d’une donnée à caractère personnel dont la collecte dans le fichier de journalisation constitue un traitement.

Or, en application de l’article 22 de la loi précitée, dans sa rédaction applicable à l’espèce, tout traitement de données à caractère personnel doit faire l’objet d’une déclaration préalable auprès de la CNIL, sauf dispense. C’est donc par un raisonnement tout à fait logique et classique que la Cour de cassation considère que la collecte de l’adresse IP du salarié licencié en l’absence de respect des formalités préalables rend la preuve qui en résulte illicite.

Cette position de la Cour de cassation ne sera pas modifiée par l’entrée vigueur du RGPD, lequel définit toujours les données à caractère personnel par rapport à leur faculté d’identifier directement ou indirectement une personne physique. Leur collecte demeure également un traitement de données à caractère personnel (article 4 du Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (N° Lexbase : L0189K8I).

Le questionnement, opéré par la cour d’appel, relatif à la vocation du traitement visant ou non le contrôle des salariés n’a donc pas d’objet s’agissant de la soumission de ce traitement à la loi informatique et libertés. En revanche, cette question peut se poser notamment pour déterminer si un traitement de données à caractère personnel doit, outre respecter les prescriptions de la loi informatique et libertés, être soumis à l’avis du comité social et économique, en application de l’article L. 2312-38 (N° Lexbase : L8271LGG) imposant sa consultation avant de toute décision de l’employeur de mettre en œuvre des moyens ou techniques permettant un contrôle de l'activité des salariés.

Au demeurant, on peut relever que le raisonnement de la cour d’appel de Paris se référant à la « vocation première » du traitement de données n’a pas lieu d’être, même en ce qui concerne l’avis préalable des représentants du personnel. En effet, selon la Cour de cassation, la finalité première du traitement de données n’a pas d’importance : il doit faire l’objet d’une consultation du CSE dès lors qu’une de ses finalités, serait-elle secondaire, consiste en la surveillance des salariés [2].

B. …constitutif de l’atteinte au droit au respect de la vie personnelle du salarié

Après avoir constaté le non-respect des prescriptions de la loi informatique et libertés, applicables à l’espèce, la Cour de cassation fait implicitement un lien direct entre ce non-respect et l’atteinte à la vie personnelle du salarié.

Ce lien n’est pourtant pas si évident. Il est indéniable que le non-respect des règles de protection des données à caractère personnel du salarié peut constituer une atteinte à la vie privée. En revanche, on pourrait légitimement s’interroger sur l’inclusion dans le périmètre de la vie privée du salarié, des différentes données issues de démarches d’ordre professionnel réalisées par un salarié sur un ordinateur lui-même professionnel, comme c’était cas le cas en l’espèce.

Or, dans le cadre du présent, la Cour de cassation semble considérer que le non-respect des règles de protection des données à caractère personnel entraîne nécessairement une atteinte à la vie personnelle du salarié qui devra donc être conciliée avec le droit à la preuve de l’employeur (paragraphe 12).

Dès lors que le moyen de preuve est illicite pour cette raison, la Haute Cour impose aux juges du fond d’« apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve » (paragraphe 16). Et ce, sans avoir à se positionner sur l’existence ou non, au cas d’espèce, d’une atteinte effective au droit au respect de la vie privée du salarié.

Faut-il en conclure, a contrario, que lorsque l’employeur récolte des preuves en mobilisant un traitement de données à caractère personnel respectant toutes les prescriptions de la loi informatique et libertés (aujourd’hui du RGPD), il ne s’expose pas un tel contrôle ?

Une telle interprétation de la portée du présent arrêt est à notre sens trop extensive. D’autant que la Cour de cassation a pu juger récemment, sans référence à une violation des règles de protection des données à caractère personnel, que la production d’un élément de preuve pouvait porter atteinte à la vie privée du salarié imposant :

• de vérifier si cette atteinte était indispensable à l’exercice du droit à la preuve [3] ;
• de réparer le préjudice causé au salarié lorsque cette production n’était pas indispensable au droit à la preuve [4].

En d’autres termes, l’absence de respect des obligations issues de la loi informatique et libertés, et aujourd’hui du RGPD, impose de soumettre la preuve obtenue à une conciliation avec le droit à la vie personnelle du salarié. En revanche, le respect de ces prescriptions ne garantit pas l’absence de nécessité de concilier le droit à la preuve et le droit au respect de la vie personnelle du salarié.

Reste que, comme le relève l’avocate générale dans son avis relatif à l’arrêt commenté (page 7), l’existence de garanties, telles que le respect des règles de protection des données à caractère personnel, est un critère à prendre en compte pour apprécier la proportionnalité de l’atteinte à la vie privée par le droit à la preuve.

Or, l’application de ce contrôle de proportionnalité est l’apport majeur du présent arrêt.

II. Du droit au respect de la vie personnelle du salarié au droit à la preuve de l’employeur

L’arrêt commenté marque une évolution en matière de droit de la preuve : les éléments recueillis au moyen d’un traitement de données à caractère personnel illicite au regard de la loi informatique et libertés ne doivent pas nécessairement être écartés des débats (A.). Néanmoins, cette illicéité oblige le juge à mettre en balance le droit à la preuve de l’employeur d’un côté et le droit au respect de la vie personnelle du salarié d’un autre (B.).

A.  La recevabilité du moyen de preuve illicite par la mise en œuvre du droit à la preuve

Dans le cadre de l’arrêt commenté, la Cour de cassation considère que, « désormais », « l’illicéité d’un moyen de preuve, au regard des dispositions de la loi n° 78-17 du 16 janvier 1978 […], dans sa version antérieure à l’entrée en vigueur du Règlement général sur la protection des données, n’entraîne pas nécessairement son rejet des débats » (paragraphe 16).

Comme le souligne, la Cour elle-même, il s’agit d’un revirement par rapport à sa jurisprudence antérieure. En effet, la Haute Cour, après avoir considéré qu’un salarié ne pouvait être sanctionné pour avoir refusé de se soumettre à un traitement de données non déclaré [5], a constamment jugé que l’illicéité du moyen de preuve, résultant du non-respect des prescriptions de la loi informatiques et libertés, imposait nécessairement son rejet des débats [6]. Cette jurisprudence a été rappelée récemment dans une affaire relative à la production de tickets de cantine ne respectant pas les règles de protection des données à caractère personnel [7].

Cette nouvelle position ne peut qu’être saluée, dans la mesure où le rejet automatique des pièces, qui ne reposait sur aucun texte précis, s’avérait souvent une solution bien trop sévère qui permettait à certains justiciables d’échapper trop aisément à leurs responsabilités. Cela peut d’ailleurs expliquer la position retenue par la cour d’appel de Paris dans la présente affaire, restreignant audacieusement la notion de traitement de données à caractère personnel afin d’échapper à cette jurisprudence trop rigoureuse et désormais révolue.

De surcroit, cette décision prend la mesure du caractère fondamental du droit à la preuve. En effet, ce dernier a d’abord été reconnu par la Cour européenne des droits de l’Homme, dont la Cour de cassation s’inspire grandement dans le présent arrêt, sur le fondement du droit au procès équitable consacré par l’article 6, §1 de la Conv. EDH. Ainsi, la Cour européenne juge, de longue date, que le droit à la preuve peut justifier une atteinte à la vie privée [8].

Cette solution s’inscrit également dans le courant jurisprudentiel de la Chambre social visant à reconnaître ce droit à la preuve. Ainsi, dès 2016, cette dernière a pu considérer que ce droit pouvait justifier une atteinte à la vie privée, à condition d’être nécessaire et proportionnée au but poursuivi [9]. Cette solution a été confirmée, dans son principe, plus récemment dans l’arrêt « Petit Bateau » [10].

En présence de deux droits de nature fondamentale, le droit à la protection de la vie privée et le droit à la preuve, il n’était donc plus envisageable de maintenir une position aussi sévère revenant à nier l’existence du second au bénéfice du premier. En pareille hypothèse, un travail plus fin d’articulation et de mise en balance s’impose.

Reste à savoir si cet abandon de la solution rigoureuse et sévère de rejet automatique des moyens de preuves illicites concerne seulement l’illicéité des moyens de preuve résultant du non-respect des règles de protection des données à caractère personnel. Cet abandon aura-t-il vocation à viser également d’autres causes d’illicéité ? A titre d’exemple, la Cour de cassation a pu récemment considérer que l’absence de consultation préalable des représentants du personnel concernant un système de surveillance rendait les pièces issues de ce dernier irrecevable [11]. En pareille hypothèse, une mise en balance du droit à la preuve et du droit des salariés à une représentation collective paraîtrait tout aussi justifiée.

B. Les précisions sur l’articulation entre le droit à la preuve et le droit au respect de la vie privée

Si la Cour de cassation considère que l’illicéité du moyen de preuve causé par l’absence de respect des règles issues de la loi informatique et libertés, n’entraîne pas nécessairement son rejet des débats, elle n’affirme pas, pour autant, que ce moyen de preuve est nécessairement recevable.

En effet, dans le cadre du présent arrêt, la Haute Cour impose au juge du fond de procéder à une mise en balance du droit à la preuve et du droit au respect de la vie privée. Ainsi, il appartient au juge d’ « apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit nécessairement proportionnée au but poursuivi » (paragraphe 16).

Ces règles d’articulation entre le droit à la preuve et le droit au respect de la vie privée sont directement d’inspiration européenne. On peut, à cet égard, souligner la référence à la garantie du caractère équitable de la procédure « dans son ensemble » (paragraphe 16). La Cour européenne des droits de l’Homme considère, en effet, que l’exigence d’un procès équitable s’apprécie dans son ensemble. Par conséquent, si cette exigence induit un droit à la preuve, elle impose également d’apprécier si la manière dont les preuves ont été recueillies répond aux conditions du procès équitable [12].

Pour ce faire, la Cour de cassation impose au juge du fond de mettre en balance le droit à la preuve et le droit au respect de la vie personnelle du salarié en utilisant la méthode suivante : la production de l’élément de preuve portant atteinte à la vie privée droit être indispensable à l’exercice du droit à la preuve et l’atteinte doit être proportionnée au but poursuivi. En cela, la Chambre sociale reprend la méthode qu’elle a récemment développé pour concilier vie privée et droit à la preuve en dehors de toute question relative à la protection des données à caractère personnel [13].

La notion de caractère « indispensable » est un glissement par rapport à la jurisprudence plus ancienne de la Cour de cassation qui préférait le terme « nécessaire » à l’exercice du droit à la preuve [14]. La Cour prend le soin d’évoquer expressément cette évolution dans la note explicative de l’arrêt, ce qui induit que ce changement n’est pas seulement sémantique.

Selon le rapport du conseiller rapporteur dans le cadre du présent arrêt (page 12), il y a en effet, une différence entre :

• le caractère « indispensable » de l’utilisation du moyen de preuve consistant en « l’impossibilité de recourir à un autre mode de preuve » ;
• et son caractère « nécessaire » lié au « rapport direct entre le mode de preuve litigieux et la recherche de la preuve de la faute du salarié par l’employeur ».

S’agissant du caractère proportionné, il impose au justiciable souhaitant se prévaloir d’un moyen de preuve attentatoire à la vie privée de se limiter à l’atteinte la plus faible possible.

Cette appréciation n’est, en pratique, pas aisée. Néanmoins, dans le cadre de son avis relatif au présent arrêt (page 7), l’avocate générale a donné quelques clés d’appréciation de cette proportionnalité susceptible d’éclairer les praticiens : l’existence de raisons légitimes motivant la recherche de preuves, l’ampleur de la mesure et le degré d’intrusion dans la vie privée, l’ampleur de la mesure dans le temps, les conséquences du traitement de données litigieux, l’existence de garanties appropriées, le caractère nécessaire et approprié de la mesure pour atteindre le but légitime poursuivi.

En revanche, la Cour de cassation, dans son arrêt, n’a pas souhaité apporter plus de précisions sur ce caractère proportionné et a renvoyé cette appréciation aux juges du fond. A cet égard, il faut noter que la Cour de cassation a décidé de confier cette appréciation à la cour d’appel, alors même que, selon l’avocate générale (dans son avis, page 7), elle aurait pu procéder elle-même à ce contrôle de proportionnalité. Cela témoigne de la volonté de la Cour de cassation de laisser cette appréciation au juge du fond en fonction des circonstances concrètes de chaque dossier.

Reste que les notions de caractère indispensable et de proportionnalité demeurent floues, ce qui entraîne un risque fort de disparité dans les solutions retenues par les différentes juridictions. Par cet arrêt, la Cour de cassation ouvre donc un nouveau sujet de débats qui s’annonce âpre.

© Reproduction interdite, sauf autorisation écrite préalable