Une simple mise à jour d'un logiciel de traitement de données à caractère personnel n'entraîne pas l'obligation pour le responsable du traitement de procéder à une nouvelle déclaration auprès de la CNIL, seule une modification substantielle portant sur les informations ayant été préalablement déclarées devant être portée à sa connaissance. Telle est la solution retenue par la Chambre sociale de la Cour de cassation dans un arrêt du 23 avril 2013 (Cass. soc., 23 avril 2013, n° 11-26.099, FS-P+B
N° Lexbase : A6770KCQ).
Dans cette affaire, M. C., engagé par une association départementale pour la sauvegarde de l'enfance, de l'adolescence et des jeunes adultes en qualité d'animateur socio-éducatif, a été licencié pour faute grave le 1er février 2008 pour insubordination réitérée. Pour dire sans cause réelle et sérieuse le licenciement et condamner l'employeur à verser au salarié diverses sommes au titre de la rupture, l'arrêt de la cour d'appel (CA Aix-en-Provence, 6 septembre 2011, n° 10/12618
N° Lexbase : A6678HXM) retient que, lors du passage du logiciel EVA 3 à EVA 4 en janvier 2007, les données à caractère personnel enregistrées par les éducateurs étaient nominatives, en sorte que la modification du traitement des données devait être préalablement déclarée à la Commission nationale de l'informatique et des libertés. Il a ensuite été décidé, après réflexion et établissement d'un "guide de bonne pratique" en mars 2007, de ne plus faire apparaître les patronymes mais que l'employeur ne contrôlait pas et ne garantissait pas que seules les données "anonymisées" étaient saisies, la CNIL ayant d'ailleurs répondu que le prénom, les trois premières lettres du nom, et le cas échéant, l'adresse permettent d'identifier une personne, ne peuvent être considérées comme des informations anonymes et que s'agissant de données à caractère personnel auprès de mineurs, les parents doivent avoir préalablement donné leur consentement. Pour la cour d'appel, l'employeur ne pouvait donc arguer de ce codage pour justifier qu'il n'a pas procédé à la déclaration de la modification du traitement de données à caractère personnel auprès de la CNIL. Ainsi, à défaut de toute déclaration à la CNIL de la modification du logiciel de traitement des données à caractère personnel mis en oeuvre au sein de l'entreprise, le refus du salarié de saisir les informations nominatives concernant les mineurs bénéficiant d'actions de prévention ne constitue pas un motif réel et sérieux de licenciement. La Haute juridiction infirme l'arrêt pour une violation des articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978 (
N° Lexbase : L8794AGS), ensemble les articles L. 1234-1 (
N° Lexbase : L1300H9Z), L. 1234-9 (
N° Lexbase : L8135IAK) et L. 1232-1 (
N° Lexbase : L8291IAC) du Code du travail. La cour d'appel aurait dû rechercher si le passage du logiciel EVA 3 à EVA 4 en janvier 2007 n'avait pas consisté en une simple mise à jour qui ne nécessitait pas une nouvelle déclaration auprès de la CNIL.
© Reproduction interdite, sauf autorisation écrite préalable
