Soc. 8 oct. 2014, FS-P+B, n° 13-14.991
Constituent des preuves illicites les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration à la Commission nationale de l’informatique et des libertés (CNIL).
La question de la surveillance des salariés est loin d’être marginale lorsque les nouvelles technologies permettent un contrôle toujours plus poussé de la productivité des travailleurs. Il est patent de constater en la matière un enchevêtrement normatif progressif des exigences relatives, d’une part, à la protection des données personnelles et, d’autre part, au droit du travail.
S’agissant des dispositions relatives à la protection des données personnelles, la Commission nationale de l’informatique et des libertés (CNIL) exige, conformément à la loi n° 78-17 du 6 janvier 1978, que tout système de surveillance de l’activité des salariés, comportant l’enregistrement des données personnelles, doit faire l’objet d’une déclaration préalable. Dans certains cas, la mise en place du dispositif est soumise à une autorisation préalable de la CNIL. C’est le cas des systèmes d’alerte professionnelle. Le non-respect de cette formalité préalable substantielle a pour effet de priver l’employeur de la possibilité de se prévaloir, à l’appui d’une sanction disciplinaire, du refus du salarié de se conformer au dispositif.
Les informations collectées d’un dispositif non déclaré à la CNIL constituent des preuves illicites, sauf dans la seule hypothèse où la mise en place du système de surveillance est rendue obligatoire par des dispositions nationales ou supranationales.
À ces dispositions relatives aux données personnelles et libertés individuelles s’ajoutent les exigences du droit du travail dont l’article L. 2323-32 dispose que « le comité d’entreprise (CE) est informé et consulté préalablement à la décision de mise en œuvre dans l’entreprise sur les moyens techniques permettant un contrôle de l’activité des salariés ». En application de cet article, la Cour de cassation et les juridictions du fond ont eu l’occasion d’annuler des dispositifs d’alerte professionnelle en raison du défaut de consultation du CE et du comité d’hygiène, de sécurité et des conditions de travail (CHSCT) lorsque les circonstances l’exigent.
Dans l’arrêt ici commenté, la chambre sociale analyse les conséquences en droit du travail non pas d’une absence totale de déclaration à la CNIL, mais d’une déclaration tardive intervenue postérieurement à la mise en œuvre du dispositif de surveillance.
En l’espèce, une salariée a été licenciée, le 23 décembre 2009, en raison d’une utilisation excessive de la messagerie électronique de l’entreprise à des fins personnelles. Contestant son licenciement, elle saisit la juridiction prud’homale. Au cours des mois d’octobre et novembre 2009, elle avait envoyé respectivement 607 et 629 messages à caractère personnel. Ce contrôle aurait été effectué au moyen d’un logiciel de « contrôle individuel de l’importance et des flux des messageries électroniques ». Ce système permettait, sans faire apparaître le contenu des messages, de faire apparaître la date et l’heure d’envoi ou de réception, le destinataire ou expéditeur et l’objet. Conformément à l’article L. 1222-4 du code du travail, l’employeur avait averti préalablement la salariée de la mise en place de ce mode de surveillance. Par ailleurs, les exigences qui découlent de l’article L. 2323-32 du code du travail auraient été respectées. Toutefois, ce système de surveillance n’avait été déclaré à la CNIL que le 10 décembre.
La cour d’appel considéra d’une part que la déclaration tardive à la CNIL n’a pas pour conséquence de rendre illicites le système et l’utilisation des éléments obtenus et, d’autre part, que le nombre extrêmement élevé de messages électroniques à caractère personnel envoyés et/ou reçus par l’intéressée doit être tenu comme excessif et a eu un impact indéniable et négatif sur l’activité professionnelle déployée par la salariée.
La Cour de cassation censure l’arrêt d’appel, rappelant que les informations collectées sur la période antérieure à la déclaration constituent un mode de preuve illicite, qui ne peut en aucun cas permettre à l’employeur, en cas de contentieux, d’établir la réalité du fait fautif devant le juge prud’homal. En ces termes, elle précise que « constituent un moyen de preuve illicite les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration au CNIL ».
Auteur : Editions Dalloz – Tous droits réservés.
