Licenciement. Dans un arrêt du 8 octobre 2014, la chambre commerciale de la Cour de cassation a considéré que les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration à la Cnil, constituent un moyen de preuve illicite.
Dans cette affaire, une société avait licencié un de ses salariés sur la base d’une utilisation excessive de sa messagerie électronique professionnelle à des fins personnelles, en se fondant sur des éléments de preuve obtenus grâce à un dispositif de contrôle individuel de l’importance et des flux de messagerie électronique. Décidé à contester ce licenciement, le salarié a argué du fait que le dispositif de contrôle individuel de l’importance et des flux de messagerie électronique, n’avait pas fait l’objet des formalités préalables obligatoires auprès de la Commission nationale informatique et libertés (Cnil) au moment de son licenciement.
La Cour de cassation casse l’arrêt de la cour d’appel qui avait retenu que la déclaration tardive à la Cnil de la mise en place d’un dispositif de contrôle individuel de l’importance et des flux de messagerie électronique n’a pas pour conséquence de rendre le système illicite ni davantage illicite l’utilisation des éléments obtenus, et affirme que « constituent un moyen de preuve illicite les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration à la Cnil ».
De plus, la Cour de Cassation précise que l’outil doit être conforme au moment de la collecte des informations qui sont utilisées comme moyen de preuve. Il n’est donc pas possible d’effectuer une régularisation postérieurement à la collecte de celles-ci.
Il résulte de cet arrêt que tout outil permettant nativement ou in fine le contrôle de l’activité des salariés ne peut pas être utilisé en tant que preuve dans le cadre d’une procédure de licenciement, sans que sa conformité à la réglementation Informatique et libertés ait été préalablement vérifiée au risque d’être rejetée.
En pratique, pour être utilisé comme moyen de preuve dans le cadre d’un licenciement, deux situations peuvent se présenter :
- l’outil permet nativement le contrôle de l’activité des salariés (vidéosurveillance, les logiciels permettant de surveiller les connexions des salariés, etc.), il convient alors d’effectuer une déclaration préalable auprès de la Cnil et de se conformer aux autres obligations résultant de la réglementation Informatique et libertés (ex : l’information préalable des salariés), ainsi qu’aux obligations résultant du droit du travail (ex : le respect de la procédure d’information et la consultation préalable du comité d’entreprise) ;
- l’outil peut permettre en plus de sa finalité principale, de contrôler l’activité des salariés (un outil de gestion des flux de messagerie électronique), dans une telle situation il convient de préciser dans le cadre de la déclaration préalable du traitement auprès de la Cnil, la finalité de contrôle de l’activité des salariés, afin de ne pas se voir reprocher un détournement de la finalité du traitement, qui entraînerait en plus du rejet de la preuve dans le cadre d’une procédure de licenciement, la constitution d’un délit. De la même façon que dans la première situation, l’outil devra également se conformer aux autres obligations applicables.
Dans un tel contexte, les employeurs utilisant des outils permettant nativement ou in fine le contrôle de l’activité de leurs salariés, doivent être extrêmement vigilants.
A ce titre, les employeurs peuvent notamment s’assurer de la conformité de leurs outils à la loi Informatique et libertés en engageant un audit de conformité à celle-ci de leurs outils existants, ou en s’appuyant sur un cahier des spécifications Informatique et libertés pour les outils qu’ils souhaitent installer.
Céline Avignon
Anaïs Gimbert-Bonnal
Lexing, Droit Informatique et libertés Contentieux