Usurpation de données et recevabilité de la preuve

Usurpation de données et recevabilité de la preuve
⏱ Lecture 4 min

Par Amanda Dubarry et Lucie Brecheteau

« En matière prud’hommale, la preuve est libre[1]. »

Bien que libre, la preuve ne sera recevable devant les autorités judiciaires que si elle est licite. Le principe de loyauté de la preuve est en effet consacré par un arrêt de l’Assemblée plénière de la Cour de cassation en date du 7 janvier 2011[2].

 

Le Conseil constitutionnel y fait également référence dans une décision du 18 novembre 2011[3] en relevant « qu'il appartient en tout état de cause à l'autorité judiciaire de veiller au respect du principe de loyauté dans l'administration de la preuve ».

Pourtant, dans son arrêt remarqué du 25 novembre 2020 la Cour de cassation estime que la production d’une preuve illicite n’est pas nécessairement irrecevable en matière prud’homale…

1. Le rappel des faits et de la procédure

Au cœur de cette affaire, il était question d’une usurpation de données informatiques.

En effet, un salarié de l’AFP avait adressé à une entreprise concurrente plusieurs demandes de renseignements par email, en usurpant l’identité de sociétés clientes. L’AFP, en apprenant ces manœuvres, a licencié ledit salarié pour faute grave.

A l’appui de sa décision, l’AFP produisait un procès-verbal de constat d’huissier établissant avec précision que l’adresse IP utilisée pour procéder à l’envoi desdits messages était effectivement celle du salarié concerné.

Inévitablement, le salarié contestait son licenciement arguant le fait que les éléments de preuve étaient illicites dès lors qu’ils n’avaient pas fait l’objet d’une déclaration préalable auprès de la CNIL.

Pour rappel, l’article 23 de la loi n°78-17 du 6 janvier 1978, pris dans sa version antérieure à l’entrée en vigueur du RGPD, imposait de procéder à une déclaration auprès de la CNIL préalablement au déploiement d’un traitement de données à caractère personnel.

Désormais, l’esprit du RGPD fonde la protection des données personnelles sur un principe de responsabilité, ou d’« accountability », selon lequel les responsables de traitement ont l’obligation d’assurer la conformité de leurs traitements de données à la règlementation applicable, et doivent être en mesure de démontrer cette conformité à tout moment3. Aussi, sauf traitement particulier, il n’est plus nécessaire de procéder à des déclarations préalables depuis le 25 mai 2018.

Deux questions se posaient à en l’espèce :

  • Les fichiers de journalisation contenant des adresses IP devaient-ils faire l’objet d’une déclaration préalable auprès de la CNIL ?
  • Le caractère illicite d’une preuve obtenue au moyen d’un traitement de données personnelles qui aurait dû être déclaré à la CNIL entraîne-t-il son exclusion dans le cadre de l’appréciation de l’affaire par le juge ?

2. La portée de la décision

L’adresse IP d’un salarié est une donnée à caractère personnel dont le traitement devait être déclaré à la CNIL, conformément à l’article 23 de la loi n°78-17 du 6 janvier 19782, envisagée dans sa version antérieure à l’entrée en vigueur du RGPD.

Sur ce premier point, la Cour de cassation rappelle sans surprise sa jurisprudence antérieure selon laquelle les adresses IP constituent bien des données à caractère personnel, en application de l’article 2 de la loi « Informatique et Libertés ». Aussi, leur collecte via l’exploitation d’un fichier de journalisation constitue un traitement de données à caractère personnel qui devait, autrefois, faire l’objet d’une déclaration auprès de la CNIL préalablement à sa mise en œuvre[4].

La production d’une preuve illicite à l’appui d’un licenciement d’un salarié est recevable dès lors qu’elle est indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi.

S’agissant de la seconde question, la solution de la Cour de cassation est plus subtile : selon elle, l’illicéité d’un moyen de preuve n’entraîne pas nécessairement son irrecevabilité, et donc son exclusion automatique des débats. En revanche, le juge saisi doit impérativement apprécier la proportionnalité de l’utilisation de cette preuve en procédant à une mise en balance entre le droit au respect de la vie personnelle du salarié d’une part, et le droit à la preuve dont dispose l’employeur, d’autre part.

Ainsi, ce n’est qu’à l’issue d’un contrôle de proportionnalité que les juges peuvent déterminer avec précision si l’atteinte portée à la vie privée du salarié du fait de la production de données à caractère personnel est justifiée par l’exercice du droit de la preuve de l’employeur et strictement proportionnée au but poursuivi par celui-ci.

Il est à noter qu’une telle solution s’inscrit au cœur d’une évolution jurisprudentielle en matière de preuve des faits justifiant le licenciement d’un salarié.

En effet en 2014, la Chambre sociale de la Cour de cassation avait considéré qu’un licenciement fondé sur des éléments de preuve illicites, obtenus via un système de traitement automatisé d'informations personnelles avant qu'il ne soit déclaré à la CNIL, était dénué de toute cause réelle et sérieuse[5].

«  Encourt la cassation l’arrêt qui, pour retenir la faute du salarié, se fonde uniquement sur des éléments de preuve obtenus à l’aide d’un tel système, alors que l’illicéité d’un moyen de preuve doit entraîner son rejet des débats. »

A l’inverse en 2016, la Haute juridiction avait estimé que le droit à la preuve pouvait justifier la production d’éléments de nature à porter atteinte à la vie personnelle d’un salarié dès lors qu’elle était nécessaire à l’exercice de ce droit et que l’atteinte était proportionnée au but poursuivi[6].

La Cour de cassation assouplit sa jurisprudence en matière de recevabilité de la preuve devant les juridictions prud’homales. Les parties au procès sont ainsi libres de produire tout moyen de preuve à l’appui de leur demande, y compris ceux frappés d’illicéité, à la condition qu’elles justifient que leur production est indispensable et proportionnée au but poursuivi.

***

Le cabinet HAAS Avocats est spécialisé depuis plus de 20 ans dans la protection des données personnelles et se tient à vos côtés pour vous accompagner dans la conformité de vos traitements de données. Pour en savoir plus, contactez-nous ici.

 

[1] Soc.27 mars 2001 (pourvoi n° 98-44.666, Bull. 2001, V, n° 108)

[2] Cass. ass. plén., 7 janv. 2011, n/ 09-14.316 et 09-14.667.

[3] Cons. const., 18 nov. 2011 , n/ 11-191/194/195/196/197 QPC, n/ 30 : JurisData n/ 2011-025225

[4] Conformément à l’article 23 de la loi n°78-17 du 6 janvier 2018

[5] Cass. Soc., 8 octobre 2014, n°13-14.991

[6] Cass. Soc., 9 novembre 2016, n°15-10.203

Amanda DUBARRY

Auteur Amanda DUBARRY

Suivez-nous sur Linkedin