Dans une récente affaire, la Cour de cassation rappelle que le non-respect des règles du RGPD peut rendre illicite la preuve collectée par l’employeur.

Les faits

En 2004, un salarié est recruté en CDI par une société qui construit des maisons individuelles, en qualité de chef d’agence.

La société a une charte informatique régulière et connue du salarié.

En 2019, le salarié propose une rupture conventionnelle à son employeur, qui donne son accord de principe.

Quelques jours plus tard, le salarié reçoit une convocation à un entretien préalable à son licenciement avec mise à pied à titre conservatoire.

En effet, à la suite d’un problème identifié par des salariés, l’employeur s’est aperçu que des fichiers de l’agence avaient disparu. Une rapide recherche fait apparaître que le salarié visé a envoyé sur son adresse personnelle plus de 4.000 fichiers et dossiers, avant de les supprimer du réseau interne de l’entreprise.

Les envois et les suppressions ont eu lieu la veille du jour où le salarié a demandé sa rupture conventionnelle.

Les faits sont constatés par un huissier de justice dans un procès-verbal qui sera versé aux débats.

Lors de son entretien préalable, le salarié se contredit, rejette la faute sur un collègue, avant d’admettre avoir « fait le ménage » sur son ordinateur et avoir envoyé des documents professionnels sur sa boîte mail personnelle.

L’employeur considère que ces actes rendent impossible le maintien du salarié dans l’entreprise. Il lui notifie donc la rupture du contrat de travail pour faute grave.

Le salarié conteste son licenciement.

Procédure et enjeux juridiques

Une des questions au cœur de l’affaire est celle de la licéité du procès-verbal d’huissier et du traitement du fichier de journalisation dont il découle.

• Pour le salarié : Une adresse IP est une donnée à caractère personnel, comme l’a jugé la Cour de cassation (Cass. Soc, 25 novembre 2020, n°17-19.524). En conséquence, sa collecte par exploitation d’un fichier de journalisation doit faire l’objet d’une déclaration préalable auprès de la CNIL. A défaut, le constat d’huissier doit être écarté car illicite.
• Pour l’employeur : Aucun outil de contrôle du contenu des messages ou des sites personnels utilisés n’a été mis en place ou utilisé par l’employeur. Seules des recherches sur les fichiers de journalisation, qui recensent les manipulations effectuées par le salarié dans la messagerie interne ont eu lieu. Or, celui-ci ne contient pas de données personnelles et ne nécessite pas d’information à la CNIL. Le constat d’huissier est donc recevable.

Estimant que l’adresse IP mentionnée sur les fichiers de journalisation renvoie à un réseau local permettant d’identifier un périphérique et non directement à une personne physique, la Cour d’Appel d’Agen considère que les informations contenues dans le constat d’huissier ne constituent pas des données personnelles. Dès lors, aucune déclaration à la CNIL n’est exigée et la production du constat d’huissier est licite.

Le salarié forme un pourvoi, et l’affaire est portée devant la Cour de cassation qui rappelle dans son arrêt du 9 avril 2025 :

• Que selon l’article 5 du RGPD : les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée, et collectées pour des finalités déterminées, explicites et légitimes.

Aucun traitement ultérieur n’est possible s’il n’est pas compatible avec ces finalités.

• Que selon l’article 6 § 1 du RGPD : le traitement n’est licite que si au moins une condition est remplie parmi une liste, dans laquelle figure : « La personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».

La chambre sociale en déduit qu’une adresse IP, qui permet indirectement d’identifier une personne physique, est une donnée à caractère personnel au sens de l’article 4 du Règlement général sur la protection des données.

Il en résulte que la collecte d’une adresse IP par l’exploitation du fichier de journalisation constitue un traitement de données à caractère personnel auquel le salarié doit avoir consenti pour être licite.

Le constat d’huissier fourni par l’employeur est donc une preuve illicite.

Quels sont les enseignements à tirer de cette décision ?

Ø  La donnée personnelle ne relève pas forcément de la vie privée du salarié

En l’espèce, les mails examinés étaient des mails ayant en objet des intitulés à caractère professionnel auxquels l’employeur pouvait librement avoir accès et les fichiers de journalisation faisaient apparaître les activités et événements du réseau de l’entreprise. Le seul élément d’ordre personnel contenu dans les fichiers de journalisation était l’adresse IP du salarié à laquelle les fichiers étaient envoyés.

Pour autant, la Cour de cassation rappelle que ces éléments constituent une donnée personnelle qui doit donc bénéficier des garanties prévues par le RGPD.

Rappelons en effet qu’une donnée personnelle n’est pas celle qui relève de la vie privée du salarié, mais celle qui permet de l’identifier, ce qui était le cas en l’espèce.

Ø  La preuve obtenue en méconnaissance du respect du RGPD est illicite

La Cour de cassation rappelle donc qu’un fichier de journalisation constitue un traitement de données personnelles qui doit respecter les règles du RGPD : recensement dans le registre des traitements de l’entreprise, transparence sur les finalités et les modalités d’utilisation, à défaut, recueil du consentement du salarié.

C’est ici l’occasion de rappeler l’importance de la rédaction des chartes informatiques des entreprises, et de la tenue d’un registre des traitements actualisé en associant les ressources humaines.

Ø  Pour autant l’employeur n’est pas dépourvu de moyen d’action

Cette décision, qui peut sembler sévère, ne prive pas pour autant l’employeur de tout moyen d’action.

En effet, même devant les chambres sociales, une preuve illicite n’est pas forcément inutilisable, la Cour de cassation acceptant désormais la production de preuves illicites si cette production est indispensable à l’exercice du droit à la preuve (Ass. Plen.,22 décembre 2023, n°20-20.648).

En l’espèce, les juges du fond ont eu d’autres éléments que le procès-verbal d’huissier pour statuer sur la faute grave du salarié et il semble donc que celui-ci n’était pas indispensable.

Pour autant, la cour d’Appel de Pau devant laquelle l’affaire est renvoyée pourra tout à fait confirmer la validité du licenciement prononcé en s’appuyant sur d’autres éléments ou en considérant que l’acte d’huissier était indispensable à la manifestation de la faute du salarié et en le prenant donc en compte, nonobstant son caractère illicite.