Sep 2017

Courriels professionnels : La Cour de cassation tolère l’atteinte à la vie privée du salarié

Le 1^er juin dernier, la Cour de cassation a considéré qu’un employeur pouvait produire en justice des mails tirés d’une messagerie professionnelle alors même que cette messagerie n’avait pas été déclarée à la CNIL (Cass. Soc. 1^er Juin 2017. n° 15-23522).

Cette décision est presque restée dans l’ombre.

C’est étonnant.

D’une part, car la Cour atténue ainsi sensiblement l’une de ses positions récentes (Cass. Soc. 8 oct. 2014. n° 13-14991) qui considérait comme moyen de preuve illicite les courriels provenant de toute messagerie non déclarée.

D’autre part, parce que cet arrêt autorise une pratique en principe proscrite par la loi Informatique et Libertés du 6 Janvier 1978 qui veille à préserver la vie privée du salarié.

En effet, l’employeur doit en principe déclarer la messagerie électronique professionnelle auprès de la CNIL comme suit :

Une déclaration simplifiée lorsque la messagerie ne comporte pas de contrôle individuel de l’activité des salariés (norme simplifiée n°46),
Une déclaration normale si existe un tel contrôle.

Cette obligation déclarative s’impose en effet aux systèmes de traitement de données, y compris pour la gestion du personnel.

Dans l’affaire ayant conduit à la décision du 1^er Juin 2017, un DAF, qui avait été licencié pour insuffisance professionnelle, avait demandé à ce que soient écartées des pièces des débats judiciaires en faisant relever qu’il s’agissait d’emails provenant d’une messagerie électronique professionnelle n’ayant pas été déclarée auprès de la CNIL.

L’accueil de l’argumentation du salarié paraissait acquise.

Pourtant, les Juges n’ont pas suivi cette demande, malgré la non déclaration avérée de la messagerie de l’entreprise.

Pour surmonter cette carence déclarative, la Haute Cour fait valoir les deux éléments suivants :

La messagerie concernée ne contenait pas de système de contrôle individuel de l’activité des salariés, et donc ne portait pas atteinte à la vie privée du collaborateur.
Les mails correspondaient à des échanges entre employeur et salarié et leurs auteurs savaient qu’ils étaient enregistrés et conservés par le système informatique.

Les Juges atténuent donc sensiblement l’obligation préalable de déclaration des messageries dès lors que celles-ci ne comportent pas de système de contrôle individuel de l’activité des collaborateurs.

C’est l’existence d’un tel système de contrôle qui semble donc qualifier la messagerie de système automatisé de données, avec les déclarations y afférentes à effectuer.

Cette approche finalement pragmatique de la Cour de cassation est heureuse pour les employeurs.

Bon nombre de dossiers judiciaires auraient en effet été fragilisés s’il avait fallu systématiquement écarter les emails provenant de messagerie non déclarée à la CNIL, ce qui reste fréquent en pratique.

Néanmoins, cette décision, qui conforte le passé, aura probablement une portée limitée pour l’avenir.

En effet, dès le 25 mai 2018, avec le Règlement européen sur la protection des données (RGPD), disparaitront les déclarations préalables de traitements relatifs aux données relatives à la gestion du personnel.

Il s’agira d’un allégement administratif évident pour les entreprises… qui devront, en contrepartie, veiller à la conformité du système de traitement dès sa conception.

Libérée de la gestion des déclarations en amont, la CNIL pourra alors exercer a posteriori ses pouvoirs de contrôle sensiblement élargis (sanctions pouvant aller jusqu’à 4% du CA mondial…).

En partie rassurés pour le passé, les employeurs peuvent donc désormais se préparer activement en vue de l’échéance de mai prochain.

Bertrand Merville

Par Catégories

Par date

Courriels professionnels : La Cour de cassation tolère l’atteinte à la vie privée du salarié