Données personnelles et preuve en droit du travail : la Cour de cassation affine sa position

Le 9 avril 2025, la chambre sociale de la Cour de cassation a rendu deux arrêts significatifs venant préciser la place du Règlement Général sur la Protection des Données (RGPD) dans le cadre probatoire des litiges en droit du travail.

Alors que dans la première affaire, les juges écartent la preuve - jugée illicite - apportée par des fichiers de journalisation dans le cadre d’un licenciement, ils font droit, dans la seconde, à une demande de communiquer des pièces contenant des données à caractère personnel de salariés tiers.

‍

La Cour de cassation confirme ici l’ancrage du RGPD dans le contentieux social, appelant les employeurs à une vigilance accrue dans le traitement de données personnelles à des fins disciplinaires ou contentieuses. Nous faisons le point dans cet article.

‍

Licéité de la preuve et invalidité d’un licenciement

‍

‍Cour de cassation, 9 avril 2025, chambre sociale, 23-13.159

‍

Alors qu’un chef d’agence et son employeur s’étaient entendus sur le principe d’une rupture conventionnelle, des alertes internes au service informatique de l’entreprise ont dévoilés la suppression de plus de 4 000 fichiers et dossiers, ainsi qu’une centaine d’emails adressés sur l’adresse email professionnelle dudit chef d’agence.  

‍

A l’issue d’un constat d’huissier, recoupant les informations provenant des fichiers de journalisation avec les messages envoyés de l’adresse IP attribuée au salarié, l’entreprise prononce le licenciement pour faute grave du chef d’agence.  

‍

Ce dernier conteste cette décision devant la Cour d’appel d’Angers, ainsi que la licéité de la preuve par constat d’huissier considérant que l’exploitation d’un fichier de journalisation est un traitement de données à caractère personnel devant faire l’objet d’une déclaration préalable auprès de la Commission nationale de l’informatique et des libertés (CNIL).  

‍

La Cour d’appel écarte cette argumentation et juge la preuve licite.

‍

Saisie par le chef d’agence, la Cour de cassation adopte une position différente et rappelle sa position antérieure : les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel. La Cour ajoute par ailleurs que la collecte d’une adresse IP par exploitation du fichier de journalisation constitue un traitement de données à caractère personnel qui nécessite le consentement de la personne concernée. Les juges de la Haute juridiction concluent donc à l’illicéité de la preuve par constat d’huissier.  

‍

Par cette décision, la Cour de cassation exclut de facto toute autre base légale susceptible de justifier le traitement des adresses IP et des fichiers de journalisation par un employeur, ce qui va à l’encontre de la position, pourtant établie, de la CNIL qui accepte ce traitement sur le fondement de l’intérêt légitime de l’employeur (Article 6§1, f) du RGPD).

‍

En effet, cette dernière précise bien dans son Référentiel relatif à la gestion des ressources humaines, que les traitements destinés à assurer la sécurité et le bon fonctionnement des applications informatiques et des réseaux sont fondés sur l’intérêt légitime de l’employeur.  

‍

En outre, la base légale relative au consentement est inadaptée au droit du travail, où l’employeur cherchant à obtenir le consentement de son salarié se trouve dans une situation de force par rapport à ce dernier, faisant obstacle à la liberté du consentement. De plus, recueillir le consentement individuel de chacun de ses salariés implique pour l’employeur un processus long et complexe, l’exposant au risque de voir son traitement dénué de toute base légale en cas de retrait du consentement de ses employés.  

‍

Cette décision est donc très contestable du point de vue du droit des données personnelles.

‍

L’affaire ayant été renvoyée, la décision de la Cour d’appel de Pau est à surveiller, une position discordante pouvant porter l’affaire devant l’assemblée plénière de la Cour de cassation.

‍

Action en discrimination et injonction de communiquer des pièces

‍

Cour de cassation, 9 avril 2025, chambre sociale, 22-23.639

‍

Dans cette seconde affaire portant sur une action en discrimination, le juge de la mise en état avait enjoint à la Caisse d’épargne et de prévoyance Ile-de-France (CEIDF) de communiquer, pour chacune des huit salariées concernées, la liste nominative de tous les salariés embauchés sur une même classification, ainsi que, pour chacun de ces salariés, un certain nombre de données personnelles (notamment date de naissance, salaire brut mensuel de chaque année, en décomposant le salaire de base, les primes fixes et les éléments de rémunération variable de toute nature, bulletins de paie de décembre depuis leur date d’embauche, etc.).

‍

L’affaire ayant été portée devant la Cour de cassation, les juges de la Haute juridiction précisent qu’une demande de communication forcée de pièces contenant des données à caractère personnel doit nécessairement faire l’objet d’un examen avant toute exécution de la mesure dès lors que l’atteinte qu’elle pourrait porter aux personnes concernées ne peut plus utilement être réparée par un contrôle postérieur une fois les pièces communiquées.

‍

La décision de la Cour de cassation, faisant écho à la position de la Cour de Justice de l’Union européenne (CJUE), pose alors le cadre de l’appréciation d’une telle demande de communication de pièces. Elle précise qu’il appartient au juge de rechercher, d’une part, si la communication des pièces est nécessaire à l’exercice du droit de la preuve de la discrimination alléguée et proportionnée au but allégué et, d’autre part, de vérifier qu’il existe un motif légitime de conserver ou d’établir la preuve avant tout procès. En outre, lorsque la communication sollicitée est susceptible de porter atteinte à la vie privée d’autres salariés, les juges imposent de vérifier quelles mesures sont indispensables à l’exercice du droit à la preuve tout en préservant les droits fondamentaux en jeu.  

‍

Par ce dernier point, la Cour de cassation place au cœur du débat le principe de minimisation des données et consacre la possibilité de n’utiliser les données personnelles des salariés de comparaison qu’aux seules fin de l’action en discrimination, en occultant au besoin, sur les documents à communiquer, toutes les données à caractères personnel de ces derniers non indispensables à l’exercice du droit à la preuve et proportionnées au but poursuivi. La Cour de cassation renforce ici les exigences probatoires, en plaçant le contrôle de proportionnalité entre nécessité de la preuve et protection des données personnelles comme un impératif fondamental.  

‍

Cette décision s’inscrit dans le débat sur l’utilisation du droit d’accès prévu par le RGPD à des fins probatoires, notamment lorsque des demandes massives d’accès aux emails des salariés sont formulées en vue de constituer des éléments des preuves en matière de licenciement. Pour plus d’information, veuillez consulter notre article « Droit d’accès des salariés : levier ou dérive ? ».

‍

Que faut-il retenir de ces deux décisions ?

‍

Ces décisions invitent les employeurs à renforcer la conformité au RGPD des traitements des données personnelles de leurs salariés et notamment à :  

• informer correctement les salariés de toutes les finalités de traitement envisagées, et en particulier de tout contrôle individuel de leur activité ;  

• consulter les représentants du personnel, lorsqu’il en existe, avant toute mise en œuvre de moyens de contrôle de l’activité des salariés ;  

• définir précisément les droits et procédures d’accès aux données, et en particulier aux fichiers de journalisation ;  

• faire figurer dans les registres d’activité de traitement l’ensemble des activités, et des finalités poursuivies ;  

• veiller, en cas de contentieux, à ce que le principe de minimisation des données soit strictement respecté et mettre en œuvre toute mesure d’anonymisation des données personnelles non strictement nécessaires à la finalité probatoire.  

‍

Pour toute question ou accompagnement, l’équipe IT/Data du cabinet se tient à votre disposition !

‍

‍

Jeannie Mongouachon, avocate associée et Juliette Lobstein, avocate collaboratrice chez Squair