Par un arrêt du 8 octobre 2014, la chambre sociale de la Cour de cassation a considéré comme illicite une preuve obtenue par le biais d’un système de messagerie électronique non déclaré à la Cnil au moment des faits. Olivier Hayat, avocat, décrypte cette jurisprudence pour le Monde du Droit.
Il est d’usage pour toute entreprise de traiter les données à caractère personnel, à la fois de ses clients et prospects (gestion clients, CRM, emailing…) ainsi que de ses salariés (gestion administrative, badges, vidéosurveillance,…).
A ce titre, tout traitement de fichier automatisé de telles données doit faire l’objet d’une déclaration auprès de la Cnil préalablement à sa mise en œuvre conformément à l’article 22 de la loi Informatique, Fichiers et Liberté du 6 janvier 1978 (sauf dérogations ou cas de traitements soumis au régime de l’autorisation). Outre les sanctions applicables pénales et/ou administratives prononcées par la Cnil, le défaut de conformité à cette obligation peut avoir des conséquences pratiques dommageables.
En l’espèce, une entreprise a licencié pour cause réelle et sérieuse une salariée par lettre du 23 décembre 2009, lui reprochant une utilisation excessive de la messagerie électronique à des fins personnelles. Or, ce système de messagerie n’avait été déclaré à la Cnil que le 10 décembre 2009, soit postérieurement à la date des faits reprochés en octobre et novembre de la même année.
La cour d’appel avait néanmoins validé le licenciement pour cause réelle et sérieuse, considérant que la déclaration tardive n’avait "pas pour conséquence de rendre le système illicite ni davantage illicite l’utilisation des éléments obtenus". La Cour de cassation a censuré cette décision, notamment au visa de l’article 22 ci-avant, estimant que la cour d’appel s’était "[fondée] uniquement sur des éléments de preuve obtenus à l’aide d’un système de traitement automatisé d’informations personnelles avant qu’il ne soit déclaré à la Cnil, alors que l’illicéité d’un moyen de preuve doit entraîner son rejet des débats".
Cette décision s’inscrit dans la ligne de la jurisprudence antérieure, laquelle confirme la nécessité de déclarer un fichier auprès de la Cnil aux fins de se prévaloir des informations issues du traitement concerné et ce, pour des finalités déterminées. A titre d’exemple, la cour d’appel de Lyon avait, le 13 mars 2013, refusé d’utiliser le système de géolocalisation d’un véhicule de service, dès lors que celui-ci n’avait pas été déclaré à des fins de surveillance des salariés. A l’inverse, la Cour de cassation avait validé, par un arrêt du 10 juillet 2013, un licenciement fondé sur un système de "pointage" qui avait bien été déclaré à la Cnil.
Une décision était venue contredire cette jurisprudence constante : par un arrêt du 14 janvier 2014, cette même chambre sociale avait validé le licenciement d’un conducteur de poids lourds, malgré l’absence de déclaration d’un chronotachygraphe (version électronique du fameux "disque"), considérant qu’un tel système était obligatoire en vertu d’un règlement européen d’application directe et qu’à ce titre, "le salarié ne pouvait ignorer [son] existence". Cette décision avait été vivement critiquée par la doctrine : il était en effet surprenant que la Cour entremêle les obligations de déclaration auprès la Cnil et d’information de la personne concernée par le traitement, lesquelles ont deux fondements et objets distincts.
On peut, à ce titre, considérer que par cet arrêt du 8 octobre 2014, la chambre sociale revient sur cette décision du 14 janvier puisqu’en l’espèce, la salariée ne pouvait également pas ignorer l’existence du système litigieux de messagerie.
Il sera, enfin, rappelé que la Chambre Commerciale est allée dans le même sens s’agissant du fichier de clients : par arrêt du 25 juin 2013, la Cour avait considéré que la vente d’un fichier de clients non déclaré à la Cnil était nul dès lors que ce fichier « n’était pas dans le commerce » et "avait un objet illicite".
En conclusion, bien que les entreprises soient de plus en plus sensibilisées aux problématiques de données personnelles, il n’est pas rare que certaines d’entre elles omettent d’effectuer les formalités préalables auprès de la Cnil. Dans cette hypothèse, l’adage populaire "mieux vaut tard que jamais" trouve à s’appliquer.
Ainsi, si aucune déclaration (clients/prospects, salariés,…) n’a été effectuée, la doctrine de la Cnil confirme qu’il reste tout à fait possible – et devrait-on dire obligatoire – de régulariser cette situation en procédant à la déclaration adéquate au regard du traitement effectué.
En revanche, cette prise de conscience doit être promptement suivie d’effets : comme le démontre la jurisprudence, un juge peut, par exemple, refuser d’utiliser les outils objets de la déclaration, laissant une partie de bonne foi dans l’incapacité de faire valoir ses droits ou encore, invalider une cession lors d’opérations de fusion ou d’acquisition.
Olivier Hayat (Hayat Avocat)
