Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia - 76

D

O

C

T

R

I

N

E

Une nouvelle position de
principe quant à la recevabilité
des moyens de preuve issus
de traitements automatisés de
données personnelles
Dans son arrêt du 25 novembre 2020,
la Cour de cassation a non seulement
clarifié les cas dans lesquels un
élément de preuve issu d'un traitement de données personnelles non
déclaré à la Cnil doit être jugé illicite,
mais également les conditions dans
lesquelles une telle preuve, même
illicite, peut être considérée comme
recevable dans le cadre d'un contentieux prud'homal.

L'illicéité des éléments de
preuves issus de traitements de
données non déclarés à la Cnil
Les faits ayant donné lieu à la
décision du 25 novembre 2020
sont les suivants  : un salarié de
l'Agence France Presse avait fait
en 2015 l'objet d'un licenciement
pour faute grave en raison de
l'envoi d'emails dans lesquels
il usurpait l'identité de sociétés
clientes.
L'AFP avait pu identifier l'employé
coupable grâce à son adresse IP,
en procédant à un recoupement
entre les fichiers de journalisation
enregistrés sur ses serveurs
et l'adresse utilisée par l'envoi
des messages incriminés. Le
salarié concerné contestait son
licenciement en arguant que
la collecte des adresses IP dans
les fichiers de journalisation
n'avait pas été déclarée à la Cnil,
et que le moyen de preuve tiré
de ce traitement de données
personnelles devait être considéré
comme illicite et en conséquence
irrecevable.
En l'espèce, la cour d'appel de Paris
avait reconnu que les adresses
IP et fichiers de journalisation
étaient des données personnelles, mais avait affirmé que le
traitement de ces données n'était
pas soumis à une déclaration à la
Cnil, dès lors qu'il n'avait pas pour
vocation première le contrôle des
utilisateurs. Elle avait donc jugé

76

que l'employeur pouvait se fonder
sur cet élément pour justifier le
licenciement du salarié coupable
d'usurpation.
La Chambre sociale, dans son arrêt
du 25 novembre 2020, confirme
la position prise par la cour
d'appel quant à la qualification des
adresses IP. Elle juge ainsi pour
la première fois que les adresses
IP, dès lors qu'elles permettent
d'identifier indirectement une
personne physique, sont des
données personnelles au sens de
l'article 2 de la loi Informatique
et libertés (dans sa version antérieure à l'entrée en vigueur du
RGPD). L'exploitation de fichiers de
journalisation, dans lesquels sont
collectées des adresses IP, constitue donc un traitement de données
à caractère personnel.
Elle s'aligne ainsi sur la position
majoritaire, adoptée notamment
par la première chambre civile,
qui avait clairement posé ce
principe dès 2016 (Cass. Civ. 1ère
3 novembre 2016, n° 15-22.595),
quelques jours après que la Cour
de justice de l'Union européenne a
également affirmé qu'une adresse
de protocole Internet dynamique
constitue une donnée à caractère
personnel (CJUE, 19 octobre 2016,
affaire C-582/14).
La CJUE avait déjà reconnu, en
2011, que les adresses IP constituent
des « données protégées à caractère
personnel, car elles permettent
l'identification précise desdits utilisateurs » (CJUE, 24 novembre 2011,
affaire C-70/10).
La Chambre sociale tire cependant
de cette qualification des adresses
IP une conclusion différente de
celle retenue par la cour d'appel
de Paris. Elle retient ainsi que, dès
lors que l'exploitation des fichiers
de journalisation constituait un
traitement de données à caractère
personnel, la mise en place de ces
fichiers aurait dû faire l'objet d'une
déclaration préalable à la Cnil en
application de la loi Informatiques
et libertés. En l'absence d'une telle
EXPERTISES Février 2021

déclaration, les données issues des
fichiers de journalisation constituent un moyen de preuve illicite.
L'arrêt d'appel est donc cassé en ce
que les juges avaient retenu que la
preuve tirée des fichiers de journalisation devait être considérée
comme licite.
Les juges de la Chambre sociale
adoptent ainsi une position de
principe claire quant au caractère
licite ou non de données issues
de fichiers devant faire l'objet
d'une déclaration préalable à la
Cnil, et reviennent notamment
sur les distinctions opérées dans
leur jurisprudence la plus récente,
sur laquelle la cour d'appel s'était
alignée.
La Chambre sociale avait tout
d'abord, en 2004, posé le principe selon lequel «  à défaut de
déclaration à la Commission
nationale de l'informatique et des
libertés, un traitement automatisé
d'informations nominatives n'est
pas opposable au salarié  » (Cass.
Soc. 6 avril 2004, n° 01-45.227).
Dans cette affaire, l'employeur
avait mis en place un système
de badge automatisé permettant
d'identifier les salariés à leur entrée
et à leur sortie des locaux de l'entreprise mais n'avait pas déclaré
ce mécanisme à la Cnil. La Cour
de cassation a estimé que le refus
d'un salarié d'utiliser ce dispositif
traitant ses données personnelles
de manière automatisée ne pouvait
lui être reproché en l'absence
d'une déclaration préalable à la
Cnil, et en conséquence confirmé
l'arrêt d'appel ayant jugé que son
licenciement ne reposait pas sur
une cause réelle et sérieuse.
Elle avait ensuite réaffirmé
que «  constituent un moyen de
preuve illicite les informations
collectées par un système de
traitement automatisé de données
personnelles avant sa déclaration
à la Cnil  » et que «  l'illicéité d'un
moyen de preuve doit entraîner
son rejet des débats  » (Cass. Soc.
8 octobre 2014, n° 13-14.991). Elle
en avait conclu que la cour d'appel
Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia
