Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia - 77

ne pouvait en l'espèce se fonder,
pour admettre le licenciement
d'un salarié pour faute grave en
raison de l'utilisation excessive de
sa messagerie professionnelle à
des finalités personnelles comme
licite, sur des éléments de preuve
obtenus par le biais d'un dispositif
de contrôle des messageries électroniques non déclaré à la Cnil.
Des solutions identiques avaient
été retenues par les juges du fond,
qui avaient pu à plusieurs reprises,
suite à l'arrêt de la Cour de cassation
de 2004, souligner que l'absence
de déclaration d'un traitement
automatisé de données à caractère
personnel à la Cnil rendait les
données issues de ce traitement
illicites et donc irrecevables en
tant que mode de preuve (par
exemple cour d'appel de Versailles,
11 janvier 2007, n° 05/05437
pour un système de contrôle des
messageries professionnelles, ou
cour d'appel de Paris, 3 juin 2008,
n° 06/11942 pour un système de
contrôle des appels).
La Chambre sociale avait néanmoins apporté des tempéraments
au principe selon laquelle un traitement de données personnelles non
déclaré à la Cnil ne peut être opposable au salarié. Elle avait d'abord,
en 2014, retenu une exception pour
les traitements de données personnelles non déclarés à la Cnil, mais
fondés sur une obligation réglementaire. Dans l'affaire en cause,
un chauffeur routier avait été
licencié pour faute grave pour avoir
manipulé frauduleusement son
chronotachygraphe (un appareil
enregistreur du temps de conduite)
afin de majorer son temps de
travail et ainsi sa rémunération. La
cour d'appel avait considéré que les
enregistrements effectués par le
chronotachygraphe du salarié ne
pouvaient lui être opposés en l'absence de déclaration de ce dispositif à la Cnil. La Chambre sociale
avait au contraire retenu qu'une
absence de déclaration à la Cnil
du chronotachygraphe ne saurait
priver l'employeur de la possibilité
de se prévaloir, à l'égard du salarié,

des informations fournies par ce
dispositif de contrôle. En effet, en
vertu du règlement CEE n° 3821/85
du 20 décembre 1985, d'application
directe, une entreprise de transport routier est tenue, sous peine
de sanctions pénales, d'assurer
la mise en place et l'utilisation
d'un chronotachygraphe dans
les véhicules de ses chauffeurs
routiers, afin de veiller au respect
de la réglementation relative aux
temps de conduite et de repos
des chauffeurs. Selon la Chambre
sociale,
puisque
l'obligation
d'utiliser un chronotachygraphe
était fondée sur un règlement
européen, ce dispositif pouvait
être opposable au salarié malgré
l'absence de déclaration à la Cnil,
et ce d'autant plus que «  le salarié
ne pouvait ignorer l'existence » de
ce matériel de contrôle (Cass. Soc.
14 janvier 2014, n° 12-16218).
Plus récemment, en 2017, la
Chambre sociale avait admis un
nouveau tempérament à sa position de principe initiale, en jugeant
qu'un employeur pouvait produire
en justice les emails issus de la
messagerie professionnelle d'un
salarié, malgré l'absence de déclaration préalable du système de
messagerie à la Cnil, au motif que
ce dispositif n'était pas destiné au
contrôle individuel de l'activité des
salariés. Elle relevait notamment
que le salarié ne pouvait ignorer
que ses emails étaient enregistrés
et conservés par le système informatique de son employeur (Cass.
Soc. 1er juin 2017, n° 15-23.522).
La cour d'appel de Paris, dans son
arrêt examiné par la Chambre
sociale le 25 novembre 2020, avait
visiblement retenu les critères
mis en exergue par la Cour de
cassation en 2017. Elle soulignait
en effet que les fichiers de journalisation n'avaient pas «  pour
vocation première le contrôle des
utilisateurs », et que le traçage issu
de la mise en place de ces fichiers
ne pouvait être ignoré par le
salarié compte tenu de sa fonction
de correspondant informatique et
libertés.
EXPERTISES Février 2021

La Chambre sociale, en censurant la cour d'appel, revient sur
la distinction qu'elle avait établi
en 2017 entre les traitements de
données personnelles ayant pour
objet une surveillance d'un salarié
et ceux non destinés spécifiquement à exercer un tel contrôle, et
réaffirme ainsi le principe qu'elle
avait posé dès 2004 selon lequel
tout traitement automatisé constitue en principe une preuve illicite
à défaut de déclaration à la Cnil.
En toute hypothèse, la législation relative à la protection des
données à caractère personnel ne
fait aucune différence entre les
traitements destinés au contrôle
d'une activité et les autres types
de traitement. Tout traitement de
données personnelles est régi par
la loi Informatique et libertés dans
sa version en vigueur à la date du
traitement concerné (ainsi que le
RGPD depuis le 25 mai 2018), et
tout traitement automatisé devait
faire l'objet d'une déclaration à la
Cnil avant l'entrée en vigueur du
RGPD.La position prise par la Cour
de cassation dans son arrêt du
25 novembre 2020 doit donc être
approuvée au regard de sa cohérence avec la réglementation en
matière de données personnelles.

La recevabilité des éléments
de preuve illicites faute de
déclaration préalable
Tout en réaffirmant que toutes
les données issues de traitements
non déclarés à la Cnil constituent
des preuves illicites, la Chambre
sociale s'écarte néanmoins des
solutions qu'elle avait précédemment retenues de manière
constante, notamment dans ses
arrêts de 2004 et 2014, en soulignant que l'illicéité de ces moyens
de preuve n'implique pas automatiquement leur irrecevabilité.
Elle pose ainsi de manière claire le
principe selon lequel l'illicéité d'un
moyen de preuve au regard de la
loi Informatique et libertés (dans
sa version antérieure à l'entrée en
vigueur du Règlement général sur la
protection des données) « n'entraîne

77
Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia
