Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia - 78

D

O

C

T

R

I

N

E

pas nécessairement son rejet des
débats ». La Chambre sociale invite
les juges du fond à effectuer un
contrôle de proportionnalité pour
déterminer si l'atteinte portée à la
vie personnelle du salarié par la
production d'informations collectées par un dispositif non déclaré à la
Cnil est « indispensable » à l'exercice
du droit à la preuve de l'employeur.
Bien que la législation relative à la
protection des données protège
la vie personnelle du salarié, y
compris sur son lieu de travail, la
Cour de cassation admet donc que
des éléments de preuve obtenus en
violation de cette réglementation
puissent être utilisés, notamment
pour justifier un licenciement
pour faute grave, au titre du droit
au procès équitable dont découle le
droit à la preuve.
La Chambre sociale aligne ainsi
les règles applicables aux preuves
issues de traitements de données
personnelles illicites avec celles
qu'elle avait préalablement retenues dans le cadre de litiges relatifs
à la production par un employeur
d'éléments portant atteinte à la
vie personnelle d'un employé. Elle
avait en effet pu juger, dès 2016,
que «  le droit à la preuve peut
justifier la production d'éléments
portant atteinte à la vie personnelle
d'un salarié à la condition que cette
production soit nécessaire à l'exercice de ce droit et que l'atteinte soit
proportionnée au but poursuivi  »
(Cass. Soc. 9 novembre 2016,
n° 15-10.203).
Plus
récemment,
elle
avait
précisé que la production d'une
preuve illicite ne peut être
admise que dès lors qu'elle est
indispensable - et non simplement
nécessaire - à l'exercice du
droit à la preuve (Cass. Soc.,
30 septembre 2020, n° 19-12.058).
En l'espèce, la production en
justice par l'employeur d'une
photographie extraite du compte
privé Facebook d'une salariée avait
été admise par la Cour de cassation
dès lors que la cour d'appel avait
démontré que cette «  production

78

d'éléments portant atteinte à
la vie privée de la salariée était
indispensable à l'exercice du droit
à la preuve et proportionnée au
but poursuivi, soit la défense de
l'intérêt légitime de l'employeur à
la confidentialité de ses affaires  ».
La Chambre sociale s'était ainsi
jointe à la position de la première
chambre civile, qui avait, dès
2012, retenu qu'une preuve illicite
ne peut être produite que si elle
est indispensable au regard du
droit à la preuve (Cass. Civ. 1ère
5 avril 2012, n° 11-14.177).
La Cour de cassation, comme
elle le précise elle-même dans
son arrêt du 25 novembre 2020,
s'inspire également des décisions
rendues par la Cour européenne
des Droits de l'Homme, qui a
admis la recevabilité de moyens
de preuve obtenus en violation du
droit à la vie privée - protégé par
l'article 8 de la Convention européenne des Droits de l'Homme sur le fondement du droit au procès
équitable consacré par l'article 6
de la même Convention (notamment dans les arrêts Barbalescu 5 septembre 2017, n° 61496/08 - et
Lopez Ribalda - 17 octobre 2019,
n° 1874/13 et 8567/13).
La juridiction européenne soulignait alors la nécessité d'effectuer
une balance des intérêts lors de
l'appréciation du caractère proportionné de l'atteinte portée à la vie
privée par le droit à la preuve, ce
que reprend la Cour de cassation.
Cette consécration par la Chambre
sociale du droit à la preuve, en relation avec la production d'éléments
de preuve obtenus en violation
de la législation sur la protection des données personnelles,
constitue en toute hypothèse le
principal apport de sa décision du
25 novembre 2020. Une preuve
issue d'un traitement non déclarée à la Cnil, bien qu'illicite, pourra
être considérée par les juges après
qu'ils auront procédé à un test de
proportionnalité et justifié de son
caractère indispensable dans le
cadre du litige en cause.
EXPERTISES Février 2021

L'application des règles
posées par la Chambre
sociale aux traitements
de données personnelles
régis par le RGPD
L'arrêt de la Chambre sociale de la
Cour de cassation du 25 novembre
portait sur des faits antérieurs
au 25 mai 2018, date d'entrée en
vigueur du RGPD. Or, depuis cette
date, les traitements de données
à caractère personnel, même
automatisés, ne sont plus soumis
à une obligation de déclaration ou
demande d'autorisation préalable
à la Cnil (sauf cas très particuliers,
notamment pour certains traitements portant sur des données de
santé).
En contrepartie de la suppression de l'accomplissement des
formalités préalables à la mise en
œuvre de traitements de données
à caractère personnel, le RGPD et
la loi Informatique et libertés (telle
que modifiée par la loi n° 2018-493
du 20 juin 2018 et l'ordonnance
n° 2018-1125 du 12 décembre 2018)
imposent de nouvelles obligations
aux entités collectant et utilisant
des données personnelles.
En particulier, celles-ci doivent tenir
un registre des traitements qu'elles
mettent en œuvre, qui doit entre
autres préciser les finalités du traitement, les catégories de données
concernées, les destinataires des
données, les éventuels transferts de
données hors de l'Espace économique européen, ou encore les
mesures de sécurité appliquées aux
données en cause, afin de pouvoir
démontrer la conformité de leurs
activités à la réglementation relative
à la protection des données.
Pour les traitements les plus
sensibles, à savoir ceux «  susceptible[s] d'engendrer un risque
élevé pour les droits et libertés des
personnes physiques », une analyse
d'impact relative à la protection des
données doit être réalisée avant
la mise en œuvre du traitement,
afin d'identifier en particulier
les risques potentiels pour les
Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia
