Logiciel de contrôle et déclaration à la CNIL

Les faits

La situation était celle d'un salarié licencié en 2009 pour avoir fait une utilisation excessive de sa messagerie professionnelle à des fins personnelles. L'employeur avait en effet été en mesure, grâce à une logiciel de contrôle, d'identifier que le salarié en question avait envoyé et/ou reçu jusqu'à plus de 600 mails personnels par mois.

Ce salarié avait fait le choix de contester son licenciement devant les juridictions, l'estimant en effet non fondé. Il tirait en particulier argument d'une déclaration tardive (postérieure à la période au cours de laquelle l'usage abusif avait été constaté) du dispositif de contrôle à la CNIL (Commission Nationale Informatique et Libertés).

Devant la Cour d'appel d'Amiens, le salarié avait été débouté de sa demande.

La question posée

Il faut rappeler que l'utilisation de la messagerie professionnelle pour des motifs personnels est tolérée tant qu'elle reste raisonnable. L'abus peut en revanche être sanctionné parce que fautif. Et pour établir une utilisation abusive, notamment à raison du volume de courriels personnels, quoi de mieux qu'un logiciel capable de restituer une synthèse?

Le problème juridique posé en l'espèce était précisément celui des conditions de légalité du recours à ce type de logiciel pour déterminer puis prouver l'abus.

Le salarié s'appuyait en particulier sur l'article 9 du Code civil (qui fixe la règle du droit au respect de la vie privée) et sur la loi du 6 janvier 1978, dite "informatique et libertés". Cette loi trouvait en effet à s'appliquer dès lors que le logiciel constituait un traitement automatisé de données à caractère personnel. En effet, l'article 22 fixe une règle de déclaration préalable de ce type de dispositifs à la CNIL.

Ce qu'avait dit la Cour d'appel

La Cour d'appel avait débouté le salarié et estimé que le licenciement était justifié.

Le débat portait déjà sur l'incidence de la déclaration à la CNIL (Commission nationale informatique et libertés) du logiciel, celui-ci constituant un dispositif de contrôle individuel.

La Cour avait estimé que:

"la déclaration tardive à la Commission nationale informatique et libertés (CNIL) le 10 décembre 2009 de la mise en place d'un dispositif de contrôle individuel de l'importance et des flux des messageries électroniques n'a pas pour conséquence de rendre le système illicite ni davantage illicite l'utilisation des éléments obtenus et que le nombre extrêmement élevé de messages électroniques à caractère personnel envoyés et/ou reçus par l'intéressée durant les mois d'octobre et novembre 2009, respectivement 607 et 621, qui ne peut être considéré comme un usage raisonnable dans le cadre des nécessités de la vie courante et quotidienne de l'outil informatique mis à sa disposition par l'employeur pour l'accomplissement de son travail, doit être tenu comme excessif et a eu un impact indéniablement négatif sur l'activité professionnelle déployée par la salariée durant la même période pour le compte de son employeur, celle ci occupant une part très importante de son temps de travail à des occupations privées".

Non satisfait de cet arrêt, le salarié avait donc saisi la Cour de cassation.

Ce que dit la Cour de cassation

Dans son arrêt du 8 octobre 2014, la Cour de cassation répond de manière brève, claire, et donc forte:

"Constituent un moyen de preuve illicite les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration à la CNIL.

En statuant comme elle l'a fait, en se fondant uniquement sur des éléments de preuve obtenus à l'aide d'un système de traitement automatisé d'informations personnelles avant qu'il ne soit déclaré à la CNIL, alors que l'illicéité d'un moyen de preuve doit entraîner son rejet des débats, la cour d'appel a violé les textes susvisés".

Ce qu'il faut retenir de l'arrêt

Il ne faut pas se méprendre sur cet arrêt: la Cour de cassation ne dit pas que l'usage que le salarié a fait de sa messagerie professionnelle n'est pas abusif.

La Cour dit uniquement qu'il n'est pas possible de prouver cette utilisation au moyen d'un dispositif illicite, l'illicéité résultant dans le présent cas de l'absence de déclaration préalable.

Tout employeur se doit donc d'être très vigilant sur les moyens de preuve dont il dispose, et surtout leur recevabilité (c'est à dire leur validité). Prouver illégalement ne vaut pas mieux que ne pas prouver!