Courriel issu d'une messagerie professionnelle non déclarée à la CNIL : un mode de preuve valable

Cass. soc., 1er juin 2017, n° 15-23.522

Peuvent être produits en justice les courriels issus d’une messagerie professionnelle non pourvue d’un dispositif de contrôle individuel de l’activité des salariés, même si la déclaration simplifiée à la CNIL n’a pas été effectuée. C’est ce que décide la chambre sociale de la Cour de cassation dans un arrêt du 1er juin 2017 (n° 15-23.522).

Par cette décision, la Cour de cassation poursuit sa construction jurisprudentielle sur les conditions dans lesquelles les courriels en provenance de la messagerie professionnelle mise à la disposition du salarié, peuvent constituer un moyen de preuve licite. En effet, si la preuve des faits invoqués peut en principe être rapportée par tout moyen en matière prud’homale (Cass. soc., 27 mars 2001, n° 98-44.666), la Cour décide de manière constante qu’il ne peut être porté atteinte à cette occasion à la vie privée du salarié et que la preuve doit être recueillie dans des conditions loyales.

Respecter la vie privée du salarié pour l’obtention de la preuve

En principe, l’employeur peut, en vertu de son pouvoir de direction, accéder à l’ensemble des répertoires et messages contenus sur l’ordinateur mis à la disposition du salarié pour les besoins de son travail, lesquels « sont présumés avoir un caractère professionnel en sorte que l’employeur est en droit de les ouvrir hors la présence du salarié » et peut valablement les produire en justice comme moyen de preuve (Cass. soc., 15 déc. 2010, n° 08-42.486 ; Cass. soc., 16 mai 2013, n° 12-11.866). Toutefois, la prise de connaissance par l’employeur des fichiers et messages contenus sur l’ordinateur peut, lorsqu’ils sont personnels, se heurter aux dispositions de l’article 9 du Code civil qui protège le droit de chacun au respect de sa vie privée. Dans un arrêt Nikon rendu en 2001 (Cass. soc., 2 oct. 2001, n° 99-42.942), la Cour de cassation avait ainsi décidé que l’employeur ne pouvait « prendre connaissance des messages personnels émis et reçus par le salarié grâce à l’outil informatique mis à sa disposition pour son travail et ceci, même au cas où l’employeur aurait interdit une utilisation non professionnelle de l’ordinateur ».

Par la suite, la Cour de cassation a apporté des tempéraments à cette règle en retenant une définition restrictive des fichiers et messages personnels, qui doivent être expressément identifiés comme tels (Cass. soc., 21 oct. 2009, n° 07-43.877 ; Cass. soc., 8 déc. 2009, n° 08-44.840 ; Cass. soc., 19 juin 2013, n° 12-12.138) et en décidant que « sauf risque ou événement particulier, l'employeur ne peut ouvrir les fichiers identifiés par le salarié comme personnels contenus sur le disque dur de l'ordinateur mis à sa disposition qu'en présence de ce dernier ou celui-ci dûment appelé » (Cass. soc., 17 mai 2005, n° 03-40.017). Ainsi la Cour de cassation reconnaît à l’employeur la faculté de prendre connaissance, en l’absence du salarié, non seulement des messages non identifiés comme personnels mais aussi des messages personnels si un risque ou un événement particulier le justifie. Toutefois, ces fichiers et messages ne pourront être valablement produits en justice qu’à la condition qu’ils n’aient pas été obtenus dans des conditions déloyales.

Loyauté des conditions d’obtention de la preuve

Lorsque les informations collectées par l’employeur proviennent d’un dispositif de surveillance de l’activité des salariés institué par ce dernier (vidéosurveillance, contrôle informatique, etc.), elles ne constituent des moyens de preuve valables que sous certaines conditions : d’une part, que la mise en place de ce dernier ait donné lieu à une consultation préalable du comité d’entreprise (C. trav., art. L. 2323-47) et, d’autre part, que les salariés en aient été informés (C. trav., art. L. 1222-4). En outre, lorsque le système mis en place permet un traitement automatisé de données à caractère nominatif, il doit faire l’objet d’une déclaration normale ou simplifiée, selon le cas, auprès de la CNIL (L. n° 78-17, 6 janv. 1978, art. 22 et 24). À défaut d’avoir procédé à ces formalités, l’employeur ne pourra produire en justice les éléments issus de ces procédés de contrôle lesquels seront écartés par le juge comme constituant des moyens de preuve illicites. C’est ainsi que la Cour de cassation a décidé que constituait un moyen de preuve illicite la preuve obtenue par un dispositif de contrôle qui n’avait pas été porté à la connaissance du salarié (Cass. soc., 4 juill. 2012, n° 11-30.266) ou qui n’avait pas donné lieu à une consultation préalable du comité d’entreprise (Cass. soc., 7 juin 2006, n° 04-43.866). De même, s’agissant de la mise en place d'un dispositif de contrôle individuel de l'importance et des flux des messageries électroniques qui avait fait l’objet d’une déclaration normale tardive à la CNIL, la chambre sociale a décidé que constituent un moyen de preuve illicite les informations collectées par ce système de traitement automatisé de données personnelles avant sa déclaration (Cass. soc., 8 oct. 2014, n° 13-14.991).

En revanche, la Cour a décidé que « si l'enregistrement d'une conversation téléphonique privée, effectué à l'insu de l'auteur des propos invoqués, est un procédé déloyal rendant irrecevable en justice la preuve ainsi obtenue, il n'en est pas de même de l'utilisation par le destinataire des messages écrits téléphoniquement adressés, dits S. M. S., dont l'auteur ne peut ignorer qu'ils sont enregistrés par l'appareil récepteur » (Cass. soc., 23 mai 2007, n° 06-43.209). Ainsi, dès lors que les informations résultent de fonctions inhérentes à l’appareil, que le salarié ne peut ignorer, son information sur le fait qu’elles peuvent être utilisées à des fins de contrôle de son activité n’est pas nécessaire pour qu’elles puissent constituer un moyen de preuve valable.

La solution retenue par la Cour de cassation

Dans l’affaire ayant abouti à l’arrêt du 1er juin 2017, un employeur avait fourni, à l’appui du licenciement pour insuffisance professionnelle d’un directeur administratif, les courriels issus de la messagerie professionnelle. Les juges d‘appel les avaient écartés des débats au motif que la messagerie n’avait pas fait l’objet de la déclaration simplifiée en application de la norme n° 46 adoptée par la CNIL qui exige que tout système de messagerie professionnelle fasse l’objet d’une déclaration simplifiée, une déclaration normale étant requise lorsque le traitement permet un contrôle individuel de l’activité des salariés. La Cour de cassation, statuant pour la première fois à notre connaissance sur les conséquences du défaut de déclaration simplifiée, décide que ce manquement s’agissant d'un « système de messagerie électronique professionnelle non pourvu d'un contrôle individuel de l'activité des salariés, qui n'est dès lors pas susceptible de porter atteinte à la vie privée ou aux libertés, ne rend pas illicite la production en justice des courriels adressés par l'employeur ou par le salarié dont l'auteur ne peut ignorer qu'ils sont enregistrés et conservés par le système informatique ». En d’autres termes, les courriels issus d’une telle messagerie peuvent valablement être produits en justice sans qu’il soit nécessaire d’avoir procédé à la consultation du comité d’entreprise ni à l’information des salariés - puisqu’il ne s’agit pas d’un dispositif de contrôle - et même en l’absence de déclaration simplifiée à la CNIL. En revanche, lorsque la messagerie professionnelle comporte un système de contrôle individuel de l’activité des salariés, les courriels ne constitueront des moyens de preuve licites qu’à la condition, non seulement qu’une déclaration normale à la CNIL ait été effectuée, mais aussi que le comité d’entreprise ait été consulté et que les salariés en aient été informés.