Conséquence de l’absence de déclaration à la CNIL des messageries professionnelles
Par un arrêt du 1er juin 2017 (Cass. soc. 1er juin 2017, n° 15-23522), la Chambre sociale de la Cour de cassation a validé la production en justice par l’employeur d’e-mails d’un employé, bien que la messagerie électronique de l’entreprise n’ait pas été déclarée à la CNIL. Même si les formalités de déclaration seront supprimées à compter de l’entrée en application du Règlement Européen 2016/679 (sauf exceptions), cette décision n’est pas dénuée d’intérêt dans les litiges résultant de faits antérieurs.
Les messageries électroniques professionnelles constituent des traitements automatisés de données à caractère personnel. La CNIL distingue entre les systèmes de messagerie pourvus d’un contrôle individuel de l’activité des salariés (par exemple des messageries dotées d’un logiciel d’analyse du contenu des messages électroniques entrants ou sortants) qui nécessitent une déclaration normale auprès de la CNIL, et les systèmes dépourvus d’un tel contrôle individuel, pour lesquels une déclaration simplifiée suffit (norme simplifiée n°46).
En l’espèce, un salarié avait été licencié pour insuffisance professionnelle et contestait son licenciement. Afin de justifier ce licenciement, son employeur produisait des courriers électroniques provenant de la messagerie professionnelle du salarié. La Cour d’appel de Paris, par un arrêt du 24 juin 2015, avait écarté ces emails, estimant qu’en l’absence de déclaration auprès de la CNIL, l’employeur ne pouvait se prévaloir de ce moyen de preuve qu’elle jugeait illicite. La Cour d’appel suivait ainsi la jurisprudence de la Cour de cassation, qui avait retenu dans une décision du 8 octobre 2014 que « constituent un moyen de preuve illicite les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration à la CNIL » (Soc. 8 octobre 2014, n°13-14991).
Toutefois, la Cour de cassation censure ici la Cour d’appel en précisant que »l’absence de déclaration simplifiée d’un système de messagerie électronique professionnelle non pourvu d’un contrôle individuel de l’activité des salariés, qui n’est dès lors pas susceptible de porter atteinte à la vie privée ou aux libertés ne rend pas illicite la production en justice des courriels adressés par l’employeur ou par le salarié dont l’auteur ne peut ignorer qu’ils sont enregistrés et conservés par le système informatique ». L’employeur peut donc produire en justice des courriels issus de la messagerie électronique professionnelle du salarié malgré l’absence de déclaration préalable auprès de la CNIL. Cependant, cette solution se limite aux systèmes de messagerie non pourvus d’un contrôle individuel, qui ainsi ne sont pas susceptibles de porter atteinte à la vie privée ou aux libertés.
C’est sur ce point que l’arrêt commenté se distingue de celui du 8 octobre 2014, dans lequel était en cause un dispositif de contrôle individuel qui aurait dû faire l’objet d’une déclaration normale à la CNIL et non d’une déclaration simplifiée comme en l’espèce. Ainsi, la Cour de cassation distingue les conséquences attachées à l’absence de formalité déclarative selon le type de déclaration requise : l’absence de déclaration normale rend illicite la production des emails en justice, tandis que l’absence de déclaration simplifiée n’empêche pas d’utiliser les emails professionnels dans le cadre d’un litige.
Egalement, la Cour de cassation ajoute comme condition de la licéité de la production des emails le fait que le salarié ne pouvait ignorer que ses échanges électroniques étaient enregistrés et stockés dans le système informatique de l’entreprise.
Enfin, cette solution ne concerne que les emails non identifiés comme personnels, la jurisprudence (notamment Cass. Soc., 26 juin 2012, n°11-15.310) interdisant à l’employeur d’accéder aux emails de la messagerie professionnelle de l’employé qui seraient expressément identifiés comme personnels.
Camille TRUCHOT