Une infraction incontestable… mais une preuve irrecevable
Dans un arrêt du 9 avril 2025, la Cour de cassation a opéré un rappel saisissant : même face à une infraction disciplinaire lourde et manifestement avérée, un employeur peut perdre en justice s’il ne respecte pas les exigences du RGPD lors de la collecte des éléments de preuve.
C’est un nouvel exemple du boomerang probatoire : l’employeur, en tentant de prouver une faute, voit sa preuve rejetée pour non-respect du droit de la preuve.
Les faits : une fuite de données massive organisée par un salarié en partance
Un salarié, chef d’agence, sollicite une rupture conventionnelle en novembre 2019. Quelques jours plus tard, des collaborateurs alertent sur la disparition de fichiers de l’agence. L’enquête interne révèle une situation préoccupante :
- 4631 fichiers supprimés du serveur,
- plus de 100 e-mails avec pièces jointes transférés vers ses adresses personnelles,
- le tout effectué avant et après l’entretien sur la rupture.
Le responsable informatique établit un lien clair avec l’ordinateur du salarié (via l’adresse IP locale), ce que vient confirmer un constat d’huissier. L’employeur décide alors un licenciement pour faute grave.
Une preuve balayée… par la Cour de cassation
La Cour d’appel d’Agen avait validé le licenciement, retenant que l’adresse IP utilisée était locale (réseau interne) et n’identifiait pas directement une personne physique. Elle avait donc considéré que la preuve était licite, d’autant plus que l’entreprise avait :
- diffusé une charte informatique interdisant les connexions non autorisées,
- soumis cette charte au CSE,
- informé les salariés de la traçabilité.
Mais la Cour de cassation casse l’arrêt :
« L’exploitation des fichiers de journalisation constituait un traitement de données à caractère personnel (…), qui n’est licite que si la personne concernée y a consenti. »
En conséquence, la preuve est déclarée illicite, même si les faits (transferts de données massifs, suppression organisée) ne font aucun doute.
Il est à noter que la justification adoptée par la Cour de cassation apparaît particulièrement bancale : elle repose exclusivement sur l’absence de consentement du salarié, alors même que d’autres bases de licéité prévues par le RGPD (notamment l’intérêt légitime de l’employeur) auraient pu être mobilisées pour justifier le traitement, compte tenu de l’existence d’une charte informatique dûment diffusée et d’une information préalable des salariés.
La portée de cet arrêt est lourde de conséquences pratiques :
- Ce qui est reproché à l’employeur n’est pas d’avoir tort sur les faits, mais d’avoir mal préparé leur preuve.
- Aucune faute du salarié n’a été effacée, mais la preuve a été écartée, rendant le licenciement juridiquement fragile.
Ce qu’il faut faire : anticiper et construire une stratégie de conformité
Cet arrêt impose une révision sérieuse de vos pratiques internes. Voici les leviers essentiels à actionner en amont de tout contentieux :
- Formaliser une charte informatique solide, claire, à jour, intégrée au règlement intérieur.
- Informer précisément les salariés (mentionner les finalités de la traçabilité, les destinataires, la durée de conservation, etc.).
- Consulter le CSE pour tout dispositif de traçabilité ou de contrôle.
- Identifier une base légale conforme au RGPD :
- Ne pas se reposer uniquement sur le consentement du salarié.
- Préférer une justification par l’intérêt légitime (article 6 §1 f du RGPD) lorsqu’il s’agit de sécurité, prévention ou protection des données.
- Documenter les traitements dans le registre des activités de traitement.
- Évaluer la compatibilité des finalités si les données sont réutilisées à des fins disciplinaires.
À retenir
Il n’y a rien de plus dommageable pour un employeur que de voir une infraction incontestable rejetée en justice à cause d’une preuve écartée.
Les faits de l’affaire ont eu lieu en 2019 et l’arrêt de la Cour de cassation n’est intervenu qu’en 2025, soit après six ans de procédure.
L’employeur, après toutes ces années, se retrouve contraint de repartir devant la cour d’appel de Pau avec sa principale preuve déclarée illicite par la Cour de cassation.
Cela signifie un sérieux handicap devant la cour d’appel de renvoi compte tenu des demandes indemnitaires reconventionnelles du salarié qui s’élèvent à 220 297,26 €
Référence : Cass. soc., 9 avr. 2025, n° 23-13.159