Quand le salarié parle foot au lieu de filtrer les bagages : la Cour siffle… mais dans quel sens ?

Quelques jours après la victoire historique du Paris Saint-Germain en Ligue des champions, le football est sur toutes les lèvres… y compris, dans l’une des dernières jurisprudences de la Cour de cassation qui devait analyser la décision d’une cour d’appel au sujet d’un salarié de la sûreté aéroportuaire, affecté au contrôle des bagages.

Ce dernier, pris en flagrant délit de conversation sportive avec un passager, avait omis de vérifier un bagage cabine. Une légèreté qui, dans un aéroport, ne relève pas de l’anecdote : il sera licencié pour faute grave après 16 ans d’ancienneté.

L’élément déclencheur ? Un rapport rédigé après visionnage des images de vidéosurveillance, captées dans le cadre du dispositif de sécurité du site.

Le salarié conteste la licéité de cette preuve, estimant que les images – collectées pour assurer la sécurité – ne peuvent être utilisées contre lui à des fins disciplinaires, sans méconnaître le RGPD.

Mais la Cour de cassation, dans un arrêt du 21 mai 2025 (n° 22-19.925), confirme la validité de la démarche de l’employeur. Mais cette décision, rendue à peine un mois après une autre où la Cour écartait une preuve tirée d’un traitement de données similaires, relance le débat sur la cohérence de la jurisprudence sociale en matière de RGPD et de droit à la preuve.

Quand la vidéosurveillance marque un but… malgré le RGPD

L’employeur n’a pas produit directement les images de vidéosurveillance. Il a versé aux débats des rapports et attestations émanant de personnes autorisées à visionner les enregistrements, issus d’un système de vidéoprotection mis en place par l’exploitant de l’aéroport, à des fins de sécurité.

Le salarié soutenait que :

• Le dispositif avait une finalité de sécurité publique, non disciplinaire ;
• Il n’avait pas été informé que ces images pouvaient être utilisées à son encontre ;
• Il n’avait jamais pu visionner les images, alors qu’elles fondaient sa sanction.

️Ce que retient la Cour : la preuve est recevable

La chambre sociale considère que :

• Le système avait été déclaré à la CNIL, autorisé par arrêté préfectoral ;
• Le salarié était informé de son existence et de son droit d’accès par affichage ;
• Les images ont été consultées par des personnes habilitées, avec conservation limitée ;
• Les images n’avaient pas été détournées de leur finalité : elles visaient la sécurité, et le manquement du salarié concernait précisément le non-respect des règles de sûreté.

Résultat : la preuve est jugée loyale, proportionnée, et compatible avec la finalité initiale du traitement.

Une solution difficile à concilier avec l’arrêt du 9 avril 2025

Pourtant, quelques semaines plus tôt, la même chambre sociale écartait une preuve dans un autre contexte.

Dans l’arrêt (déjà commenté sur ce site) du 9 avril 2025 (n° 23-13.159 F-D), un employeur avait utilisé les fichiers de journalisation des connexions informatiques (logs d’adresses IP) pour sanctionner un salarié.

Problème soulevé par la Cour :

• Les données avaient été collectées pour assurer la sécurité informatique ;
• L’employeur les avait utilisées à des fins disciplinaires, sans information spécifique du salarié ;
• L’usage disciplinaire était étranger à la finalité initiale du traitement.

Conclusion : preuve écartée pour détournement de finalité.

Une ligne jurisprudentielle qui manque de lisibilité

Les deux affaires mettent en jeu le même principe juridique :

L’article 5 du RGPD, qui impose que les données soient :

• Collectées pour des finalités déterminées, explicites et légitimes ;
• Traitées de façon loyale et transparente ;
• Utilisées dans des conditions compatibles avec la finalité initiale.

Pourtant, la Cour valide la preuve dans un cas (vidéosurveillance dans un aéroport) et la rejette dans l’autre (logs informatiques), sur des bases qui, pour l’observateur externe, diffèrent peu.

Et pourtant. Dans l’affaire du 9 avril 2025, l’employeur, bien qu’aux prises avec un comportement gravissime — : 4 631 fichiers supprimés, plus de 100 e-mails avec pièces jointes transférés vers des adresses personnelles, le tout orchestré par un salarié dans le contexte d’une rupture à venir — s’est vu opposer un mur : les preuves, issues d’un traitement non strictement conforme au RGPD, ont été écartées.

À l’inverse, dans l’arrêt du 21 mai 2025, le danger semble plus ponctuel : un bagage passe sans contrôle à l’aéroport … et la preuve, issue d’un traitement non strictement conforme au RGPD, a été admise.

Le flou entretenu sur ce qu’est une « finalité compatible » ou une « information suffisante » rend la jurisprudence sociale difficilement prévisible, notamment pour les employeurs qui doivent arbitrer rapidement entre efficacité disciplinaire et respect du RGPD.

Employeurs : ce que vous devez retenir — Quand c’est flou, il y a un loup… et la preuve finit floutée

La décision du 21 mai 2025 donne aux employeurs une respiration bienvenue : oui, une preuve peut être recevable même si elle émane d’un dispositif de vidéoprotection n’ayant pas pour finalité première le contrôle des salariés.

Mais cette tolérance est fragile, contextuelle, et surtout imprévisible.

Car le message est clair : si le RGPD n’est pas respecté à la lettre, la preuve risque l’exclusion, sauf si elle parvient à se faufiler entre les mailles étroites du droit à la preuve et des exigences de proportionnalité. En somme, quand c’est flou, il y a un loup. Et ce flou persiste.

Dans ce contexte, la prudence reste la meilleure stratégie. Cela signifie :

L’utilisation des images constitue un traitement de données à caractère personnel.

Cela implique de respecter les obligations suivantes :

• Finalité claire et légitime : ex. assurer la sécurité des personnes et des biens dans un lieu sensible ;
• Transparence : ex. affichage visible, informations sur le droit d’accès et identité du responsable du traitement ;
• Limitation des accès : ex. seules des personnes habilitées visionnent les images, selon une procédure encadrée ;
• Information : ex. les représentants du personnel avaient été informés, et le salarié pouvait exercer son droit d’accès ;
• Proportionnalité : ex. les données ont été traitées de manière compatible avec leur finalité initiale.

Oui, le droit à la preuve peut primer sur le RGPD, mais uniquement si l’employeur démontre que :

• Le traitement a été mis en œuvre de manière loyale ;
• Le salarié a été informé, au moins de manière générale (affichage, DPO, règlement intérieur) ;
• L’usage disciplinaire est compatible avec la finalité initiale (ex. sécurité).

En pratique : mieux vaut prévenir avec un cadre RGPD solide que plaider dans l’incertitude d’un contentieux où les juges, eux aussi, tâtonnent encore entre protection des données et impératifs probatoires.