Nommer le disque dur de l’ordinateur professionnel « D:/ données personnelles » ne suffit pas à identifier le contenu comme personnel
Référence : CEDH, 5ème sect., 22 février 2018, req. n°588/13, Libert c. France
Texte (s) appliqué (s) : Convention de sauvegarde des Droits de l’Homme et des libertés fondamentales du 4 novembre 1950, art. 8.
Résumé : Dans son arrêt Libert contre France du 22 février 2018, la Cour européenne des droits de l’homme considère que l’employeur peut librement consulter les fichiers stockés dans l’ordinateur professionnel d’un salarié non identifiés par celui-ci comme étant personnels. La dénomination du disque dur « D:/ données personnelles » ne peut conférer un caractère personnel à l’intégralité de son contenu.
Mots-clés : Licenciement ; Salarié ; Ordinateur professionnel ; Disque dur ; Fichiers personnels ; Employeur ; Consultation ; Absence ; Vie privée ; Convention européenne des droits de l’homme ; Obligations contractuelles ; Protection des droits de l’employeur ; Usage abusif ; Charte informatique en entreprise.
Note réalisée par SYLLA Oumarou, Etudiant en Master 2 Droit de la santé en milieu du travail, sous la direction de Mme Céline LEBORGNE-INGELAERE, Maître de conférences en Droit privé à l’Université de Lille.
L’articulation entre le pouvoir de direction de l’employeur et le droit au respect de la vie privée du salarié peut s’avérer difficile à faire. Si le principe du droit au respect de la vie privée est protégé à la fois par des textes nationaux[1] et supranationaux[2], ladite protection est assortie de quelques atténuations. En droit français, la jurisprudence de la Cour de cassation est constante concernant les conditions d’ouverture des fichiers contenus dans l’ordinateur professionnel d’un salarié. En effet, sauf risque ou évènement particulier, l’employeur ne peut ouvrir les fichiers identifiés par le salarié comme personnels contenus sur le disque dur de l’ordinateur mis à sa disposition qu’en présence de ce dernier ou celui-ci dûment appelé[3].
Dans la jurisprudence interne, l’enjeu fut longtemps lié à la détermination du caractère personnel des fichiers consultés. La CEDH du 22 février 2018 valide purement et simplement la position des juridictions françaises selon laquelle, le fichier non identifié comme personnel ou du moins privé peut être consulté par l’employeur hors la présence du salarié.
En l’espèce, un salarié de la SNCF employé en 1976 en qualité d’adjoint au chef de la brigade de surveillance de la Région d’Amiens est suspendu en 2007 à la suite d’une mise en examen. Ayant bénéficié d’un non-lieu, le salarié sollicite sa réintégration dans ses anciennes fonctions. Lors de sa réintégration le 17 mars 2008, il constate que son ordinateur professionnel a fait l’objet d’une saisie. Le 5 avril 2008, il fut informé que l’analyse de son disque dur a révélé d’une part, l’existence d’attestations de résidence de complaisance destinées à des tiers et d’autre part, la présence de nombreux fichiers à caractère pornographique.
Les explications du salarié n’ayant pas convaincu l’employeur, il est radié à titre de sanction le 17 juillet 2008. Le 10 mai 2010, le salarié conteste la rupture de son contrat de travail devant le Conseil des prud’hommes qui juge sa radiation justifiée. Après avoir interjeté appel, le 15 décembre 2010, la Cour d’appel d’Amiens confirme le jugement des prud’hommes au motif que d’une part, les fichiers à caractère pornographique ont été trouvés dans un fichier dénommé « rires » contenu dans un disque dur dénommé « D:/ données personnelles », ce qui ne désignait pas de façon explicite les éléments de la vie privée. Et d’autre part, que le salarié ne peut utiliser l’intégralité d’un disque dur censé enregistrer des données professionnelles pour un usage privé[4].
Le salarié se pourvoit en cassation. Il soutient tout d’abord que la dénomination du disque dur de son ordinateur en « D:/données personnelles » alors que la dénomination d’origine par défaut et pour tous les salariés était « D:/ données », suffit à considérer l’ensemble des fichiers contenus dans ce disque dur comme ayant un caractère personnel. L’employeur ne pouvait, selon lui, les consulter en dehors de sa présence d’autant plus que, les juges de fond n’ont pas caractérisé l’existence d’un risque ou événement particulier susceptible de justifier l’ouverture des fichiers identifiés par le salarié comme personnels[5]. Il estime ensuite que dans tous les cas, les faits qui lui sont reprochés relèvent de sa vie privée de telle sorte qu’ils ne peuvent en principe constituer une faute justifiant un licenciement[6]. Le salarié conclut donc à la violation des articles 8 de la CESDH, 9 du Code civil, L1121-1 du Code du travail en ce que l’employeur a violé son droit au respect de sa vie privée.
La chambre sociale de la Cour de cassation rejette le pourvoi du salarié dans un arrêt du 4 juillet 2012[7] en relevant « que la cour d’appel, qui a retenu que la dénomination “D:/données personnelles” du disque dur de l’ordinateur du salarié ne pouvait lui permettre d’utiliser celui-ci à des fins purement privées et en interdire ainsi l’accès à l’employeur, en a légitimement déduit que les fichiers litigieux, qui n’étaient pas identifiés comme étant “privés” selon les préconisations de la charte informatique, pouvaient être régulièrement ouverts par l’employeur […] ». Pour étayer ces motifs, la chambre sociale relève ensuite « que la Cour d’appel, qui a relevé que le salarié avait stocké 1562 fichiers à caractère pornographique représentant un volume de 787 mégaoctets sur une période de quatre années, et qu’il avait également utilisé son ordinateur professionnel pour confectionner de fausses attestations, a justement retenu que cet usage abusif et contraire aux règles en vigueur au sein de la SNCF de son instrument de travail constituait un manquement à ses obligations contractuelles ».
Le 27 décembre 2012, le salarié a saisi la CEDH en invoquant la violation de son droit au respect de sa vie privée tel que garanti par l’article 8 de la CESDH, qui dispose que « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance […] ». Cette violation résulterait selon lui, de l’ouverture par son employeur, en dehors de sa présence, de fichiers figurant sur le disque dur de son ordinateur professionnel qui portaient la marque « D:/ données personnelles ».
La première question posée à la Cour était de savoir si la SNCF est une autorité publique, de telle sorte que l’ouverture des fichiers en dehors de la présence du salarié constituait une ingérence dans la vie privée du salarié au sens du deuxième paragraphe[8] de l’article 8 de la CEDH.
La seconde question, la plus importante, était de savoir, si la marque du disque dur en « D:/ données personnelles » est de nature à conférer à l’intégralité de son contenu un caractère personnel, de telle sorte que sa consultation constituerait une violation de la vie privée du salarié.
La CEDH constate tout d’abord une ingérence dans la vie privée du salarié par le fait d’une autorité publique, en l’occurrence la SNCF (employeur)[9]. Néanmoins, cette ingérence avait un but légitime de protection des droits de l’employeur[10]. Ensuite, la Cour souligne qu’en l’état actuel du droit positif français, la vie privée du salarié est protégée par un principe selon lequel, si l’employeur peut ouvrir les fichiers professionnels qui se trouvent sur le disque dur de l’ordinateur qu’il met à disposition de son salarié, il ne peut « sauf risque ou événement particulier », ouvrir subrepticement les fichiers identifiés comme étant personnels. Il ne peut procéder à leur ouverture qu’en présence du salarié ou celui-ci dûment appelé[11]. Elle conclut que les juridictions internes n’ont pas excédé la marge d’appréciation dont elles disposaient et il n’y a donc pas violation de l’article 8 de la CESDH en ce que les fichiers litigieux n’étaient pas identifiés comme personnels ou privés.
Cette décision de la CEDH s’inscrit dans la logique de la jurisprudence antérieure de la Cour de cassation. Mais si elle n’apporte pas de réelles nouveautés tant dans les principes que dans les concepts, il semble toutefois, que le respect de tous les documents portant sur des prescriptions générales et permanentes dans les matières ressortant du règlement intérieur, comme les notes de service ou les chartes du personnel des entreprises en matière d’usage du matériel informatique, s’impose à la fois au salarié et à l’employeur[12].
Sur fond d’appréciation de l’article 8 de la CESDH, l’arrêt du 22 février 2018 de la CEDH estime que le droit positif français garantit le droit au respect de la vie privée (I). C’est pourquoi, elle s’en remet à l’appréciation des juridictions internes sur la notion d’identification personnelle ou privée des fichiers contenus sur l’ordinateur professionnel des salariés (II).
- Une protection de la vie privée assurée par le droit positif français
L’ingérence de l’employeur dans la vie privée du salarié doit non seulement avoir une base légale mais aussi un but légitime (A). La CEDH établit ainsi une protection de la vie privée en ce qu’elle maintient la prohibition de l’accès par l’employeur à des fichiers identifiés comme « personnels » par le salarié, tout en limitant la portée de cette identification (B).
A. Une ingérence dans la vie privée justifiée par un but légitime
En l’espèce, la Cour a simplement écarté l’argument selon lequel l’employeur (la SNCF) n’est pas une autorité publique au motif que son personnel relève du droit privé avec toutes les conséquences qui en résultent[13]. Elle retient logiquement que nonobstant le caractère d’établissement public industriel et commercial, la SNCF est bien une personne morale de droit public, qui assure un service public et est placée sous tutelle de l’Etat, qui nomme sa direction[14].
En matière de contrôle de l’outil informatique, l’ingérence de l’employeur dans la vie privée du salarié est caractérisée outre l’identification personnelle des fichiers, par la prise de connaissance du contenu. Dans la jurisprudence française, l’absence d’identification des fichiers par le salarié comme étant personnels, laisse présumer leur professionnalité[15]. Mais, lorsque le contenu de ces fichiers est exclusif de la fonction du salarié, c’est-à-dire qu’il relève de sa vie personnelle, l’employeur ne peut l’utiliser à des fins disciplinaires[16].
Ainsi, l’ouverture des fichiers litigieux constituait bien une ingérence dans la vie privée du salarié, puisque parmi le contenu, figurent des fichiers à caractère pornographique. Donc des faits qui relèvent à priori de sa vie privée. Pour s’assurer du respect du droit à la vie privée, le paragraphe 2 de l’article 8 de la CESDH pose les conditions dans lesquelles l’ingérence dans la vie privée est admise. Il faut que l’ingérence ait à la fois une base légale et un but légitime.
Selon la Cour, dans le droit interne, l’ingérence avait une base légale constituée de dispositions du Code du travail[17], certes très générales, mais utilement interprétées par la jurisprudence et permettant aux employeurs de savoir suffisamment en quelles circonstances et sous quelles conditions le contrôle de l’outil informatique mis à la disposition des salariés est admis.
En outre, le but légitime de l’ingérence est, selon la Cour, la volonté pour l’employeur de s’assurer que ses salariés usent des équipements informatiques mis à leur disposition conformément aux obligations contractuelles et à la règlementation applicable[18]. Ce que les juridictions internes ont appliqué en l’espèce. Par ailleurs, si cet arrêt maintient la prohibition de l’accès par l’employeur à des dossiers identifiés par le salarié comme personnels ou en tout cas relevant de sa vie privée, il limite la portée de cette identification qui ne doit pas être générale.
B. La limite de l’identification personnelle des fichiers :
La CEDH se borne à rappeler la jurisprudence de la Cour de cassation en matière de droit au respect de la vie privée du salarié. Elle décrit les conditions posées par la loi et interprétées logiquement par la jurisprudence interne pour démontrer la protection de la vie privée au regard de l’article 8 de la CEDH. De ce fait, cet arrêt n’est autre qu’une confirmation de la jurisprudence de la Cour de cassation en matière d’identification personnelle des fichiers par le salarié.
En l’espèce, la CEDH fait état à la fois de la nécessité et de la proportionnalité des mesures intrusives ou du moins restrictives des droits et libertés des salariés[19]. Elle constate que la jurisprudence de la Cour de cassation veille au respect de ces critères de nécessité et de proportionnalité. Pour illustrer cette constatation, la CEDH rappelle trois jurisprudences fondamentales de la Cour de cassation constituant selon elle le fondement de la garantie de la protection de la vie privée.
Tout d’abord, dans un arrêt du 2 octobre 2001, la Cour de cassation a estimé que le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée, celle-ci impliquant en particulier le secret de ses correspondances. Dès lors, l’employeur ne peut, sans violation de cette liberté fondamentale, prendre connaissance des messages personnels émis par le salarié et reçu par lui grâce à un outil informatique mis à sa disposition pour son travail, même dans le cas ou l’employeur aurait interdit une utilisation non-professionnelle de l’ordinateur[20].
Ensuite, dans une autre décision du 17 mai 2005, la chambre sociale a précisé que sauf risque ou évènement particulier, l’employeur ne peut ouvrir les fichiers identifiés par le salarié comme personnels contenus dans le disque dur de l’ordinateur mis à sa disposition qu’en présence de ce dernier ou celui-ci dûment appelé[21]. Et enfin, la CEDH souligne que dans un arrêt du 18 octobre 2006, la Cour de cassation a jugé que les dossiers et fichiers créés par un salarié grâce à l’outil informatique mis à sa disposition par son employeur pour l’exécution de son travail sont présumés, sauf si le salarié les identifie comme étant personnels, avoir un caractère professionnel, de sorte que l’employeur peut y avoir accès hors la présence du salarié[22]. Tout l’enjeu de l’arrêt ici-commenté se situe autour de cette identification personnelle des fichiers litigieux.
Pour conclure en l’absence de violation de la vie privée du salarié, la CEDH a simplement validé les arguments retenus par les juridictions internes. En effet, au regard de la jurisprudence de la Cour de cassation, la marque « rire » relative au fichier litigieux n’a pu être considérée comme ayant un caractère personnel. D’ailleurs, l’argument soulevé par le requérant selon lequel « le fichier intitulé rire […] ne laissait pas de doute quant à son caractère non professionnel[23]» a été logiquement balayé par la Cour. Les juges du fond qui ont répondu à cet argument ont été repris mot pour mot par la CEDH. Elle souligne que « le terme ‘’ rire’’ ne confère pas d’évidence au fichier ainsi désigné un caractère nécessairement privé, cette désignation pouvant se rapporter à des échanges entre collègues de travail ou à des documents professionnels, conservés à titre de ‘’bêtiser’’ par le salarié[24] ».
La dénomination « D:/ données personnelles » portant uniquement sur le disque censé stocké des données professionnelles ne pouvait conférer à l’intégralité de son contenu un caractère personnel. S’il est permis au salarié d’identifier comme étant personnels les éléments relevant de sa vie privée, la CEDH acte dans cette décision la limite apportée à l’identification personnelle qui ne peut être générale. L’identification personnelle des éléments relevant de la vie privée du salarié doit cibler des documents ou fichiers bien précis.
Si on devait traduire cette décision de la CEDH, on peut adopter le raisonnement suivant. En présence d’un risque ou évènement particulier, peu importe le caractère personnel ou professionnel des fichiers, l’employeur peut y accéder hors la présence du salarié. En l’absence de risque ou évènement particulier comme dans cette affaire, l’employeur peut accéder aux fichiers de l’ordinateur mis à disposition du salarié hors la présence de ce dernier à cause de la présomption de professionnalité qui pèse sur les fichiers. En revanche, lorsque les fichiers sont identifiés comme étant personnels, l’accès de l’employeur à ces fichiers est conditionné par la présence du salarié ou celui-ci dûment appelé. Ainsi, le terme « rire » n’ayant pu permettre l’identification personnelle des fichiers, c’est à bon droit que l’employeur a accédé à ces fichiers puisqu’ils étaient présumés avoir un caractère professionnel.
Par ailleurs, cet arrêt commenté apporte trois précisions fondamentales. Tout d’abord, il s’agit du rappel concernant la sanction disciplinaire d’un fait tiré de la vie personnelle du salarié. Si l’employeur peut accéder aux dossiers et fichiers non identifiés comme étant personnels, il ne peut en principe en utiliser le contenu à des fins disciplinaires s’il s’avère relever de la vie personnelle du salarié[25]. La chambre sociale de la Cour de cassation a d’ailleurs souligné qu’un fait tiré de la vie personnelle d’un salarié occasionnant un trouble objectif caractérisé au sein de l’entreprise, peut fonder un licenciement non disciplinaire[26]. Mais, il ne peut jamais justifier un licenciement disciplinaire[27] sauf si le caractère fautif du fait en question constitue un manquement à une obligation découlant du contrat de travail. Il en est ainsi de la consommation de drogues d’un steward entre deux escales[28].
Ensuite, l’autre précision est liée à l’usage abusif de l’outil informatique à des fins personnelles par le salarié. L’employeur ne peut en principe en interdire l’usage de façon absolue y compris pendant le temps de travail[29]. Néanmoins, l’usage abusif du matériel peut être constitutif d’une faute grave[30]. Dans cet arrêt de la CEDH du 22 février 2018, on retrouve en réalité la logique de ces jurisprudences de la chambre sociale. L’argument du requérant selon lequel, les fichiers litigieux relèvent de sa vie privée et dès lors, l’employeur ne peut user de son pouvoir disciplinaire pour le sanctionner est balayé par deux principaux motifs. D’une part, il est fait mention du manquement du requérant au code de déontologie de la SNCF découlant de son contrat de travail. D’autre part, l’arrêt souligne le caractère abusif de l’usage du disque dur de l’ordinateur professionnel[31] pouvant conduire à des sanctions disciplinaires.
Enfin, la CEDH apporte une réponse à ceux qui subodoraient que l’arrêt barbulescu de la CEDH du 5 septembre 2017[32] pouvait faire évoluer la jurisprudence française concernant la consultation des fichiers, courriels, messageries qui sont présumés professionnels. Sans entrer dans les détails concernant l’affaire barbulescu contre Roumanie, la CEDH soulignait la défaillance des juridictions ou du moins des autorités internes de la Roumanie par rapport à la protection de la vie privée des salariés. De ce fait, l’arrêt laissait entendre que pour la surveillance de l’outil informatique du salarié, l’employeur doit informer préalablement le salarié de la possibilité que ses communications électroniques fassent l’objet d’un contrôle un jour.
Cette information préalable est présente dans le droit positif français concernant l’introduction de tout dispositif technique susceptible de recueillir des données personnelles des salariés[33]. Néanmoins, certains tiraient comme enseignement à travers cette affaire Barbulescu, une évolution de la jurisprudence française relative à la présomption de professionnalité des fichiers non identifiés comme étant personnels. Comme la présomption de professionnalité permet à l’employeur d’accéder aux fichiers hors la présence du salarié, l’arrêt aurait eu pour effet de supprimer cette présomption[34]. A la lecture de cet arrêt du 22 février 2018 de la CEDH, on peut estimer que la Cour a répondu clairement à ces interrogations en soulignant que l’état actuel du droit français contient des dispositifs largement suffisants pour protéger le droit au respect de la vie privée.
Par ailleurs, la CEDH s’en remet à l’appréciation des juridictions internes pour l’identification personnelle des fichiers.
- Une appréciation stricte de l’identification personnelle des fichiers
L’aperçu de la décision soulève deux interrogations principales. D’une part, il est question de savoir si cet arrêt marque la fin de la marque « personnelle » habituellement utilisée par la jurisprudence pour l’identification des éléments relavant de la vie personnelle (A). D’autre part, le règlement intérieur deviendrait-il la référence en termes d’identification du caractère personnel des fichiers ? (B).
A. Vers la fin de la marque « personnelle » des fichiers relevant de la vie privée ?
Il faut commencer par rappeler une chose fondamentale. Tout au long de l’arrêt, la CEDH s’inscrit dans la droite ligne de la jurisprudence française en rappelant d’une part, le principe selon lequel les données identifiées comme personnelles ne peuvent être consultées ou analysées à l’insu du salarié et d’autre part, le droit pour l’employeur de s’assurer que le salarié exécute ses obligations contractuelles. Concernant ce dernier point, cela passe nécessairement par le contrôle des outils que l’employeur met à la disposition de ses salariés pour le besoin de leur travail. Tout l’enjeu se situe autour de la notion d’identification des fichiers personnels relevant de la vie privée du salarié.
Sur l’identification des fichiers personnels, la Cour de cassation a pu considérer qu’un dossier intitulé « JM » ne suffit pas à lui donner un caractère personnel[35]. De même, « la seule dénomination ‘’ Mes documents’’ donnée à un fichier ne lui confère pas un caractère personnel[36] ». Aussi, « des courriels et fichiers intégrés dans le disque dur de l’ordinateur […] ne sont pas identifiés comme personnels du seul fait qu’ils émanent initialement de la messagerie électronique personnelle du salarié[37] ». En revanche, un fichier intitulé « Perso » a bien un caractère personnel, de sorte que son ouverture n’est possible qu’en présence soit du salarié ou celui-ci dûment appelé soit d’un risque ou évènement particulier[38]. En l’espèce, les fichiers litigieux (images et vidéos à caractère pornographique et fausses attestations) ont été trouvés dans un fichier portant la marque « rires ». Donc c’est une marque qui, au regard de la jurisprudence de la Cour de cassation, était loin de conférer à ce fichier un caractère personnel.
A priori, cet arrêt de la CEDH du 22 février 2018 n’apporte rien de nouveau en la matière, elle ne fait que confirmer la jurisprudence de la Cour de cassation. Pour interdire à l’employeur de s’immiscer dans la vie privée du salarié, il faut toujours que les fichiers ou courriers soient expressément identifiés comme étant personnels ou du moins privés. Ce qui peut laisser entrevoir une sorte de contradiction puisque dans cette affaire, la dénomination disque dur de l’ordinateur « D:/ données personnelles » par le salarié n’a pas suffi à conférer à tous les fichiers de l’ordinateur un caractère personnel.
En réalité, c’est une contradiction qui n’en est pas une. Traditionnellement, les litiges relatifs à l’identification personnelle des fichiers mis à disposition du salarié concernaient les fichiers contenus sur le disque dur et non du disque dur de l’ordinateur en lui-même. En d’autres termes, on distingue le contenu (fichiers de l’ordinateur) du contenant (le disque dur) de l’ordinateur. Dans cette affaire, c’est le contenant (disque dur de l’ordinateur) qui portait la mention « D:/ données personnelles » et le contenu (fichier de l’ordinateur comportant les fichiers litigieux) portait la mention« rire ». Le salarié voulait que la mention «D:/ données personnelles » du disque dur produise des effets sur tout son contenu, notamment sur le fichier « rire ». Ce que la CEDH a logiquement refusé conformément à la jurisprudence de la Cour de cassation sur l’identification des fichiers personnels[39].
Par ailleurs, à supposer que le fichier au sein duquel les fichiers litigieux ont été trouvés portait la mention « D:/ données personnelles » en lieu et place de la mention « rire », cette décision de la CEDH aurait peut-être été différente. C’est bien parce que les fichiers litigieux n’ont pas été identifiés comme étant personnels que l’accès de l’employeur n’a pas été sanctionné. Les juridictions internes avaient retenu que « le terme ‘’ rire’’ ne conférait pas, d’évidence, au fichier ainsi désigné un caractère nécessairement privé, cette désignation pouvant se rapporter à des échanges entre collègues de travail ou à des documents professionnels, conservés à titre de ‘’bêtisier‘’[40]».
Concernant le disque dur qui constitue la mère de l’ordinateur, le noyau de stockage de toutes les activités du salarié sur l’ordinateur professionnel, il est hasardeux de le renommer comme étant personnel comme en l’espèce et ce, peu importe que la dénomination concerne l’intégralité du disque ou non. La CEDH rappelle que le salarié ne peut pas utiliser l’intégralité du disque dur, censé enregistrer des données professionnelles, pour un usage privé. Une dénomination personnelle du disque dur laisserait entendre que l’employeur doit informer préalablement le salarié en dehors d’un risque ou événement particulier pour y avoir accès. L’effet principal aurait été de le priver de son droit de contrôle sur l’activité de son salarié malgré son pouvoir de direction qui découle du lien de subordination.
Dans cet arrêt, il semble que l’enjeu ne se situe pas en réalité autour du choix de la mention (personnelle ou privée) à utiliser pour identifier les fichiers comme étant personnels. Le salarié a été débouté simplement parce que l’identification personnelle était trop générale pour être considérée comme personnelle ou privée. En revanche, autant le raisonnement retenu par la CEDH sur la non-identification du caractère personnel des fichiers litigieux, malgré la marque « données personnelles » du disque dur, est conforme à la jurisprudence de la Cour de cassation, autant l’un des arguments utilisés pour justifier ce raisonnement est susceptible de faire évoluer la jurisprudence française sur l’identification personnelle des fichiers.
En effet, la Cour a repris mot pour mot l’argument de la cour d’appel d’Amiens en relevant que « le terme générique de ‘’données personnelles’’ peut se rapporter à des dossiers professionnels traités personnellement par le salarié et ne désigne pas de façon explicite des éléments relevant de la vie privée[41]. »
Plusieurs questions entourent cet argument : tout d’abord, à supposer que la dénomination « D:/ données personnelles » portait sur le fichier comportant les fichiers litigieux et non sur le disque dur, cet argument aurait-il été valable ? Ensuite, est-ce parce que la charte informatique de la SNCF indiquait d’autres mentions à utiliser pour identifier les fichiers à caractère privé des salariés ? Si une réponse négative s’impose sur la première interrogation compte tenu de l’état de la jurisprudence de la chambre sociale qui exige la marque « personnelle » des fichiers, une réponse positive est possible pour la seconde. En effet, le règlement intérieur des entreprises jouent un rôle primordial sur la procédure d’utilisation et de consultation de l’outil informatique des salariés en droit français. La CEDH a acté ce rôle dans cet arrêt du 22 févr. 2018.
B. Le règlement intérieur : nouvelle référence en matière d’identification personnelle ou privée des fichiers ?
Il peut sembler paradoxal que la CEDH souligne le fait qu’en utilisant le mot « personnel » plutôt que « privé », le requérant a utilisé le même terme qu’on trouve dans la jurisprudence de la Cour de cassation, tout en le déboutant de ses principales demandes[42]. En réalité, c’est le respect de la charte informatique de la SCNF qui peut être assimilée à son règlement intérieur qui est en jeu ici.
Selon l’article L. 1321-3 du code du travail, le règlement intérieur ne peut contenir de clauses contraires aux lois et règlements, ainsi qu’aux dispositions des conventions et accords collectifs de travail applicables dans l’entreprise ou l’établissement. En revanche, il est généralement admis que le règlement intérieur peut contenir des dispositions plus favorables aux salariés[43].
Il en est ainsi de la procédure de consultation du matériel informatique mis à la disposition des salariés par l’employeur. La chambre sociale de la Cour de cassation avait déjà souligné que les fichiers et dossiers créés par le salarié à l’aide du matériel informatique mis à sa disposition pour son travail par l’employeur sont présumés avoir un caractère professionnel de sorte que l’employeur peut y avoir accès en dehors de la présence du salarié. Néanmoins, « le règlement intérieur peut toutefois contenir des dispositions restreignant le pouvoir de consultation de l’employeur, en le soumettant à d’autres conditions [44] ». La restriction du pouvoir de consultation de l’employeur est considérée comme plus favorable au salarié. C’est pourquoi, lorsque le règlement intérieur d’une entreprise prévoit que les messageries électroniques des salariés ne peuvent être consultées par la direction qu’en présence du salarié, sans distinguer le caractère personnel ou professionnel des messages, la consultation ayant lieu en méconnaissance de cette procédure est de nature à priver le licenciement fondé sur ladite consultation de cause réelle et sérieuse[45].
Le pouvoir de consultation de l’employeur peut donc être restreint par le règlement intérieur. À la lecture de cet arrêt commenté, on peut estimer que la Cour consacre également une restriction à l’égard du salarié concernant l’identification des dossiers ou fichiers à caractère personnel sur le fondement du règlement intérieur. En d’autres termes, le règlement intérieur ou l’une de ses adjonctions[46] peut prescrire une procédure d’identification personnelle ou professionnelle des fichiers se trouvant sur l’ordinateur professionnel du salarié. Le non-respect de cette procédure confère à l’ensemble de fichiers se trouvant sur le disque dur de l’ordinateur professionnel une présomption de professionnalité faisant que la consultation ne nécessite pas la présence du salarié[47]. C’est en tout cas, ce qu’on peut lire dans cette décision. La CEDH justifie sa décision par le fait que les juridictions nationales ont relevé que la charte informatique de l’entreprise (SNCF) indiquait expressément, que les informations à caractère privé doivent être clairement identifiées comme telles (option « privé » dans les critères OUTLOOK).
L’enseignement à propos du non-respect de la charte informatique de la SNCF par le salarié peut être appréhendé sous l’angle d’obligation de conformité aux règles prescrites par le règlement intérieur. En présence d’un litige lié à la caractérisation personnelle ou professionnelle des fichiers se trouvant sur l’ordinateur professionnel, il faut de prime abord regarder les dispositions du règlement intérieur applicable. À la lecture de cet arrêt, il semble que le règlement intérieur est en train de devenir la référence pour la procédure d’usage et de contrôle de l’outil informatique. C’est-à-dire qu’avant toute chose, on se réfère au règlement intérieur pour voir s’il est prévu la procédure de consultation pour l’employeur et la procédure d’identification personnelle ou privée des fichiers pour le salarié.
Il convient toutefois de souligner certains paradoxes. D’une part, à supposer que le salarié ait suivi les consignes de la charte informatique de la SNCF en utilisant le terme « privé » pour le disque dur, la décision retenue aurait-elle changé de nature ? Il est fort probable que la décision resterait inchangée. La chambre sociale dans son arrêt du 4 juillet 2012 a rappelé que le disque est censé enregistrer les données professionnelles de sorte que l’employeur ne peut y être privé d’accès. La mention « D:/ données personnelles » ne peut avoir pour effet de conférer un caractère personnel à l’intégralité du contenu. Un raisonnement tout à fait logique, sinon il n’y aurait aucun moyen pour l’employeur de contrôler l’activité du salarié.
D’autre part, dans l’hypothèse où le salarié ait pris le soin d’utiliser le terme « personnel » utilisé par la jurisprudence au lieu du terme « privé » tel que recommandé par la charte de la SNCF pour désigner exclusivement le fichier comportant les dossiers litigieux, quelle aurait été la position de la CEDH dans cette affaire ? Cette question est très intéressante. Le requérant se serait conformé à la jurisprudence en violant néanmoins la charte informatique de l’entreprise. L’argument utilisé selon lequel « le terme générique de ‘’données personnelles’’ peut se rapporter à des dossiers professionnels traités personnellement par le salarié et ne désigne pas de façon explicite des éléments relevant de la vie privée », laisse entrevoir une incitation implicite à l’utilisation du terme « privé » pour tous les fichiers qui relèvent de la vie privée des salariés et ce, indépendamment de cette affaire. Dans tous les cas, l’appréhension de cet argument déconseille dorénavant l’utilisation de la marque « personnelle » même s’il faut rappeler que l’arrêt du 4 juillet 2012 ayant fait l’objet de la saisine de la CEDH n’a pas été publié au bulletin.
L’arrêt du 22 février 2018 de la CEDH s’inscrit dans la droite ligne de la jurisprudence française. L’objectif est de maintenir un équilibre entre la protection de la liberté du salarié au travail et le droit légitime de l’employeur de s’assurer que le salarié exécute loyalement ses obligations contractuelles conformément à l’intérêt de l’entreprise. Finalement, cet arrêt montre l’importance pour les entreprises de se doter d’instruments ou de règles d’usage des outils informatiques.
[1]Parmi ces textes, on trouve l’article 9 du Code civil sur le respect de la vie privée, l’article 9 du Code de procédure civile sur la preuve et l’article 1121-1 du Code du travail relatif aux conditions de restriction des droits et libertés de salariés.
[2]Article 8 de la Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales relatif au secret des correspondances.
[3]Cass. soc.,17 mai 2005, n° 03-40.017, Publié au bulletin, D. 2005, p. 1448, obs. E. CHEVRIER.
[4]Cour d’Appel d’Amiens, 15 décembre 2010, n° 10/02179.
[5]1er, 2e, 3e et 4e moyens de cassation.
[6]5e moyens de cassation.
[7]Cass. soc., 4 juillet 2012, n° 11-12.502, non publié au bulletin.
[8] Article 8 paragraphe 2 de la CEDH « Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi […] ».
[9]CEDH 22 févr. 2018, req. n°588/13, § 38.
[10]Id., § 46.
[11]Id., § 48.
[12]C. trav. art. L. 1321-5.
[13]Des conséquences liées notamment au fait que les litiges le concernant relèvent des juridictions judiciaires.
[14]CEDH 22 févr. 2018, req. n°588/13, §38.
[15]Condition dans lesquelles l’employeur peut consulter les fichiers informatiques personnels de ses salariés, Recueil Dalloz, p. 1448.
[16]Cass. soc., 5 juill. 2011, n° 10-17.284.
[17]Il s’agit des articles L.1121-1 qui dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionné au but recherché. » Et L.1321-3 qui dispose que « le règlement intérieur ne peut contenir […] des dispositions apportant aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnée au but recherchée […] ».
[18]CEDH 22 févr. 2018, req. n°588/13, § 46.
[19]En l’occurrence, les articles L.1121-1 et L.1321-3 du Code du travail.
[20]Cass. soc., 2 oct. 2001, n° 99-42.942, Publié au bulletin, Semaine Sociale Lamy, n° 1045, p. 6, concl. S. KERHIG.
[21]Cass. soc.,17 mai 2005, préc.
[22]Cass. soc., 18 oct. 2006 n° 04-48025, Publié au bulletin, D. 2007, p. 686, obs. F. GUIOMARD.
[23]CEDH 22 févr. 2018, req. n°588/13, § 28.
[24]Id, § 51.
[25]Cass. soc., 5 juill. 2011, préc.
[26]Cass. soc., 14 sept. 2010, n° 09-65675.
[27]Cass. Mixte., 18 mai 2007, n° 05-40803.
[28]Cass. soc., 27 mars 2012, n° 10-19.915.
[29]Cass. soc., 2 oct. 2001, préc.
[30]Cass. soc., 18 mars 2009, n° 07-44247. A propos d’un salarié qui est resté connecté, à des fins personnelles, 41 heurs en un mois.
[31]Ces principaux arguments sont illustrés clairement dans les paragraphes 51(pour le manquement relevant de sa vie personnelle mais caractérisant le trouble objectif) et 52 (pour l’abus) de la décision de la CEDH. Tout d’abord, en détenant ces fichiers litigieux (fausses attestations et images et vidéos pornographiques), le requérant avait contrevenu au code de déontologie de la SNCF compte tenu du comportement exemplaire qu’il aurait dû avoir en sa qualité d’agent de la surveillance générale. Ensuite, l’abus d’usage à des fins personnelles est caractérisé par le fait que le requérant ait utilisé une partie importante du disque dur de l’ordinateur professionnel pour stocker les fichiers litigieux « 1562 fichiers représentant un volume de 787 mégaoctets ».
[32]CEDH 5 sept. 2017, req. n°61496/08, Barbulescu c./ Roumanie.
[33]Ce dispositif se trouve à l’article L.
[34]En ce sens, G. PERONNE et E. DAOUD, Contrôle de la messagerie électronique du salarié : quel est l’état du droit ? D. IP/IT , 2018 , p. 53.
[35]Cass. soc., 21 oct. 2009, n° 07-43.877.
[36]Cass. soc., 10 mai 2012, n° 11-13.884.
[37]Cass. soc., 19 juin 2013, n° 12-12.138
[38]Cass. soc.,17 mai 2005, préc.
[39]Id.
[40]CEDH 22 févr. 2018, req. n°588/13, § 51.
[41]CEDH 22 févr. 2018, req. n°588/13, § 51.
[42]CEDH 22 févr. 2018, req. n°588/13, § 52.
[43]CE 28 janv. 1991, Dr. soc., 1992, p. 227, note J. SAVATIER.
[44]Cass. soc., 18 oct. 2006, préc.
[45]L. PERRIN, Le règlement intérieur peut restreindre la consultation, par l’employeur, des courriers personnels, Dalloz actualité, 6 sept. 2012, à propos, Cass. soc., 26 juin 2012, n° 11-15.310.
[46]Généralement, les adjonctions du règlement intérieur sont les notes de services ou les chartes informatiques. C’est adjonctions n’ont la même valeur juridique que le règlement intérieur qu’après l’accomplissement des formalités exigées par la loi comme l’information préalable et individuelle des salariés et dans certains cas, une information collective.
[47]Cass. soc., 18 oct. 2006, préc.