Messagerie professionnelle non déclarée à la Cnil : incidence en matière de preuve

Lors d’un litige prud’homal, l’employeur avait produit des échanges d’emails entre le salarié et la direction.

La Cour d’appel avait écarté ces pièces en raison de l’absence de déclaration à la CNIL du système de messagerie électronique interne à l’entreprise.

La Cour de cassation, pour la première fois à notre connaissance, décide de faire une distinction quant au régime de la sanction entre déclaration normale et déclaration simplifiée.

En l’espèce, il s’agissait de l’absence d’une déclaration simplifiée d’une messagerie professionnelle, absence qui n’est pas de nature à porter atteinte au droit à la vie privée du salarié.

La Cour de cassation en conclu que les copies de mails échangés entre l’employeur et le salarié n’ont pas été obtenus de façon déloyale ou attentatoire aux droits de ce dernier, puisque le salarié a volontairement envoyé les mails à son employeur, qui en tant que destinataire était libre de les conserver et de les imprimer. S’agissant des mails dont l’employeur était lui-même l’auteur, celui-ci avait également le droit de les conserver et de les imprimer.

L’arrêt de la Cour d’appel est donc cassé en ce qu’il avait écarté des débats les mails produits par l’employeur.

Cette solutions ne vaut bien entendu que pour les systèmes de messagerie électronique relevant du régime de la déclaration simplifiée, c’est-à-dire ceux dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés en ce qu’ils ne comportent pas de possibilité de contrôle individualisé de l’activité des salariés.

Dans le cas contraire, comme l’a jugé la Cour de cassation en 2014 à propos d’un dispositif de contrôle individuel des flux des messageries pour contrôler un éventuel usage abusif de la messagerie professionnelle par les salariés, les informations collectées par un tel système avant sa déclaration à la CNIL constituent un moyen de preuve illicite et doivent dès lors être écartées des débats (Cass. soc. 8. 10.2014 n°13-14991).

Cass. Soc. 1er juin 2017, n°15-23522

La protection des données personnelles, un nouveau cadre juridique depuis le 25 mai 2018
Informatique et libertés : les adresses IP, sont des données à caractère personnel