Résume les motivations suivantes invoquées par la Cour pour statuer

Réponse de la Cour

Vu les articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004, dans sa version antérieure à l'entrée en vigueur du Règlement général sur la protection des données, les articles 6 et 8 de la Convention de sauvegarde de droits de l'homme et des libertés fondamentales :

11. Les adresses IP, qui permettent d'identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l'article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, de sorte que leur collecte par l'exploitation du fichier de journalisation constitue un traitement de données à caractère personnel et doit faire l'objet d'une déclaration préalable auprès de la Commission nationale de l'informatique et des libertés en application de l'article 23 de la loi précitée.

12. Toutefois, ainsi que la Cour l'a déjà jugé (Soc., 9 novembre 2016, pourvoi n° 15-10.203, Bull. 2016, V, n° 209), le droit à la preuve peut justifier la production d'éléments portant atteinte à la vie personnelle d'un salarié à la condition que cette production soit nécessaire à l'exercice de ce droit et que l'atteinte soit proportionnée au but poursuivi. De même, elle a déjà jugé (Soc., 31 mars 2015, pourvoi n° 13-24.410, Bull. 2015, V, n° 68), qu'un salarié ne peut s'approprier des documents appartenant à l'entreprise que s'ils sont strictement nécessaires à l'exercice des droits de sa défense dans un litige l'opposant à son employeur, ce qu'il lui appartient de démontrer.

13. Il résulte par ailleurs de la jurisprudence de la Cour européenne des droits de l'homme, s'agissant plus particulièrement de la surveillance des employés sur le lieu de travail, qu'elle a estimé que l'article 8 de la Convention de sauvegarde de droits de l'homme et des libertés fondamentales laissait à l'appréciation des États le choix d'adopter ou non une législation spécifique concernant la surveillance de la correspondance et des communications non professionnelles des employés (CEDH, K..., 5 sept. 2017, n° 61496/08, § 119). Elle a rappelé que, quelle que soit la latitude dont jouissent les États dans le choix des moyens propres à protéger les droits en cause, les juridictions internes doivent s'assurer que la mise en place par un employeur de mesures de surveillance portant atteinte au droit au respect de la vie privée ou de la correspondance des employés est proportionnée et s'accompagne de garanties adéquates et suffisantes contre les abus (K..., précité, § 120).

14. La Cour européenne des droits de l'homme a jugé également que, pour déterminer si l'utilisation comme preuves d'informations obtenues au mépris de l'article 8 ou en violation du droit interne a privé le procès du caractère équitable voulu par l'article 6, il faut prendre en compte toutes les circonstances de la cause et se demander en particulier si les droits de la défense ont été respectés et quelles sont la qualité et l'importance des éléments en question (CEDH, 17 oct. 2019, Lopez Ribalda, n° 1874/13 et 8567/13, § 151).

15. Enfin, aux termes de l'article 13. 1 g) de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, applicable à l'époque des faits, les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l'article 6 paragraphe 1, à l'article 10, à l'article 11 paragraphe 1 et aux articles 12 et 21, lorsqu'une telle limitation constitue une mesure nécessaire pour sauvegarder la protection de la personne concernée ou des droits et libertés d'autrui.

16. Il y a donc lieu de juger désormais que l'illicéité d'un moyen de preuve, au regard des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004, dans sa version antérieure à l'entrée en vigueur du Règlement général sur la protection des données, n'entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l'utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d'éléments portant atteinte à la vie personnelle d'un salarié à la condition que cette production soit indispensable à l'exercice de ce droit et que l'atteinte soit strictement proportionnée au but poursuivi.

17. Pour juger le licenciement fondé sur une faute grave et débouter le salarié de sa demande principale de réintégration et de ses demandes subsidiaires d'indemnité de préavis et de congés payés afférents, d'indemnité de licenciement et de dommages-intérêts pour licenciement sans cause réelle et sérieuse, l'arrêt retient que selon un procès-verbal de constat d'huissier, le recoupement des informations de fichiers de journalisation extraites de données du gestionnaire centralisé de logs de l'AFP sur la journée du 30 janvier 2015 et la plage horaire de 12 heures 02 à 16 heures 02 et de l'adresse utilisée pour l'envoi des messages incriminés, a permis de constater que l'adresse IP utilisée est celle de M. O.... Il énonce également que les logs, fichiers de journalisation et adresses IP, qui constituent un traçage informatique que ne peut ignorer le salarié compte tenu de ses fonctions, ne sont pas soumis à une déclaration à la CNIL, ni ne doivent faire l'objet d'une information du salarié en sa qualité de correspondant informatique et libertés, lorsqu'ils n'ont pas pour vocation première le contrôle des utilisateurs. Il ajoute que seule la mise en oeuvre d'un logiciel d'analyse des différents journaux (applicatifs et systèmes) permettant de collecter des informations individuelles poste par poste pour contrôler l'activité des utilisateurs doit être déclarée à la CNIL en ce qu'il s'agit d'un traitement automatisé d'informations nominatives. L'arrêt en conclut que s'agissant non pas de la mise en oeuvre d'un tel logiciel, mais d'un simple traçage issu des fichiers de journalisation, pour lesquels la charte des ressources informatiques et internet en vigueur à l'AFP précise qu'ils sont conservés par l'administrateur pour une durée pouvant atteindre six mois, la preuve opposée au salarié est légale et ne procède pas d'une exécution déloyale du contrat.

18. En statuant ainsi, alors que l'exploitation des fichiers de journalisation, qui permettent d'identifier indirectement une personne physique, constitue un traitement de données à caractère personnel au sens de l'article 2 de la loi du 6 janvier 1978 susvisée, et était ainsi soumise aux formalités préalables à la mise en oeuvre de tels traitements prévues au chapitre IV de ladite loi, ce dont il résultait que la preuve était illicite et, dès lors, les prescriptions énoncées au paragraphe 16 du présent arrêt invocables, la cour d'appel a violé les textes susvisés.



En application des articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004, dans sa version antérieure à l'entrée en vigueur du règlement général sur la protection des données, les adresses IP, qui permettent d'identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l'article 2 susvisé, de sorte que leur collecte par l'exploitation du fichier de journalisation constitue un traitement de données à caractère personnel et doit faire l'objet d'une déclaration préalable auprès de la Commission nationale de l'informatique et des libertés en application de l'article 23 de la loi précitée.
En application des articles 6 et 8 de la Convention de sauvegarde de droits de l'homme et des libertés fondamentales, l'illicéité d'un moyen de preuve, au regard des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004, dans sa version antérieure à l'entrée en vigueur du règlement général sur la protection des données, n'entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l'utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d'éléments portant atteinte à la vie personnelle d'un salarié à la condition que cette production soit indispensable à l'exercice de ce droit et que l'atteinte soit strictement proportionnée au but poursuivi.
Encourt la cassation l'arrêt qui énonce que les logs, fichiers de journalisation et adresses IP ne sont pas soumis à une déclaration à la CNIL, ni ne doivent faire l'objet d'une information du salarié en sa qualité de correspondant informatique et libertés lorsqu'ils n'ont pas pour vocation première le contrôle des utilisateurs, alors que la collecte des adresses IP par l'exploitation du fichier de journalisation constitue un traitement de données à caractère personnel au sens de l'article 2 de la loi n° 78-17 du 6 janvier 1978 susvisée et est soumise aux formalités préalables à la mise en oeuvre de tels traitements prévues au chapitre IV de ladite loi, ce dont il résulte que la preuve était illicite et les dispositions des articles 6 et 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales invocables