Cour d'appel de Paris
K2, Cour de cassation
Chambre sociale, décision 20-18.166 du 09/03/2022,  partie 3


qu'il résulte de l'article 5 du même règlement que les données à caractère personnel doivent, non seulement être « collectées pour des finalités déterminées, explicites et légitimes », mais doivent également être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) » ; que ces principes s'opposent à ce qu'un juge puisse ordonner à l'employeur de constituer et de transmettre à l'expert-comptable une base de données permettant d'identifier chacun des salariés de l'entreprise et comportant des informations relatives à sa situation individuelle, sans s'assurer concrètement que ces informations sont indispensables à l'exercice par l'expert-comptable de sa mission et que l'exercice de sa mission par l'expert-comptable ne peut être opéré par un autre moyen ; qu'au cas présent, il n'est pas contesté qu'au regard du nombre d'informations dont il était demandé la collecte, la base de données dont la communication était demandée par l'expert-comptable permettait d'identifier chaque salarié de l'entreprise et d'accéder à des informations relatives à sa situation personnelle, notamment l'ensemble des éléments de rémunération perçus par ce salarié au cours des exercices 2015, 2016 et 2017 ; que la société SMI faisait valoir que l'expert-comptable n'expliquait pas en quoi il lui aurait été nécessaire, pour exercer sa mission, de disposer d'une base de données permettant d'identifier chacun des salariés de l'entreprise et de connaître sa situation personnelle, notamment en terme de rémunération ; qu'elle faisait également valoir qu'elle avait transmis à l'expertcomptable une base comportant, par fourchette de rémunération, le nombre de salariés concernés avec leur type de contrat, leur catégorie professionnelle, leur sexe et leur ancienneté et que l'expert-comptable n'expliquait pas en quoi ces informations auraient été insuffisantes pour exercer ses missions d'ordre général ; qu'en se bornant à relever que l'accès au document est prévu par la loi et que l'expert-comptable est soumis au secret professionnel pour refuser de rechercher, comme elle y était invitée, si la communication de la base de données demandée était, au regard de son contenu, indispensable à l'exercice par l'expert-comptable de sa mission et si les informations déjà transmises présentaient un caractère suffisant, la cour d'appel a violé les articles 4 et 5 du règlement (UE) 2016/679 du 27 avril 2016, ensemble les articles L. 2325-35, L. 2325-36 et L. 2325-37 du code du travail dans sa version antérieure à l'ordonnance du 22 septembre 2017.