Source: http://www.wk-rh.fr/actualites/detail/102896/illiceite-du-moyen-de-preuve-issu-d-un-logiciel-de-tracabilite-de-l-activite-informatique-des-salaries-quelle-cause-pour-quels-enjeux-.html
Timestamp: 2020-04-10 18:30:14+00:00
Document Index: 263203798

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

Éclairage - Illicéité du moyen de preuve issu d'un logiciel de traçabilité de l'activité informatique des salariés : quelle cause pour quels enjeux ? - Jurisprudence sociale Lamy, n° 491 - WK-RH, actualités sociales et des ressources humaines
06/02/2020 Jurisprudence sociale Lamy, n° 491
Un salarié, embauché le 1er octobre 1976, en qualité de prospecteur puis de formateur, par une caisse régionale d'un établissement bancaire, a été licencié pour faute grave le 20 décembre 2012.
Selon les termes de la lettre de licenciement, l'employeur reprochait au salarié d'avoir consulté à 256 reprises les comptes bancaires de personnes n'appartenant pas à son portefeuille de clients et notamment ceux des compagnes de ses deux fils, de collègues ainsi que d'administrés de la commune dont il était le maire.
Ces consultations auraient été décelées à la suite d'une alerte générée par le logiciel de contrôle interne « GC45 ».
Le logiciel dont il est question a été mis en place par l'établissement bancaire afin de se conformer au règlement CRBF 97-02 dans le but d'assurer la sécurité des données bancaires et une maîtrise des risques.
Estimant son licenciement injustifié, le salarié saisissait le conseil de prud'hommes. Après avoir été débouté par ce dernier, il interjetait appel. Il soutenait notamment que l'utilisation du logiciel de traçabilité « GC45 » comme moyen de preuve était illicite faute pour l'établissement bancaire d'avoir informé et consulté préalablement le comité d'entreprise sur ce dispositif de contrôle de l'activité des salariés.
La Cour d'appel de Reims a suivi cet argumentaire, écarté le moyen de preuve jugé illicite et considéré que la preuve de la faute grave n'était pas rapportée par l'employeur.
L'établissement bancaire, employeur, formait un pourvoi.
Aux termes du premier moyen, que nous commenterons ici, l'employeur reproche en substance à la cour d'appel de ne pas avoir tenu compte de la spécificité des dispositifs de contrôle dans le secteur bancaire.
Selon lui, « un établissement de crédit est libre, sans avoir à en informer préalablement le comité d'entreprise, d'utiliser un système informatique destiné à assurer la sécurité des données bancaire et une maîtrise des risques, serait-il doté d'un système de traçabilité ». en d'autres termes, le logiciel « GC45 » n'avait pas été introduit dans l'objectif de contrôler l'activité des salariés, de sorte que la consultation du comité d'entreprise ne s'imposait pas.
Par suite, en l'absence d'obligation d'information et de consultation préalable de l'instance représentative du personnel, l'utilisation du logiciel comme moyen de preuve était parfaitement licite selon l'auteur du pourvoi.
Dans son arrêt du 11 décembre 2019, destiné à la publication au Bulletin, la Cour de cassation rejette l'argumentaire.
Elle rappelle, en premier lieu, l'obligation reposant sur l'employeur d'informer et de consulter le comité d'entreprise sur les moyens ou les techniques permettant un contrôle de l'activité des salariés préalablement à la décision de les mettre en œuvre dans l'entreprise.
Elle considère ensuite que si l'outil de traçabilité « GC45 » est destiné au contrôle des opérations et des procédures internes, à la surveillance et la maîtrise des risques, il « permettaitégalementde restituer l'ensemble des consultations effectuées par un employé et était utilisé par l'employeur afin de vérifier si le salarié procédait à des consultations autres que celles des clients de son portefeuille ». La Cour en déduit donc que la juridiction d'appel « en a exactement déduit que l'employeur aurait dû informer et consulter le comité d'entreprise sur l'utilisation de ce dispositif à cette fin et qu'à défaut, il convenait d'écarter des débats les documents résultant de ce moyen de preuve illicite ».
Cette décision rappelle en premier lieu deux règles classiques :
l'employeur doit informer et consulter le comité d'entreprise sur les moyens ou les techniques de contrôle de l'activité des salariés préalablement à la décision de les mettre en œuvre (C. trav., art. L. 2323-32). Bien entendu, les logiciels ayant pour objet de tracer l'activité informatique des salariés (contrôle des connexions, traceurs ou autres keyloggers) entrent dans le champ d'application de ces dispositions (voir, en ce sens, CA Versailles, 5 avr. 2018, no 16/00898 ; CA Paris, 12 mai 2016, no 14/10477 ; CA Lyon, 14 févr. 2014, no 12/07279) ;
le défaut d'information et de consultation préalable du comité rend illicite la mobilisation de la technique ou du moyen de contrôle comme preuve des fautes commises par le salarié (Cass. soc., 7 juin 2006, no 04-43.866 ; Cass. soc., 2 nov. 2016, no 15-20.140 ; Cass. soc., 20 sept. 2018, no 16-26.482).
“L'article L. 2312-38 du Code du travail impose toujours aujourd'hui cette information consultation préalable”.
Ces deux principes sont donc tout à fait classiques. Il convient à cet égard de relever qu'ils sont toujours applicables après le passage à la nouvelle instance, le comité social et économique. En effet, si depuis les faits de l'espèce, les dispositions de l'article L. 2323-32 ont été déplacées dans le Code du travail au gré de deux réformes successives (loi Rebsamen du 17 août 2015 et ordonnance Macron du 22 septembre 2017), leur sens demeure inchangé. Ainsi, la mention faite par la Cour de l'application de l'article L. 2323-32 du Code du travail « antérieur à la loi no 2015-994 du 17 août 2015 » ne signifie pas que la solution rendue serait aujourd'hui obsolète. Au contraire, l'article L. 2312-38 du Code du travail impose toujours aujourd'hui cette information consultation préalable dans le cadre du comité social et économique.
Au demeurant, les obligations reposant sur l'employeur sont aujourd'hui plus fortes qu'au moment des faits de l'espèce lorsque le dispositif de contrôle entraîne également un traitement de données à caractère personnel du salarié. En effet, on rappellera qu'au-delà d'une information des salariés (C. trav., art. L. 1222-4), qui existait déjà, le RGPD impose de mettre en œuvre des formalités spécifiques (notamment la tenue du registre et, le cas échéant, la réalisation d'une analyse d'impact) et de respecter des principes (finalité, proportionnalité, limitation, sécurité et respect des droits des personnes sur leurs données).
Ceci étant rappelé, et au regard de ce qui précède, la solution dégagée par la Cour de cassation dans le présent arrêt apparaît absolument orthodoxe.
Néanmoins, elle pourra surprendre les acteurs du secteur bancaire car elle semble s'opposer à une décision, ancienne, rendue par cette même Cour, le 18 juillet 2000 (Cass. soc., 18 juill. 2000, no 98-43.485). Dans cet arrêt, elle considérait que « le fait pour une banque de mettre en place un système d'exploitation intégrant un mode de traçage permettant d'identifier les consultants des comptes, ne peut être assimilé ni à la collecte d'une information personnelle au sens de l'article L. 121-8 du Code du travail, ni au recours à une preuve illicite, le travail effectué par l'utilisation de l'informatique ne pouvant avoir pour effet de conférer l'anonymat aux tâches effectués par les salariés ».
Près de 20 ans plus tard, la Cour semble revenir sur sa position qui pouvait apparaître comme une exception du secteur bancaire : les logiciels de traçage informatique des consultations de comptes bancaires utilisés par l'employeur afin de vérifier si les salariés procèdent à des consultations autres que celles des clients de leur portefeuille doivent donner lieu à consultation préalable du comité.
Comment expliquer cette solution radicalement différente ?
En réalité, à notre sens, la Cour de cassation vient ici affiner sa jurisprudence en répondant à une question épineuse : lorsque, comme en l'espèce, le dispositif n'a pas pour finalité première et/ou originelle le contrôle de l'activité des salariés mais est mobilisé ponctuellement à cette fin, la consultation du comité est-elle requise ? Dans cet arrêt, la Cour apporte une réponse claire : dans la mesure où le logiciel « permettait égalementde restituer l'ensemble des consultations », il devait faire l'objet d'une information et d'une consultation préalable. La finalité première et déclarée par l'établissement bancaire, c'est-à-dire assurer la sécurité des données bancaires et la maîtrise des risques, n'a pas d'influence si le système est aussi utilisé afin de contrôler les salariés.
“Près de 20 ans plus tard, la Cour semble revenir sur sa position qui pouvait apparaître comme une exception du secteur bancaire”.
Faut-il en déduire que l'objectif poursuivi par l'employeur lorsqu'il met en œuvre un dispositif de surveillance n'a plus aucune incidence ? et qu'ainsi, tout dispositif permettant de recueillir des preuves de fautes disciplinaires devrait faire l'objet d'une consultation préalable du comité même s'il n'a pas vocation à être utilisé pour contrôler l'activité des salariés (audit sur l'organisation d'un service, relevé des connections à un logiciel, relevé des appels téléphoniques etc.) ?
À notre sens, il ne faut pas étendre la portée de cette décision. Dans l'arrêt commenté, la Cour relève que le contrôle de l'activité des salariés était une des finalités du logiciel de traçabilité. Ainsi, elle valide l'appréciation de la cour d'appel, laquelle ne s'est pas bornée à étudier la finalité première, officielle et déclarée par l'employeur. Elle considère donc qu'il convient également de tenir compte des finalités révélées par l'utilisation du dispositif qu'elles soient secondaires ou inconnues lors de la mise en place du logiciel. A contrario, on peut considérer que si le logiciel n'avait pas pour finalité, même secondaire, de contrôler les salariés, aucune information consultation de l'instance n'aurait été requise.
Ainsi, cet arrêt n'a pas vocation à remettre en cause les précédentes décisions ayant considéré que la consultation du comité n'était pas préalablement requise lorsque le dispositif qui a permis de recueillir les preuves des fautes du salarié n'avait pas pour finalité de contrôler l'activité de ce dernier. C'est le cas, par exemple, des enregistrements de vidéo-surveillance consultés afin d'enquêter sur un vol commis dans un établissement qui révèle que ce dernier a été commis par un salarié : l'utilisation du dispositif n'a pas pour finalité de contrôler l'activité des salariés mais de veiller à assurer la sécurité du magasin (Cass. soc., 26 juin 2013, no 12-16.564). Il en est de même de l'audit interne diligenté afin d'améliorer l'organisation du service qui révèle des fautes commises par un salarié (Cass. soc., 12 juill. 2010, no 09-66.339).
Enfin, on peut regretter que la Cour n'ait pas été interrogée directement et explicitement sur l'incidence du caractère obligatoire de la mise en place de ce logiciel de surveillance (pour rappel imposé par le règlement CRBF 97-02 aujourd'hui remplacé par l'arrêté 3 novembre 2014). En effet, par le passé, la Cour de cassation a pu juger que le caractère obligatoire d'un dispositif de contrôle peut avoir une influence sur les obligations d'information de l'employeur : à titre d'exemple pour le secteur routier, la mobilisation de chronotachygraphes non déclarés à la Cnil a été jugé licite dans la mesure où leur mise en place était obligatoire et donc connue des salariés (Cass. soc., 14 janv. 2014, no 12-16.218).
En tout état de cause, dans l'affaire soumise à la Cour, ce salarié un peu trop précautionneux s'en tire à bon compte malgré les preuves semble-t-il irréfutables détenues par son ancien employeur. Cet arrêt rappelle donc l'importance pour les entreprises de se questionner en amont sur les dispositifs de contrôle mis en place dans leurs établissements et, en aval, au cours d'une procédure disciplinaire, de diversifier au maximum les moyens de preuve recueillis.
Attendu, selon l'arrêt attaqué, qu'engagé le 1er octobre 1976 par la caisse régionale de Crédit agricole mutuel, (CRCAM), du Nord est en qualité de prospecteur et au dernier état de la relation contractuelle en qualité de formateur, Y..., convoqué à un entretien préalable à son licenciement et mis à pied à titre conservatoire le 6 décembre 2012, a été licencié pour faute grave le 20 décembre 2012 ; qu'il a contesté son licenciement devant la juridiction prud'homale ;
Attendu que la CRCAM du Nord est fait grief à l'arrêt de dire le licenciement du salarié dépourvu de cause réelle et sérieuse et de la condamner au paiement de diverses sommes, alors, selon le moyen, qu'un établissement de crédit est libre, sans avoir à en informer préalablement le comité d'entreprise, d'utiliser un système informatique destiné à assurer la sécurité des données bancaires et une maîtrise des risques, serait-il doté d'un système de traçabilité, pour vérifier si un salarié a procédé à des consultations autres que celles des clients de son portefeuille ; qu'en l'espèce, la cour d'appel a relevé que l'employeur était un établissement de crédit tenu de se doter d'un système interne de vérification des opérations et procédures internes, de surveillance et de maîtrise des risques ; qu'en affirmant ensuite que cet « outil » permettait aussi de restituer l'ensemble des consultations effectuées par un employé et que dès lors, l'employeur aurait dû informer et consulter le comité d'entreprise avant d'utiliser le dispositif litigieux pour vérifier si le salarié procédait à des consultations autres que celles des clients de son portefeuille, sans mieux caractériser que le système informatique et sa traçabilité avaient été introduits dans l'entreprise avec pour objectif de contrôler l'activité des salariés, la cour d'appel a privé sa décision de base légale au regard de dans sa rédaction applicable au litige, ensemble les articles 9 du code civil et 9 du code de procédure civile ;
Mais attendu que selon , antérieur à la loi no 2015-994 du 17 août 2015, le comité d'entreprise est informé et consulté, préalablement à la décision de mise en œuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés ;
Vu dans sa rédaction antérieure à celle issue de l'ordonnance no 2016-131 du 10 février 2016 ;
CASSE ET ANNULE, mais seulement en ce qu'il condamne la CRCAM du Nord est à payer à Y... les sommes de 500 euros à titre de dommages et intérêts pour préjudice moral et de 10 000 euros au titre de la perte de chance de percevoir l'indemnité de fin de carrière, l'arrêt rendu le 6 décembre 2017, entre les parties, par la cour d'appel de Reims ; remet, en conséquence, sur ces points, la cause et les parties dans l'état où elles se trouvaient avant ledit arrêt et, pour être fait droit, les renvoie devant la cour d'appel de Nancy ;
Florian Clouzeau, Avocat, Fromont Briens
Souade Bouchêne, Avocat associé, Fromont Briens
[Cass. soc., 11 déc. 2019, pourvoi no 18-11.792, arrêt no 1695 FS-P+B]