Citation: 4A_341/2019 E. A

A.a. A.________ a été engagé par B.________ Limited, succursale de Genève (à l'époque: succursale de Z.________) (ci-après: B.________ ou la société) comme géologue senior à partir du 1 er septembre 2006. Il a été promu directeur technique... le 1 er février 2010, puis désigné "directeur technique..." le 1 er avril 2015. Ce dernier poste est situé au niveau 26 de l'échelle interne de l'entreprise, qui comporte les échelons 17 à 28 pour les employés occupés à Genève. A ce dernier titre, il était subordonné à C.________, directeur technique pour l'Afrique. Le salaire annuel brut de A.________ se montait à 369'500 fr. depuis le 1 er janvier 2014. S'y ajoutait un bonus qui a atteint 105'400 fr. en 2014, ainsi que des prestations en espèces inscrites dans un plan d'encouragement à long terme discrétionnaire ( Long Term Incentive Plan [LTIP]), qui ont pris la forme de deux versements de 77'500 fr. chacun en août 2014 et 2015 (au titre du LTIP 2013) et d'un versement de 81'066 fr. en août 2015 (au titre du LTIP 2014). A.b. Des rumeurs de licenciement ont commencé à circuler au sein de la société durant la première partie de l'année 2015. Le 2 février 2015, le CEO de B.________ a adressé un courriel à tous les employés de la succursale genevoise en exposant que l'industrie du pétrole traversait une période difficile et que la société devait prendre des mesures strictes dans le but d'améliorer ses performances. Le 31 août 2015, il faisait savoir que les revenus nets de la société avaient été fortement impactés de sorte qu'un programme de "réalignement organisationnel" serait prochainement mis en oeuvre. Le 16 septembre 2015, lors d'une réunion générale, il annonçait officiellement que la succursale genevoise était contrainte de se séparer de septante employés. En date du 22 septembre 2015, il portait à la connaissance des collaborateurs concernés la mise en place d'un programme de départ volontaire. A.________ comptait parmi ceux-ci. Dans le cadre de ce programme, l'employé s'est vu proposer le paiement de la somme totale de 578'359 fr. représentant neuf mois de salaire, deux mois de bonus et une indemnité à titre de LTIP (s'ajoutant au LTIP du premier semestre 2015). Cette offre venait à échéance le 5 octobre 2015. A.c. Le 3 septembre 2015, A.________ a effectué une présentation concernant le "..." devant deux membres du comité exécutif et le directeur technique pour l'Afrique. Ce dernier lui a ensuite demandé de compléter cette analyse, notamment afin de produire des chiffres pour évaluer la valeur des sites. Des ambiguïtés subsistaient quant aux données qui n'avaient pas été triées et aux chiffres de production venant de différents départements. Il y avait une urgence à compléter cette présentation, ce qui avait été souligné à plusieurs occasions après le 3 septembre 2015. A.d. A la suite de la dénonciation - au début septembre 2015 - d'un employé de la société par l'un de ses collègues qui le suspectait d'avoir téléchargé des données de l'entreprise alors qu'il avait démissionné, B.________ a mis en place une surveillance systématique et renforcée de ses travailleurs. Entre le 17 et le 18 septembre 2015, elle a installé un système quotidien d'alerte permettant de détecter tout téléchargement de données depuis les serveurs de la société vers des périphériques de stockage externe de plus de 1 GB par jour et par utilisateur. Cette mesure lui a permis, le 25 septembre 2015, de détecter une activité suspecte d'un collaborateur les jours précédents, ce qui a débouché sur l'audition, la suspension, puis le licenciement de l'intéressé. Cette découverte a incité la société à mener une enquête interne sur les activités de téléchargement ayant eu lieu depuis le début du mois de septembre. Le 30 septembre 2015, le département informatique a dressé une liste de dix employés ayant téléchargé le plus grande nombre de fichiers sur des périphériques de stockage externes depuis le début du mois, ainsi qu'une autre liste de vingt personnes ayant téléchargé le plus gros volume de données durant la même période. Le nom de A.________ figurait en tête de ces deux listes, pour avoir téléchargé un total de 91'982 fichiers (représentant 182,8 GB de don nées), dont 91'257 (179 GB) entre les 6 et 7 septembre 2015, 319 (1 GB) le 9 septembre 2015 et 405 fichiers (2 GB) le 28 septembre 2015); 37'182 étaient des fichiers personnels et 54'800 des fichiers professionnels (représentant 85 GB). Il était relevé que l'employé était un utilisateur régulier de périphériques amovibles, mais pour de petits volumes de données. Par comparaison, il avait téléchargé entre 0 et 226 fichiers entre janvier et août 2015, représentant quelques dixièmes ou centièmes de GB. La société avait émis des directives concernant le téléchargement, soit notamment celle sur la sécurité des informations de la société du 22 octobre 2014, celle sur l'utilisation des ordinateurs, de la messagerie électronique et des téléphones du 20 mai 2015 et celle, non datée, sur l'utilisation des périphériques de stockage externes. Sous le titre "activités prohibées", la directive du 20 mai 2015 indique que "les téléchargements massifs de données ou les téléchargements de données sensibles (nouveaux projets, exploration, contrats, etc.) à l'aide de périphériques de stockage externes sont interdits à moins qu'ils ne soient autorisés par le chef de département concerné pour des raisons professionnelles particulières, en utilisant des périphériques de stockage externes appartenant à la société et dûment enregistrés"; elle prévoit encore que toute violation peut entraîner une mesure disciplinaire pouvant aller jusqu'au licenciement. La dernière directive citée précise que toute activité (copie, téléchargement) sur des périphériques USB est enregistrée et que toute anomalie peut justifier une enquête. Le 1 er octobre 2015, A.________ a été convoqué par la société afin d'être entendu au sujet d'un téléchargement important qu'il avait effectué sur un disque externe. Il a admis ce téléchargement, expliquant avoir procédé à un back-up complet de son disque M (disque sur lequel les employés étaient autorisés à stocker des données personnelles) parce qu'il avait beaucoup de photos personnelles et précisant qu'il utilisait le disque M de son ordinateur comme back-up. Il a en outre indiqué qu'il ne procédait pas à ces sauvegardes régulièrement, mais qu'il essayait de le faire une fois par année. A la question de savoir si l'information téléchargée incluait uniquement des données personnelles, il a répondu par la négative, indiquant qu'il avait pris l'entier du disque M qui incluait des fichiers très anciens, mais que la plus grande partie concernait des photos; il trouvait en effet plus facile de tout télécharger et d'effacer ensuite ce dont il n'avait plus besoin. A la question de savoir s'il confirmait que l'information téléchargée incluait des informations de l'entreprise/confidentielles/sensibles qui ne devraient pas être copiées sur un disque personnel, il a donné la réponse suivante: " Je peux vous donner un exemple, j'ai des CV, des recommandations pour des promotions, des échanges, des choses que je ne mettrais pas sur un disque partagé. Vous ne mettez pas les évaluations des personnes et des choses comme ça sur le disque partagé. Je n'ai pas de secrets d'entreprise sur le disque M. Les documents Excel, présentations, documents, etc., ne se trouvent pas sur mon disque M. Il n'y a pas non plus de documents "aaa". Je n'ai pas de données sismiques, listes de sources ou de données similaires sur ce disque. " Interpellé sur la présence - parmi les fichiers téléchargés - de fichiers "aaa", il a précisé que, s'il y en avait, il s'agissait de documents très anciens et qu'au surplus, il en était l'auteur. Par ailleurs, il ne pensait pas que les données copiées aient une valeur en dehors de la société. Finalement, il avait téléchargé ces données sur un disque externe lui appartenant, qui n'était pas crypté et il n'avait pas sollicité d'autorisation pour ce faire à son supérieur. Il a été demandé à l'employé s'il savait si une partie des informations copiées était soumise à des accords de confidentialité signés avec des tiers; il a répondu qu'aucun document soumis à un accord de confidentialité n'avait jamais été copié sur le disque M, ajoutant: " Par exemple, les documents techniques, « bbb » sont gardés sur un disque partagé. Tous les e-mails «bbb» se trouvent sur mon système d'archivage des courriels ". L'employé a précisé que le disque dur externe n'était jamais sorti de son bureau. Il connaissait la politique d'utilisation d'ordinateurs, e-mails et téléphones, ainsi que le code de conduite. Après lecture de certains passages de ces directives, il a admis avoir violé ces prescriptions, justifiant sa réponse de la manière suivante: " parce que j'ai procédé à une copie en masse. Je passe beaucoup de temps sur des présentations, particulièrement le week-end et j'ai toujours travaillé sur les disques partagés lorsque j'étais chez B.________ (jamais à partir du disque M); plus spécifiquement, à partir du dossier présentation sur le disque R [ soit un disque partagé du département...]. Ce dossier consiste pratiquement totalement en des fichiers Powerpoint avec les fichiers Excel qui y sont liés, que l'on utilise pour faire des copier/coller dans les présentations. Lorsque je veux travailler depuis la maison, je copie les dossiers nécessaires sur le stick mémoire et les restitue après le week-end ". Par courrier remis en mains propres le jour de son audition, soit le 1er octobre 2015, l'employeuse a suspendu l'employé de ses fonctions avec effet immédiat. Aussitôt après, A.________ s'est rendu avec D.________ ( Senior internal Auditor) à son bureau et lui a remis le support externe sur lequel il avait procédé aux téléchargements reprochés ainsi que deux clés USB. Depuis le 2 octobre 2015, l'employé a été en incapacité totale de travail pour cause de maladie. Il a adressé à l'employeuse une copie des certificats médicaux attestant de son état à tout le moins jusqu'au 1 er mars 2016. Après avoir poursuivi les investigations au sujet des données téléchargées, la société a entendu une seconde fois l'employé le 6 octobre 2015. Interrogé sur la raison qui l'avait poussé à procéder à un back-up complet de son disque M, il a expliqué qu'il souhaitait principalement effectuer une copie de ses photos et fichiers personnels. Il avait quelques photos à son domicile et voulait procéder à une vérification, photo par photo, afin d'être certain de tout avoir. Il était plus facile de tout copier en une fois. Il n'avait pas l'intention de le ramener à la maison avant de l'avoir nettoyé. A la lecture de la liste des fichiers qu'il avait téléchargés, il a déclaré: "j 'avais fait un back-up de mon disque M mais également du dossier «présentation» de « R:/... ». Je n'ai pas caché cela lors du premier entretien. Les dossiers récents proviennent certainement de ce dossier «présentation». Il s'agit essentiellement de présen tations-clé avec lesquelles je travaille." Questionné sur la raison du téléchargement du fichier "présentation", il a expliqué qu'il avait travaillé récemment (au cours des trois, quatre derniers mois) sur une rétrospective sur cinq ans des performances de production au... et sur la situation qui prévaudrait aujourd'hui s'ils ne faisaient rien, ce que cela impliquait pour la société et quelles étaient les options s'ils se projetaient sur les cinq prochaines années et au-delà, dont une partie avait déjà été présentée. Selon les déclarations de l'employé, " le dos sier de présentation (comprenait) tous les documents dont (il) avai (t) besoin pour (s) on analyse et (s) es présentations. Ces dossiers pren (aient) beaucoup de place sur le disque et par le passé (il avait) parfois travaillé depuis la maison en prenant des fichiers individuels et (il) réalisai (t) alors qu'il (lui) manquait un fichier pour compléter (s) a présentation. (Il) n'avai (t) pas l'intention de quitter l'entreprise avec le disque dans cet état. Comme (il) l' (avait) dit, (il) l' (aurait) nettoyé avant. (Il) avai (t) l'intention de prendre deux semaines de vacances, ce qu' (il) n'a (vait) jamais fait de sorte qu' (il) n'a (vait) jamais pris le disque." A.e. Au cours d'un entretien qui s'est déroulé le 9 octobre 2015, deux responsables des ressources humaines ont informé A.________ que la société était contrainte de procéder à son licenciement avec effet immédiat. Ils lui ont indiqué que cette décision faisait suite aux résultats de l'enquête menée à son endroit. L'employé a refusé de prendre ou de contresigner la lettre de licenciement qu'ils ont tenté de lui remettre, de sorte que celle-ci lui a été envoyée par recommandé. Ce courrier, réceptionné le 13 octobre 2015, mentionnait que l'employé était licencié avec effet immédiat en raison de l'activité récente de téléchargement, laquelle constituait une sérieuse violation de plusieurs directives de la société; cette action aurait pu entraîner des dommages pour la société, ainsi qu'un risque de responsabilité vis-à-vis de tiers; ce comportement était inacceptable pour une personne occupant un poste tel que le sien, de sorte qu'il était inconcevable pour la société de poursuivre les relations de travail. Un rapport final d'audit non daté a été rédigé à la suite de l'enquête interne et remis au comité exécutif de la société. Ce rapport conclut qu'il n'existait pas de justification professionnelle valable au téléchargement massif effectué par l'employé; ce dernier n'était pas l'auteur exclusif de tous les documents copiés; les données téléchargées comprenaient des informations sensibles et précieuses qui pourraient, si elles étaient diffusées, constituer un risque pour la société en lien avec certains accords conclus avec des partenaires au...; le nombre d'informations téléchargées constituait une base de données qui en elle-même pouvait avoir de la valeur. Par courrier du 15 octobre 2015, l'employé a contesté son licenciement avec effet immédiat, estimant qu'il était dépourvu de justes motifs et signifié tardivement. Comme il lui avait été notifié pendant une période d'incapacité de travail, il se révélerait également nul.