Dans un arrêt dit « Manfrini » rendu le 25 novembre 2020, la Chambre sociale de la Cour de cassation se prononce sur plusieurs notions à l’intersection entre du droit social et de la protection des données à caractère personnel.
Recevabilité de la preuve portant des données à caractère personnel
Antérieurement à l’arrêt Manfrini, la Chambre sociale de la Cour de cassation considérait qu’une preuve obtenue au moyen de données qui auraient dû faire l’objet d’une déclaration préalable auprès de la CNIL était irrecevable (Soc., 8 octobre 2014, pourvoi n° 13-14.991, Bull. 2014, V, n° 230).
Désormais, elle dit que l’illicéité d’un tel moyen de preuve ne le rend pas nécessairement irrecevable mais requiert un contrôle de proportionnalité entre l’atteinte portée à la vie personnelle du salarié sur son lieu de travail et le droit à la preuve de l’employeur.
Il est également précisé que la production d’une telle preuve par l’employeur doit être « indispensable » pour l’exercice de son droit.
L’adresse IP est considérée comme une donnée à caractère personnel
Cette décision est également l’occasion pour la Chambre sociale de rappeler que :
- L’adresse IP est une donnée à caractère personnel car elle permet indirectement d’identifier une personne physique ; et
- La collecte de l’adresse IP par l’exploitation du fichier de journalisation (logs) constitue un traitement de données à caractère personnel.
Bien qu’elle concerne l’application de la loi Informatiques et Libertés dans sa version antérieure au RGPD, cette décision permet de mieux évaluer l’impact d’un traitement sur les droits et libertés des salariés et propose un cadre pour gérer la preuve informatique dans les contentieux Prud’hommaux..