Le 25 septembre 2024, la chambre sociale de la Cour de cassation a rendu un arrêt (n° 23-13.992) apportant des précisions intéressantes sur l’exploitation d’une clé USB personnelle non connectée à l’ordinateur professionnel d’un salarié. Nouvelle illustration de l’utilisation d’un mode de preuve illicite dans un cadre prud’homal, cet arrêt clarifie les limites entre le respect de la vie privée du salarié et la protection des intérêts légitimes de l’employeur.
Les faits et la procédure
Dans cette affaire, l’employeur avait découvert, sur le bureau d’une assistante commerciale, cinq clés USB personnelles sur lesquelles avaient été enregistrés de très nombreux documents professionnels sensibles en lien avec des processus de fabrication de l’entreprise. Pour récupérer ces données auxquelles elle n’était pas censée avoir accès, la salariée avait connecté sans autorisation ces clés USB sur l’ordinateur d’une collègue absente et d’une dirigeante de l’entreprise. Deux autres salariés avaient, par ailleurs, surpris l’intéressée en train de ranger des impressions dans un sac placé au pied de son bureau et dans une armoire fermée après avoir travaillé sur l’ordinateur de sa collègue absente. Licenciée pour faute grave, la salariée avait saisi le Conseil des prud’hommes d’une contestation du bien-fondé de la rupture de son contrat de travail.
Pour démontrer la faute grave commise par la salariée, l’employeur avait versé aux débats la liste des fichiers professionnels retrouvés dans les clés USB. Pour se défendre, la salariée invoquait l’illicéité de cette preuve et l’atteinte à sa vie privée, en se fondant sur un arrêt de principe de la Cour de cassation précisant qu’un employeur ne peut consulter la clé USB personnelle d’un salarié en son absence que si celle-ci est connectée à un ordinateur professionnel (Cour de cassation n° 11-28.649, chambre sociale, 12 février 2013).
Le 25 janvier 2023, la Cour d’appel de Lyon a confirmé la décision rendue par le Conseil de prud’hommes jugeant que la faute grave de la salariée était constituée. En effet, la Cour a constaté que les clés USB litigieuses avaient été connectées à plusieurs reprises au matériel informatique de l’employeur et que les fichiers copiés concernaient des données professionnelles indispensables au droit à la preuve de l’employeur. En outre, la Cour relevait dans sa décision que pour obtenir la preuve du caractère professionnel des données contenues dans les clés USB, l’employeur avait pris la précaution de mandater un huissier accompagné d’un expert. Or, ce dernier avait préalablement fait le tri entre les fichiers professionnels et personnels ; seule la copie des fichiers à caractère professionnel ayant été remise à l’employeur. Selon la Cour d’appel, l’atteinte à la vie privée de la salariée était donc proportionnée au but recherché, ce qui la conduisait à juger recevable la preuve produite par l’employeur et à valider le licenciement.
La Cour de cassation confirme sa jurisprudence sur la recevabilité d’un moyen de preuve illicite
Saisie d’un pourvoi formé par la salariée, la Cour de cassation confirme l’analyse de la Cour d’appel, par un raisonnement en deux temps.
Elle constate, tout d’abord, le caractère illicite de l’exploitation des clés USB personnelles de la salariée, confirmant ainsi sa jurisprudence de 2013. En effet, en examinant leur contenu en l’absence de l’intéressée alors que les clés n’étaient pas connectées à un ordinateur professionnel, la Haute juridiction reconnaît que l’employeur a porté atteinte à la vie privée de la salariée.
Cependant, l’illicéité d’une preuve n’entraîne pas automatiquement son exclusion. Le juge doit évaluer si son usage compromet l’équité de la procédure en équilibrant le droit à la preuve et les droits antinomiques. C’est ce qu’a rappelé l’Assemblée plénière dans son arrêt du 22 décembre 2023 : un enregistrement audio obtenu à l’insu du salarié peut démontrer les faits fautifs reprochés au salarié, si la production de cette preuve est indispensable à son exercice et si l’atteinte aux droits du salarié est strictement proportionnée au but poursuivi (Cour de cassation n° 20-20.648, Assemblée plénière, 22 décembre. 2023, voir l’article sur le sujet ) . Plus récemment, la chambre sociale a rendu la même solution s’agissant d’enregistrements captés par un dispositif de vidéo-surveillance illicite (Cour de cassation n° 22-23.073, chambre sociale, 14 février 2024, voir l’article sur le sujet).
Aussi, dans un second temps, la Cour de cassation s’attache à vérifier que la Cour d’appel a correctement mis en balance d’une part, le droit de l’employeur à protéger ses données confidentielles et, d’autre part, le droit fondamental de la salariée au respect de sa vie privée.
Au cas d’espèce, la Haute juridiction a tranché en faveur de l’employeur, en relevant que :
- l’employeur, qui souhaitait préserver la confidentialité du secret de ses affaires, disposait de raisons concrètes pour contrôler les clés USB de la salariée liées notamment au comportement de la salariée qui avait imprimé de nombreux documents depuis le poste informatique d’une collègue absente ; et
- l’employeur s’était borné à produire les données strictement professionnelles reproduites dans une clé unique après un tri opéré par l’expert qu’il avait mandaté à cet effet, les données personnelles ayant été supprimées au préalable par l’expert.
La Cour de cassation ne précise pas s’il existait un autre moyen pour l’employeur de démontrer les faits reprochés à la salariée, mais cela semble induit des faits de l’espèce puisqu’il est relevé que la production de la liste des fichiers tirée de l’exploitation des clés USB était indispensable à l’exercice du droit de la preuve.
En l’occurrence, l’atteinte à la vie privée de la salariée était donc strictement proportionnée au but poursuivi. Bien qu’illicite, la preuve tirée de l’exploitation des clés USB pouvait valablement être versée aux débats par l’employeur pour démontrer que la salariée avait enfreint son obligation de discrétion en transférant des informations sensibles sur des supports amovibles personnels sans justification professionnelle.
Par cet arrêt, la Cour de cassation ouvre une porte aux employeurs concernant la possibilité de vérifier, dans certaines circonstances, le contenu d’une clé USB appartenant à un salarié. Rappelons que dans une précédente affaire ayant donné lieu à une décision le 5 juillet 2017, la Haute juridiction avait adopté une position beaucoup plus stricte, jugeant que le droit de propriété du salarié sur sa clé USB personnelle représentait un obstacle légitime à ce que l’employeur puisse licencier un salarié ayant refusé de lui remettre cette clé, quand bien même ce dernier était suspecté d’y avoir enregistré des fichiers professionnels confidentiels (Cour de cassation n° 16-12.386, chambre sociale, 5 juillet 2017).
Les implications pratiques pour les employeurs
La solution de l’arrêt ici commenté est sans grande surprise puisqu’il s’inscrit dans le prolongement des décisions susmentionnées. Elle confirme l’existence d’une plus grande souplesse offerte aux entreprises lorsqu’il s’agit de démontrer l’existence de faits fautifs commis par un salarié, même si le contrôle de l’employeur sur l’activité du salarié demeure strictement encadré. Il devient ainsi plus difficile aux salariés de se retrancher entièrement derrière des arguments procéduraux pour échapper au pouvoir disciplinaire de l’employeur.
Dans le cadre de la protection des données de l’entreprise, l’employeur a donc la possibilité, sous certaines conditions, de vérifier qu’aucune information sensible ou stratégique n’a été indûment transférée par le salarié. Si des faits laissent présumer une déloyauté de la part de l’intéressé, il peut agir, de manière proportionnée, pour en recueillir la preuve. Comme dans l’affaire commentée, recourir à un commissaire de justice accompagné d’un expert peut être judicieux pour préserver la preuve en vue d’un éventuel litige prud’homal.
Cet arrêt invite de nouveau les entreprises à adopter les principes suivants :
- Une vigilance accrue. C’est notamment le cas lors de la tenue d’entretiens préalables, en particulier lorsque le salarié n’est pas assisté. Ces derniers pourraient donner lieu à des enregistrements clandestins qui pourront être produits ultérieurement.
- Adopter une politique informatique claire. Les employeurs doivent formaliser, dans un règlement intérieur ou une charte informatique, les règles relatives à l’utilisation des outils personnels (clés USB, smartphones, etc.) sur le lieu de travail.
- Informer les salariés. Toute mesure de contrôle des outils numériques doit être proportionnée et faire l’objet d’une information préalable, en conformité avec le Règlement Général de Protection des Données (RGPD) et les principes de loyauté et transparence. Le cas échéant, une consultation préalable du Comité Social et Économique (CSE) devra également être réalisée.
- Limiter autant que possible l’usage des supports de stockage personnel au bureau. Les employeurs peuvent interdire ou encadrer l’usage de supports personnels pour prévenir les risques de fuite ou de vol de données sensibles.
Pour la gestion de votre contentieux ou pour un accompagnement dans la mise en place d’une politique adaptée, n’hésitez pas à nous contacter : Droit social.