Cass. soc. 9 avril 2025, n° 23-13.159
Lorsqu’un salarié licencié pour faute grave saisit le Conseil de prud’hommes, l’employeur doit être en mesure de démontrer la réalité des faits fautifs reprochés dans la lettre de licenciement.
La tâche n’est pas forcément aisée, d’autant plus que les preuves apportées ne sont recevables qu’à condition (en principe) d’être « licites ».
Pour être qualifiées comme telles, les preuves doivent notamment avoir été obtenues selon des procédés loyaux et respectueux de la vie privée du salarié (exit donc les enregistrements clandestins etc.).
Le Règlement général de protection des données (RGPD) devrait lui aussi être respecté : c’est sur ce texte, en effet, que la Cour de cassation se fonde dans un arrêt du 9 avril 2025 (n° 23-13.159) pour qualifier une preuve « d’illicite ».
En l’espèce, le litige concernait un salarié licencié pour faute grave au motif qu’il avait supprimé plus de 4.000 fichiers et dossiers informatiques appartenant à son employeur, outre qu’il avait transféré une centaine de documents professionnels sur sa boîte mail personnelle.
Pour démontrer la matérialité des faits devant les juridictions, l’employeur produisait un constat d’huissier, lequel faisait état d’informations relatives, entre autres, à l’adresse IP attribuée au salarié.
Le salarié contestait la validité d’une telle preuve, en invoquant précisément une supposée atteinte aux règles de protection des données personnelles.
Les premiers juges saisis de l’affaire rejetaient toutefois l’argument, considérant que l’adresse IP en question ne contenait aucune donnée personnelle et permettait seulement d’identifier un ordinateur.
Mais la Cour de cassation censure la décision de la Cour d’appel.
Elle précise que les adresses IP sont bien des données à caractère personnel au sens de l’article 4 du RGPD en ce qu’elles permettent d’identifier indirectement une personne physique.
Il s’ensuit que le traitement d’adresses IP est soumis aux règles du RGPD, et n’est donc licite qu’à condition de se fonder sur l’une des « bases légales » listées par l’article 6 dudit règlement.
Parmi ces bases légales, la Cour de cassation sélectionne expressément la suivante : le consentement de la personne concernée pour une ou plusieurs finalités spécifiques.
Puis elle relève qu’au cas d’espèce « l’employeur avait traité, sans le consentement de l’intéressé, ces données à une autre fin, à savoir le contrôle individuel de son activité, que celle pour laquelle elles avaient été collectées ».
Elle en conclut que le constat d’huissier constituait donc une preuve illicite.
Les conséquences d’une telle décision ne sont pas négligeables pour l’employeur, qui verra le licenciement potentiellement remis en cause faute de preuves suffisantes.
Le RGPD doit donc être sérieusement pris en considération dans l’administration de la preuve.
A noter que la rédaction de l’arrêt du 9 avril 2025 prête toutefois à débat, non pas sur la qualification de l’adresse IP en tant que donnée personnelle, mais sur le fait que la Cour de cassation semble considérer que seul le « consentement » du salarié pouvait rendre le traitement licite, alors même que l’article 6 du RGPD prévoit 5 autres bases légales de traitement (notamment la poursuite d’intérêts légitimes).
En tout état de cause, bien que cet arrêt ne le rappelle pas, la preuve même « illicite » pourra malgré tout être admise par les juges dans l’hypothèse où elle s’avérerait être « indispensable » à l’exercice du droit à la preuve.
Plusieurs décisions précisent en effet que l’illicéité d’un moyen de preuve « n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi » (en ce sens : Cass. soc. 25 novembre 2020, n° 17-19.523 ; Cass. soc. 10 novembre 2021, n° 20-12.263 ; Cass. soc. 8 mars 2023, n° 21-17.802 ; Cass. ass. Plén. 22 décembre 2023, n° 20-20.648 ; Cass. soc.14 février 2024, n° 22-23.073).
