L’employeur peut en principe consulter librement, et dès lors produire en justice comme moyen de preuve à l’appui d’un licenciement pour motif personnel, les courriels issus de la messagerie électronique professionnelle mise à la disposition du salarié pour les besoins de son travail (Cass. soc. 16-5-2013 n° 12-11.866 F-D), sauf disposition contraire du règlement intérieur (Cass. soc. 26-6-2012 n° 11-15.310 F-PB) ou sauf si l’intéressé les a identifiés comme personnels (Cass. soc. 15-12-2010 n° 08-42.486 F-D ; 18-10-2011 n° 10-26.782 F-D). Il peut aussi être lui-même destinataire de mails envoyés par le salarié et souhaiter les produire en justice à l'appui d'un tel licenciement.
Mais qu’en est-il si l’employeur n’a pas déclaré à la Cnil, comme il en a l’obligation, ce dispositif de messagerie professionnelle ? La Cour de cassation apporte sur cette question une intéressante précision et invite à distinguer selon que la messagerie est ou non assortie d’un système de contrôle individuel de l’activité des salariés.
Absence de contrôle de l’activité des salariés
Dans cette affaire, l’employeur avait produit devant le conseil de prud’hommes, pour justifier le licenciement pour insuffisance professionnelle du salarié, des courriels échangés entre l’intéressé et la direction de l’entreprise. Mais la cour d’appel avait écarté ces pièces des débats, jugeant qu’elles constituaient un mode de preuve illicite car provenant d’une messagerie professionnelle non déclarée. Tout dispositif de messagerie professionnelle, en ce qu’il implique le traitement de données avec identification des émetteurs et destinataires de courriels, doit en effet faire l’objet d’une déclaration à la Cnil. Une déclaration simplifiée suffit si le dispositif est conforme à la norme simplifiée n° 46 relative aux traitements mis en œuvre pour la gestion des personnels (Délibération Cnil 2005-002 du 13-1-2005). Une déclaration normale s'impose en principe dès lors que ce dispositif donne lieu à un contrôle individuel de l’activité des salariés.
Or, la Cour de cassation, alors qu’elle paraissait jusqu’ici admettre l’illicéité de la preuve tirée d’une messagerie professionnelle non déclarée à la Cnil sans distinguer selon que le dispositif devait donner lieu à une déclaration normale ou simplifiée (Cass. soc. 8-10-2014 n° 13-14.991 FS-PB), censure la décision de la cour d’appel au motif que l'absence de déclaration simplifiée d'un système de messagerie électronique professionnelle non pourvu d'un contrôle individuel de l'activité des salariés, qui n'est dès lors pas susceptible de porter atteinte à la vie privée ou aux libertés au sens de l’article 24 de la loi « informatique et libertés », ne rend pas illicite la production en justice des courriels adressés par l'employeur ou par le salarié dont l'auteur ne peut ignorer qu'ils sont enregistrés et conservés par le système informatique.
La Cour de cassation se prononce ainsi expressément, pour la première fois à notre connaissance, sur la recevabilité à titre de preuve de courriels issus d’une messagerie professionnelle qui aurait dû, comme c’était le cas en l’espèce, faire l’objet d’une déclaration simplifiée en application de la norme n° 46 de la Cnil. Deux éléments fondent sa décision de considérer que le défaut d’une telle déclaration n’affecte pas la recevabilité en justice de courriels produits comme éléments de preuve :
- d’une part, le fait que ce type de messagerie, parce qu’il n’est pas assorti d’un contrôle individuel des salariés, fait partie de la catégorie des traitements de données à caractère personnel, au sens de l’article 24 de la loi « informatique et libertés », c’est-à-dire non susceptibles de porter atteinte à la vie privée ou aux libertés. La solution est donc réservée au cas où la gestion de la messagerie électronique professionnelle de l’entreprise est exclusive d’un contrôle individuel des courriels émis ou reçus par les salariés ;
- d’autre part, le fait que l'employeur ou le salarié qui adresse des courriels via une telle messagerie ne peut ignorer qu'ils sont enregistrés et conservés par le système informatique. Dans le même esprit, la Cour de cassation avait déjà écarté le caractère illicite de la production en justice par un salarié de SMS transmis par son employeur (Cass. soc. 23-5-2007 n° 06-43.209 FS-PBRI) ou de messages vocaux que ce dernier lui avaient laissés sur le répondeur de son téléphone mobile (Cass. soc. 6-2-2013 n° 11-23.738 FP-PB) au motif que l’auteur de tels messages ne peut ignorer qu'ils sont enregistrés par l'appareil récepteur.
A noter : dans toutes ces hypothèses, l’employeur, ou le salarié selon le cas, ne peut donc invoquer le caractère déloyal de la production en justice des courriels, SMS ou messages vocaux. Dans son avis rendu dans le cadre de la présente affaire, l’avocat général a d’ailleurs souligné qu’en l’espèce l’absence de caractère déloyal était d’autant plus évidente que les messages litigieux avaient été échangés entre le salarié et l’employeur. Mais on notera que la solution retenue par la Cour de cassation, en ce qu’elle vise plus largement « les courriels adressés par l’employeur ou par le salarié » ne paraît pas se limiter aux échanges entre eux. Dans la mesure où l’employeur peut en principe librement contrôler les courriels émis ou reçus par le salarié au moyen de sa messagerie professionnelle, elle pourrait donc concerner des courriels transmis par l’intéressé à d’autres destinataires, dans les limites bien sûr du respect de la vie privée qui s’oppose à ce qu’il se prévale d’un tel courriel dès lors que son contenu relève de la vie privée du salarié.
Existence d'un contrôle de l’activité des salariés
Le principe posé par la Cour de cassation ne trouve pas à s'appliquer si la messagerie professionnelle de l’entreprise permet un contrôle individuel de l’activité des salariés et suppose, à ce titre, et sauf désignation d’un correspondant informatique et libertés, une déclaration normale auprès de la Cnil. Il en est notamment ainsi dès lors qu’à cette fin de contrôle l’employeur met en place un logiciel d’analyse du contenu des messages électroniques émis ou reçus par le salarié. Comme l’a jugé la Cour de cassation en 2014 à propos d’un dispositif de contrôle individuel des flux des messageries, les informations collectées par un tel système avant sa déclaration à la Cnil constituent un moyen de preuve illicite et doivent dès lors être écartées des débats (Cass. soc. 8-10-2014 n° 13-14.991 FS-PB). Avec cette conséquence que, si l’employeur ne dispose pas d’un autre élément de preuve valable pour établir devant le juge ce qu’il reproche au salarié, le licenciement sera alors jugé sans cause réelle et sérieuse.
En pratique : il n’est pas toujours facile pour le salarié de savoir quel type de déclaration – normale ou simplifiée – s’impose à l’employeur en fonction de la nature du contrôle qu’il entend opérer sur l’usage par son personnel de la messagerie professionnelle de l’entreprise. Or, cet élément conditionne désormais, compte tenu de la solution retenue par la Cour de cassation, la recevabilité de la preuve tirée des courriels transmis via une telle messagerie lorsque celle-ci n’a pas été déclarée à la Cnil. On insistera donc sur l’importance pour l’employeur de respecter son obligation de transparence tant au regard du Code du travail que de la loi « informatique et libertés » en informant ou consultant, selon le cas, le comité d’entreprise avant la mise en œuvre du dispositif (C. trav. art. L 2323-47) et en procédant également à l’information des salariés.
Pour en savoir plus sur cette question : voir Mémento Social nos 56060 s.
