Cass. soc., 6 avril 2004, n° 01-45.227, Société Allied signal industrial Fibers, devenue la société Honeywell Longlaville c/ M. Miguel Pacheco, FS-P+B+R+I (N° Lexbase : A8004DB3)

Rejet de CA Nancy, 25 juin 2001

Textes visés : articles 16, 27 et 34 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (N° Lexbase : L8794AGS), article 226-16 du Code pénal (N° Lexbase : L2088AMB), articles L. 121-8 (N° Lexbase : L5450ACT) et L. 432-2-1 (N° Lexbase : L6403AC7) du Code du travail.

Loi informatique et liberté ; contrôle d'accès par badge - non-respect ; conséquences ; droit pour le salarié de refuser de déférer aux contrôles mis en place par l'employeur.

1. La société Allied signal industrial Fibers, devenue par la suite Honeywell Longlaville, a mis en oeuvre un système de badges géré par des moyens automatisés et permettant d'identifier les salariés à leur entrée et à leur sortie des locaux de l'entreprise. Le traitement automatisé aboutissant à la mise en place de ce système n'a fait l'objet d'une déclaration à la Commission nationale de l'informatique et des libertés que le 17 juillet 2000. Une disposition du règlement intérieur de la société, portée à la connaissance de tous les salariés, leur faisait obligation d'utiliser le badge. M. X, salarié de la société depuis 1993, a été licencié le 30 avril 1998 en raison de son refus à 19 reprises entre février et avril 1998 d'utiliser son badge à la sortie de l'entreprise.

2. La cour d'appel de Nancy (25 juin 2001) a dit que le licenciement était sans cause réelle et sérieuse en raison du défaut de déclaration du traitement à la Commission nationale de l'informatique et des libertés.

1. Il résulte de la combinaison des articles 16, 27 et 34 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, 226-16 du Code pénal, L. 121-8 et L. 432-2-1 du Code du travail, qu'à défaut de déclaration à la Commission nationale de l'informatique et des libertés d'un traitement automatisé d'informations nominatives concernant un salarié, son refus de déférer à une exigence de son employeur impliquant la mise en oeuvre d'un tel traitement ne peut lui être reproché.

2. Rejet

1. Les obligations déclaratives des entreprises à la Cnil

La loi informatique et liberté du 6 janvier 1978 a mis en place une série de principes et de procédures destinées à garantir le respect des droits du citoyen face aux atteintes aux libertés et droit fondamentaux rendues possibles par l'utilisation de l'outil informatique.

L'article 16 de la loi fait obligation à toute personne privée de déclarer auprès de la Cnil "les traitements automatisés d'informations nominatives (...) préalablement à leur mise en oeuvre" (J.-E. Ray, Le droit du travail à l'épreuve des NTIC, Liaisons, 2e éd. 2001, p. 112 s. ; M.-P. Fenoll-Trousseau et G. Haas, La cybersurveillance dans l'entreprise et le droit, Litec, 2002, n° 19 s. ; I. de Benalcazar, Droit du travail et nouvelles technologies, Montchrestien, 2003, n° 54 s.).

Cette déclaration doit préciser la personne qui présente la demande et celle qui a pouvoir de décider la création du traitement ou, si elle réside à l'étranger, son représentant en France ; les caractéristiques, la finalité et, s'il y a lieu, la dénomination du traitement ; le service ou les services chargés de mettre en oeuvre celui-ci ; le service auprès duquel s'exerce le droit d'accès défini (...), ainsi que les mesures prises pour faciliter l'exercice de ce droit ; les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux informations enregistrées ; les informations nominatives traitées, leur origine et la durée de leur conservation ainsi que leurs destinataires ou catégories de destinataires habilités à recevoir communication de ces informations ; les rapprochements, interconnexions ou toute autre forme de mise en relation de ces informations ainsi que leur cession à des tiers ; les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ; (...) (article 18).

"La collecte de données opérée par tout moyen frauduleux, déloyal ou illicite est interdite" (article 25) et " toute personne physique a le droit de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement" (article 26). "Les personnes auprès desquelles sont recueillies des informations nominatives doivent être informées : du caractère obligatoire ou facultatif des réponses, des conséquences à leur égard d'un défaut de réponse, des personnes physiques ou morales destinataires des informations, de l'existence d'un droit d'accès et de rectification" (article 27).

En l'espèce, il ne faisait aucun doute que la déclaration n'avait pas été établie préalablement à la mise en place du dispositif, alors que cette exigence figure formellement dans les termes mêmes de l'article 16 de la loi. L'employeur s'était simplement contenté de mentionner l'existence du système de badge dans le règlement intérieur et de faire obligation à tout salarié de s'y conformer. Or, l'arrêt rendu montre que cette formalité n'est pas de nature à se substituer aux dispositions de la loi de 1978. Cette solution est parfaitement justifiée. Non seulement les dispositions de la loi du 6 janvier 1978 sont évidemment d'ordre public, mais le règlement intérieur, "acte réglementaire de droit privé" (Cass. soc., 25 septembre 1991, n° 87-42.396, Société Unigrains c/ Mme Geffroy, publié N° Lexbase : A3864ABQ Dr. soc. 1992, p. 25, note J. Savatier), se trouve lui aussi soumis à l'exigence de légalité (C. trav., art. L. 122-35 N° Lexbase : L5548ACH). Il ne peut donc contenir de dispositions contraires aux lois et règlements. Ces dispositions, même illégales, sont donc normalement sans effet pour les salariés. C'est également ce qui résulte de l'arrêt rendu.

2. Les sanctions du défaut de déclaration à la Cnil

La loi du 6 janvier 1978 détermine elle-même les sanctions pénales de la violation de ses dispositions, par renvoi aux articles 226-16 (N° Lexbase : L2088AMB) et 226-17 (N° Lexbase : L2237AMS) du Code pénal. La loi ne contient cependant aucune sanction de nature civile et il appartient donc au juge, en application des principes généraux, de résoudre les difficultés.

Le salarié pourra, en premier lieu, engager la responsabilité civile de l'employeur s'il établit la preuve d'un préjudice (Cass. soc., 7 juin 1995, n° 91-44.919, Syndicat CGT Turbomeca Bordes et autres c/ Société Turbomeca N° Lexbase : A9541AAM).

En second lieu, et c'est en cela que cette décision est intéressante, le salarié pourra remettre en cause la validité des décisions prises par l'employeur sur la foi des éléments collectés illégalement.

En l'espèce, l'illégalité portait sur la mise en place d'un dispositif de contrôle électronique individualisé des heures d'embauchage et de débauchage des salariés. L'un d'entre eux avait refusé, à plusieurs reprises, de faire usage de la badgeuse et avait été licencié en raison de ce refus. La cour d'appel de Nancy avait considéré que, dans ces conditions, le licenciement était privé de cause réelle et sérieuse. C'est également l'avis de la Chambre sociale de la Cour de cassation, et on ne peut que partager cette opinion. La déclaration à la Cnil constitue, en quelque sorte, une formalité d'information. Or, on sait que le défaut d'information est sanctionné soit par la nullité de la mesure, lorsqu'elle constitue une formalité substantielle, soit par l'inopposabilité lorsqu'elle s'apparente à une simple mesure de publicité (ainsi l'information du salarié lors de son embauche du contenu de la convention collective : Cass. soc., 29 mars 1995, n° 91-44.562, Société Pierre Ucko c/ M. Perrin, publié N° Lexbase : A0914ABH Dr. soc. 1995, p. 454, rapport J.-M. Desjardins, à propos de la période d'essai).

L'arrêt ne prend pas formellement partie sur la question de la sanction et de la validité même du licenciement disciplinaire. On ne saurait d'ailleurs lui en faire le reproche, dans la mesure où le différend judiciaire ne portait qu'indirectement sur cette question et concernait exclusivement la discussion sur la cause réelle et sérieuse. On peut toutefois déduire de l'arrêt que le non-respect de la déclaration préalable à la Cnil n'est pas considéré ici comme une simple irrégularité de procédure, sans incidence sur la validité de la sanction, comme cela est parfois jugé pour des manquements mineurs (ainsi, Cass. soc., 23 mars 1989, n° 86-40.053, Mme Girard c/ Etablissements Pilleau, publié N° Lexbase : A3670AA8 Dr. soc. 1989, p. 504, note J. Savatier, à propos du délai d'un jour franc entre l'entretien préalable et l'envoi de la lettre de sanction).

Mais, que l'usage de la badgeuse soit considéré comme illicite ou simplement inopposable au salarié ne change rien. L'employeur ne peut pas se fonder sur le non-respect de cette obligation, dépourvue de tout caractère contraignant compte tenu de son caractère illégal, et ne peut donc prétendre justifier le licenciement du salarié par le refus de se soumettre à une obligation elle-même illégale. La solution s'imposait alors d'elle-même : le salarié n'a pas commis de faute en ne respectant pas l'obligation ainsi posée, et le licenciement est logiquement sans cause réelle et sérieuse.