Si la communication par l’employeur, ordonnée par le juge prud’homal, de documents contenant des données personnelles, tels que les historiques de carrière et les bulletins de paie de salariés nommément désignés, constitue un traitement de données à caractère personnel licite au regard du règlement général sur la protection des données (UE) 2016/679 du 27 avril 2016 (RGPD), il appartient au juge de veiller au respect du principe de minimisation des données à caractère personnel et les parties sont tenues de ne les utiliser qu’aux seules fins de l’action en discrimination.

Le 3 octobre 2024, la deuxième chambre civile de la Cour de cassation est venue préciser les contours de l’utilisation des données à caractère personnel dans le cadre d’une action pour discrimination syndicale, en posant des garde-fous contre les abus de production de preuves contenant des données sensibles.

En matière de discrimination, l’article L. 1134-1 du code du travail instaure un régime de preuve aménagé. Le salarié doit tout d’abord présenter des éléments de faits laissant supposer l’existence d’une discrimination. Il appartient alors à l’employeur de démontrer que la différence de traitement est justifiée par des éléments objectifs étrangers à toute forme de discrimination.

Depuis un arrêt du 12 juin 2013, la Cour de cassation conforte ce principe en reconnaissant le droit du salarié à obtenir des informations détenues par l’employeur qui pourraient appuyer sa demande. Cette possibilité accordée au salarié présente un intérêt dans la mesure où les données permettant d’établir une comparaison – tels que les salaires ou les promotions accordées à d’autres salariés – sont généralement en la possession de l’employeur (Soc. 12 juin 2013, n° 11-14.458, Dalloz actualité, 1er juill. 2013, obs. M. Peyronnet ; D. 2013. 1555 ).

En l’espèce, un salarié, engagé par la Caisse fédérale de Crédit mutuel et titulaire de mandats de représentation du personnel, a saisi la juridiction prud’homale aux fins de constater des faits de discrimination syndicale et d’obtenir un rappel de salaire et des dommages et intérêts en réparation du préjudice qu’il alléguait.

Au soutien de ses demandes et sur le fondement de l’exercice de son droit à la preuve, il formulait une demande avant dire droit de communication de documents de carrière et de bulletins de paie concernant neuf de ses collègues de travail, nommément désignés. Le conseil de prud’hommes ayant fait droit à cette demande, l’employeur formait un appel-nullité devant la cour d’appel. Cette dernière confirme le jugement déféré, l’employeur forme alors un pourvoi en cassation.

Après avoir sollicité l’avis de la chambre sociale sur l’office du juge en matière de divulgation de données personnelles dans le cadre d’une action en discrimination syndicale (Soc., avis., 24 avr. 2024, n° 21-20.979 FS-D), la deuxième chambre civile va se prononcer sur la question de la conciliation entre le droit du salarié à la preuve en matière de discrimination syndicale et le respect du droit à la protection des données personnelles des autres salariés.

Une nécessaire conciliation entre le droit à la preuve et la protection des données personnelles

À la lumière de l’avis rendu par la chambre sociale, et dans la continuité de précédents arrêts rendus par cette même chambre sur la faculté pour le juge du fond, comme des référés, d’accéder à la demande du salarié visant la communication de documents permettant une comparaison avec certains collègues (Soc. 16 déc. 2020, n° 19-17.637 B, D. 2021. 370, chron. S. Ala, M.-P. Lanoue et A. Prache  ; ibid. 1152, obs. S. Vernac et Y. Ferkane  ; ibid. 2022. 431, obs. J.-D. Bretzner et A. Aynès  ; 8 mars 2023, n° 21-12.492 FS-B, D. 2023. 505  ; ibid. 1443, obs. S. Vernac et Y. Ferkane  ; ibid. 2024. 891, obs. REGINE  ; Dalloz IP/IT 2023. 660, obs. G. Haas et C. Paillet  ; RTD civ. 2023. 444, obs. J. Klein ), l’arrêt commenté confirme que la mise à disposition à titre d’éléments de preuve de documents contenant des données personnelles, tels que les historiques de carrière et les bulletins de paie de salariés nommément désignés, constitue un traitement de données à caractère personnel et répond aux exigences de licéité au sens des articles 6 et 23 du RGPD.

L’article 6 définit les bases légales, sur lesquelles, un traitement de données personnelles peut être considéré comme licite. Dans le cadre de cette affaire, la Cour de cassation estime que la production de documents contenant des données à caractère personnel, sans le consentement des personnes concernées, se justifie par la nécessité de permettre au salarié de prouver des faits de discrimination dont il se prétend être victime.

Quant à l’article 23, il encadre la possibilité de limiter certains droits des personnes concernées, tels que le droit d’accès et d’information, pour des raisons notamment de protection des droits et libertés d’autrui, à condition que les restrictions soient justifiées et nécessaires, et respectent l’essence des droits fondamentaux tout en assurant une protection suffisante des données. En l’espèce, la Cour juge que les droits des salariés tiers à la confidentialité de leurs données personnelles devaient être mis en balance avec le droit du salarié à un recours juridictionnel effectif et le droit à un procès équitable.

En outre, la Cour répond sur un point soulevé par l’employeur : les salariés dont les informations étaient communiquées devaient-ils être mis en cause ? Et la Haute juridiction répond – pour la première fois à notre connaissance – que l’article 14 du code de procédure civile, aux termes duquel, nulle partie ne peut être jugée sans avoir été entendue ou appelée, n’est pas applicable aux salariés dont les documents contenant des données personnelles ont été sollicités, dans la mesure où ces personnes sont des tiers au présent litige et ne sont pas en situation d’indivisibilité avec le responsable du traitement des données, l’employeur.

Sollicitée sur les deux points de droit ci-dessus évoqués, la Cour en ajoute un troisième en relevant d’office le moyen, selon lequel, il est nécessaire de procéder à un contrôle rigoureux des documents sollicités, afin de s’assurer que leur production est strictement nécessaire à l’exercice du droit à la preuve, tout en respectant le principe de minimisation des données personnelles visé par le RGPD, selon l’interprétation dégagée par la Cour de justice de l’Union européenne (CJUE 2 mars 2023, Norra Stockholm Bygg, aff. C-268/21, D. 2023. 503  ; Dalloz IP/IT 2023. 142, obs. M. Triboulet  ; RTD eur. 2023. 415, obs. F. Benoît-Rohmer).

Le principe de minimisation des données personnelles

La Cour de cassation rappelle qu’il appartient au juge prud’homal, saisi d’une demande de communication de documents contenant des données à caractère personnel à l’occasion d’une action engagée par un salarié alléguant des faits de discrimination :

  • de veiller au principe de minimisation des données à caractère personnel, en ordonnant, au besoin d’office, l’occultation, sur les documents concernés de toutes les données à caractère personnel des salariés non indispensables à l’exercice du droit à la preuve ; pour ce faire, il lui incombe de s’assurer que les mentions, qu’il spécifiera comme devant être laissées apparentes, sont adéquates, pertinentes et strictement limitées à ce qui est indispensable à la comparaison entre salariés en tenant compte du ou des motifs allégués de discrimination ;
  • de faire injonction aux parties de n’utiliser les données personnelles des salariés de comparaison, contenues dans les documents dont la communication est ordonnée, qu’aux seules fins de l’action en discrimination.

Au cas présent, la deuxième chambre civile reproche à la cour d’appel de s’être limitée, pour ordonner la communication d’éléments portant atteinte à la protection de données personnelles, à contrôler le caractère indispensable et unique pour le salarié demandeur d’exercer son droit à la preuve et le caractère proportionné de l’atteinte au but poursuivi, en l’occurrence, l’exercice de sa défense, alors qu’elle aurait dû, d’une part, veiller au respect du principe de minimisation des données à caractère personnel et d’autre part, faire injonction aux parties de n’utiliser ces données qu’aux seules fins de l’action.

C’est donc sur le fondement de ce principe de minimisation des données que la Haute Cour censure la cour d’appel pour ne pas avoir suffisamment motivé sa décision quant à l’équilibre entre le droit à la preuve du salarié demandeur et le respect de la vie privée des autres salariés concernés.

Cet arrêt s’inscrit ainsi dans la continuité d’une jurisprudence prudente sur la question de la protection des données personnelles en matière de production de documents. En confirmant que le RGPD ne saurait être interprété de manière à empêcher la production de preuves lorsque des droits fondamentaux sont en jeu, la Cour rappelle que le droit à la preuve n’est pas absolu et que la production de telles données doit être proportionnée et encadrée pour éviter des abus.

En ce sens, le « mode d’emploi » livré par la deuxième chambre civile constitue un garde-fou contre des demandes de communication disproportionnées qui pourraient exposer les employeurs à des risques juridiques importants, notamment en matière de confidentialité et de respect de la vie privée des salariés qui ne sont pas directement concernées par le litige. En outre, cette décision met en lumière l’obligation pour les juridictions du fond de rechercher des alternatives moins intrusives avant de recourir à la production de documents contenant des données personnelles.

Il appartiendra aux juridictions de d’abord s’assurer que d’autres moyens de preuve ne sont pas disponibles, avant d’exiger une telle divulgation de documents sensibles. Les tribunaux doivent être incités à rechercher des solutions adaptées pour permettre la production de preuve tout en minimisant les risques pour les données personnelles. Les juges devront, notamment, vérifier si les salariés ne disposent pas déjà d’éléments de fait susceptibles de laisser présumer l’existence de la discrimination alléguée, ou ne pourraient tout simplement pas obtenir d’autres éléments moins attentatoires, notamment lorsqu’ils sont toujours en poste, de sorte que la communication de documents et plus particulièrement des bulletins de paie, ne serait pas indispensable au droit de la preuve et proportionnée au droit au respect de la vie privée des autres salariés.

Cette décision s’inscrit dans une évolution jurisprudentielle tendant à équilibrer les rapports entre employeurs et salariés et ce mode d’emploi devrait avoir vocation à être utilisé dans de nombreux contentieux (en matière prud’homale cela devrait concerner essentiellement les contentieux relatifs à l’égalité de traitement et aux discriminations).

Ainsi, cet arrêt renforce l’idée que le droit à la preuve ne saurait justifier n’importe quelle atteinte à la protection des données personnelles, et que des alternatives moins attentatoires aux droits des salariés tiers doivent toujours être envisagées.

Civ. 2e, 3 oct. 2024, FS-B+R, n° 21-20.979

© Lefebvre Dalloz