Le règlement UE n°2016/679 du 27 avril 2016, dit RGPD, encadre le traitement des données à caractère personnel des personnes physiques et confère à celles-ci un certain nombre de droits. Les règles issues du RGPD ont vocation à s’appliquer dans tous les domaines, dès lors que des données à caractère personnel sont traitées (c’est-à-dire collecte, enregistrement, organisation, conservation, adaptation, modification, extraction consultation, utilisation, communication par transmission ou diffusion ou toute autre forme de mise à disposition, rapprochement…). Elles doivent alors se concilier avec d’autres droits, et notamment le droit à la preuve.

Le contentieux prud’homal fournit des exemples de cet impératif de conciliation, notamment dans un récent arrêt rendu par la deuxième chambre civile de la Cour de cassation, le 03 octobre 2024[1]. Dans cet arrêt, la deuxième chambre civile a eu à s’interroger sur le fait de savoir comment est-ce que la communication d’éléments de preuves concernant d’autres salariés que le requérant, ordonnés par des juges prudhommaux, pouvait se concilier avec les impératifs du RGPD (I). Cette décision est l’occasion de revenir sur les risques d’instrumentalisation du RGPD qui peuvent survenir dans le cadre de la recherche de preuve préalable à tout procès devant les Conseils de Prud’hommes (II).

  1. La communication des éléments de preuve en cours de procès devant se concilier avec les impératifs du RGPD

Dans l’affaire ayant donné lieu à l’arrêt rendu le 03 octobre 2024, un salarié avait saisi le Conseil de prud’hommes de demandes d’indemnisation et de rappel de salaire en raison de faits de discrimination syndicale. Par un jugement avant-dire droit - c’est-à-dire une décision qui ne tranche pas le fond du litige, prise pour aménager une situation temporaire ou pour organiser l’instruction[2] - le Conseil de prud’hommes avait ordonné à l’employeur de produire des historiques de carrière de neuf salariés de l’entreprise nommément désignés, ainsi que leurs bulletins de salaire de décembre de chaque année sur les dix dernières années d’exercice à compter de 2018. Le Conseil de prud’hommes avait également ordonné à l’employeur de justifier la communication de ces divers éléments au demandeur à l’instance, à savoir le salarié qui s’estimait victime de faits de discrimination syndicale.

La question qui s’est posée était celle de savoir si la communication des éléments de preuves ordonnée par le Conseil des Prud’hommes, qui concernaient d’autres salariés que le requérant, était conformé aux règles issues du RGPD.

En effet, la production en tant qu’élément de preuve d’un document, numérique ou physique, contenant des données à caractère personnel, ordonnée par une juridiction, constitue un traitement de données à caractère personnel qui relève du champ d’application matériel du RGPD[3].

Ainsi, cette production doit satifaire aux règles issues du RGPD et notamment à la condition de licéité du traitement (atticle 6 et 23 du RGPD).

Dans son arrêt du 03 octobre 2024, la deuxième chambre civile de la Cour de cassation a considéré que le traitement résultant de la communication par l’employeur, de documents comportant des données à caractère personnel, tels que les bulletins de paie de salariés tiers, et leur mise à disposition à un salarié invoquant l’existence d’une discrimination syndicale, ordonnée par la juridiction prud’hommale à titre d’élément de preuve, répondait aux exigences de licéité au sens des articles 6 et 23 du RGPD. En outre, elle a notamment considéré que le juge saisi n’était pas tenu de se faire communiquer préalablement les bulletins de paie des salariés de l’entreprise, ni les autres éléments sollicités, dans la mesure où le contenu des documents sollicités (les bulletins de salaire) était règlementairement déterminé (article R.3243-1 du Code du travail).

La deuxième chambre civile donne une grille générale de lecture permettant à un juge d’apprécier si la demande de communication de documents concernant un tiers à l’instance et contenant des données à caractère personnel respecte le RGPD. A ce titre, il doit notamment :

  • Rechercher si cette communication est nécessaire à l’exercice du droit à la preuve et proportionnée au but poursuivi et si les éléments dont la communication est demandée sont de nature à porter atteinte aux libertés et droits fondamentaux des personnes physiques concernées (en particulier leur droit à la protection des données à caractère personnel) ;
  • Vérifier quelles mesures sont indispensables au droit à la preuve et proportionnées au but poursuivi, et, au besoin, limiter la communication et la production des pièces ;
  • Veiller au principe de minimisation des données à caractère personnel, en ordonnant, au besoin d’office, l’occultation, sur les documents à communiquer, de toutes les données à caractère personnel non indispensables à l’exercice du droit à la preuve et proportionnées au but poursuivi ;
  • Faire injonction aux parties de n’utiliser les données personnelles des tiers à l’instance, contenues dans les documents dont la communication est ordonnée, qu’aux seules fins de l’action pour laquelle ils ont été sollicités.

Cet arrêt est l’occasion pour la deuxième chambre civile de la Cour de cassation de rappeler que, compte-tenu des exigences du RGPD, les juges devaient être vigilants lorsque des éléments de preuve communiqués à leur demande comprennent des données à caractère personnel. Malgré ces précautions prises par la Cour de cassation, il subsiste des risques d’abus, notamment dans la recherche de preuves préalable à tout procès au fond.

  1. L’instrumentalisation du RGPD dans la recherche des éléments de preuve préalable au procès

La recherche de preuve avant tout procès au fond est juridiquement encadrée. En effet, il est possible de demander à un juge des mesures d’instruction avant tout procès au fond, dans des conditions spécifiques, prévues à l’article 145 du Code de procédure civile.

Or, les droits des personnes physiques consacrés dans le RGPD sont parfois instrumentalisés pour détourner les procédures habituelles permettant d’obtenir des éléments de preuve avant tout procès au fond.

En effet, l’article 15 du RGPD consacre notamment le droit d’accès aux données personnelles. Toute personne a le droit d’obtenir d’un responsable de traitement la confirmation que les données à caractère personnel la concernant sont ou ne sont pas traitées, et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que des informations listées à cet article.

Les salariés sollicitent de plus en plus, sur le fondement de leur droit d’accès, la communication de documents, en vue d’une action future qu’ils souhaitent engager devant le Conseil des prud’hommes.

Cette communication risque de constituer un détournement du droit d’accès. La CNIL a rappelé, dans ses recommandations relatives au droit d’accès des salariés à leurs données et aux courriers professionnels, que ce droit permet à la personne intéressée de contrôler l’exactitude des données et, au besoin, de les faire rectifier ou effacer. L’objectif de ce droit d’accès n’est donc pas de permettre à un salarié de se préconstituer les preuves nécessaires à une action future à l’encontre de leur employeur.

Des juges du fond se sont d’ailleurs déjà prononcés en ce sens, et ont considéré que la communication notamment de mails professionnels de salariés pouvait être refusée. La Cour d’appel de Grenoble a notamment retenu que les éléments sollicités ne constituaient aucunement des données personnelles sur lesquelles le salarié pourrait prétendre avoir un droit d’accès, lorsque le salarié tente de détourner l’objet des dispositions du RGPD pour obtenir la communication de l’intégralité des emails émis et reçus sur sa messagerie professionnelle alors que le droit d’accès ne porte que sur des données à caractère personnel[4].

Cependant, force est de constater que lorsqu’elle est saisie d’une plainte, la CNIL, en tant que garante de la protection des données à caractère personnel, a tendance à soutenir la demande de communication formulée par le salarié, sans émettre de réserves. Elle ne fait aucune distinction s’agissant des données à communiquer pendant l’exécution d’un contrat de travail et celles à communiquer après sa rupture. Cette tendance (sur)protectrice de la CNIL invite à la prudence quant aux données à caractère personnel des salariés qui sont conservées par l’employeur après la rupture du contrat de travail. A toutes fins utiles il est précisé que le manquement à l’obligation d’accès peut faire l’objet de lourdes sanctions, et notamment d’une amende administrative pouvant s'élever jusqu'à 20.000.000 € ou, dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu, outre des sanctions prévues par le Code pénal.

 

Sophie WATTEL, Avocat spécialiste en droit du travail

Marine COMTE, Avocat en droit commercial

 

Publié dans l'Echo Drôme-Ardèche, déc. 2024 https://cadra.fr/wp-content/uploads/RGPD-et-droit-a-la-preuve-lexemple-du-contentieux-prudhomal.pdf 

 

 

[1] Cass. Civ. 2ème, 03/10/2024, n° 21-20.979, P-B.

[2] S. GUINCHARD, Lexique des termes juridiques 2024-2025, p.630.

[3] CJUE, 02/03/2023, C-268/21.

[4] CA Grenoble, 09/05/2023, n° 22-03.064. En ce sens également : CA Paris, 12/05/2022, n° 21/02419.