Obligation de déclarer les traitements automatisés contenant des données à caractère personnel

Franc Muller – Avocat droit du travail, Paris

 

Les données personnelles : quelle définition ?

La loi informatique et libertés (loi n° 78-17 du 6 janvier 1978, modifiée) n’est pas sans conséquence en droit du travail, elle peut notamment s’avérer d’une grande utilité en matière de protection des droits des salariés.

Cette loi comporte en effet un article 22-I, qui prévoit que les traitements automatisés de données à caractère personnel font l’objet d’une déclaration auprès de la Commission Nationale de l’informatique et des Libertés (CNIL).

Une directive européenne sur la protection des données (directive 95/46/CE) précise au demeurant ce qu’il faut entendre par données à caractère personnel, qu’elle définit comme :

Toute information concernant une personne physique identifiée ou identifiable ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale.

Dans cette acception, les traitements automatisés de données à caractère personnel sont nombreux en entreprise, qu’il s’agisse des procédés de contrôles des entrées et sorties du personnel par un système de badge, de logiciels de paie, des systèmes d’évaluation des salariés, de l’utilisation d’un système de géolocalisation… la liste est longue.

L’obligation pour l’employeur de déclarer à la CNIL les traitements automatisés

L’employeur a ainsi l’obligation, en application de la loi, d’adresser une déclaration à la CNIL concernant les traitements automatisés qu’il met en œuvre dans l’entreprise.

S’abstenir de cette formalité préalable est en outre réprimé par l’article 226-16 Code pénal et sanctionné de lourdes peines.

Dans ces conditions, d’habiles salariés ont tôt fait d’invoquer, à l’occasion d’un litige les opposant à leur employeur, les carences déclaratives de ce dernier pour en tirer toutes conséquences utiles.

Faute de déclaration, le salarié ne peut être sanctionné

Dans une première affaire, une société avait mis en œuvre un système de badges géré par des moyens automatisés et permettant d’identifier les salariés à leur entrée et à leur sortie des locaux de l’entreprise.

Les employés avaient l’obligation, prévue dans le règlement intérieur, d’utiliser le badge.

Mais un salarié récalcitrant avait été licencié en raison de son refus, à 19 reprises en trois mois, d’utiliser son badge à la sortie de l’entreprise.

Contestant le bien-fondé de son licenciement, l’intéressé invoquait le fait que ce traitement automatisé n’avait pas été déclaré à la CNIL ; l’employeur avait certes régularisé sa situation, mais deux ans après son licenciement, ce qui était pour le moins tardif !

La Cour de cassation a approuvé le salarié et jugé son licenciement injustifié, considérant « qu’à défaut de déclaration à la Commission nationale de l’informatique et des libertés d’un traitement automatisé d’informations nominatives concernant un salarié, son refus de déférer à une exigence de son employeur impliquant la mise en œuvre d’un tel traitement ne peut lui être reproché » (Cass. soc 6 avril 2004 n° 01-45227).

L’absence de déclaration préalable du traitement automatisé par l’employeur lui interdisait donc de congédier le salarié rebelle.

Dans une autre affaire, et sur le même fondement, un salarié investi d’un  mandat de représentation du personnel avait saisi la juridiction prud’homale d’une demande de résiliation judiciaire de son contrat de travail.

Il reprochait à son employeur de ne pas avoir respecté son statut de salarié protégé, en ayant procédé à la consultation de la liste des appels téléphoniques qu’il avait passés au moyen du téléphone mobile mis à sa disposition par l’entreprise.

Là encore, il a obtenu satisfaction, les hauts magistrats retenant que pour l’accomplissement de leur mission légale et la préservation de la confidentialité qui s’y attache les salariés protégés, doivent pouvoir disposer sur leur lieu de travail d’un matériel ou procédé excluant l’interception de leurs communications téléphoniques et l’identification de leurs correspondants (Cass. soc 4 avril 2012 n° 10-20845).

Il convient néanmoins de préciser que les salariés protégés bénéficient là d’un privilège qui leur est spécifique et dont sont exclus le commun des salariés, qui ne sont porteurs d’aucun mandat et n’ont pas de statut protecteur.

A leur égard, rappelons que l’employeur a le droit de contrôler et de surveiller l’activité de ses salariés pendant le temps du travail, sous réserve d’avoir recours à un mode de preuve licite.

Mais un comportement frauduleux du salarié ne le met pas à l’abri d’un licenciement

Mais la position de la Cour de cassation vient de marquer une inflexion, en faisant une application combinée des dispositions légales qui s’est avérée défavorable à un salarié accusé d’avoir déclaré de façon mensongère son temps de travail (Cass. soc 14 janvier 2014 n° 12-16218).

En l’espèce, un chauffeur longue distance avait été licencié pour faute grave, après que son employeur lui ait notamment fait grief d’une manipulation frauduleuse de son disque chronotachygraphe afin de majorer son temps de service et sa rémunération.

Les disques chronotachygraphes sont des instruments, placés dans les véhicules, qui enregistrent le temps de travail, de conduite et de repos des chauffeurs.

La Cour d’appel, se fondant sur la jurisprudence que nous venons d’évoquer, avait jugé le licenciement injustifié, car les enregistrements permettant le suivi satellitaire des déplacements du salarié n’avaient pas été déclarés à la CNIL.

Les hauts magistrats n’ont pas partagé cette analyse.

Faisant référence à un règlement européen (règlement CEE n° 3821/85) qui impose aux entreprises de transport, sous peine de sanctions pénales, d’assurer la mise en place et l’utilisation d’un chronotachygraphe, ils en déduisent que « l’absence de déclaration à la CNIL de cet appareil ne saurait priver l’employeur de la possibilité de se prévaloir, à l’égard du salarié, des informations fournies par ce matériel de contrôle, dont le salarié ne pouvait ignorer l’existence. »

Le licenciement du salarié était en conséquence valable.

L’obligation de l’employeur d’utiliser de ce mode de contrôle, dont le salarié était informé, prévaut donc sur son absence de déclaration à la CNIL, la fraude ne peut donc profiter à l’intéressé…