Déclaration à la CNIL, information des salariés et validité des sanctions disciplinaires : le retour à la normale ?

Bref rappel sur l’arrêt de la Cour de cassation.

Les faits de l’arrêt rendu par la Cour de cassation, le 14 janvier 2014, étaient relatifs au licenciement d’un transporteur routier auquel l’employeur reprochait d’avoir manipulé frauduleusement son chronotachygraphe pour majorer son temps de travail et sa rémunération. Considérant qu’un tel dispositif de géolocalisation, constitutif d’un traitement automatisé de données à caractère personnel, avait été mis en place en violation des dispositions de la loi Informatique et libertés, le salarié avait contesté son licenciement. La Cour d’Appel de Grenoble considérera que l’employeur n’avait pas satisfait à ses obligations en ne déclarant pas son dispositif à la CNIL et en n’en informant individuellement pas les salariés concernés.

Cassant l’arrêt de la Cour d’appel, la Cour de cassation considérait quant à elle que l’employeur pouvait se servir des informations issues du dispositif de géolocalisation litigieux pour licencier le salarié. En effet, selon elle, la circonstance résultant du défaut de déclaration du traitement de données n’était pas déterminante dans la mesure où sa mise en place était imposée par un règlement communautaire d’application directe. Par ailleurs, le salarié ne pouvait selon la Cour de cassation, ignorer l’existence dudit dispositif.

Une certaine interprétation de l’arrêt pouvait conduire à remettre en cause deux garanties appropriées du traitement des données à caractère personnel que sont l’accomplissement des formalités préalables auprès de la CNIL (en l’occurrence, une déclaration) et l’information préalable des personnes concernées.

Nous avions alors mis en avant que cet arrêt devait être pris pour un arrêt d’espèce et non un arrêt de principe. Cette position vient d’être confirmée non pas par la Cour de cassation elle-même mais un arrêt d’une Cour d’administrative d’appel dont la décision ne présente pas moins d’intérêt à titre comparatif.

L’arrêt de la cour administrative d’appel de Versailles.

L’intérêt de cet arrêt de se situe à plusieurs niveaux. D’une part, les faits sont relatifs à des salariés, même si dans le premier cas il s’agissait de salariés du secteur privé et qu’il s’agit ici d’agents d’une commune. D’autre part, comme s’agissant de l’arrêt de la Cour de cassation, est en cause le bien-fondé de sanctions disciplinaires prononcées à l’égard de salariés sur la base d’informations issues d’un traitement automatisé de données à caractère personnel (dispositif biométrique pour le cas d’espèce) lequel n’avait pas été porté à la connaissance des personnes concernées.

Le dispositif biométrique litigieux, constitué d’une badgeuse permettant la reconnaissance du contour de deux doigts de la main, est, en l’occurrence, destiné, comme l’arrêt de la Cour de cassation, à contrôler le temps de travail des salariés. Or, la mairie de Garges-les-Gonesse, n’avait pas informé ses agents de la mise en place de ce dispositif.

Sur la base de ce dispositif, la mairie de Garges-les-Gonesse, prendra deux sanctions disciplinaires à l’encontre de l’un de ses agents : « un avertissement puis une exclusion temporaire de fonctions d’une durée deux jours sanctionnant le refus de l’agent de soumettre à ce contrôle biométrique de son temps de présence  ».

Ce dernier saisira le tribunal administratif de Cergy-Pontoise aux fins d’annulation des sanctions dont il avait fait l’objet. Le tribunal n’accédera pas à sa demande. C’est alors que la Cour administrative d’appel de Versailles fut saisie des mêmes demandes d’annulation des sanctions litigieuses.

Dans un considérant, on ne peut plus clair, et se fondant sur les articles 2 «  [1] » et 32. I " [2]" de la loi Informatique et libertés du 6 janvier 1978, et partant du fait que la mairie n’avait pas individuellement informé ses agents, la cour d’appel retient que cette méconnaissance de la loi « doit […] être regardée comme ayant eu pour effet de rendre une telle décision inopposable aux agents de la commune ; que le maire de la commune de Garges-les-Gonesse ne pouvait donc légalement prendre, sur le fondement d’un ordre resté inopposable à ses agents à défaut d’accomplissement des formalités spécifiques exigées par les dispositions de l’article 32 de la loi du 6 janvier 1978 précitées, un avertissement puis une sanction d’exclusion temporaire de fonctions à l’encontre de M.A... sans priver ces décisions de base légale ».

Autrement, faute d’informer individuellement les personnes concernées par un traitement de données à caractère personnel, en principe, ce traitement et les données qui en sont issues leur sont inopposables. Dès lors, en l’occurrence, les mesures disciplinaires prises à l’égard du salarié devaient être annulées.

Cette décision n’est pas sans rappeler un arrêt de la Cour d’appel de Dijon par lequel il a jugé que l’information transmise par une note de service dont les destinataires n’étaient pas personnellement identifiés, ne permet pas de s’assurer que tous les employés destinataires du traitement avaient bien été informés de la mise en place du dispositif de géolocalisation et des droits dont ils jouissent. Ce défaut d’information du salarié viciait le licenciement [3].

Dans l’affaire du 19 juin 2014, le défaut d’information des salariés relevait d’une certaine gravité en raison d’une certaine désinvolture de la mairie de Garges-les-Gonesse. En effet, la CNIL, elle-même, avait attiré, à deux reprises, l’attention du responsable du traitement des données sur l’obligation d’information des agents concernés. Or, la promesse prise par la mairie, d’informer ses salariés, n’a jamais été suivie d’exécution.

L’annulation se trouvait pleinement justifiée. Elle confirme, pour la comparaison avec l’arrêt de la Cour de cassation, que la connaissance que peut avoir un salarié de la mise en place d’un traitement de données personnelles ne peut être présumée et que cette présomption, à la supposer admise, ne dispense pas le responsable du traitement de l’accomplissement de ses obligations au titre de la loi du 6 janvier 2014.

Le responsable du traitement doit, en principe, préalablement informer individuellement les personnes concernées.

Indirectement, se trouve également validé ici, le droit d’opposition du salarié à un traitement de données qui n’aurait pas été déclaré à la CNIL ou dont il n’aurait pas été informé. N’oublions pas, en ce sens, que dans un arrêt du 6 avril 2004, la chambre sociale de la Cour de cassation avait jugé qu’ « à défaut de déclaration à la CNIL d’un traitement automatisé d’informations nominatives concernant un salarié, son refus de déférer à une exigence de son employeur impliquant la mise en œuvre d’un tel traitement ne peut lui être reproché » [4].

Finalement, cet arrêt de la Cour administrative d’appel de Versailles nous ramène vers des solutions acquises en matière de traitement des données à caractère personnel ; un retour à la normale, dirons-nous donc.

La sanction du défaut d’information préalable des personnes concernées par un traitement de données : entre inopposabilité et illégalité.

L’agent municipal prétextait également du défaut d’information préalable pour alléguer d’une illégalité de décision du maire de mettre en place le dispositif de contrôle biométrique.

A cette prétention, la Cour d’appel répond que « la méconnaissance d’une telle obligation à la charge de la commune est sans incidence sur la légalité de la décision du maire d’instaurer le contrôle biométrique des temps de présence dans la mesure où une telle formalité doit être accomplie avant la mise en œuvre de l’arrêté décidant l’organisation de ce système de contrôle, et non nécessairement avant son édiction ». Autrement dit, le salarié n’avait pas à être informé de la mise en place du dispositif biométrique au stade de l’adoption l’arrêté municipal décidant de sa création. Cette obligation d’information ne naissant qu’au stade de la mise en place effective du traitement de données. Dès lors, la décision même de recourir à un dispositif biométrique n’était pas nulle du simple fait de la non-information préalable des personnes concernées.