Une décision étonnante au regard des infractions commises.
C’est une affaire singulière qui a conduit à cette décision emblématique : celle de M. [E], chef d’agence au sein de la société IGC, licencié pour faute grave en décembre 2019. Pour justifier cette mesure, l’employeur s’était appuyé sur un constat d’huissier fondé sur l’analyse de fichiers de journalisation internes (logs informatiques) associés à une adresse IP. Une décision validée en première instance par la Cour d’appel d’Agen.
Alors qu’une rupture conventionnelle avait été engagée entre les deux parties, l’employeur découvre que, la veille du rendez-vous de signature, le salarié avait supprimé plusieurs milliers de dossiers et fichiers informatiques au sein du système de l’agence à laquelle il était rattaché et transféré, sans autorisation, plusieurs dizaines de courriels professionnels vers des adresses mail personnelles. Ces manipulations ont été mises en évidence par un constat d’huissier, reposant notamment sur l’analyse de l’adresse IP du poste de travail utilisé.
Ces actes, d’une gravité particulière, ont entraîné une désorganisation significative de l’activité et ont été interprétés comme une violation manifeste de l’obligation de loyauté, rendant impossible la poursuite du contrat de travail. Renonçant à la rupture conventionnelle, l’employeur prononce alors un licenciement pour faute grave.
Le salarié, licencié pour faute grave en lieu et place de la rupture conventionnelle initialement envisagée, a contesté la régularité du licenciement devant le Conseil de prud’hommes, puis devant la cour d’appel.
Dans son arrêt du 10 janvier 2023, la Cour d’appel d’Agen écarte les arguments du salarié en opérant une distinction entre l’adresse IP personnelle et celle, locale, attribuée dans le cadre du réseau informatique de l’entreprise :
« L’adresse IP n°172.25.11.3 n’est pas attribuée par un fournisseur d’accès à Internet. C’est une adresse IP de classe B qui correspond à une adresse de réseau local et qui n’a pas lieu d’être déclarée à la CNIL parce qu’elle n’identifie que des périphériques dans le réseau local et non une personne physique. Elle ne contient aucune donnée personnelle. Elle identifie seulement un ordinateur ».
Sur la base de ces éléments, les juges considèrent que le constat d’huissier est recevable et que le licenciement pour faute grave est bien-fondé. Mais c’était sans compter sur l’intervention de la Cour de cassation, qui n’a pas suivi leur raisonnement.
Plongée au cœur des fichiers de journalisation.
Contre toute attente, la Haute juridiction a soulevé d’office un point décisif, en se fondant sur le RGPD : l’adresse IP locale utilisée pour imputer les fautes au salarié pouvait-elle être considérée comme une donnée à caractère personnel ? Et, si tel était le cas, son exploitation à des fins disciplinaires sans information préalable ou consentement du salarié était-elle conforme au règlement ?
Un débat inédit, d’autant plus remarquable que cette question n’avait été soulevée ni par le salarié ni par ses conseils.
Pour la Cour de cassation (Cour de cassation, civile, Chambre sociale, 9 avril 2025, 23-13.159, Inédit), la cour d’appel a commis une erreur fondamentale en estimant que l’adresse IP locale n’était pas une donnée personnelle. Elle est catégorique : même ces données, d’abord utilisées à des fins de sécurité, permettent d’identifier indirectement une personne.
Pour mesurer la portée de la décision rendue par la Cour de cassation le 9 avril 2025, il convient d’abord de comprendre ce que recouvrent les « fichiers de journalisation », plus connus sous le nom de logs. Véritable carnet de bord numérique, il s’agit de fichiers qui consignent de manière chronologique et détaillée les actions des utilisateurs, les incidents techniques ou encore les événements relatifs à la sécurité d’un système informatique.
Comme le souligne Le Monde Informatique [1], cette décision soulève des interrogations parmi les professionnels du droit et de la protection des données. Elle semble en effet passer sous silence les autres fondements juridiques prévus par le RGPD permettant un traitement licite des données personnelles, au-delà du seul consentement de la personne concernée.
En effet, le Règlement général sur la protection des données identifie six bases légales distinctes pour autoriser un traitement, dont une seule suffit pour justifier sa licéité. En l’occurrence, le traitement de données personnelles peut être effectué sans consentement s’il est :
- nécessaire à l’exécution d’un contrat,
- fondé sur une obligation légale,
- justifié par l’intérêt vital d’une personne,
- requis dans le cadre d’une mission d’intérêt public ou relevant de l’autorité publique,
- ou encore motivé par un intérêt légitime, tel que la sécurité des systèmes d’information ou la protection des actifs de l’entreprise.
Ici, la préservation de l’intégrité des données professionnelles et la documentation d’un comportement fautif auraient pu être examinées à l’aune de ces fondements.
Une décision qui interroge les juristes et les DSI : le consentement est-il réellement requis ?
La décision du 9 avril 2025 s’inscrit dans une évolution jurisprudentielle rigoureuse en matière de preuve et de protection des données personnelles. Elle rappelle qu’un licenciement, même fondé sur des faits objectivement graves, ne peut reposer sur une preuve obtenue au mépris du RGPD et des droits fondamentaux du salarié.
Rappelons également que la CNIL (Commission Nationale de l’Informatique et des Libertés) a une position claire sur le sujet. Si elle considère ces fichiers comme une mesure de sécurité primordiale, visant à garantir la sécurité et la confidentialité des données personnelles, leur objectif ne doit pas être le contrôle des utilisateurs, mais plutôt d’éviter les accès non autorisés et les utilisations détournées des données.
C’est d’ailleurs une obligation fondamentale du RGPD, inscrite à son article 5.
La CNIL insiste également sur l’importance d’informer les utilisateurs de la mise en place de ces systèmes de journalisation et de la durée de conservation des données de connexion [2]. Selon elle, une durée de six mois n’est pas excessive pour la conservation des logs. Ainsi, dès lors que ces informations sont réutilisées à des fins disciplinaires, leur licéité dépend de la transparence de l’entreprise et du cadre dans lequel cette finalité a été déterminée.
Rappelons enfin que cette solution rejoint les lignes directrices du Comité européen de la protection des données (CEPD) [3], qui a toujours considéré les identifiants techniques comme des données personnelles dès lors qu’ils permettent de retracer une activité individuelle.
Preuve irrecevable : ce que les entreprises doivent revoir d’urgence.
Cette décision est lourde de conséquences pour les employeurs et notamment les DSI.
La chambre sociale (Cour de cassation, civile, Chambre sociale, 25 novembre 2020, 17-19.523, Publié au bulletin) le rappelle sans ambiguïté : même une adresse IP interne, affectée au sein d’un réseau local, constitue une donnée à caractère personnel dès lors qu’elle permet d’identifier, ne serait-ce qu’indirectement, un utilisateur.
L’employeur ne peut collecter ni exploiter des logs informatiques à des fins disciplinaires sans respecter les principes fondamentaux du RGPD : transparence, finalité, proportionnalité et sécurité. En l’absence d’une information préalable du salarié sur cette finalité de traitement, et sans une base légale clairement identifiée, la preuve devient illicite.
C’est clair et net : toute preuve obtenue en violation du RGPD est illicite et ne peut justifier un licenciement. Comme en matière de vidéosurveillance [4], le non-respect des obligations d’information préalable des salariés et des représentants du personnel rend la preuve irrecevable devant le conseil de prud’hommes.
C’est une jurisprudence bien établie, confirmée par de nombreux arrêts :
- Cass. soc., 8 mars 2023, n°21-17.802 : la vidéosurveillance installée sans information préalable du salarié ni des représentants du personnel constitue une preuve illicite. L’atteinte ainsi portée à la vie privée empêche son utilisation pour justifier un licenciement.
- Cass. soc., 23 juin 2021, n°19-13.856 : la surveillance constante d’un salarié par caméra, sans proportionnalité ni information préalable, porte atteinte à sa vie personnelle. Les enregistrements ainsi obtenus sont écartés comme moyens de preuve.
- Cass. soc., 4 juill. 2012, n°11-30.266 : l’employeur ne peut recourir à des dispositifs de contrôle clandestins, tels que des lettres piégées non déclarées. Un tel stratagème constitue un procédé déloyal, rendant la preuve obtenue irrecevable.
Peu importe que les faits soient avérés : la forme prime sur le fond lorsque les libertés fondamentales sont en jeu.
En utilisant des dispositifs de journalisation hors du cadre légal, l’entreprise s’expose à plusieurs niveaux de risque :
- Licenciement sans cause réelle et sérieuse,
- Violation de la vie privée [5],
- Sanction de la CNIL, notamment sur la base de l’article 83 du RGPD,
- Atteinte à la réputation de l’entreprise en cas de contentieux médiatisé.
Ces enjeux dépassent largement la seule procédure de licenciement : ils engagent la conformité structurelle de l’organisation sur le plan numérique et managérial. La vigilance est désormais de rigueur. Les employeurs doivent systématiser les démarches de conformité, en coordination avec la direction des systèmes d’information et les ressources humaines.
RGPD, preuve numérique et sécurité : mettez à jour votre charte avant qu’il ne soit trop tard.
Cette décision met en lumière un problème récurrent dans de nombreuses entreprises : des chartes informatiques obsolètes ou inadaptées aux exigences du RGPD et de la jurisprudence. La charte informatique est un outil précieux pour sécuriser efficacement l’utilisation des outils numériques mais il convient de la mettre à jour et de la faire auditer régulièrement par avocat [6].
Intégrée au règlement intérieur, elle permet de définir les règles d’utilisation des outils informatiques, d’apporter la preuve de l’information des salariés et surtout sécurise la recevabilité des preuves issues des dispositifs de surveillance. Pour être opposable, elle doit faire référence au règlement intérieur ou contenir des obligations disciplinaires générales et permanentes.
Pour la mettre à jour, il convient ainsi de :
- Réévaluer les finalités de traitement des données,
- Préciser les modalités de collecte, d’accès et de conservation des logs,
- Informer clairement les salariés,
- Consulter le CSE, en application de l’article L2312-38 du Code du travail,
- Annexer la charte au règlement intérieur.
En somme, la décision du 9 avril 2025 ne doit pas être lue comme une rupture, mais comme un rappel à l’ordre. Elle s’inscrit dans une tendance jurisprudentielle claire : la preuve numérique n’échappe pas aux garanties fondamentales du droit du travail et du RGPD. L’enjeu dépasse le simple contrôle disciplinaire. Il concerne la manière dont l’entreprise gouverne ses données, informe ses salariés, structure sa documentation et gère ses procédures.
