Fichiers de journalisation et adresses IP utilisés à l’appui d’un licenciement pour faute grave :  une preuve illicite à défaut de consentement du salarié ?

Analyse et critique de l’arrêt du 9 avril 2025 de la Cour de cassation

Dans un arrêt inédit du 9 avril dernier (n°23-13.159), la chambre sociale de la Cour de cassation réaffirme la nécessité pour l’employeur de respecter strictement les principes édictés par le RGPD, en particulier en matière probatoire.

L’application qu’elle fait de la règlementation protectrice des données à caractère personnel apparait toutefois surprenante, dans la mesure où la Haute juridiction exige la collecte du consentement du salarié, préalablement au traitement des fichiers de journalisation à des fins de contrôle de son activité, sans même envisager le recours à l’une des autres bases légales pourtant existantes, à savoir l’intérêt légitime de l’employeur.

Selon la position de la Cour de cassation, les entreprises ne seraient ainsi pas autorisées à déployer leur politique de sécurité informatique, et notamment la traçabilité des accès et des actions des utilisateurs dans le système informatique, sans avoir obtenu l’accord de chacun de leurs salariés.

Une telle décision – qualifiée d’ « inédite », ce qui en limite la portée à ce stade – serait porteuse d’insécurité pour les entreprises, en matière de cybersécurité et de protection des données, si elle venait à être confirmée par un arrêt ayant une portée normative importante.

Il n’est, d’ailleurs, pas exclu que la question fasse ultérieurement l’objet d’un examen par l’assemblée plénière de la Cour de cassation.

Les faits : Quand les logs trahissent un salarié

Quelques jours après qu’un salarié ait sollicité la rupture conventionnelle de son contrat de travail, le service informatique de l’entreprise est alerté par d’autres salariés de la disparition de nombreux fichiers informatiques. Au total, plus de 4000 fichiers et dossiers ont été supprimés et une centaine de mails ont été adressés sur l’adresse électronique personnelle du salarié.

L’employeur fait alors constater par un commissaire de justice les informations provenant des fichiers de journalisation et leur recoupement avec les messages envoyés de l'adresse IP attribuée au salarié, afin de conserver la preuve des actions fautives réalisées par le salarié. Celui-ci est ensuite licencié pour faute grave.

Position des juges du fond : Nature des données collectées et recevabilité de la preuve

La Cour d’appel d’Agen, à qui était posée la question de savoir si l’adresse IP était une donnée à caractère personnel et, partant, si le contrôle réalisé par l’employeur était soumis aux exigences du RGPD (notamment en matière d’information des personnes concernées), répond par la négative.

Elle juge, alors, que le constat du commissaire de justice constitue une preuve licite.

Analyse de la décision de la Cour de cassation : Le RGPD invoqué… à contre-sens ?

Après avoir rappelé, à juste titre, que les fichiers de journalisation relatifs à l’utilisation de l’ordinateur professionnel du salarié et les adresses IP constituent des données à caractère personnel, conformément au RGPD, la Cour de cassation fait une application particulièrement contestable des règles applicables en la matière.

Celle-ci exige, en effet, que le contrôle individuel de l’activité d’un salarié, via le traitement des fichiers de journalisation et des adresses IP, repose sur le consentement du salarié concerné. A défaut, ce traitement serait illicite, tout comme la preuve qui en résulterait.

Ce faisant, la Cour de cassation écarte, sans même la citer, l’une des autres bases légales pouvant fonder un traitement de données, à savoir celle de l’intérêt légitime de l’employeur (RGPD, art. 6.1. f)).

Pourtant, la CNIL elle-même, au sein de son guide pratique relatif à la sécurité des données personnelles, recommande de « prévoir un système de journalisation des activités métier des utilisateurs, des interventions techniques, des anomalies et des évènements liés à la sécurité », et ce « afin de pouvoir identifier un accès frauduleux ou une utilisation abusive des données personnelles, ou de déterminer l’origine d’un incident » ou encore de constituer « des éléments de preuve utiles pour la démonstration de la conformité ».

Au sein de son référentiel relatif à la gestion des ressources humaines, la CNIL indique, d’ailleurs, que le traitement relatif à la mise en œuvre de dispositifs destinés à assurer la sécurité et le bon fonctionnement des applications informatiques et des réseaux repose sur l’intérêt légitime de l’employeur.

La base légale relative au consentement n’apparait, en revanche, absolument pas adaptée, sur le plan légal comme sur le plan pratique.

Non seulement le recours au consentement dans le cadre d’une relation de travail salariée est, par principe, écarté, dès lors que le déséquilibre existant entre le salarié et l’employeur ne permet pas de recueillir un consentement libre[1], mais il comporte aussi de lourdes incidences opérationnelles.

Recueillir le consentement de chaque salarié, dans une entreprise dont l’effectif est important, ou en cas de fort turn over, peut en effet s’avérer complexe et chronophage.

Par ailleurs, le salarié peut refuser de consentir ou retirer un consentement qu’il aurait initialement donné, rendant le dispositif inopérant. Des différences de traitement entre les salariés qui auraient consenti et ceux qui auraient refusé apparaitraient, ce qui compromettrait inévitablement l’efficacité du dispositif et, plus généralement, de la politique de cybersécurité de l’entreprise.

Comment sécuriser, dans ce contexte, le contrôle des fichiers de journalisation ?

Compte tenu de la portée limitée de cet arrêt, toute précipitation sur un changement de base légale est donc à proscrire, au vu des incidences pratiques et juridiques que celui-ci comporterait pour l’employeur.

Cette décision rappelle toutefois la nécessité de renforcer et de documenter sa conformité, en veillant notamment à :

• Réaliser, lorsque l’on s’appuie sur l’intérêt légitime de l’entreprise une mise en balance des droits et intérêts en cause, afin de vérifier (et de documenter) que le traitement ne se heurte pas aux droits et intérêts des salariés, compte tenu de leurs attentes raisonnables[2],
• Informer les salariés[3] du possible contrôle individuel de leur activité, des moyens mis en place et de la base légale sur laquelle se fonde ce traitement (à savoir l’intérêt légitime relatif au contrôle de l’activité individuelle en vue de détecter notamment d’éventuelles anomalies et, le cas échéant, de mettre en œuvre le pouvoir disciplinaire), notamment dans le cadre d’une lettre d’information et de la charte informatique de l’entreprise, à annexer au règlement intérieur afin de lui donner une valeur contraignante,
• Informer-consulter les représentants du personnel préalablement à l’entrée en vigueur de la charte informatique et avant toute mise en œuvre de moyens de contrôle de leur activité, dans les entreprises de plus de 50 salariés[4],
• Définir précisément les habilitations[5] pour l’accès aux logs de connexion, leur durée de conservation[6] et les procédures d’exploitation en cas d’incident,
• Compléter son registre des activités de traitement[7] afin d’y faire figurer le traitement réalisé.

Dès lors que l’employeur aura respecté les exigences règlementaires et légales applicables, notamment en informant les salariés du traitement effectué, de sa finalité, et qu’il aura documenté sa conformité, la recevabilité des fichiers de journalisation, collectés et traités de manière licite nous semble difficilement contestable, dans le cadre d’un contentieux.

En tout état de cause, la jurisprudence admet désormais qu’une preuve obtenue de manière déloyale puisse être recevable, dès lors que sa production est indispensable à l’exercice du droit à la preuve et proportionnée à l’objectif poursuivi[8].

Nous vous invitons à lire nos articles sur le sujet :

1. Droit à la preuve face à la protection des données personnelles : peut-on tout utiliser comme moyen de preuve ?
2. Droit à la preuve face à la protection des données personnelles: peut-on tout utiliser comme moyen de preuve ? 2

Les offres RGPD / DPO d'Altij Avocats : Un accompagnement sur mesure

Altij Avocats propose des services spécialisés pour accompagner les entreprises dans leur mise en conformité avec le RGPD. Que vous soyez une ETI, une PME ou une organisation à la recherche d'un soutien personnalisé, Altij met à votre disposition des avocats experts dans le domaine de la cybersécurité et de la protection des données.

En tant que DPO (Délégué à la Protection des Données) externalisé, Altij offre un accompagnement complet pour garantir la conformité de vos activités aux exigences du RGPD.

[1] Groupe de travail « Article 29 », Lignes directrices sur le consentement au sens du règlement 2016/679

^[2] RGPD, attendu 47)

^[3] RGPD, art. 13 et 14

^[4]C. trav., art. L. 2312-8 et L. 2312-37

[5] RGPD, art. 32

[6] RGPD, art. 5 e)

[7] RGPD, art. 30

[8] Cass. soc., 25 novembre 2020, n°17-19.523 ; Cass. soc., 16 mars 2021, n° 19-21.063 ; Cass. soc. 8 mars 2023, n° 21-12.492