Renommer un disque dur en « données personnelles » ne donne pas aux fichiers un caractère privé confirme la CEDH

Une décision de la CEDH a retenu toute notre attention, y est abordée la question d’un salarié ayant donné au disque dur de son ordinateur le nom « données personnelles », espérant ainsi que les fichiers s’y trouvant puissent avoir un caractère privé.

Nous remarquerons que cette décision fait suite à un arrêt de la Cour de cassation française pour laquelle nous avions rédigé une actualité il y a quelques temps…

​Présentation de l’affaire

Un salarié engagé en 1976, connait une suspension de ses fonctions, suite à une mise en examen pour dénonciation calomnieuse d’un de ses subordonnés qui, selon ses dires, avait adopté un langage outrancier à l’encontre d’un collègue.

Le jour de sa réintégration, le 17 mars 2008, le salarié constate que son ordinateur professionnel avait été saisi. Convoqué par sa hiérarchie, il fut informé le 5 avril 2008 que le disque dur de cet ordinateur avait été analysé et que l’on y avait trouvé de fausses attestations et de nombreux fichiers contenant des images et des films de caractère pornographique, en conséquence de quoi l’employeur prononçait à son encontre une sanction disciplinaire le privant de son statut de cadre. 

Mais le salarié décide de contester cette décision devant le conseil de prud’hommes, mettant en avant le fait qu’il avait dénommé le disque dur contenant les fichiers visés « données personnelles ».

Selon lui, l’employeur n’était nullement en droit de les ouvrir en dehors de sa présence. 

Extrait de l’arrêt :

7. Engagé en 1976 par la société (…), le requérant y exerçait en dernier lieu les fonctions d’adjoint au chef de la brigade de surveillance de la Région (…). Il indique qu’en 2007, il avait dénoncé auprès de la direction le comportement d’un de ses subordonnés, qui, selon ses dires, avait adopté un langage outrancier à l’encontre d’un collègue. L’intéressé ayant déposé plainte contre lui, il avait été mis en examen pour dénonciation calomnieuse. Il avait ensuite été suspendu de ses fonctions par la (…) eu égard à cette mise en examen.

8. La procédure ayant, après plusieurs mois, abouti à un non-lieu, le requérant fit part à sa direction de son souhait de réintégrer ses anciennes fonctions. En réponse, il fut invité à envisager d’intégrer un autre poste. Il maintint cependant sa demande.

9. Le jour de sa réintégration, le 17 mars 2008, le requérant constata que son ordinateur professionnel avait été saisi. Convoqué par sa hiérarchie, il fut informé le 5 avril 2008 que le disque dur de cet ordinateur avait été analysé et que l’on y avait trouvé des « attestations de changement de résidence (…) et au bénéfice de tiers », ainsi que de nombreux fichiers contenant des images et des films de caractère pornographique. Il ressort de l’arrêt de la cour d’appel d’Amiens du 15 décembre 2010 (paragraphes 14-15 ci-dessous) que la personne qui avait remplacé le requérant durant sa suspension de poste avait trouvé sur cet ordinateur « des documents qui avaient attiré son attention », et qu’il en avait averti sa hiérarchie en mars 2007 et en janvier 2008.

10. Une demande d’explications écrites fut adressée au requérant le 7 mai 2008. Il répondit qu’en 2006, à la suite de problèmes affectant son ordinateur personnel, il avait transféré le contenu de l’une de ses clés USB sur son ordinateur professionnel. Il ajouta que les fichiers à caractère pornographique lui avaient été envoyés par des personnes qu’il ne connaissait pas, par le biais de l’Intranet de (…).

11. Le requérant fut convoqué à un entretien disciplinaire, qui eut lieu le 21 mai 2008. Le 9 juin 2008, il fut informé par le « directeur management ressources » de la direction (…) qu’il était l’objet d’une proposition de radiation des cadres et qu’il allait être traduit devant le conseil de discipline. Ce dernier se réunit le 15 juillet 2008.

​Arrêt de la cour d’appel

La Cour d’appel d’Amiens, dans son arrêt du 15 décembre 2010, déboute le salarié de sa demande.

Tout en rappelant que « les documents détenus par le salarié dans le bureau de l’entreprise sont, sauf lorsqu’il les identifie comme étant personnels, présumés avoir un caractère professionnel, en sorte que l’employeur peut y avoir accès hors sa présence », elle précise qu’un « salarié ne peut utiliser l’intégralité d’un disque dur, censé enregistrer des données professionnelles, pour un usage privé ».

Extrait de l’arrêt :

Attendu qu’il est de règle que les documents détenus par le salarié dans le bureau de l’entreprise sont, sauf lorsqu’il les identifie comme étant personnels, présumés avoir un caractère professionnel, en sorte que l’employeur peut y avoir accès hors sa présence ;

Attendu qu’il ressort du rapport de la (…) que les photos et vidéos pornographiques ont été trouvées dans un fichier dénommé « rires » contenu dans un disque dur dénommé « D:/données personnelles » ;

Attendu que la (…) explique sans être contredite que le disque « D » est dénommé par défaut « D:/données » et sert traditionnellement aux agents à stocker leurs documents professionnels ;

Attendu qu’un salarié ne peut utiliser l’intégralité d’un disque dur, censé enregistrer des données professionnelles, pour un usage privé ; que la (…) était donc en droit de considérer que la désignation « données personnelles » figurant sur le disque dur ne pouvait valablement interdire l’accès à cet élément ; qu’en tout état de cause, le terme générique de « données personnelles » pouvait se rapporter à des dossiers professionnels traités personnellement par le salarié et ne désignait donc pas de façon explicite des éléments relevant de sa vie privée ; que tel était d’ailleurs le cas, l’analyse du disque dur ayant fait apparaître de nombreux documents de nature professionnelle (fichier « photos LGV », « photos entrepôts » ... ;

​Arrêt de la Cour de cassation

La Cour de cassation confirme l’arrêt de la cour d’appel, confirmant qu’il ne suffisait pas de donner le titre « personnel » du disque dur d’un PC pour rendre toutes les données personnelles.

Cour de cassation chambre sociale Audience publique du mercredi 4 juillet 2012 
N° de pourvoi: 11-12502 Non publié au bulletin 

​Décision de la CEDH

La CEDH (Cour Européenne des Droits de l'Homme) valide la décision de la Cour de cassation, en confirmant que la dénomination "données personnelles" mentionnée sur le disque dur d’un ordinateur à usage professionnel, ne suffisait pas à conférer à l'ensemble des données un caractère privé. 

En conséquence, la sanction prononcée par l’employeur ne portait nullement atteinte au droit au respect à la vie privée.

AFFAIRE LIBERT c. FRANCE (Requête no 588/13) ARRÊT STRASBOURG 22 février 2018 

Fait en français, puis communiqué par écrit le 22 février 2018, en application de l’article 77 §§ 2 et 3 du règlement de la Cour.