Sommaire
Seule une modification substantielle portant sur les informations ayant été préalablement déclarées doit être portée à la connaissance de la Commission nationale de l'informatique et des libertés (CNIL). Une simple mise à jour d'un logiciel de traitement de données à caractère personnel n'entraîne pas l'obligation pour le responsable du traitement de procéder à une nouvelle déclaration. Doit être cassé l'arrêt qui retient que les données à caractère personnel enregistrées par les salariés étaient nominatives en sorte que la modification du traitement des données devait être préalablement déclarée à la CNIL sans rechercher si le passage d'un logiciel à un autre n'avait pas consisté en une simple mise à jour qui ne nécessitait pas une nouvelle déclaration
Texte intégral
LA COUR DE CASSATION, CHAMBRE SOCIALE, a rendu l'arrêt suivant : Sur le moyen unique, pris en sa première branche : Vu les articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978, ensemble les articles L. 1234-1, L. 1234-9 et L. 1232-1 du code du travail ; Attendu, selon l'arrêt attaqué, que M. X..., engagé par contrat du 1er janvier 2005 par l'association départementale pour la sauvegarde de l'enfance, de l'adolescence et des jeunes adultes des Alpes-Maritimes (ADSEA 06) en qualité d'animateur socio-éducatif, a été licencié pour faute grave le 1er février 2008 pour insubordination réitérée ; Attendu que pour dire sans cause réelle et sérieuse le licenciement et condamner l'employeur à verser au salarié diverses sommes au titre de la rupture l'arrêt retient que, lors du passage du logiciel EVA 3 à EVA 4 en janvier 2007, les données à caractère personnel enregistrées par les éducateurs étaient nominatives en sorte que la modification du traitement des données devait être préalablement déclarée à la Commission nationale de l'informatique et des libertés (CNIL) ; qu'il a ensuite été décidé, après réflexion et établissement d'un « guide de bonne pratique » en mars 2007, de ne plus faire apparaître les patronymes mais que l'employeur ne contrôlait pas et ne garantissait pas que seules les données « anonymisées » étaient saisies ; que la CNIL avait d'ailleurs répondu dans ce sens au salarié le 23 mai 2008 que le prénom, les trois premières lettres du nom, et le cas échéant, l'adresse permettent d'identifier une personne, ne peuvent être considérées comme des informations anonymes et que s'agissant de données à caractère personnel auprès de mineurs, les parents doivent avoir préalablement donné leur consentement ; que l'employeur ne peut donc arguer de ce codage pour justifier qu'il n'a pas procédé à la déclaration de la modification du traitement de données à caractère personnel auprès de la CNIL ; qu'à défaut de toute déclaration à la CNIL de la modification du logiciel de traitement des données à caractère personnel mis en oeuvre au sein de l'entreprise, le refus du salarié de saisir les informations nominatives concernant les mineurs bénéficiant d'actions de prévention ne constitue pas un motif réel et sérieux de licenciement ; Attendu cependant, que seule une modification substantielle portant sur les informations ayant été préalablement déclarées doit être portée à la connaissance de la CNIL ; qu'une simple mise à jour d'un logiciel de traitement de données à caractère personnel n'entraîne pas l'obligation pour le responsable du traitement de procéder à une nouvelle déclaration ; Qu'en se déterminant comme elle l'a fait sans rechercher si le passage du logiciel EVA 3 à EVA 4 en janvier 2007 n'avait pas consisté en une simple mise à jour qui ne nécessitait pas une nouvelle déclaration auprès de la CNIL, la cour d'appel a privé sa décision de base légale au regard des textes susvisés ; PAR CES MOTIFS : CASSE ET ANNULE, dans toutes ses dispositions, l'arrêt rendu le 6 septembre 2011, entre les parties, par la cour d'appel d'Aix-en-Provence ; remet, en conséquence, la cause et les parties dans l'état où elles se trouvaient avant ledit arrêt et, pour être fait droit, les renvoie devant la cour d'appel de Montpellier ; Condamne M. X... aux dépens ; Vu l'article 700 du code de procédure civile, rejette les demandes ; Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l'arrêt cassé ; Ainsi fait et jugé par la Cour de cassation, chambre sociale, et prononcé par le président en son audience publique du vingt-trois avril deux mille treize. MOYEN ANNEXE au présent arrêt Moyen produit par la SCP Lyon-Caen et Thiriez, avocat aux Conseils, pour l'association départementale pour la sauvegarde de l'enfance, de l'adolescence et des jeunes adultes des Alpes-Maritimes LE MOYEN fait grief à l'arrêt infirmatif attaqué D'AVOIR dit que le licenciement de Monsieur Eric X..., prononcé pour faute grave, était dépourvu de cause réelle et sérieuse et D'AVOIR condamné l'Association ADSEA 06 à lui payer les sommes de 4.347,30 € d'indemnité de préavis, 434,73 € de congés payés y afférents, 4.890 € d'indemnité conventionnelle de licenciement, 13.042 € d'indemnité de licenciement sans cause réelle et sérieuse et 1.000 € de dommages et intérêts résultant des circonstances brutales et vexatoires ayant entouré le licenciement ; AUX MOTIFS QUE les premiers juges ont dit, à tort, que les considérations sur la nécessité ou non d'une nouvelle déclaration du logiciel EVA 4 à la CNIL étaient sans incidence sur le débat relatif au bien fondé du licenciement et ne concernaient que la responsabilité de l'Association ADSEA 06 et non celle de Monsieur Eric X... alors que le refus par le salarié de déférer à une exigence de l'employeur impliquant la mise en oeuvre d'un logiciel de traitement de données à caractère personnel dans des conditions non conformes à la réglementation et de se soumettre ainsi à un ordre illicite ne peut constituer un motif réel et sérieux de rupture du contrat de travail ; que l'Association ADSEA 06 a effectué une déclaration à la CNIL d'un traitement ayant pour finalité « l'évaluation sociale des actions de prévention » le 1er septembre 2000 alors qu'elle utilisait, pour collecter et traiter les données, le logiciel EVA 3 ; qu'à partir de janvier 2007, l'Association ADSEA 06 a utilisé la version EVA 4 ; que l'Association expose que le salarié a refusé, à partir de septembre 2007, de saisir toute information sur ce logiciel EVA 4 sans véritable motif explicite ; qu'il est produit un courrier de Monsieur Eric X... adressé le 7 novembre 2007 à son directeur en réponse à l'avertissement en date du 22 octobre 2007 et dans lequel il fait référence à l'éthique et s'interroge sur l'anonymat des listes des personnes bénéficiaires des actions de prévention spécialisée ; que le salarié cite par ailleurs son mail envoyé à la direction le septembre 2007 et resté sans réponse, l'entretien préalable du 19 octobre 2007 à la sanction disciplinaire au cours duquel il a fait valoir ses arguments, plusieurs mails adressés à sa direction, sa rencontre avec le Directeur Général et un écrit adressé au CHSCT ; que la question relative à l'utilisation du logiciel EVA 4 a également été abordée au sein du Comité d'Etablissement, tel que cela ressort des procès-verbaux suivants : - le procès verbal de la réunion du Comité d'Etablissement en date du 21 février 2007 dont l'ordre du jour mentionne une « 2ème demande d'information sur le logiciel informatique EVA 4 (déclaration CNIL, éthique, modifications des conditions de travail des éducateurs…) ». Au cours de cette réunion, Monsieur Y..., directeur du service ASP répond aux « questions soulevées par les délégués du personnel et l'ensemble des salariés…En ce qui concernait l'anonymat des usagers : celui-ci est dorénavant conservé. La base de données est anonyme et il n'existe plus de patronymes… Le guide (de bonne pratique de l'évaluation dans les services de prévention) circule pour l'instant… Sur l'évaluation, au secteur des Moulins, les éducateurs pensent mettre au point un système de codage… » , - le procès-verbal de la réunion du Comité d'Etablissement en date du 26 février 2008, dont l'ordre du jour mentionne les « questions relatives à EVA 4 : conditions de la confidentialité des informations et conséquences sur les conditions de travail des éducateurs de rue ». Suite à une question des membres du Comité d'Etablissement, Monsieur Y... précise qu'il n'y a pas eu de déclaration à la CNIL de la version EVA 4, « qu'ils sont restés sur la même déclaration que celle d'EVA 3 dan la mesure où (ils ont) supprimé les patronymes… », affirmant que les informations relatives aux patronymes sont « cryptées ». Sur interrogation d'un membre du Comité d'Etablissement : « Est-on bien d'accord que le nom, prénom, sexe et date de naissance sont des champs obligatoires pour que la fiche soit validée ? », Monsieur Y... répond que « le nom est crypté. On a bien dit qu'il n'y a aucun nom qui est porté ». Sur constat d'un membre du Comité d'Etablissement qui précise qu'il y a des salariés « qui entrent le nom. (Alors) que le garant de l'application du guide de bonne pratique devrait être la direction, elle se doit de veiller à ce qu'il n'y ait pas de nom », Monsieur Y... réplique « qu'il ne peut être garant que le nom n'ait pas été changé. A partir du moment où le système est crypté ». Alors qu'un membre précise que « sur le secteur de l »'Ariane, il y en a qui ont dit qu'ils notaient les noms et cela, la direction est informée, puisque le chef de service était présent lorsque cela a été annoncé », Monsieur Y... indique que ‘tout bon éducateur est censé mettre les noms, mais si quelqu'un met « DURAND », (M. Y...) ne peut pas savoir si sur le terrain, la famille s'appelle comme cela. Tout éducateur doit entrer un nom codé sur logiciel et ce afin de distinguer les deux individus qui auraient le même prénom, même âge, même demande éducative. Si quelqu'un met un nom, « exemple DURAND », comment le directeur peut savoir si celui-ci est vrai ou codé ? » ;qu'il y a lieu d'observer que Monsieur Y..., s'il a affirmé que les patronymes étaient cryptés, n'a pas démenti par ailleurs que le prénom, le sexe et la date de naissance devaient être obligatoirement remplis afin de valider la saisie ; que l'association ADSEA 06 soutient qu'elle a entendu les craintes des salariés, qu'il a été trouvé un nouveau mode opératoire permettant d'assurer l'anonymat des informations enregistrées et qu'il a été décidé de ne pas saisir le nom des usagers ; qu'elle précise que les éducateurs sont libres de déterminer par secteur le codage le plus approprié pour eux et que certains ont saisi les initiales du nom, d'autres des pseudonymes ; qu'elle affirme que le fait de rendre les données anonymes et donc de ne pas faire de traitement automatisé de données à caractère nominatif rend inutile toute déclaration à la CNIL ; que Monsieur Eric X... a produit en première instance les attestations de Madame Elisabeth B... et de Monsieur Eric C..., qui sont versées en cause d'appel par l'employeur ; que Madame Elisabeth B... précise que « le logiciel d'évaluation EVA 4 pose de réelles difficultés quant à la garantie de principes d précise que « le logiciel d'évaluation EVA 4 pose de réelles difficultés quant à la garantie des principes de (l')étique professionnelle, notamment l'anonymat et le respect des personnes. En effet, contrairement au logiciel EVA 3, les noms des jeunes ne sont plus cryptés.. » ; que Monsieur Eric C... témoigne que « par (sa) part pour préserver l'anonymat du public, (il a) appliqué la procédure énoncée par la direction qui était de ne saisir que les trois premières lettres du nom de famille.. » ; que l'Association ADSEA 06 conteste qu'il y ait eu une consigne de la direction pour faire figurer les trois premières lettres du nom de famille mais ne verse aucun élément venant contredire le témoignage de Monsieur Eric C... ; que l'Association ADSEA 06 produit un rapport d' « évaluation des actions de prévention spécialisée avec EVA » dans lequel il est indiqué qu' « en passant de la version 3 à la version 4 : il a été décidé avec l'ensemble du personnel et dans le cadre de la mise en oeuvre d'un « Guide de bonne pratique de l'évaluation » établi en mars 2007, de ne plus faire figurer les patronymes. A partir d'un codage propre à chaque équipe, il est possible néanmoins d'assurer une connaissance de chaque dossier personnalisé.. » et le « Guide de bonne pratique de l'évaluation dans les services de prévention » dans lequel il est précisé que « les fiches individuelles figurant sur EVA 4 sont non nominatives. Par un codage interne, les équipes éducatives sont capables de suivre les accompagnements individuels… » ; qu'il ressort de l'ensemble des éléments produits par les parties que, dans la version EVA 4, il était prévu initialement de saisir les noms des usagers ; que la direction de l'Association ADSEA 06, suite à la réaction des salariés et des délégués du personnel, a admis la « possibilité de suppression des patronymes … » compte-rendu de la réunion droit d'expression des salariés du 25/01/2007 produit par l'employeur) ; qu'il est donc indiscutable que, lors du passage du logiciel EVA 3 à EVA 4 en janvier 2007, les donnée à caractère personnel enregistrées par les éducateurs étaient nominatives en sorte que la modification du traitement des donnes devait être préalablement déclarée à la CNIL ; qu'il a ensuite été décidé, après réflexion et établissement d'un « guide de bonne pratique » en mars 2007, de ne plus faire apparaître les patronymes étant observé cependant qu'il a été indiqué lors de la réunion du Comité d'Etablissement du 26 février 2008 que, sur le secteur de l'Ariane, certains membres du personnel continuaient à noter les noms ; que la direction de l'Association ADSEA 06 se contente d'affirmer que les patronymes sont « codés » et que les informations saisies sont ainsi anonymes alors qu'elle laisse chaque équipe décider du « codage » ; qu'elle ne contrôle pas et ne garantit pas que seules les données « anonymisées » sont saisies ; que le « codage » utilisé sur le secteur Nice-Saint Augustin (Les Moulins) selon le témoignage de Monsieur Eric C..., éducateur, soit la saisie des trois premières lettres du nom, à laquelle s'ajoute la saisie du prénom, de la date de naissance et de l'adresse de l'usager, ne garantit aucunement l'anonymat de la personne suivie en prévention spécialisée ; que la CNIL a d'ailleurs répondu en ce sens à Monsieur Eric X... le 23 mai 2008 : « le prénom, les trois premières lettres du nom, et le cas échéant, l'adresse permettent d'identifier une personne, ces informations ne peuvent être considérées comme anonymes », précisant au surplus que « s'agissant de données à caractère personnel auprès de mineurs, les parents doivent avoir préalablement donné leur consentement » ; que l'Association ADSEA 06 ne peut donc arguer de ce « codage » pour justifier qu'elle n'ait pas procédé à la déclaration de la modification du traitement des données à caractère personnel auprès de la CNIL ; qu'à défaut de toute déclaration à la CNIL de la modification du logiciel de traitement des données à caractère personnel mis en oeuvre au sein de l'Association ADSEA 06, le refus du salarié de saisir les informations nominatives concernant les mineurs bénéficiant d'actions de prévention ne constitue pas un motif réel et sérieux de licenciement ; qu'il convient, en conséquence, d'infirmer le jugement et de dire que le licenciement de Monsieur Eric X... est dénué de cause réelle et sérieuse ; ALORS D'UNE PART QU'en se bornant à relever, à l'appui de sa décision, que si l'Association avait « décidé, après réflexion et établissement d'un « guide de bonne pratique » en mars 2007, de ne plus faire apparaître les patronymes » et affirmait que « les patronymes sont « codés » et que les informations saisies sont ainsi anonymes alors qu'elle laisse chaque équipe décider du « codage », il demeurait que « le « codage » utilisé sur le secteur Nice-Saint Augustin (Les Moulins) selon le témoignage de Monsieur Eric C..., éducateur, soit la saisie des trois premières lettres du nom, à laquelle s'ajoute la saisie du prénom, de la date de naissance et de l'adresse de l'usager, ne garantit aucunement l'anonymat de la personne suivie en prévention spécialisée ; que la CNIL a d'ailleurs répondu en ce sens à Monsieur Eric X... le 23 mai 2008 : « le prénom, les trois premières lettres du nom, et le cas échéant, l'adresse permettent d'identifier une personne, ces informations ne peuvent être considérées comme anonymes », précisant au surplus que « s'agissant de données à caractère personnel auprès de mineurs, les parents doivent avoir préalablement donné leur consentement », de sorte que l'Association ne pouvait « arguer de ce « codage » pour justifier qu'elle n'ait pas procédé à la déclaration de la modification du traitement des données à caractère personnel auprès de la CNIL », la Cour d'appel, qui n'a pas fait ressortir que la pratique suivie dans le secteur de Nice-Saint Augustin (Les Moulins) avait la nature d'un traitement automatisé de données à caractère personnel nécessitant d'être déclaré auprès de la CNIL, a privé sa décision de base légale au regard des articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978, ensemble les articles L 1234-1, L 1234-9 et L 1232-1 du code du travail, ALORS D'AUTRE PART QU'un salarié ne peut refuser de procéder à la saisie d'informations sur un logiciel, relevant de ses attributions, en se prévalant de la nature de traitement automatisé de données à caractère personnel, soumis à déclaration auprès de la CNIL, de celui-ci, et, au-delà, de « l'éthique et la déontologie » ; qu'en retenant, à l'appui de sa décision, « que le refus par le salarié de déférer à une exigence de l'employeur impliquant la mise en oeuvre d'un logiciel de traitement de données à caractère personnel dans des conditions non conformes à la réglementation et de se soumettre ainsi à un ordre illicite ne peut constituer un motif réel et sérieux de rupture du contrat de travail » et « qu'à défaut de toute déclaration à la CNIL de la modification du logiciel de traitement des données à caractère personnel mis en oeuvre au sein de l'Association ADSEA 06, le refus du salarié de saisir les informations nominatives concernant les mineurs bénéficiant d'actions de prévention ne constitue pas un motif réel et sérieux de licenciement », la Cour d'appel a violé les articles L 1234-1, L 1234-9 et L 1232-1 du code du travail et 2 et 22 de la loi n° 78-17 du 6 janvier 1978, ALORS, EN OUTRE, EN TOUTE HYPOTHESE, QU'en retenant « que le refus par le salarié de déférer à une exigence de l'employeur impliquant la mise en oeuvre d'un logiciel de traitement de données à caractère personnel dans des conditions non conformes à la réglementation et de se soumettre ainsi à un ordre illicite ne peut constituer un motif réel et sérieux de rupture du contrat de travail » et « qu'à défaut de toute déclaration à la CNIL de la modification du logiciel de traitement des données à caractère personnel mis en oeuvre au sein de l'Association ADSEA 06, le refus du salarié de saisir les informations nominatives concernant les mineurs bénéficiant d'actions de prévention ne constitue pas un motif réel et sérieux de licenciement », après avoir constaté que l'Association avait « décidé, après réflexion et établissement d'un « guide de bonne pratique » en mars 2007, de ne plus faire apparaître les patronymes » et affirmait que « les patronymes sont « codés » et que les informations saisies sont ainsi anonymes alors qu'elle laisse chaque équipe décider du « codage », dans la mesure où « le « codage » utilisé sur le secteur Nice-Saint Augustin (Les Moulins) selon le témoignage de Monsieur Eric C..., éducateur, soit la saisie des trois premières lettres du nom, à laquelle s'ajoute la saisie du prénom, de la date de naissance et de l'adresse de l'usager, ne garantit aucunement l'anonymat de la personne suivie en prévention spécialisée », de sorte que l'Association ne pouvait « arguer de ce « codage » pour justifier qu'elle n'ait pas procédé à la déclaration de la modification du traitement des données à caractère personnel auprès de la CNIL », énonciations dont il ne résulte pas que Monsieur X... se serait vu intimer l'ordre de mettre en oeuvre le codage par voie de saisie des trois premières lettres du nom patronymique, du prénom, de la date de naissance et de l'adresse qui, selon elle, aurait impliqué que le traitement automatisé résultant de l'utilisation du logiciel EVA 4 mis en oeuvre au sein de l'Association soit déclaré auprès de la CNIL et aurait été licencié, pour faute grave, pour n'avoir pas déféré à un tel ordre, et, partant, en raison de son refus de saisir des informations nominatives, la Cour d'appel a privé sa décision de base légale au regard des articles L 1234-1, L 1234-9 et L 1232-1 du code du travail, ensemble les articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978, ET ALORS, ENFIN, QU'en retenant « que le refus par le salarié de déférer à une exigence de l'employeur impliquant la mise en oeuvre d'un logiciel de traitement de données à caractère personnel dans des conditions non conformes à la réglementation et de se soumettre ainsi à un ordre illicite ne peut constituer un motif réel et sérieux de rupture du contrat de travail » et « qu'à défaut de toute déclaration à la CNIL de la modification du logiciel de traitement des données à caractère personnel mis en oeuvre au sein de l'Association ADSEA 06, le refus du salarié de saisir les informations nominatives concernant les mineurs bénéficiant d'actions de prévention ne constitue pas un motif réel et sérieux de licenciement », après avoir constaté que l'Association avait « décidé, après réflexion et établissement d'un « guide de bonne pratique » en mars 2007, de ne plus faire apparaître les patronymes » et affirmait que « les patronymes sont « codés » et que les informations saisies sont ainsi anonymes alors qu'elle laisse chaque équipe décider du « codage », dans la mesure où « le « codage » utilisé sur le secteur Nice-Saint Augustin (Les Moulins) selon le témoignage de Monsieur Eric C..., éducateur, soit la saisie des trois premières lettres du nom, à laquelle s'ajoute la saisie du prénom, de la date de naissance et de l'adresse de l'usager, ne garantit aucunement l'anonymat de la personne suivie en prévention spécialisée », de sorte que l'Association ne pouvait « arguer de ce « codage » pour justifier qu'elle n'ait pas procédé à la déclaration de la modification du traitement des données à caractère personnel auprès de la CNIL », sans répondre aux conclusions de l'Association dans lesquelles celle-ci faisait valoir que Monsieur X... « n'a jamais eu aucune consigne pour faire figurer les trois premières lettres du nom et l'adresse » dans les données qu'il lui était demandé de saisir, la Cour d'appel n'a pas satisfait aux exigences de l'article 455 du code de procédure civile.