Messagerie des salariés (emails) : il est impératif de vérifier vos déclarations à la CNIL

Dans un arrêt du 1^er juin 2017 (Cass. soc., 1^er juin 2017, nº 15-23.522 FS-PB), fort heureusement, la Cour de cassation juge que le défaut de déclaration à la Cnil d’un système de messagerie professionnelle ne rend pas illicite la production en justice des courriels adressés par l’employeur ou le salarié via cette messagerie.

Attention toutefois car ce n’est pas si simple.

On sait qu’un système de messagerie électronique professionnelle permettant l’enregistrement et la conservation des courriels dans le système informatique de l’entreprise et la surveillance globale des données entrantes et sortantes : 

• doit faire l’objet d’une déclaration à la CNIL
• mais tant qu’il ne s’accompagne pas d’un dispositif de contrôle individuel de l’activité des salariés : une déclaration simplifiée suffit (Délib. Cnil nº 2005-002 du 13 janvier 2005, mod. par délib. nº 2005-277 du 17 novembre 2005).

Les faits : l’affaire concerne un DAF contestant la cause réelle et sérieuse de son licenciement prononcé pour insuffisance professionnelle. Pour la justifier l’employeur avait produit différentes pièces, dont plusieurs e-mails envoyés par le salarié à la direction via la messagerie professionnelle.

Pour la Cour d’appel de Paris, aucun de ces messages n’était recevable à titre de preuve car la messagerie n’avait pas été déclarée à la CNIL.

Cette condamnation a été annulée par la Cour de cassation.

La décision : pour la Cour de cassation :

« l’absence de déclaration simplifiée d’un système de messagerie électronique professionnelle non pourvu d’un contrôle individuel de l’activité des salariés, qui n’est dès lors pas susceptible de porter atteinte à la vie privée ou aux libertés au sens de l’article 24 de la loi « informatique et libertés », ne rend pas illicite la production en justice des courriels adressés par l’employeur ou par le salarié dont l’auteur ne peut ignorer qu’ils sont enregistrés et conservés par le système informatique ».

L’absence de déclaration simplifiée n’empêche donc pas l’employeur de produire en justice des courriels qu’il a reçus ou adressés au salarié pour prouver un comportement fautif ou une insuffisance professionnelle.

Conclusion :

• Malgré cette décision favorable aux entreprises, nous conseillons de faire une déclaration simplifiée du système de messagerie à la CNIL car c’est une recommandation de la CNIL.
• L’idéal serait de mettre en place un système de messagerie assortis d’un dispositif de contrôle de l’utilisation qui en est faite individuellement par chaque salarié (contrôle de l’importance des flux): dans ce cas le dispositif doit faire l’objet d’une déclaration normale et non d’une simple déclaration simplifiée. En effet, statuant à propos d’un dispositif de contrôle individuel de l’importance et des flux des messageries électroniques, il a ainsi été récemment précisé qu’à défaut de déclaration à la Cnil, les informations collectées via ce système constituent un moyen de preuve illicite qui ne peut être utilisé à l’encontre du salarié à l’appui d’un licenciement (Cass. soc., 8 octobre 2014, nº 13-14.991).

 

Benjamin Louzier
Avocat Associé