Fichiers contenus sur une clé USB personnelle non connectée à l’ordinateur professionnel du salarié : preuve recevable ou non ? (Cass. Soc. 25 septembre 2024, n° 23-13.992)

Dans le prolongement de l’arrêt rendu par l’Assemblée Plénière le 22 décembre 2023 (n°20-20.648), lequel est venu admettre, pour la première fois, la recevabilité, en matière civile, de la preuve déloyale ou illicite, la chambre sociale de la Cour de cassation poursuit la mise en œuvre du contrôle qu’elle opère désormais en la matière, selon la méthodologie fixée par l’arrêt précité.

Sur cette base, l’employeur est-il en droit de prendre connaissance du contenu des clés USB trouvées dans le bureau d’une salariée, hors sa présence et sans l’avoir appelée, alors que celles-ci ne sont pas connectées à l’ordinateur professionnel mis à sa disposition ?

Telle était la question principale posée dans l’espèce ayant donné lieu à l’arrêt ici commenté.

Une salariée, assistante commerciale, avait été licenciée pour faute grave, pour avoir copié sur 5 clés USB trouvées dans son bureau un nombre considérable de fichiers (au nombre de 50.000 précisément…) de l’entreprise l’employant, en ce compris certains relatifs à la fabrication et auxquels elle n’avait pas accès dans l’exercice normal et habituel de ses fonctions.

Dans le cadre du contentieux prud’homal initié par la salariée, notamment en contestation de la rupture de son contrat de travail, l’employeur avait produit les listings de fichiers extraits desdites clés USB, afin de justifier la matérialité de la faute reprochée.

Aussi, la question de la matérialité des faits ne posait pas en elle-même beaucoup d’interrogation, puisque la salariée les avait reconnus dans ses écritures, outre dans le cadre des procédures pénales engagées par elle (pour vol des clés USB) et contre elle (pour violation de données informatiques). Mais l’on sait que dès lors que l’origine de l’aveu judiciaire réside dans une preuve obtenue de manière discutable, il est lui-même touché par cette éventuelle illicéité.

Par un arrêt du 25 janvier 2023, la Cour d’appel de Lyon avait confirmé la décision rendue par la juridiction prud’homale, jugeant que le licenciement de la salariée était effectivement fondé sur une faute grave, après avoir relevé que, contrairement à ce que soutenait cette dernière, la preuve ainsi produite par l’employeur était recevable, dans la mesure où :

• Aucun élément ne venait corroborer les affirmations de la salariée selon lesquelles les 5 clés USB étaient dans son sac à main qu’elle avait laissé dans son bureau, et non pas à un endroit dudit bureau auquel l’employeur avait le droit d’accéder, même en son absence ;

• Les clés litigieuses qui se trouvaient dans son bureau ne pouvaient en elles-mêmes être identifiées comme étant des clés personnelles ;

• S’agissant de supports amovibles, ces clefs avaient donc été intégrées à divers moments au matériel informatique de l’employeur, y compris à d’autres ordinateurs que celui mis à la disposition personnelle de la salariée.

Sans surprise, elle a formé un pourvoi en cassation, en se prévalant – a contrario – d’un arrêt rendu le 12 février 2013 par la Cour de cassation (n °11-28.649), en vertu duquel :

« Une clé USB, dès lors qu’elle est connectée à un outil informatique mis à la disposition du salarié par l’employeur pour l’exécution du contrat de travail, est présumée utilisée à des fins professionnelles. En conséquence, les dossiers et fichiers non identifiés comme personnels qu’elle contient sont présumés avoir un caractère professionnel, de sorte que l’employeur peut y avoir accès hors la présence du salarié. »

A cet égard, il est à souligner que l’avocate générale, dans son avis, a fort justement précisé :

« Ainsi que l’a souligné le Professeur B. Bossu : « Cette solution vise évidemment à sauvegarder les intérêts de l’entreprise : il n’est pas admissible qu’un salarié enregistre sur sa clé USB des données confidentielles appartenant à l’entreprise », soulignant que […] le droit au respect de la vie privée n’a pas été institué dans le but de couvrir les agissements indélicats et qu’en conséquence il convient de rechercher un équilibre entre la vie privée du salarié et le pouvoir de surveillance de l’employeur ».

Et la salariée de tenter malgré tout de faire admettre à la Cour de cassation – dans un vain effort à l’heure à laquelle la Cour de cassation admet (désormais) la recevabilité des preuves illicites – que :

• une clé USB étant un outil personnel, elle échappait à la présomption de « professionnalité » applicable aux outils informatiques mise à disposition par l’employeur ;

• l’employeur – qui soutenait de manière vague que les clés USB litigieuses se trouvaient, lorsqu’il s’en est emparé, « dans le bureau de la salariée», puis « sur son bureau de travail » – n’alléguait pas que ces clés étaient, au moment de leur découverte, connectées à l’ordinateur professionnel de la salariée ou à tout autre ordinateur de l’entreprise ;

de sorte que les preuves ainsi recueillies par son ancien employeur – et sur la base desquelles il avait entendu la licencier – étaient illicites, comme violant sa vie privée.

Et c’est ainsi que la chambre sociale de la Cour de cassation a commencé par rappeler les principes suivants, au visa des articles 9 du Code de procédure civil et L.1121-1 du Code du travail :

• L’accès par l’employeur, hors la présence du salarié, aux fichiers contenus dans des clés USB personnelles, qui ne sont pas connectées à l’ordinateur professionnel, constitue une atteinte à la vie privée du salarié.

• Dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats.

• Le juge doit, lorsque cela lui est demandé, apprécier si une telle preuve porte atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit à la preuve et les droits antinomiques en présence, le droit à la preuve pouvant justifier la production d’éléments portant atteinte à d’autres droits à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi.

Pour ensuite s’assurer de ce que les juges du fond avaient effectivement fait application une pleine et entière application de ce contrôle de proportionnalité :

• Le contrôle opéré par l’employeur est-il légitime ?
• L’employeur pouvait-il atteindre un résultat identique en utilisant d’autres moyens plus respectueux de la vie privée du salarié ?
• L’atteinte ainsi portée à la vie privée du salarié est-elle proportionnée au but poursuivi ?

Pour approuver la Cour d’appel de Lyon, la Chambre sociale a donc relevé que :

• L’employeur avait agi de manière proportionnée dans l’exercice de son droit à la preuve, son seul but ayant été de préserver le secret/la confidentialité de ses affaires ;

• Il démontrait qu’il existait des raisons concrètes justifiant le contrôle effectué sur les clés USB de la salariée, et au regard du comportement de cette dernière : selon le témoignage de deux de ses collègues, elle avait, courant juin et juillet 2017, travaillé sur le poste informatique d’une collègue absente et imprimé de nombreux documents qu’elle avait ensuite rangés dans un sac plastique placé soit au pied de son bureau soit dans une armoire métallique fermée ;

• L’employeur s’était borné à produire les données strictement professionnelles reproduites sur une clé unique, après le tri opéré par l’expert qu’il avait mandaté à cet effet, en présence d’un commissaire de justice ; les fichiers à caractère personnel n’avaient pas été ouverts par l’expert et avaient été supprimés de la copie transmise à l’employeur, selon procès-verbal de constat.

Aussi, la Cour de cassation en a déduit que « la production du listing de fichiers tiré de l’exploitation des clés USB était indispensable à l’exercice du droit de la preuve de l’employeur » et que « l’atteinte à la vie privée de la salariée était strictement proportionnée au but poursuivi », justifiant ainsi la recevabilité dudit listing.

Ce faisant, la Cour de cassation a néanmoins passé sous le silence, semble-t-il, le critère du caractère « indispensable » à l’exercice du droit à la preuve de l’employeur.

Seuls ont en effet été expressément repris le caractère « légitime » du contrôle, ainsi que la « proportionnalité » de l’atteinte portée à la vie privée de la salariée. Mais encore fallait-il que cette preuve soit indispensable pour établir la faute commise par elle, à savoir la copie de données.

L’on peut penser que le caractère indispensable se dégageait nécessairement des faits reprochés, mais il eut été préférable que la Cour de cassation fasse stricte application des 3 temps du raisonnement qu’elle a elle-même fixés.

Ce d’autant que ce caractère indispensable est précisément l’étape du contrôle exposé ci-dessus qui parait la plus délicate à appréhender concrètement : faut-il prouver une impossibilité totale de fournir d’autres preuves qui seraient, elles, licites, ou suffit-il de constater l’absence d’autres preuves disponibles ?

Nul doute que la chambre sociale – qui multiplie à un rythme soutenu les applications de sa nouvelle jurisprudence – viendra prochainement éclaircir ce point.