La 2ème Chambre civile décide que la communication par l’employeur, ordonnée par le juge prud’homal, de documents contenant des données personnelles, tels que les historiques de carrière et les bulletins de paie de salariés nommément désignés, constitue un traitement de données à caractère personnel et que leur mise à disposition d’un salarié invoquant l’existence d’une discrimination syndicale à titre d’éléments de preuve répond aux exigences de licéité au sens des articles 6 et 23 du RGPD.
Elle censure, en revanche, la Cour d’appel pour avoir ordonné la production de ces documents sans avoir veillé au respect du principe de minimisation des données à caractère personnel, édicté par l’article 5, § 1 c) du RGPD et enjoint aux parties de n’utiliser les données, contenues dans les documents dont la communication est ordonnée, qu’aux seules fins de l’action en discrimination.
Sur les faits de l’espèce
Invoquant l’existence d’une discrimination syndicale, un salarié exerçant plusieurs mandats de représentation du personnel saisit le conseil de prud’hommes de demandes d’indemnisation et de rappel de salaire.
Par jugement avant dire droit du 4 avril 2019, le conseil de prud’hommes a ordonné à la société qui l’employait, en application de l’article 144 du Code de procédure civile, de produire les historiques de carrière de neuf salariés nommément désignés, ainsi que leurs bulletins de salaire.
Après avoir sollicité l’avis de la Chambre sociale (Cass. avis, 24 avril 2024, n° 21-20.979), le présent arrêt se prononce sur le pourvoi dirigé contre l’arrêt confirmatif de la cour d’appel (CA Caen, 1er juillet 2021, n° 19/01363).
La Cour de cassation devait essentiellement se prononcer sur deux points. Elle en a relevé d’office un troisième.
La position de la Cour de cassation
La Cour a analysé d’abord la licéité, au regard des articles 6 et 23 du RGPD, de la production en justice, dans un litige relatif à une discrimination syndicale, en tant qu’éléments de preuve, d’un historique de carrière et de bulletins de paie de salariés nommément désignés, ces documents contenant des données à caractère personnel.
Pour elle, une telle production s’analyse en un traitement de données personnelles initialement collectées à d’autres fins que celle de rapporter une preuve au cours d’une instance prud’homale (CJUE, 2 mars 2023).
Dès lors, l’appréciation de sa licéité requiert de vérifier, d’une part, l’existence d’une base juridique idoine servant de fondement à ce traitement, et d’autre part, à défaut de consentement des personnes concernées, qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique (RGPD, art. 6, § 4) et garantit notamment l’indépendance de la justice et des procédures judiciaires ainsi que l’exécution des demandes de droit civil (RGPD, art. 23, § 1).
En l’espèce, pour estimer ces conditions remplies, l’arrêt se fonde sur les dispositions :
- des articles L. 1132-1 et suivants du Code du travail, relatifs à l’interdiction des discriminations, notamment syndicales,
- des articles 6 et 8 de la Convention européenne de sauvegarde des droits de l’Homme, l’article 9 du Code civil et l’article 9 du Code de procédure civile, aux termes desquels, selon la jurisprudence de la Chambre sociale, le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie personnelle, à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi.
L’arrêt s’est prononcé ensuite sur le point de savoir si les salariés, dont les données personnelles ont été sollicitées, devaient être mis en cause.
La Cour de cassation estime que les dispositions de l’article 14 du Code de procédure civile, aux termes desquelles nulle partie ne peut être jugée sans avoir été entendue ou appelée, ne peuvent trouver à s’appliquer, dans la mesure où ces personnes sont des tiers au litige et ne sont pas en situation d’indivisibilité avec le responsable du traitement de données.
La protection des droits de ces tiers au litige est garantie par le contrôle du juge.
Sur un moyen relevé d’office, la cour reproche cependant aux juges du fond de s’être limités, pour ordonner la production d’éléments portant atteinte à la protection de données à caractère personnel, à contrôler le caractère indispensable et unique de ces éléments pour l’exercice par le salarié de son droit à la preuve et le caractère proportionné de l’atteinte au but poursuivi, en l’occurrence l’exercice de sa défense par le salarié, alors qu’ils auraient dû veiller au respect du principe de minimisation des données à caractère personnel et enjoindre aux parties de n’utiliser ces données qu’aux seules fins de l’action en discrimination.
En d’autres termes, la cour d’appel est censurée pour s’être seulement conformée aux principes dégagés par la Cour de cassation en matière de droit à la preuve (v. not. : Cass. ass. plén., 22 décembre 2023, n° 20-20.648) alors qu’elle aurait dû, s’agissant de données personnelles, également mettre en œuvre le principe de minimisation des données, tel qu’interprété par la CJUE (CJUE, 2 mars 2023).
Si la Cour de cassation a déjà imposé aux juges du fond, dans une telle hypothèse, de rechercher si les éléments dont la communication était demandée sont de nature à porter atteinte à la vie personnelle d’autres salariés, quelles mesures sont indispensables à l’exercice du droit à la preuve et proportionnées au but poursuivi, au besoin en cantonnant le périmètre de la production de pièces sollicitées (v. dans le même sens : Cass. soc., 22 septembre 2021, n° 19-26.144 ; Cass. soc., 1er juin 2023, n° 22-13.238), c’est la première fois, à notre connaissance, qu’elle fonde cette exigence sur le RGPD.
