Cour de cassation, Chambre sociale Arrêt du 23 avril 2013, M. X. / ADSEA 06
Les faits et la procédure Un animateur socio-éducatif a été licencié pour faute grave, pour avoir refusé de saisir, dans un logiciel dédié, des données à caractère personnel concernant des mineurs bénéficiant d’actions de prévention.
Lors de la migration de la version 3 à la version 4 dudit logiciel dédié, le prénom, les trois premières lettres du patronyme de la personne et son adresse devaient être saisies par l’animateur, l’employeur estimant que ces données étaient ainsi anonymisées.
L’animateur a cependant décidé d’interroger la Cnil avant d’exécuter cette directive, qui lui a indiqué que les éléments que son employeur lui demandait de saisir permettaient une identification de la personne et ne pouvaient donc être considérées comme des données anonymes.
S’agissant de données collectées auprès des mineurs, la Cnil ajoutait qu’il fallait conséquemment obtenir le consentement préalable des parents.
Le salarié a donc refusé de saisir les données car le traitement était non conforme à la réglementation puisqu’il n’avait pas fait l’objet d’une modification déclarative pour prendre en compte le traitement de ces données à caractère personnel.
La Cour d’appel d’Aix-en-Provence a estimé qu’à défaut de toute déclaration à la Cnil de la modification du logiciel de traitement de données à caractère personnel mis en œuvre au sein de l’entreprise, le refus du salarié de saisir des informations nominatives dans ledit logiciel ne constitue pas un motif réel et sérieux de licenciement.
La décision :
La Cour de cassation a cassé l’arrêt de la Cour d’appel par arrêt du 23 avril 2013, en distinguant, s’agissant des modifications apportées aux informations ayant été préalablement déclarées à la Cnil, entre celles (i) qui constituent des modifications substantielles devant être portées à la connaissance de la Cnil et celles (ii) qui constituent une simple mise à jour d’un logiciel de traitement de données à caractère personnel n’entraînant pas l’obligation, pour le responsable du traitement, de procéder à une nouvelle déclaration.
La Cour de cassation a ainsi estimé que la Cour d’appel, en se déterminant comme elle l’avait fait, sans rechercher si le passage du logiciel de la version 3 à la version 4 n’avait pas consisté en une simple mise à jour ne nécessitant pas une nouvelle déclaration auprès de la Cnil, a privé sa décision de base légale.
Cette décision nous parait quelque peu contestable.
Tout d’abord, elle ajoute une condition qui ne figure pas dans la loi Informatique et libertés : toute modification apportée aux informations ayant été préalablement déclarées (et non pas uniquement les modifications substantielles) doit en principe être soumise à la Cnil.
En outre, il pourrait être considéré qu’il s’agit ici d’une modification substantielle, puisqu’il pourrait être estimé qu’il est porté des appréciations sur les difficultés sociales d’une personne identifiable, qui-plus-est mineure.
