Retour sur une décision dans laquelle les juges ont considéré que ne constitue pas une faute d’une gravité suffisante pour justifier le licenciement d’une salariée protégée le fait que cette dernière ait transféré des courriels professionnels contenant des données personnelles sensibles vers sa boîte mail personnelle.
Une salariée d’une association chargée de gérer des résidences spécialisées pour les personnes en situation de handicap avait transféré vers sa boîte mail personnelle ainsi que vers la boîte mail de son époux plus de 500 courriels de l’association. Certains des courriels transférés par la salariée contenaient des données personnelles de résidents, notamment des données (telles que des données relatives à l’état de santé de ces derniers). Apprenant cela, l’association a formé une demande d’autorisation de licenciement pour motif disciplinaire auprès de l’inspection du travail – la salariée ayant le statut de salariée protégée – à laquelle il a été fait droit. La salariée a contesté son licenciement et l’affaire s’est retrouvé portée devant la Cour administrative d’appel de Douai, qui a statué le 19 juin dernier.
L’absence de faute d’une gravité suffisante pour justifier un licenciement
Les juges ont dû se prononcer sur la question de savoir si l’association pouvait légitimement licencier sa salariée pour avoir transféré vers sa boîte personnelle des courriels traités dans le cadre de l’exercice de ses fonctions, notamment compte tenu du fait que certains d’entre eux contenaient des données sensibles de personnes prises en charge par l’association.
Pour justifier le licenciement, l’association soutenait que « le transfert massif, non autorisé, de courriels comportant des données professionnelles est constitutif d’un détournement d’informations sensibles et confidentielles à destination de tiers », ce qui est contraire à la fois au règlement intérieur de l’association et à la charte d’utilisation des outils informatiques de l’association.
Toutefois, la Cour d’appel n’a pas suivi cet argumentaire et a confirmé le jugement du tribunal de première instance qui avait invalidé le licenciement de la salariée, relevant notamment que la raison pour laquelle la salariée avait transféré les courriels litigieux était qu’elle souhaitait conserver des échanges professionnels dans le but d’assurer le cas échéant ses droits de la défense, dans le cas d’un éventuel contentieux entre la salariée et l’association.
Les juges d’appel ont considéré que si les faits reprochés à la salariée étaient bien fautifs, ils n’étaient pas d’une « gravité suffisante pour justifier son licenciement pour motif disciplinaire ».
Le RGPD comme fondement juridique ?
On peut regretter que l’association n’ait pas avancé d’arguments relatifs à la protection des données personnelles, notamment en se prévalant de dispositions du RGPD qui auraient pu trouver à s’appliquer efficacement en l’espèce.
En effet, l’association n’évoque le RGPD que pour souligner le caractère sensible de certaines données transférées par la salariée, en indiquant que « les transferts opérés ont eu pour effet d’exposer l’ensemble de ces données, classées « données de santé sensibles à caractère personnel » par le Règlement général sur la protection des données, à un risque informatique dont la salariée ne pouvait ignorer l’existence. »
Or, elle aurait également pu se prévaloir de ce texte pour soutenir que sa salariée avait violé les principes de licéité des traitements et de limitation des finalités, énoncés par le RGPD. En transférant les données personnelles des résidents vers sa boîte mail personnelle et celle de son époux, la salariée agissait en tant que responsable de traitement, mais l’opération réalisée sur les données constituait à la fois un détournement de finalités et était réalisé sans base légale. Dès lors, si l’association avait relevé que la salariée réalisait des traitements de données illicites au regard du RGPD, peut-être que la décision des juges aurait été différente, considérant que celle-ci avait commis des actes illicites pouvant constituer une faute d’une gravité suffisante pour justifier son licenciement.
Il convient tout de même de souligner qu’en l’espèce, la salariée disposait du statut de salarié protégé en raison de ses mandats au sein de l’association, imposant ainsi à l’employeur d’apporter la preuve d’une « faute d’une gravité suffisante » pour justifier son licenciement, dont l’appréciation par le juge administratif est plus stricte que celle d’une simple faute par le juge civil.