Usage d’internet au travail

L’article L. 261-1 du code du travail, tel qu’en vigueur au moment des faits, dispose :

« (1) Le traitement des données à caractère personnel à des fins de surveillance sur le lieu de travail peut être mis en œuvre, conformément à l’article 14 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, par l’employeur s’il en est le responsable.

Un tel traitement n’est possible que s’il est nécessaire:

1. pour les besoins de sécurité et de santé des salariés, ou
2. pour les besoins de protection des biens de l’entreprise, ou
3. pour le contrôle du processus de production portant uniquement sur les machines, ou
4. pour le contrôle temporaire de production ou des prestations du salarié, lorsqu’une telle mesure est le seul moyen pour déterminer le salaire exact, ou
5. dans le cadre d’une organisation de travail selon l’horaire mobile conformément au présent code.…

Le consentement de la personne concernée ne rend pas légitime le traitement mis en œuvre par l’employeur.

(2) Sans préjudice du droit à l’information de la personne concernée, sont informés préalablement par l’employeur: la personne concernée, ainsi que pour les personnes tombant sous l’empire de la législation sur le contrat de droit privé: le comité mixte ou, à défaut, la délégation du personnel ou, à défaut encore, l’Inspection du travail et des mines; pour les personnes tombant sous l’empire d’un régime statutaire: les organismes de représentation du personnel tels que prévus par les lois et règlements afférents. »

L’article 2 de la loi modifiée du 2 août 2002 relative à la protection des données a la teneur suivante :

« Aux fins de la présente loi, on entend par:……

 (c) «consentement de la personne concernée»: toute manifestation de volonté (…) libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou statutaire accepte que les données à caractère personnel fassent l’objet d’un traitement;…

(e) «donnée à caractère personnel» (ci-après dénommée «donnée»): toute information de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image, concernant une personne identifiée ou identifiable («personne concernée»); une personne physique (…) est réputée identifiable si elle peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique;…

…

(p) «surveillance»: toute activité qui, opérée au moyen d’instruments techniques, consiste en l’observation, la collecte ou l’enregistrement de manière non occasionnelle des données à caractère personnel d’une ou de plusieurs personnes, relatives à des comportements, des mouvements, des communications ou à l’utilisation d’appareils électroniques et informatisés;…

(r) «traitement de données à caractère personnel» (ci-après dénommé «traitement»): toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et appliquées à des données, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction. »

3. L’usage d’internet

L’employeur critique le jugement en ce qu’il n’a pas retenu qu’il avait prouvé que le salarié licencié :

– n’avait pas le droit d’utiliser internet, à l’instar des autres salariés de l’entreprise, chefs de service exceptés,

– s’était créé de manière cachée un accès non-autorisé sur son ordinateur, malgré le blocage de l’accès,

– avait fait usage de l’internet à des fins privées de manière régulière et répétée.

Il considère que ces faits seraient établis et constitueraient des fautes graves justifiant le licenciement immédiat. Le jugement serait à réformer et le licenciement devrait être déclaré fondé.

L’employeur critique aussi le jugement en ce qu’il a écarté les captures d’écran (les « printscreens ») effectuées sur l’ordinateur du salarié et les attestations testimoniales en ce qu’elles se rapportent au résultat de la surveillance de l’ordinateur.

Il relève que dans son jugement du 1^er mars 2013, le tribunal du travail aurait implicitement tranché la question en acceptant les captures d’écran comme pièces justificatives et en admettant l’offre de preuve par une attestation de l’informaticien. Le salarié aurait tacitement accepté la prise en considération des captures d’écran, leur rejet n’ayant été ni discuté ni demandé.

Le salarié aurait usé d’internet, malgré l’interdiction générale. Dès lors l’employeur aurait eu le droit de contrôler par des captures d’écran si le salarié « avait accès à Internet, s’il faisait usage de cet accès et … dans quelle mesure ».

L’employeur n’aurait pas surveillé des données à caractère personnel et les courriers électroniques du salarié n’auraient pas été contrôlés.

La loi du 2 août 2002 sur la protection des données à caractère personnel ne pourrait donc pas être invoquée pour écarter les captures d’écran et le témoignage de l’informaticien.

Les captures d’écran prouveraient l’usage fréquent de l’internet par la pratique de jeux et notamment la consultation de sites de vente de voitures.

Même si les captures d’écran n’étaient pas prises en considération, les fautes graves seraient aussi établies par les attestations testimoniales de deux autres salariés.

Le salarié conclut à la confirmation du jugement en ce qu’il a écarté des débats les captures d’écran et les attestations testimoniales, retenu que le reproche d’un usage abusif d’internet n’était pas établi et déclaré le licenciement abusif.

Il relève que la licéité des preuves est d’ordre public et que leur illicéité peut être opposée en tout état de cause.

L’employeur aurait mis son ordinateur sous un contrôle exclusif, régulier, fait à distance. L’enregistrement de données de manière non-occasionnelle afin d’en déterminer le comportement du salarié serait à qualifier de surveillance au sens de l’article 2 de la loi du 2 août 2002 relative à la protection des données.

La surveillance de son ordinateur par l’employeur constituerait une violation de l’article L. 261-1 du code du travail, aucune des conditions d’une surveillance autorisée par cette disposition n’étant remplie.

L’employeur n’aurait pas fait la déclaration préalable prescrite auprès de la Commission nationale pour la protection des données.

Les captures d’écran et les témoignages seraient donc à écarter.

La Cour relève qu’aux motifs du jugement du 1^er mars 2013, le tribunal du travail expose les moyens des parties relatifs au reproche de l’usage abusif d’internet, retient qu’en cas de preuve d’une interdiction générale d’usage d’internet, du blocage de l’accès du salarié, de la création d’un accès par le salarié et de l’usage abusif et répété d’internet, le licenciement immédiat serait justifié. Au dispositif du jugement, le tribunal admet la preuve par attestations testimoniales.

La Cour constate qu’il ne résulte ni de ce jugement ni d’autres éléments du dossier que la légalité des modes de preuve ait été discutée et que le tribunal n’a pas pris de décision quant à la légalité de la surveillance.

Dans ces conditions, après le prononcé du jugement du 1^er mars 2013 le salarié pouvait remettre en cause quant à leur légalité les opérations effectuées à la demande de l’employeur sur son ordinateur et le résultat de ces opérations et le tribunal devait examiner si les captures d’écran et les attestations testimoniales relatives à la surveillance étaient conformes à la loi et si elles pouvaient être prises en considération.

L’employeur déclare avoir fait vérifier par des captures d’écran si le salarié « avait accès à Internet, s’il faisait usage de cet accès et … dans quelle mesure ». Le contrôle régulier et à distance via TT.) a été effectué à la demande de l’employeur par une entreprise informatique à l’aide d’un dispositif installé sur le serveur de l’entreprise, visant le poste de M. A.), et, suivant l’employeur, par environ six captures d’écran par après-midi pendant une période de dix jours du 14 au 26 septembre 2011.

La capture d’écran constitue une copie de l’image affichée sur un ordinateur. L’ordinateur visé est identifié par l’employeur et, les contrôles étant effectués durant les après-midi où M. A.) occupe seul le bureau, l’usage peut être relié au salarié individualisé.

La méthode utilisée permet à l’employeur de connaître le contenu de l’affichage sur l’écran et de suivre l’activité du salarié sur l’ordinateur.

La capture d’écran fournit à l’employeur des informations sur un salarié identifié ou identifiable, permet de collecter et d’enregistrer des données à caractère personnel et constitue un traitement de données à caractère personnel au sens de l’article 2 de la loi modifiée du 2 août 2002 relative à la protection des données.

Ce traitement n’était ni nécessaire ni utile pour mettre fin à l’activité du salarié sur internet.

Cette activité déployée par l’employeur sur le lieu de travail, avec l’usage de moyens techniques, en vue de détecter des mouvements, des images, des paroles ou des écrits ou l’état d’une personne, constitue un traitement de données à caractère personnel à des fins de surveillance, qui n’est possible que s’il est nécessaire pour l’une des finalités définies à l’article L. 261-1 du code du travail.

Or, même si l’employeur avait constaté ou soupçonné l’usage non-autorisé d’internet, la surveillance par capture d’écran n’était nécessaire :

– ni pour les besoins de sécurité et de santé des salariés,

– ni pour les besoins de protection des biens de l’entreprise,

– ni pour le contrôle du processus de production portant uniquement sur les machines,

– ni pour le contrôle temporaire de production ou des prestations du salarié, lorsqu’une telle mesure est le seul moyen pour déterminer le salaire exact,

– ni dans le cadre d’une organisation de travail selon l’horaire mobile.

Le traitement de données effectué par l’employeur à des fins de surveillance sur le lieu de travail est intervenu en violation de l’interdiction expresse de l’article L. 261-1 du code du travail. Dès lors, c’est à juste titre que le tribunal du travail a écarté des débats les captures d’écran ainsi que les attestations testimoniales, dans la mesure où elles se rapportent au résultat du traitement illicite de données, éléments de preuve résultant d’une voie illégale.

Le témoin B.) fait la déclaration suivante :

« J’ai dû constater à plusieurs reprises sur son écran, se trouvant à côté de mon bureau, séparé par une vitre, qu’il avait des images colorées sur son écran qui n’avaient rien à voir avec le travail. En vérifiant, j’ai trouvé qu’il s’était créé un accès illégal ! à l’internet ».

Le témoin C.) déclare aussi avoir « trouvé un accès à internet créé illégalement via un chemin spécial ». Elle n’a pas personnellement constaté des images provenant d’internet.

L’informaticien déclare aussi avoir constaté un accès anormal sur le poste de M. A.).

Le seul témoignage de M. B.) relatif à plusieurs constats permettant de conclure à un usage d’internet, sans autre précision, n’établit pas un usage fréquent, régulier, prolongé d’internet.

Le salarié soutient que l’accès sur son poste aurait été ouvert par la société informatique lors de mises à jour, et que celle-ci aurait oublié de bloquer à nouveau son accès. N’ayant pas les droits d’un administrateur de système, il ne serait pas en mesure de créer un accès internet.

Les trois témoins ne donnent aucune précision quant à l’accès qu’ils considèrent comme anormal ou caché, de sorte qu’il ne peut pas être déduit de leurs attestations que le salarié ait, en violant l’interdiction de son employeur, créé un accès internet.

Il convient de relever que précédemment, en mai-juin 2010, le salarié a lui-même signalé que l’entreprise informatique avait oublié de bloquer son accès après avoir effectué les mises à jour, et que son accès a été bloqué suite à son information.

L’explication et la contestation du salarié relatives à l’accès litigieux sont plausibles.

Au vu des attestations testimoniales, il n’est pas établi que le salarié ait procédé lui-même à la création d’un accès.

Même si l’on peut admettre que le salarié a utilisé l’accès à internet, un usage assidu d’internet, plusieurs heures par jour, donc des faits pouvant être considérés comme violation de l’interdiction de nature à rendre immédiatement et définitivement impossible la continuation de la relation de travail ne sont pas établis. (C.S.J., 04/07/2016, 41114).