blog
Accès de l’employeur à la messagerie de ses salariés et protection des données
L’autorité norvégienne de protection des données (« Datatilsynet ») a infligé le 22 juin 2021 une amende de 15 000 euros à un employeur pour avoir utilisé pendant plusieurs semaines la boîte courriels d’un employé après le départ de celui-ci en méconnaissance tant du Règlement général européen sur la protection des données (« RGPD ») de 2016[1] que de la règlementation de 2018 émanant du ministère du travail norvégien[2]. Rappelons que la Norvège est membre de l’Espace Economique Européen et en tant que tel respecte dans beaucoup de domaines, dont celui de la protection des données, la législation de l’Union.
La décision de la Datatilsynet invite à faire le point de la question de l’accès par l’employeur à la messagerie de ses employés durant leur emploi et après leur départ de l’entreprise.
Les précisions apportées par le règlement norvégien
Selon le règlement norvégien de 2018, l’employeur a accès aux messageries professionnelles de ses salariés :
(i) lorsque cela est nécessaire pour la conduite des activités de l’entreprise ou dans tout autre intérêt légitime de l’entreprise ; ou
(ii) en cas de doute raisonnable d’une violation par l’employé des règles d’utilisation de sa messagerie professionnelle ; violation pouvant constituer un motif de licenciement[3].
L’employé doit en principe être prévenu que l’employeur va accéder à ses courriels[4] et des raisons pour ce faire. L’employé peut formuler des observations en réponse à cette information. Dans l’hypothèse où l’employeur accède aux courriels d’un employé en son absence ou sans préavis, il doit en informer l’employé a posteriori par écrit en indiquant à quels courriels il a eu accès.
En cas de départ du salarié, les courriels qui ne sont plus utiles à l’activité de l'entreprise doivent être supprimées dans un délai raisonnable[5].
La décision de l’autorité de protection des données norvégienne[6]
Dans le cas qui a donné lieu à la sanction susvisée, l’employeur – tout en modifiant le mot de passe d’accès à la messagerie professionnelle de son ancien employé – avait continué pendant plusieurs semaines à faire fonctionner cette messagerie pour assurer un suivi des clients et traiter les dossiers normalement gérés par l’ancien employé.
La Datatilsynet a estimé que l’employeur avait manqué à son obligation d’information prévue par l’article 13 du RGPD[7], avait méconnu le droit d’effacement de l’ancien employé fondé sur l’article 17 s’agissant des données qui ne sont plus nécessaires à la finalité pour lesquelles elles ont été collectées[8], voire son droit d’opposition prévu par l’article 21de ce règlement[9]. En l’absence de publication de la décision elle-même, seul le communiqué de presse l’étant, il convient d’être prudent quant à l’interprétation de la décision de l’autorité norvégienne. On peut en déduire que la gestion des messageries dans l’entreprise doit faire l’objet d’une politique interne claire et bien comprise par les employés.
Le RGPD et l’accès de l’employeur à la messagerie des employés
Les messages adressés ou reçus sur une messagerie sont des données à caractère personnel au sens du RGPD et, pour la France, de la loi Informatique et Libertés[10]. Ainsi que le rappelle le Tribunal de grande instance de Paris dans un jugement du 17 décembre 2015, « une adresse mail professionnelle… correspond à une personne physique, individualisée, titulaire de cette messagerie »[11].
Les courriels liés à l’activité professionnelle sont à distinguer de ceux ayant un caractère privé, notamment familial, qu’ils soient stockés sur la messagerie personnelle (accessible depuis le bureau de l’employé) ou professionnelle. L'employeur est en droit d’accéder à la messagerie professionnelle de son employé hors sa présence y inclus la messagerie instantanée[12]. Il ne peut en revanche ouvrir les courriels estampillés « personnels » par l’employé[13].
Les messages personnels mentionnés comme tels[14] sont en effet couverts par le secret des correspondances[15]. En revanche, les courriels non identifiés comme personnels sur la messagerie professionnelle « sont présumés avoir un caractère professionnel en sorte que l’employeur est en droit de les ouvrir hors la présence de l’intéressé »[16].
L’employeur peut ouvrir les messages identifiés comme personnels sur sa messagerie professionnelle uniquement en présence de l’employé ou si celui-ci a été dûment appelé[17], sauf « risque ou événement particulier » à parer[18]. Ainsi, dans un arrêt du 17 juin 2009, la Cour de cassation a eu à connaître du cas de l’entreprise Sanofi qui, afin de déterminer l’identité de l’auteur de lettres anonymes comportant des renseignements confidentiels, avait demandé à l’administrateur du réseau informatique de contrôler les messageries de dix-sept employés. Les délégués du personnel ont demandé à la juridiction prud’homale d’ordonner une enquête sur les conditions de consultation de ces messageries. Tout en reconnaissant le droit de l’employeur de confier une enquête à l’administrateur réseau, la Cour de cassation a fait droit à la demande des requérants en estimant qu’il était possible « qu’au travers d’une telle enquête de grande amplitude et, en l’absence de référence aux courriels personnels, que l’employeur ait eu accès à des messages personnels »[19].
En cas d’absence prolongée de l’employé par exemple en congé maladie, l’accès de l’employeur à la messagerie professionnelle ne le dispense pas de vérifier si le contenu de la boîte relève pour partie ou non de la vie privée du salarié. En revanche, les messages professionnels ou présumés tels du fait qui n’ont pas été identifiés comme personnels sont accessibles à l’employeur et constituent des preuves licites en cas de contentieux[20].
La gestion des messageries d’un employé après le départ de ce dernier
Avant le départ de l’employé, la Commission Nationale de l’Informatique et des Libertés (« CNIL ») préconise d’avertir l’employé de la date de clôture de sa messagerie afin de lui permettre de la purger de ses messages de caractère personnel[21].
Concernant un salarié qui voulait récupérer ses messages après son départ, la Cour d’appel de Lyon a jugé valable, dans un arrêt du 10 novembre 2020, le fait pour l’employeur de faire appel à un huissier en lui préconisant des mots clés (adresses privées, nom de l’école des enfants etc.) « aux fins de procéder au tri parmi les messages, données et fichiers de la messagerie professionnelle de Monsieur X de ceux à caractère personnel, et à remettre à ce dernier sur un support numérique exploitable les données ainsi identifiées comme étant sa propriété » [21].
A la suite du départ du salarié, il convient de fermer sa boîte de messagerie afin qu’il ne reçoive plus de courriels. La CNIL indique sur son site Internet que « les modalités de fermeture du compte utilisateur du salarié doivent être organisées dans la charte informatique. L’adresse électronique nominative du salarié doit ensuite être supprimée par l’employeur »[22].
En conclusion, notre expérience de terrain nous permet de tirer les enseignements suivants :
(i) Il convient de fournir une information complète au salarié sur les possibilités d’accès par l’employeur à sa messagerie dans la charte informatique de l’entreprise.
(ii) Il est fortement recommandé de prévoir une session annuelle obligatoire de formation sur la charte informatique, à l’aide d’exemples concrets au sein de l’entreprise ou tirés de la jurisprudence.
(iii) Il importe de concevoir cette formation comme l’occasion d’une remontée d’informations des employés permettant la mise à jour régulière de la charte informatique.
(La charte informatique doit également mentionner les obligations des salariés dans l’utilisation des outils informatiques de l’entreprise)
[1] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
[2] Règlement du 20 juillet 2018 du ministère norvégien du Travail et des Affaires sociales relatif à l’accès par l’employeur des boîtes de messagerie et autres documents stockés électroniquement.
[3] Article 2 du règlement.
[4] Article 3 du règlement.
[5] Article 4 du règlement.
[6] Voir le communiqué de presse de la Datatilsynet : https://www.datatilsynet.no/regelverk-og-verktoy/lover-og-regler/avgjorelser-fra-datatilsynet/2021/virksomhet-far-gebyr-for-innsyn-i-tidligere-ansatts-e-postkasse-og-manglende-avslutning-av-e-postkassen/
[7] L’article 13 du RGPD impose au responsable de traitement de fournir aux personnes concernées une information complète leur permettant de connaître la raison de la collecte des données les concernant, de comprendre le traitement qui sera fait et de faciliter l’exercice de leurs droits. Notamment l’article 13 prévoit que le responsable de traitement doit indiquer « les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement » ; « la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée » ; « l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données ».
[8] Selon l’article 17 du RGPD, « la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais » notamment lorsque « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ».
[9] L’article 21 du RGPD prévoit : « La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) [mission d’intérêt public] ou f) [intérêts légitimes du responsable de traitement], y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice ».
[10] Loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
[11] Tribunal de grande instance de Paris, 17 décembre 2015, n° 13/11815.
[12] Cour de cassation, Chambre sociale, 18 octobre 2006, n° 04-48.025 ; Cour de cassation, Chambre sociale, 9 septembre 2020, n° 18-20.489.
[13] Cour de cassation, Chambre sociale, 18 octobre 2006, n° 04-48.025 ; Cour de cassation, Chambre mixte, 18 mai 2007, n° 05-40.803 ; Cour de cassation, Chambre sociale, 26 janvier 2016, n° 14-15.360.
[14] Cour d'appel de Lyon, 8ème chambre, 10 novembre 2020, n° 20/00935.
[15] CNIL, Le contrôle de l'utilisation d’internet et de la messagerie électronique, 1er décembre 2015. S’agissant de la violation du secret des correspondances, l’article L. 226-15 du code pénal prévoit : « Le fait, commis de mauvaise foi, d'ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers, ou d'en prendre frauduleusement connaissance, est puni d'un an d'emprisonnement et de 45 000 euros d'amende ».
[16] Cour de cassation, Chambre sociale, 26 juin 2012, n° 11-15.310.
[17] Cour de Cassation, Chambre sociale, 17 mai 2005, 03-40.017.
[18] Cour de cassation, Chambre sociale, 17 juin 2009, n° 08-40.274.
[19] Cour de cassation, Chambre sociale, 17 juin 2009, n° 08-40.274.
[20] Cour de cassation, Chambre sociale, 3 avril 2019, n° 17-20.953 à 957.
[21] CNIL, Messagerie professionnelle : quelles précautions avant de fermer le compte d'un employé ?
[22] Cour d’appel de Lyon, 10 novembre 2020, n°20/00935.
Noëlle Lenoir Avocats
28 boulevard Raspail
75007 PARIS
+33 1 45 44 67 16
contact@noellelenoir-avocats.com
Noêlle Lenoir Avocats ©2020 All rights reserved