Dans un arrêt en date du 10 novembre 2021 (publié au bulletin), la Chambre sociale de la Cour de cassation procède à un rappel utile des règles applicables en matière d’utilisation d’éléments de preuve obtenus au moyen d’un dispositif de vidéosurveillance sur le lieu de travail par l’employeur.

En effet, l’installation d’un tel dispositif et l’exploitation des images sont strictement encadrées tant au regard du droit du travail que du droit de la protection des données personnelles.

Pour autant, les éléments de preuve collectés en dehors de ce cadre ne sont pas systématiquement irrecevables, de sorte que le contrôle de la licéité du dispositif de vidéosurveillance doit être complété par une évaluation de chaque situation au regard du droit à la preuve.

Toutefois, on ne peut que conseiller aux entreprises de se ménager des éléments de preuve licites afin d’échapper à un examen périlleux du caractère indispensable et proportionné de l’atteinte à la vie personnelle par rapport à l’objectif poursuivi.

En l’espèce, un système de vidéosurveillance avait été mis en place au sein d’une pharmacie située à Mayotte. Constatant, grâce aux enregistrements de la vidéosurveillance, qu’une salariée avait notamment facturé des produits à un prix inférieur au prix de vente, l’employeur décide de la licencier pour faute grave.

La salariée conteste son licenciement en justice affirmant que les images provenant des caméras de surveillance ne constituaient pas une preuve licite dans la mesure où l’employeur n’avait pas respecté les dispositions relatives à la protection des données personnelles et avait par ailleurs méconnu les exigences d’information préalable individuelle des salariés et d’information/consultation des représentants du personnel.

L’employeur considérait pour sa part que ces dispositions n’avaient pas vocation à s’appliquer dès lors que le dispositif installé n’avait pas pour objet de contrôler l’activité des salariés et avait pour seul but de protéger les biens et les personnes de l’officine et que les salariés avaient été informés de l’existence des caméras via une note de service.

La cour d’appel donne raison à l’employeur, estimant que la loi applicable à Mayotte autorise l’utilisation de système de vidéosurveillance dans des lieux ou des établissements ouverts au public particulièrement exposés à des risques d’agression ou de vol afin d’y assurer la sécurité des biens et des personnes, ce qui est bien le cas d’une pharmacie dans le contexte d’insécurité régnant sur cette île.

Elle ajoute que les salariés avaient signé une note de service les informant de la mise en place de ce système, et considère en conséquence que l’utilisation de la vidéosurveillance constituait un mode de preuve licite, validant ainsi le licenciement.

La Chambre sociale de la Cour de cassation ne partage pas cette appréciation : elle relève que le système de vidéosurveillance permettait de contrôler et de surveiller l’activité des salariés et avait été utilisé par l’employeur afin de recueillir et d’exploiter des informations concernant personnellement la salariée.

Elle en déduit que l’employeur aurait dû préalablement informer les salariés du traitement de données mis en œuvre et de ses principales caractéristiques et consulter le comité social et économique sur l’utilisation de ce dispositif à cette fin.

À défaut, le moyen de preuve était illicite et devait être examiné au regard du droit à la preuve impliquant l’évaluation du caractère indispensable et proportionné de l’atteinte par rapport à l’objectif poursuivi pour pouvoir être utilement invoqué dans le cadre du contentieux prudhommal.

La licéité des éléments de preuve au regard du droit des données personnelles

La captation d’image par un dispositif de vidéosurveillance est un traitement de données personnelles au sens de l’article 4 du Règlement UE 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD) imposant des obligations à toute personne mettant en œuvre un tel traitement et ouvrant des droits aux personnes dont l’image est susceptible de faire l’objet d’une captation et en premier lieu aux salariés si le dispositif est mis en œuvre par leur employeur.

L’une de ces obligations consiste à informer préalablement du traitement et de ses modalités les personnes concernées qu’elles soient salariées ou de simples visiteurs (art. 13, RGPD complétée par les dispositions de la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés).

Concernant les salariés, il est recommandé de procéder à une communication à l’ensemble du personnel comportant l’ensemble des mentions d’informations imposées par ces textes.

L’information des salariés au moyen d’une communication pourra être utilement complétée par l’installation de panneaux permettant d’informer également les éventuels visiteurs de la présence de caméras et de renvoyer vers un document plus complet (par exemple, une notice d’information).

En tout état de cause, l’information mise à disposition des personnes susceptibles de faire l’objet d’une captation d’image comprend nécessairement : les finalités du traitement, sa base légale, la durée de conservation des images, l’identité du responsable du traitement et/ou du DPO, les éventuels destinataires, l’existence des droits des personnes concernées, le droit d’introduire une réclamation auprès de la CNIL, ainsi que l’éventuelle existence de décisions automatisées ou encore de profilage.

Ces obligations et ces droits sont complétés par différentes décisions et directives de la CNIL devant être respectées par tout responsable de traitement afin de s’assurer de la licéité du traitement opéré :

• • Les caméras ne doivent pas filmer les employés à leur poste de travail de sorte à permettre une surveillance permanente et constante, les zones de pause ou de repos, les sanitaires, les locaux syndicaux ou leurs accès ;

• • L’accès aux données résultant de la captation d’image par le dispositif doit être sécurisé et réservé aux seules personnes habilitées par l’employeur dans le cadre de leurs fonctions (par exemple, le responsable de la sécurité) ;

• • La durée de conservation des images doit être limitée dans le temps et être déterminée par rapport à la finalité du traitement. La CNIL indique que cette durée doit être de quelques jours sauf pour les images donnant lieu à exploitation, par exemple dans le cadre d’un contentieux. Dans ce cas, il convient d’extraire les images et de les conserver pour le temps de la procédure.

En outre, l’installation d’un tel dispositif, dès lors qu’il cible un lieu ouvert au public, doit faire l’objet d’une déclaration et d’une autorisation par le Préfet en application des dispositions des articles L. 251-1 et suivants du Code de la sécurité intérieure, en plus d’être soumis à un régime spécifique.

Enfin, si le dispositif conduit à une surveillance systématique à grande échelle d’une zone accessible au public, une analyse d’impact devra être réalisée en associant le délégué à la protection des données, le cas échéant.

Au-delà de la recevabilité des éléments de preuve dans un contexte contentieux, il convient de relever que tout manquement à la réglementation en matière de données personnelles est susceptible de donner lieu à contrôle de la CNIL et à des sanctions au titre du RGPD sans que le manquement fasse nécessairement l’objet d’une mise en demeure préalable.

En l’espèce, l’employeur avait bien informé les salariés mais cette communication était intervenue après la mise en œuvre du dispositif et était incomplète, seule la finalité de l’installation et l’emplacement des caméras avaient été portés à la connaissance des salariés. De ce fait, l’installation du dispositif et l’exploitation des images obtenues n’était pas conforme à la réglementation applicable en matière de données personnelles.

La licéité des éléments de preuve au regard du droit du travail.

Aucun texte du Code du travail ne vient spécifiquement réglementer l’usage de la vidéosurveillance.

Dans la mesure où le recours à un tel système est de nature à porter atteinte aux libertés individuelles des salariés, son installation doit être justifiée par l’intérêt de l’entreprise et proportionnée au but recherché (article L.1121-1 du Code du travail).

Cela recouvre en pratique des préoccupations liées à la sécurité des personnes et/ou des biens. La vidéosurveillance ne peut avoir pour finalité de contrôler constamment l’activité des salariés. La mise en place d’une caméra dans un but de surveillance excessive des salariés est en effet attentatoire à leur vie privée, aux droits des personnes et aux libertés individuelles (Cass. soc., 23 juin 2021, n° 19-13.856).

L’employeur doit par ailleurs respecter une exigence de transparence à l’égard des salariés et des représentants du personnel.

Selon l’article L. 1222-4 du Code du travail, aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. Les salariés doivent ainsi être informés de l’existence de la vidéosurveillance, y compris lorsque celle-ci est mise en place par un tiers dans les locaux de l’entreprise. Cette information peut être faite par tout moyen. Néanmoins, un écrit est fortement recommandé.

Dans les entreprises de plus de 50 salariés, le comité social et économique doit également être informé et consulté préalablement à la décision de mise en œuvre sur les moyens ou les techniques permettant un contrôle de l’activité des salariés (article L. 2312-38 du Code du travail).

L’absence de consultation du comité social et économique et/ou d’information des salariés préalablement à la mise en place d’un dispositif de vidéosurveillance le rend illicite lorsqu’il vise à surveiller l’activité des salariés.

L’employeur ne peut ainsi utiliser les images issues de la vidéosurveillance pour sanctionner un salarié. De plus, l’employeur qui ne se soumet pas à cette obligation de consultation s’expose à une condamnation pour délit d’entrave.

En revanche, lorsque le dispositif de vidéosurveillance n’a pas pour objet de contrôler l’activité des salariés, une jurisprudence établie reconnait que les images qui en sont issues constituent en principe un moyen de preuve licite sans que puisse être invoqué un manquement de l’employeur à son obligation d’information ni un défaut d’information et de consultation du comité social et économique (Cass. soc., 19 avril 2005, n° 02-46.295 ; Cass. soc., 26 juin 2013, n° 12-16.564 ; Cass. soc., 18 novembre 2020, n° 19-15.856 ; Cass. soc., 29 septembre 2021, n° 20-10.843).

La recevabilité des éléments de preuve au regard du droit de la preuve

Les éléments de preuve collectés en méconnaissance des obligations au titre du droit des données personnelles et du droit du travail doivent également être appréciés à la lumière des principes du droit au procès équitable et notamment au droit à la preuve.

En conséquence, il incombe au juge de procéder à une balance des intérêts et de concilier le droit au respect de la vie privée du salarié et le droit à la preuve de l’employeur qui serait de nature à justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié, à la condition que cette preuve soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi.

Ce raisonnement en deux étapes n’est pas nouveau et est issue d’une jurisprudence désormais établie (Cass. soc., 25 novembre 2020, n° 17-19.523, Manfrini).

Dans l’arrêt du 10 novembre 2021, il est donc reproché à la cour d’appel, premièrement d’avoir jugé le moyen de preuve licite alors qu’il ne l’était pas, et deuxièmement, de ne pas être aller au bout du raisonnement en faisant l’économie de la seconde étape consistant à vérifier que l’atteinte à la vie personnelle était justifiée au regard du droit à la preuve.

L’arrêt est donc cassé et annulé et l’affaire renvoyée devant la même cour d’appel nouvellement composée afin d’apprécier l’application ou non du droit à la preuve au bénéfice de l’employeur.

Compte tenu des faits rapportés dans l’arrêt et dans les moyens qui lui sont annexés, il est peu probable que les juges d’appel concluent à la recevabilité de ces éléments de preuve soumis par l’employeur, dans la mesure où il apparaît que celui-ci aurait pu se fonder sur d’autres éléments de nature à démontrer les fautes reprochées à la salariée (notamment le recoupement des inventaires et des récapitulatifs de caisse). Ainsi, la production des images ne paraissait pas indispensable à la démonstration.

Par ailleurs, l’atteinte pourrait paraître disproportionnée par rapport au but poursuivi compte tenu de l’installation illicite du dispositif, de la situation du salarié qui pouvait se prévaloir de 13 ans d’ancienneté sans antécédent disciplinaire et du faible montant des pertes entrainées par les erreurs (environ 80 € en l’espèce).

En conclusion, on rappellera l’importance pour l’employeur de respecter les règles applicables en matière de droit de la protection des données personnelles et de droit du travail en amont de toute procédure afin de pouvoir se ménager une preuve licite des faits, sans avoir à se soumettre à l’examen des caractères indispensable et proportionné des éléments de preuve qu’il entend produire imposés par la jurisprudence – lorsque ceux-ci sont illicites – et qui bien souvent devrait lui être défavorable, même s’il peut être utilement invoqué dans certains cas isolés.

On insistera enfin sur l’importance d’informer le salarié de la finalité du traitement mis en place. Ainsi l’arrêt commenté décide que, à partir du moment où « le système de vidéosurveillance destiné à la protection et la sécurité des biens et des personnes dans les locaux de l’entreprise permettait également de contrôler et de surveiller l’activité des salariés et avait été utilisé par l’employeur afin de recueillir et d’exploiter des informations concernant personnellement la salariée, (…) l’employeur aurait dû informer les salariés et consulter le comité d’entreprise sur l’utilisation de ce dispositif à cette fin ».

À défaut le moyen de preuve est illicite.