Le régime de la preuve à l’épreuve du RGPD

La question de l’utilisation de données à caractère personnel comme moyen de preuve se pose.

Les adresses IP qui permettent d’identifier indirectement une personne physique sont des données à caractère personnel au sens du Règlement européen relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD), de sorte que leur collecte constitue un traitement qui n’est licite que si la personne concernée y a consenti.

Dans cette affaire, le salarié conteste son licenciement pour faute grave fondé sur un procès-verbal de constat d’huissier établi à parti d’un fichier de journalisation. Ce fichier avait permis d’identifier une adresse IP correspondant au poste utilisateur du salarié et de constater la suppression massive de plus de 4 000 fichiers intervenue la veille de son entretien avec l’employeur en vue d’une rupture conventionnelle. Il apparaissait également des transferts de mails et l’envoi de nombreux messages de nature professionnelle sur l’adresse personnelle du salarié.

En l’absence du consentement de l’intéressé, l’utilisation de ces données à des fins de preuve est donc illicite.

Cass. soc. 9 avril 2025, n° 23-13159

https://www.courdecassation.fr/decision/67f615fa3b0cdae54cf3d852?search_api_fulltext=23-13159&op=Rechercher&date_du=&date_au=&judilibre_juridiction=all&previousdecisionpage=&previousdecisionindex=&nextdecisionpage=0&nextdecisionindex=1

Actualités - Technique Site CSOEC 07/05/2025