On a déjà parlé ici de l’arrêt de la Cour européenne des droits de l’homme Barbulescu c/ Roumanie no 61496/08 du 12 janvier 2016 qui examinait (notamment) la question de la surveillance d’internet par l’employeur sous l’angle de l’art. 8 CEDH.

Le 6 juin 2016, l’affaire a été depuis renvoyée devant la Grande Chambre à la demande de M. Barbulescu.

Dans un arrêt 268/2017du 5 septembre 2017, la Grande Chambre considère, contrairement à ce que retenait l’arrêt du 12 janvier 2016, que la surveillance d’internet par l’employeur de M. Barbulescu violait l’art. 8 CEDH (l’arrêt est consultable ici : http://hudoc.echr.coe.int/eng?i=001-177083).

On retiendra de cet arrêt notamment ce qui suit (§113 et ss.) :

113. La Cour rappelle que le choix des mesures propres à garantir l’observation de l’article 8 dans les rapports interindividuels relève en principe de la marge d’appréciation des États contractants. Il existe en effet différentes manières d’assurer le respect de la vie privée, et la nature de l’obligation de l’État dépend de l’aspect de la vie privée qui se trouve en cause (Söderman c. Suède [GC], no 5786/08, § 79, CEDH 2013, avec les références citées).
114. En l’espèce, il revient donc à la Cour de préciser la nature et l’étendue des obligations positives de l’État défendeur, auquel il incombait de protéger le droit du requérant au respect de sa vie privée et de sa correspondance dans le cadre de ses relations de travail.
115. La Cour rappelle qu’elle a conclu que, dans certaines circonstances, l’État ne s’acquitte de manière adéquate des obligations positives que lui impose l’article 8 de la Convention que s’il assure le respect de la vie privée dans les relations entre individus en établissant un cadre normatif qui prenne en considération les divers intérêts à protéger dans un contexte donné.
116. La Cour admet que des mesures protectrices peuvent être prévues tant par le droit du travail que par le droit civil et le droit pénal. En ce qui concerne le droit du travail, elle doit rechercher si, en l’espèce, l’État défendeur était tenu d’adopter un cadre normatif visant à protéger le droit du requérant au respect de sa vie privée et de sa correspondance dans le contexte de ses relations de travail avec un employeur privé.
117. À cet égard, elle relève que le droit du travail présente des caractéristiques spécifiques qui doivent être prises en compte. La relation entre un employeur et son employé est une relation contractuelle, assortie pour chacun de droits et d’obligations particulières, et caractérisée par un lien de subordination légale. Elle est régie par un régime juridique propre, qui se distingue nettement du régime général des relations entre individus (Saumier c. France, no 74734/14, § 60, 12 janvier 2017).
118. D’un point de vue normatif, le droit du travail ménage une marge de négociation pour les parties au contrat de travail. Ainsi, il revient en général aux parties elles-mêmes de déterminer une partie importante du contenu de leurs relations. Il ressort d’ailleurs des éléments de droit comparé dont dispose la Cour qu’il n’existe pas de consensus européen en la matière. En effet, peu d’États membres ont encadré de manière explicite la question de l’exercice par les employés de leur droit au respect de leur vie privée et de leur correspondance sur leur lieu de travail.
119. À la lumière de ces considérations, la Cour estime que les États contractants doivent se voir accorder une marge d’appréciation étendue pour évaluer la nécessité d’adopter un cadre juridique régissant les conditions dans lesquelles un employeur peut adopter une politique encadrant les communications non professionnelles, électroniques ou autres, de ses employés sur leur lieu de travail.
120. Néanmoins, la latitude dont jouissent les États dans ce domaine ne saurait être illimitée. Les juridictions internes doivent s’assurer que la mise en place par un employeur de mesures de surveillance de la correspondance et des autres communications, quelles qu’en soient l’étendue et la durée, s’accompagne de garanties adéquates et suffisantes contre les abus.
121. La Cour est consciente que la situation évolue rapidement dans ce domaine. Toutefois, elle estime que la proportionnalité et les garanties procédurales contre l’arbitraire sont des éléments essentiels. Dans ce contexte, les autorités nationales devraient tenir compte des facteurs suivants.
122. i) L’employé a-t-il été informé de la possibilité que l’employeur prenne des mesures de surveillance de sa correspondance et de ses autres communications ainsi que de la mise en place de telles mesures ? Si, en pratique, cette information peut être concrètement communiquée au personnel de diverses manières, en fonction des spécificités factuelles de chaque affaire, la Cour estime que, afin que les mesures puissent être jugées conformes aux exigences de l’article 8 de la Convention, l’avertissement doit en principe être clair quant à la nature de la surveillance et préalable à la mise en place de celle-ci.
123. ii) Quels ont été l’étendue de la surveillance opérée par l’employeur et le degré d’intrusion dans la vie privée de l’employé ? À cet égard, une distinction doit être faite entre la surveillance du flux des communications et celle de leur contenu. Il faut également prendre en compte les questions de savoir si la surveillance des communications a porté sur leur intégralité ou seulement sur une partie d’entre elles et si elle a ou non été limitée dans le temps ainsi que le nombre de personnes ayant eu accès à ses résultats. Il en va de même des limites spatiales de la surveillance.

iii) L’employeur a-t-il avancé des motifs légitimes pour justifier la surveillance de ces communications et l’accès à leur contenu même? La surveillance du contenu des communications étant de par sa nature une méthode nettement plus invasive, elle requiert des justifications plus sérieuses.

1. iv) Aurait-il été possible de mettre en place un système de surveillance reposant sur des moyens et des mesures moins intrusifs que l’accès direct au contenu des communications de l’employé ? À cet égard, il convient d’apprécier en fonction des circonstances particulières de chaque espèce le point de savoir si le but poursuivi par l’employeur pouvait être atteint sans que celui-ci n’accède directement et en intégralité au contenu des communications de l’employé.
2. v) Quelles ont été les conséquences de la surveillance pour l’employé qui en a fait l’objet ? De quelle manière l’employeur a-t-il utilisé les résultats de la mesure de surveillance, notamment ces résultats ont-ils été utilisés pour atteindre le but déclaré de la mesure ?
3. vi) L’employé s’est-il vu offrir des garanties adéquates, notamment lorsque les mesures de surveillance de l’employeur avaient un caractère intrusif ? Ces garanties doivent notamment permettre d’empêcher que l’employeur n’ait accès au contenu même des communications en cause sans que l’employé n’ait été préalablement averti d’une telle éventualité.

Dans ce contexte, il est opportun de rappeler que pour pouvoir prospérer, les relations de travail doivent se fonder sur la confiance entre les personnes.

122. Enfin, les autorités internes devraient veiller à ce que les employés dont les communications ont été surveillées puissent bénéficier d’une voie de recours devant un organe juridictionnel ayant compétence pour statuer, du moins en substance, sur le respect des critères énoncés ci-dessus ainsi que sur la licéité des mesures contestées.

Dans le cas d’espèce,

La Cour reconnaît que l’employeur a un intérêt légitime à assurer le bon fonctionnement de l’entreprise, ce qu’il peut faire en mettant en place des mécanismes lui permettant de vérifier que ses employés accomplissent leurs tâches professionnelles de manière adéquate et avec la célérité requise.

Le requérant avait été informé du règlement intérieur de son employeur, qui prohibait l’usage des ressources de l’entreprise à des fins personnelles. Il avait pris connaissance du contenu de ce document et l’avait signé, le 20 décembre 2006. De plus, l’employeur avait fait circuler parmi tous les employés une note d’information, datée du 26 juin 2007, qui rappelait l’interdiction d’utiliser les ressources de l’entreprise à des fins personnelles et précisait qu’une employée avait été licenciée pour avoir enfreint cette interdiction. Le requérant a pris connaissance de cette note et l’a signée à une date qui n’est pas précisée mais qui se situe entre le 3 et le 13 juillet 2007. La Cour rappelle enfin que, le 13 juillet 2007, le requérant a été convoqué à deux reprises par son employeur pour donner des explications sur l’usage personnel qu’il avait fait d’internet. Dans un premier temps, lorsqu’on lui a montré les graphiques présentant son trafic internet et celui de ses collègues, il a affirmé n’avoir utilisé son compte Yahoo Messenger qu’à des fins professionnelles. Puis, lorsque, cinquante minutes plus tard, on lui a présenté une transcription de 45 pages où figuraient les communications qu’il avait eues avec son frère et sa fiancée, il a informé son employeur qu’il l’estimait responsable de la commission d’une infraction pénale, à savoir la violation du secret de la correspondance.

En ce qui concerne la question de savoir si le requérant avait reçu un avertissement préalable de la part de son employeur, la Cour rappelle qu’elle a déjà conclu qu’il n’apparaissait pas que l’intéressé eût été informé à l’avance de l’étendue et de la nature de la surveillance opérée par l’entreprise ni de la possibilité que celle‑ci ait accès au contenu même de ses communications.

Sur la possibilité de la surveillance, la Cour note que le tribunal départemental s’est borné à constater que « l’attention des employés avait été appelée sur le fait que, peu avant que le requérant ne fasse l’objet d’une sanction disciplinaire, une autre employée avait été licenciée » et que la cour d’appel a constaté que le requérant avait été averti qu’il ne devait pas utiliser les ressources de l’entreprise à des fins personnelles. Ainsi, les juridictions nationales ont omis de rechercher si le requérant avait été averti préalablement de la possibilité que l’employeur mette en place des mesures de surveillance ainsi que de l’étendue et de la nature de ces mesures. La Cour estime que pour pouvoir être considéré comme préalable, l’avertissement de l’employeur doit être donné avant que celui‑ci ne commence son activité de surveillance, a fortiori lorsque la surveillance implique également l’accès au contenu des communications des employés. Les normes internationales et européennes vont dans ce sens et exigent que l’information soit communiquée à la personne concernée avant que celle-ci ne fasse l’objet d’une surveillance.

Quant à l’étendue de la surveillance opérée et du degré d’intrusion dans la vie privée du requérant, la Cour relève que cette question n’a été examinée ni par le tribunal départemental ni par la cour d’appel, alors qu’il apparaît que l’employeur a enregistré en temps réel l’intégralité des communications passées par le requérant pendant la période de surveillance, qu’il y a eu accès et qu’il en a imprimé le contenu.

Il n’apparaît pas que les juridictions nationales aient suffisamment vérifié la présence de raisons légitimes justifiant la mise en place de la surveillance des communications du requérant. La Cour ne peut que constater que la cour d’appel n’a pas déterminé quel était concrètement dans la présente affaire le but pouvant justifier une surveillance aussi stricte. Il est vrai que cette question avait été évoquée par le tribunal départemental, qui avait mentionné la nécessité d’éviter une atteinte aux systèmes informatiques de l’entreprise, la mise en cause de la responsabilité de l’entreprise en cas d’activité illicite dans l’espace virtuel, ainsi que la révélation de ses secrets commerciaux. Cependant, de l’avis de la Cour, ces exemples ne peuvent être que des indications théoriques puisqu’il n’a été concrètement reproché au requérant d’avoir exposé l’entreprise à aucun de ces risques. Par ailleurs, la cour d’appel ne s’est nullement prononcée sur cette question.

Qui plus est, ni le tribunal départemental ni la cour d’appel n’ont examiné de manière suffisante la question de savoir si le but poursuivi par l’employeur aurait pu être atteint par des méthodes moins intrusives que l’accès au contenu même des communications du requérant.

De surcroît, ni l’un ni l’autre n’ont examiné la gravité des conséquences de la mesure de surveillance et de la procédure disciplinaire qui s’est ensuivie. À cet égard, la Cour note que le requérant avait fait l’objet de la mesure disciplinaire la plus sévère possible, à savoir un licenciement.

Enfin, la Cour relève que les juges nationaux n’ont pas vérifié si, lorsqu’il a convoqué le requérant pour qu’il donne des explications sur l’usage qu’il avait fait des ressources de l’entreprise, et notamment d’internet, l’employeur n’avait pas déjà eu accès au contenu des communications en cause. Elle observe que les autorités nationales n’ont nullement établi à quel moment de la procédure disciplinaire l’employeur avait eu accès à ce contenu. Elle considère qu’admettre que l’accès au contenu des communications puisse se faire à n’importe quel moment de la procédure disciplinaire va à l’encontre du principe de transparence.

Dans ces conditions, il apparaît que les juridictions nationales ont manqué, d’une part, à vérifier, en particulier, si le requérant avait été préalablement averti par son employeur de la possibilité que ses communications sur Yahoo Messenger soient surveillées et, d’autre part, à tenir compte du fait qu’il n’avait été informé ni de la nature ni de l’étendue de la surveillance dont il avait fait l’objet, ainsi que du degré d’intrusion dans sa vie privée et sa correspondance. De surcroît, elles ont failli à déterminer, premièrement, quelles raisons concrètes avaient justifié la mise en place des mesures de surveillance, deuxièmement, si l’employeur aurait pu faire usage de mesures moins intrusives pour la vie privée et la correspondance du requérant et, troisièmement, si l’accès au contenu des communications avait été possible à son insu.

Eu égard à l’ensemble des considérations qui précèdent et nonobstant la marge d’appréciation de l’État défendeur, la Cour estime que les autorités internes n’ont pas protégé de manière adéquate le droit du requérant au respect de sa vie privée et de sa correspondance et que, dès lors, elles n’ont pas ménagé un juste équilibre entre les intérêts en jeu. Partant, il y a eu violation de l’article 8 de la Convention.

Me Philippe Ehrenström, avocat, ll.m., Genève et Yverdon