L’arrêt de la Chambre criminelle de la Cour de cassation du 30 avril 2024 (pourvoi n° 23-80.962) revêt une importance significative en matière de protection des données personnelles des salariés. Il clarifie notamment les conditions de loyauté dans la collecte de ces données, même lorsqu’elles sont librement accessibles sur internet.

Contexte et faits de l’affaire

À la suite de la plainte d’un syndicat, une enquête a révélé que la société Ikea France avait mandaté un enquêteur privé pour effectuer des recherches approfondies sur ses salariés, des candidats à l’embauche, ainsi que sur des clients et prestataires. Ces investigations portaient sur des informations sensibles telles que les antécédents judiciaires, les renseignements bancaires et téléphoniques, la situation matrimoniale, l’état de santé, les déplacements à l’étranger, entre autres. Ces données étaient recueillies à partir de sources publiques, notamment des sites web, des annuaires, des forums de discussion, des réseaux sociaux et des sites de presse régionale.

Procédure judiciaire

Le tribunal correctionnel a initialement condamné l’enquêteur privé à deux ans d’emprisonnement avec sursis et à une amende de 20 000 euros pour collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite, en violation de l’article 226-18 du code pénal. L’enquêteur a interjeté appel de cette décision. La cour d’appel de Versailles a partiellement confirmé le jugement en réduisant la peine à un an d’emprisonnement avec sursis, tout en maintenant l’amende. L’affaire a ensuite été portée devant la Cour de cassation.

Arguments du pourvoi

L’enquêteur privé a notamment soutenu que la collecte des données ne pouvait être qualifiée de déloyale, étant donné que les informations étaient librement accessibles au public sur internet.

Décision de la Cour de cassation

La Cour de cassation a rejeté l’argument selon lequel le libre accès des données sur internet ôterait le caractère déloyal de leur collecte. Elle a affirmé que « le fait que les données à caractère personnel collectées par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte ». La Cour a souligné que la collecte, réalisée à l’insu des personnes concernées et à des fins de profilage et d’investigation dans leur vie privée, ne pouvait s’effectuer sans qu’elles en soient informées.

Portée et implications de l’arrêt

Cet arrêt réaffirme le principe selon lequel la collecte de données à caractère personnel doit être effectuée de manière loyale, même si ces données sont librement accessibles au public. Il rappelle l’obligation d’informer les personnes concernées de la collecte de leurs données, conformément aux dispositions de la loi Informatique et Libertés et du Règlement général sur la protection des données (RGPD). Cette décision a des implications importantes pour les employeurs, les enquêteurs privés et autres acteurs susceptibles de collecter des données personnelles, en soulignant la nécessité de respecter les principes de transparence et de loyauté dans de telles démarches.

En conclusion, l’arrêt du 30 avril 2024 constitue une jurisprudence clé en matière de protection des données personnelles des employés, en précisant que l’accessibilité publique des informations ne dispense pas de l’obligation de les collecter de manière loyale et transparente.

Source : https://www.courdecassation.fr/decision/66309edc4bbba40008217fd1

Me Philippe Ehrenström, avocat, LLM