Tracer un salarié grâce à l’adresse IP de son ordinateur : attention à la licéité de la preuve

1. L’affaire : un employeur prouve la faute d’un salarié grâce au fichier de journalisation
Un employeur a licencié un salarié pour faute grave, lui reprochant d’avoir supprimé plus de 4000 fichiers et envoyé des documents professionnels sur sa boîte mail personnelle.
Pour prouver ces faits, l’employeur a fait appel à un commissaire de justice, qui a utilisé l’adresse IP de l’ordinateur du salarié via un fichier de journalisation du serveur de l’entreprise.
Le salarié a contesté la licéité de cette preuve, arguant que son utilisation n’avait pas été déclarée à la Commission nationale de l’informatique et des libertés.
La cour d’appel a jugé la preuve licite, estimant qu’elle ne permettait pas d’identifier une personne physique mais uniquement un ordinateur.
Le salarié a porté l’affaire devant la Cour de cassation.

2. La réponse de la Cour de cassation : l’employeur aurait dû avoir le consentement du salarié
La Cour de cassation rappelle que les adresses IP sont des données à caractère personnel, car elles permettent d’identifier indirectement une personne physique.
L’exploitation de ces données par l’intermédiaire du fichier de journalisation constitue un traitement de données personnelles, qui doit être licite.
Elle souligne que l’employeur aurait dû obtenir le consentement du salarié pour utiliser l’adresse IP à des fins de contrôle de son activité.
La Cour de cassation estime donc que la preuve obtenue par l’employeur était illicite.

3. Pourquoi faut-il relativiser la portée de cette décision ?
L’exigence de consentement semble surprenante surtout au regard de l’évolution relativement récente de la position de la Cour de cassation sur le terrain probatoire.

En principe, les salariés ne peuvent pas donner leur libre consentement en raison de leur lien de subordination avec l’employeur, comme le prévoit le règlement général sur la protection des données.
La Cour de cassation n’a pas évoqué le contrôle de proportionnalité auquel une preuve illicite doit être soumise pour être jugée recevable.
Il ne faut pas interpréter de manière absolue l’exigence de consentement.

La Cour a surtout rappelé qu’un traitement de données à caractère personnel doit être fondé sur une base légale, et que tout dispositif de contrôle des salariés doit respecter les principes de transparence et de proportionnalité.

4. Ce qu’il faut retenir pour les employeurs
Une preuve issue d’un dispositif de surveillance des salariés est licite si ce dispositif respecte les règles requises (information des salariés, transparence, finalité légitime).
Si ce n’est pas le cas, la preuve sera illicite, mais l’employeur pourra tenter de la faire accepter en prouvant qu’elle est proportionnée aux enjeux.
Les employeurs doivent s’assurer que leurs dispositifs de contrôle sont conformes au règlement général sur la protection des données et au code du travail, notamment en précisant les modalités de contrôle dans une charte informatique.

Référence : Cour de cassation, chambre sociale, 9 avril 2025, numéro 23-13159 FD