Un salarié est licencié pour faute grave. Conteste la rupture de son contrat de travail devant le conseil de prud’hommes, il soutient que l’employeur a violé le RGPD. Il estime que “l’utilisation des adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l’article 4 du RGPD, de sorte que leur collecte par l’exploitation du fichier de journalisation constitue un traitement de données à caractère personnel qui n’est licite que si la personne concernée y a consenti”.
Dans un premier temps, les juges du fond n’y voient rien à redire et déboutent le salarié. “Après avoir constaté que l’employeur produisait un procès-verbal de constat d’huissier faisant état d’informations provenant des fichiers de journalisation et de leur recoupement avec les messages envoyés de l’adresse IP attribuée au salarié, retient que l’adresse IP n° 172.25.11.3 n’est pas attribuée par un fournisseur d’accès à internet. Il ajoute que c’est une adresse IP de classe B qui correspond à une adresse de réseau local et qui n’a pas lieu d’être déclarée à la Cnil parce qu’elle n’identifie que des périphériques dans le réseau local et non une personne physique ; qu’elle ne contient aucune donnée personnelle et qu’elle identifie seulement un ordinateur”.
Mais ce n’est pas l’avis de la Cour de cassation. “L’exploitation des fichiers de journalisation, qui avaient permis d’identifier indirectement le salarié, constituait un traitement de données à caractère personnel au sens de l’article 4 du RGPD”, juge-t-elle. Or, “l’employeur avait traité, sans le consentement de l’intéressé, ces données à une autre fin, à savoir le contrôle individuel de son activité, que celle pour laquelle elles avaient été collectées, ce dont il résultait que la preuve était illicite”.
Cet article provient du site Editions Législatives - ActuEL RH