La simple mise à jour d’un logiciel impliquant le traitement de données personnelles ne nécessite pas de déclaration spécifique à la Cnil

/ ,
Publié le 18 juin 2013
Par .

à propos de la décision de la Cour de cassation, Chambre sociale, 23 avril 2013, M. X. / ADSEA 06 La décision Les faits et la procédure : Un animateur socio-éducatif a été licencié pour faute grave, pour avoir refusé de saisir, dans un logiciel dédié, des données à caractère personnel concernant des mineurs bénéficiant d’actions…

à propos de la décision de la Cour de cassation, Chambre sociale, 23 avril 2013, M. X. / ADSEA 06

La décision

  • Les faits et la procédure :

Un animateur socio-éducatif a été licencié pour faute grave, pour avoir refusé de saisir, dans un logiciel dédié, des données à caractère personnel concernant des mineurs bénéficiant d’actions de prévention. Le salarié a en effet refusé de saisir ces données, soutenant que le traitement était non conforme à la réglementation puisqu’il n’avait pas fait l’objet d’une modification déclarative, à la suite de la migration de la version 3 à la version 4 dudit logiciel dédié, pour prendre en compte leur traitement.

La Cour d’appel d’Aix-en-Provence a estimé qu’à défaut de déclaration à la Cnil de la modification du logiciel de traitement de données à caractère personnel mis en œuvre au sein de l’entreprise, le refus du salarié de saisir des informations nominatives dans ledit logiciel ne constitue pas un motif réel et sérieux de licenciement.

Lors de la migration dudit logiciel dédié, le prénom, les trois premières lettres du patronyme de la personne et son adresse devaient être saisis par l’animateur, l’employeur estimant que ces données étaient ainsi anonymisées.

Pour statuer comme elle l’a fait, la Cour d’appel a retenu que l’animateur avait interrogé la Cnil avant d’exécuter cette directive, laquelle lui avait indiqué que les éléments que son employeur lui demandait de saisir permettaient une identification de la personne et ne pouvaient donc être considérées comme des données anonymes. S’agissant de données collectées auprès des mineurs, la Cnil ajoutait qu’il fallait conséquemment obtenir le consentement préalable des parents.

Ce faisant, la Cour d’appel d’Aix-en-Provence s’était conformée à une jurisprudence constante : la violation d’un ordre illicite ne peut constituer une faute imputable au salarié, ni une cause réelle et sérieuse de licenciement (cf notamment Soc, 6 avril 2004, n°01-45.227). Il restait à savoir, si comme le contestait l’entreprise dans son pourvoi, elle devait procéder à une telle déclaration.

  • La décision :

La Cour de cassation a cassé l’arrêt de la Cour d’appel par arrêt du 23 avril 2013, en paraissant distinguer, s’agissant des modifications apportées aux informations ayant été préalablement déclarées à la Cnil, entre celles (i) qui constituent des modifications substantielles devant être portées à la connaissance de la Cnil et celles (ii) qui constituent une simple mise à jour d’un logiciel de traitement de données à caractère personnel n’entraînant pas l’obligation, pour le responsable du traitement, de procéder à une nouvelle déclaration.

La Cour de cassation a ainsi estimé que la Cour d’appel, en se déterminant comme elle l’avait fait, sans rechercher si le passage du logiciel de la version 3 à la version 4 n’avait pas consisté en une simple mise à jour ne nécessitant pas une nouvelle déclaration auprès de la Cnil, a privé sa décision de base légale.

Cette décision soulève une double interrogation au regard de la réglementation Informatique et libertés.

Tout d’abord, elle ajoute une condition qui ne figure pas dans la loi Informatique et libertés, sauf à considérer que, pour la Cour de cassation, toute modification est substantielle, dès lors qu’elle porte sur des informations préalablement déclarées à la Cnil telles qu’elles résultent du I de l’article 30 de la loi Informatique et libertés (identité du responsable du traitement, finalités du traitement, catégories de données enregistrées…).

En effet, toute modification ainsi apportée aux informations déclarées à la Cnil figurant au I de l’article 30 de la loi Informatique et libertés (et non pas uniquement les modifications substantielles) doit en principe être soumise à la Cnil. On peut en revanche admettre qu’une simple mise à jour sans modification de telles informations ne donne pas lieu à déclaration.

En outre, il pourrait être considéré, à s’en tenir aux motifs critiqués, qu’il s’agit ici d’une modification substantielle, dès lors qu’elle paraît porter des appréciations sur les difficultés sociales d’une personne identifiable, qui-plus-est mineure.

Mais on croit comprendre qu’il est reproché à la Cour d’appel de s’en être tenue à de telles constatations, sans rechercher si, contrairement aux allégations du salarié, le changement de logiciel ne consistait pas en réalité en une simple mise à jour.

Par Aude GÉRARD, avocat au cabinet Derriennic,responsable du département Données Personnelles/Dématérialisation