Employee Dismissal Quashed Over Illicitly Obtained IP Address Evidence (GDPR)
France (FR)
Synthèse Legislator
Généré par l'IAThe Supreme Court quashed a lower court decision that upheld an employee's dismissal for serious misconduct based on evidence derived from logging files, where the lower court erroneously held that the collected IP addresses, which indirectly identified the employee, were not personal data requiring consent under the GDPR because they were internal network addresses. The Court of Cassation reasoned that the exploitation of logging files to indirectly identify the employee constituted processing of personal data, and since the employer used this data for individual activity monitoring—a purpose different from collection—without the employee's consent, the evidence was illicitly obtained, thereby invalidating the basis for the dismissal.
Regeste Legislator
Généré par l'IAarticle 1015 du code de procédure civile, article 624 du code de procédure civile, article 700 du code de procédure civile, article 450 du code de procédure civile, article 620, alinéa 2, du même code; Employee Dismissal Quashed Over Illicitly Obtained IP Address Evidence (GDPR): The Court of Cassation reasoned that the exploitation of logging files to indirectly identify the employee constituted processing of personal data, and since the employer used this data for individual activity monitoring—a purpose different from collection—without the employee's consent, the evidence was illicitly obtained, thereby invalidating the basis for the dismissal.
Mots-clés
Généré par l'IADispositions légales citées
Généré par l'IADécisions connexes
Généré par l'IAQuestions juridiques clés extraites par Legislator
Généré par l'IAThese articles were violated by the Court of Appeal in assessing the lawfulness of the evidence based on personal data processing.
Cited to justify the necessary cassation of the ancillary decision concerning damages following the cassation of the main decision regarding the dismissal.
Cited to provide notice to the parties before invoking an ex officio ground for cassation.
Applied to invoke an ex officio ground for cassation.
Applied to reject the request of the defendant and order payment of a sum to the plaintiff for legal expenses.
Cited in the final closing paragraph concerning the public announcement of the judgment.
Texte complet
LA COUR DE CASSATION, CHAMBRE SOCIALE, a rendu l'arrêt suivant :
SOC.
JL10
COUR DE CASSATION
______________________
Arrêt du 9 avril 2025
Cassation
Mme MARIETTE, conseiller doyen
faisant fonction de président
Arrêt n° 378 F-D
Pourvoi n° D 23-13.159
R É P U B L I Q U E F R A N Ç A I S E
_________________________
AU NOM DU PEUPLE FRANÇAIS
_________________________
ARRÊT DE LA COUR DE CASSATION, CHAMBRE SOCIALE, DU 9 AVRIL 2025
M. [Z] [E], domicilié [Adresse 1], a formé le pourvoi n° D 23-13.159 contre l'arrêt rendu le 10 janvier 2023 par la cour d'appel d'Agen (chambre sociale), dans le litige l'opposant à la société IGC, société par actions simplifiée unipersonnelle, dont le siège est [Adresse 2], défenderesse à la cassation.
Le demandeur invoque, à l'appui de son pourvoi, trois moyens de cassation.
Le dossier a été communiqué au procureur général.
Sur le rapport de M. Carillon, conseiller référendaire, les observations de la SARL Thouvenin, Coudray et Grévy, avocat de M. [E], de la SCP Rocheteau, Uzan-Sarano et Goulet, avocat de la société IGC, après débats en l'audience publique du 11 mars 2025 où étaient présents Mme Mariette, conseiller doyen faisant fonction de président, M. Carillon, conseiller référendaire rapporteur, M. Barincou, conseiller, et Mme Pontonnier, greffier de chambre,
la chambre sociale de la Cour de cassation, composée des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.
Faits et procédure
1. Selon l'arrêt attaqué (Agen, 10 janvier 2023), M. [E] a été engagé en qualité de chef d'agence le 8 juillet 2004 par la société IGC Cahors (la société).
2. Le salarié, licencié le 16 décembre 2019 pour faute grave, a saisi la juridiction prud'homale afin de contester son licenciement.
Examen des moyens
Sur le moyen relevé d'office
3. Après avis donné aux parties conformément à l'article 1015 du code de procédure civile, il est fait application de l'article 620, alinéa 2, du même code.
Vu les articles 4, 5 et 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) :
4. Selon l'article 5 du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) et collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités.
5. Selon l'article 6 § 1, le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie, notamment :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques.
6. Il en résulte que les adresses IP, qui permettent d'identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l'article 4 du RGPD, de sorte que leur collecte par l'exploitation du fichier de journalisation constitue un traitement de données à caractère personnel qui n'est licite que si la personne concernée y a consenti.
7. Pour juger le licenciement fondé et débouter le salarié de ses demandes à ce titre, l'arrêt, après avoir constaté que l'employeur produisait un procès-verbal de constat d'huissier faisant état d'informations provenant des fichiers de journalisation et de leur recoupement avec les messages envoyés de l'adresse IP attribuée au salarié, retient que l'adresse IP n° 172.25.11.3 n'est pas attribuée par un fournisseur d'accès à Internet. Il ajoute que c'est une adresse IP de classe B qui correspond à une adresse de réseau local et qui n'a pas lieu d'être déclarée à la CNIL parce qu'elle n'identifie que des périphériques dans le réseau local et non une personne physique ; qu'elle ne contient aucune donnée personnelle et qu'elle identifie seulement un ordinateur.
8. Il en déduit qu'aucune déclaration à la CNIL n'étant exigée, l'intervention de l'huissier de justice est régulière et son constat constitue une preuve licite.
9. En statuant ainsi, alors que l'exploitation des fichiers de journalisation, qui avaient permis d'identifier indirectement le salarié, constituait un traitement de données à caractère personnel au sens de l'article 4 du RGPD et qu'elle constatait que l'employeur avait traité, sans le consentement de l'intéressé, ces données à une autre fin, à savoir le contrôle individuel de son activité, que celle pour laquelle elles avaient été collectées, ce dont il résultait que la preuve était illicite, la cour d'appel a violé les textes susvisés.
Portée et conséquences de la cassation
10. En application de l'article 624 du code de procédure civile, la cassation du chef du dispositif de l'arrêt jugeant le licenciement fondé et déboutant le salarié de ses demandes à ce titre entraîne la cassation du chef de dispositif le déboutant de sa demande de dommages-intérêts pour licenciement vexatoire qui s'y rattache par un lien de dépendance nécessaire.
PAR CES MOTIFS, et sans qu'il y ait lieu de statuer sur les moyens du pourvoi, la Cour :
CASSE ET ANNULE, en toutes ses dispositions, l'arrêt rendu le 10 janvier 2023, entre les parties, par la cour d'appel d'Agen ;
Remet l'affaire et les parties dans l'état où elles se trouvaient avant cet arrêt et les renvoie devant la cour d'appel de Pau ;
Condamne la société IGC aux dépens ;
En application de l'article 700 du code de procédure civile, rejette la demande formée par la société IGC et la condamne à payer à M. [E] la somme de 2 000 euros ;
Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l'arrêt cassé ;
Ainsi fait et jugé par la Cour de cassation, chambre sociale, et prononcé publiquement le neuf avril deux mille vingt-cinq, par mise à disposition de l'arrêt au greffe de la Cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.