Plusieurs juridictions ont déjà largement consacré l'adresse IP comme donnée personnelle. Mais le RGPD impose-t-il pour autant qu'une entreprise recueille le consentement explicite de ses employés si elle souhaite constituer et exploiter des fichiers de journalisation (logs) ? La question se pose en des termes nouveaux depuis le 9 avril dernier, date à laquelle la Cour de cassation a choisi d'y répondre par l'affirmative.

La cour d'appel distingue IP du réseau pro et donnée personnelle

L'affaire oppose une société de promotion immobilière à l'un de ses salariés. Après que les deux parties ont négocié une rupture conventionnelle, l'entreprise découvre que son employé a, la veille du rendez-vous, supprimé plusieurs milliers de dossiers et fichiers informatiques de l'agence à laquelle il est rattaché.

Elle affirme par ailleurs que l'employé a transféré sur des adresses personnelles une centaine de courriers électroniques issus de sa messagerie professionnelle, et fait constater ces manipulations par un huissier, en s'appuyant sur l'adresse IP du poste de son collaborateur.

La rupture conventionnelle se change alors en licenciement pour faute grave. L'employé échoue à contester ce licenciement devant le Conseil de Prud'hommes local. Il interjette ensuite appel, en arguant que « le contrôle de traçabilité informatique utilisé par l'huissier de justice est irrégulier » car l'employeur ne démontre pas avoir accompli de démarches préalables au recueil de l'adresse IP de ses salariés, alors que cette dernière constitue une donnée personnelle.

Dans sa décision du 10 janvier 2023, la cour d'Appel d'Agen choisit d'opérer une distinction entre l'adresse IP personnelle et l'accès au réseau fourni par l'entreprise.

« L'adresse IP n°172.25.11.3 n'est pas attribuée par un fournisseur d'accès à Internet. C'est une adresse IP de classe B qui correspond à une adresse de réseau local et qui n'a pas lieu d'être déclarée à la CNIL parce qu'elle n'identifie que des périphériques dans le réseau local et non une personne physique. Elle ne contient aucune donnée personnelle. Elle identifie seulement un ordinateur », écrit la cour.

Elle conclut sur cette base que le constat d'huissier est recevable et condamne l'ex employé aux dépens.

La Cour de cassation déplace le débat sur le terrain du RGPD

Saisie à la suite de cette décision, la chambre sociale de la Cour de cassation tranche rapidement ce paradoxe – déjà largement étayé par la jurisprudence – selon lequel une adresse IP pourrait ne pas être considérée comme une donnée personnelle, alors même qu'elle est utilisée dans cette procédure à des fins d'identification.

Elle choisit en revanche, dans son arrêt rendu le 9 avril dernier, de porter le débat sur un autre terrain : celui de la conformité au RGPD, qui encadre le traitement des données personnelles, interrogée à la fois sous l'angle de la finalité de la collecte, et sous celui du consentement. Et commence par rappeler :

« Selon l'article 5 du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) et collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. »

Avant d'enchaîner sur la question du consentement :

« Selon l'article 6 § 1, le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie, notamment : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques. »

De ce rappel de l'article 6, dans lequel elle se borne à mentionner le point a), elle conclut que si les adresses IP sont des données personnelles, « leur collecte par l'exploitation du fichier de journalisation constitue un traitement de données à caractère personnel qui n'est licite que si la personne concernée y a consenti ».

L'attendu final réunit les deux arguments. « En statuant ainsi, alors que l'exploitation des fichiers de journalisation, qui avaient permis d'identifier indirectement le salarié, constituait un traitement de données à caractère personnel au sens de l'article 4 du RGPD et qu'elle constatait que l'employeur avait traité, sans le consentement de l'intéressé, ces données à une autre fin, à savoir le contrôle individuel de son activité, que celle pour laquelle elles avaient été collectées, ce dont il résultait que la preuve était illicite, la cour d'appel a violé les textes susvisés », conclut la cour.

Le consentement s'impose-t-il vraiment ?

La décision fait s'interroger plusieurs professionnels du droit et de la protection des données, remarque Le Monde informatique. Elle semble en effet éluder les autres conditions prévues par le RGPD pour que le traitement de données personnelles revête un caractère licite, alors que la procédure montre qu'il est légitime de questionner certaines d'entre elles.

Ces conditions sont, pour mémoire, au nombre de six, et l'exécution de l'une d'entre elles suffit. Le traitement de données personnelles peut ainsi se faire sans consentement s'il est nécessaire à la sauvegarde d'intérêts vitaux, à l'exécution d'une mission d'intérêt public ou d'autorité publique, à l'exécution d'un contrat, au respect d'une obligation légale, ou à des fins d'intérêts légitimes tels que, par exemple, la sécurité d'un système d'information.

• Le RGPD expliqué ligne par ligne (articles 1 à 23)