IT & RH : quand la Cour de cassation s’en mêle et s’emmêle

Faut-il imposer un stage en entreprise aux conseillers de la Cour de cassation, et plus particulièrement dans une DSI ? La question se pose alors qu'en deux décisions en moins de deux mois, la chambre sociale a semé la panique chez les DSI, les RSSI et les DPO… Revenons sur ces affaires.

Cas 1 : le droit d’accès aux mels du salarié - Cour de cassation, 18 juin 2025

Pour faire simple, la Cour de cassation confirme la décision d’une cour d’appel de sanctionner une entreprise pour ne pas avoir communiqué les mels professionnels d’un salarié licencié. Cette décision est surprenante à plus d’un titre. Voici mon rapport d’étonnement (très à la mode) :

Premier étonnement : les courriers électroniques professionnels appartiennent à l’employeur et non au salarié – Il serait bon de le rappeler.

Deuxième étonnement : la Cnil elle-même a toujours fait la distinction entre les « données » et les « documents ». Considérer un courrier comme une donnée personnelle est une erreur de fait.

Troisième étonnement : le droit d’accès devrait donc porter sur les données relatives aux mels (émetteur, destinataire, date, heure, expéditeur, objet… et encore…).

Quatrième étonnement : la Cnil indique que, si par facilité l’entreprise peut décider de communiquer l’intégralité des contenus des courriers électroniques, elle doit s’assurer que les mels ainsi communiqués ne comportent aucune donnée relative à des tiers ou ne violent la confidentialité, la propriété intellectuelle, etc. Dans tous les cas, les mels doivent donc être soigneusement caviardés.

Et cinquième étonnement : la Cnil précise enfin que le droit d’accès ne doit pas être instrumentalisé et qu’il convient de suivre les démarches et procédures nécessaires s’il s’agit d’un accès à des pièces de procédure.

Mais surtout, les conseillers ignorent la réalité d’une entreprise et les conséquences réelles de leur décision. Un rapport de l’Insee de 2021 indiquait qu’un salarié avait une ancieneté moyenne de 11 ans dans une entreprise. Une autre étude de société Mailoop et le cabinet Mazars indiquait qu’un salarié recevait en moyenne 144 mels par semaine. Disons 150 en 2025. Je vous laisse faire le calcul : 1 année = 47 semaines de travail ; 11 ans = 517 semaines ; 517 semaine x 144 mels = 74.448 mel émis ou reçus.

Même avec une politique de suppression drastique des mels, totalement contraire aux intérêts de l’entreprise (car un mel est avant tout un document d’entreprise), cela reviendrait au mieux à analyser, caviarder et communiquer en moyenne plus de 20.304 mels ! Comment les entreprises peuvent-elles répondre à une contrainte impossible ?

Cas 2 : Adresse IP et consentement des salariés - Cour de cassation, 18 juin 2025

Ici nous touchons à l’erreur 404 juridique. Un salarié transfère 100 mails avec PJ vers sa boîte perso et supprime 4 000 fichiers. L’employeur exploite les logs IP pour prouver la faute. La cour d’appel valide le licenciement. Mais la Cour de cassation casse, en expliquant que l’analyse des IP nécessite le consentement du salarié, car ce sont des données personnelles. Là encore quelques réalités s’imposent. D'abord, au risque d’enfoncer des portes ouvertes technologiques, si au vu des faits de l’espèce les IP étaient bien des données personnelles, toutes les adresses IP n’en sont pas. Ensuite, la Cnil (encore elle) précise que le consentement n’est pas la base légale appropriée dans une relation de travail où la capacité de refus du consentement du salarié est quasi nulle. Enfin, la plupart du temps, l’accord des salariés est organisé dans la charte informatique. Là encore, les informations des uns (la Cour) et la Cnil sont contradictoires…

Dans ce contexte, chefs d’entreprise, DSI, RSSI, confrères DPO et DRH, il me parait opportun de vous souhaitez bonne chance autant qu'une bonne rentrée !