Les adresses IP sont des données personnelles…
Dans un arrêt du 25 novembre 2020, promis à la plus large diffusion, la Cour de cassation décide, et c’est une première, que les adresses IP et les fichiers de journalisation constituent des données à caractère personnel.
En l’espèce, un salarié de l’AFP est licencié pour faute grave, pour avoir adressé à une entreprise cliente et en même temps concurrente de l’AFP, cinq demandes de renseignements par voie électronique en usurpant l’identité de sociétés clientes.
L’AFP établit les faits reprochés au moyen d’un constat d’huissier et d’un expert informatique qui identifient, grâce à l’exploitation des fichiers de journalisation conservés sur ses serveurs, l’adresse IP à partir de laquelle les messages litigieux ont été envoyés, comme étant celle de ce salarié.
Aucune déclaration préalable (les faits ont eu lieu avant l’entrée en vigueur du RGPD) du traitement des adresses IP n’avait été faite, ainsi la question du caractère licite du mode de preuve s’est trouvée posée.
La Cour de cassation considère que les adresses IP permettent d’identifier indirectement une personne physique, et sont ainsi des données à caractère personnel.
Elle juge donc que leur collecte par l’exploitation d’un fichier de journalisation constitue un traitement de données à caractère personnel qui doit faire l’objet de la déclaration préalable prévue à l’article 23 de la loi n° 78-17 du 6 janvier 1978.
L’arrêt apporte une autre précision très intéressante : l’illicéité d’un tel moyen de preuve n’entraîne pas systématiquement son rejet.
Ainsi, comme elle a pu le décider dans un arrêt Facebook du 30 septembre 2020 (n°19-12.058) (Cf. notre article http://daempartners.com/eclairage/facebook-linteret-legitime-de-lemployeur-entre-en-jeu/), devant une preuve dont le caractère illicite est relevé, le juge du fond doit faire un contrôle de proportionnalité et rechercher si l’atteinte portée à la vie personnelle du salarié par une telle production est justifiée au regard du droit à la preuve de l’employeur.
Attention, la production du mode de preuve doit être indispensable à l’exercice du droit de la preuve.
Cass. soc. 25 novembre 2020 n°17-19.523.
