Surveillance des emails des employés : la CEDH rend un arrêt de principe

Publié le 11/09/2017 par Etienne Wery , Thierry Léonard

Fait rarissime : la Grande Chambre de la CEDH a invalidé la décision rendue un an plus tôt par la chambre ordinaire de cette Cour. Elle estime que le contrôle du salarié a violé sa vie privée. Elle rappelle l’importance de la transparence, de la prévisibilité du contrôle, et de la proportionnalité de celui-ci.

Ce 5 septembre 2017, la CEDH a pris tout le monde par surprise. La Grande Chambre « conclut que les autorités nationales n’ont pas correctement protégé le droit de M. Bărbulescu au respect de sa vie privée et de sa correspondance. Les autorités n’ont donc pas ménagé un juste équilibre entre les intérêts en jeu.

En particulier, les juridictions nationales n’ont pas, d’une part, vérifié si M. Bărbulescu avait été préalablement averti par son employeur de la possibilité que ses communications soient surveillées et n’ont pas non plus, d’autre part, tenu compte du fait qu’il n’avait été informé ni de la nature ni de l’étendue de cette surveillance, ni du degré d’intrusion dans sa vie privée et sa correspondance.

De surcroît, les juridictions nationales n’ont pas déterminé, premièrement, quelles raisons spécifiques avaient justifié la mise en place des mesures de surveillance, deuxièmement, si l’employeur aurait pu faire usage de mesures moins intrusives pour la vie privée et la correspondance de M. Bărbulescu et, troisièmement, si l’accès au contenu des communications avait été possible à son insu. »

Les faits

Le requérant, Bogdan Mihai Bărbulescu, est un ressortissant roumain né en 1979 et résidant à Bucarest.

Du 1er août 2004 au 6 août 2007, M. Bărbulescu travailla pour une entreprise privée en qualité d’ingénieur en charge des ventes. À l’invitation de ses employeurs, il ouvrit un compte Yahoo Messenger aux fins de répondre aux demandes des clients.

Le 3 juillet 2007, l’entreprise distribua à son personnel une note d’information indiquant qu’une employée avait été licenciée pour des motifs disciplinaires après avoir fait une utilisation personnelle d’Internet, du téléphone et du photocopieur.

Le 13 juillet 2007, M. Bărbulescu fut convoqué par son employeur qui souhaitait avoir des explications. Il fut informé que ses communications sur Yahoo Messenger avaient été surveillées et qu’un certain nombre d’éléments indiquaient qu’il avait utilisé Internet à des fins personnelles.

Bărbulescu répondit par écrit qu’il n’avait utilisé ce service qu’à des fins professionnelles. On lui présenta alors la transcription, sur 45 pages, de ses communications entre le 5 et le 12 juillet 2007, qui comportaient des messages qu’il avait échangés avec son frère et sa fiancée portant sur des questions privées, dont certains revêtaient un caractère intime. Le 1er août 2007, l’employeur mit fin au contrat de travail de M. Bărbulescu pour infraction au règlement intérieur de l’entreprise qui interdisait l’usage des ressources de celle-ci à des fins personnelles.

Bărbulescu contesta son licenciement devant les tribunaux, alléguant que la décision de mettre un terme à son contrat était entachée de nullité car son employeur avait selon lui porté atteinte à son droit à la correspondance en consultant ses communications en violation de la Constitution et du code pénal. Le tribunal départemental de Bucarest rejeta son action en décembre 2007 aux motifs, en particulier, que l’employeur s’était conformé à la procédure de licenciement prévue par le code du travail ; que les employeurs étaient en droit de fixer des règles pour l’utilisation d’Internet, qui était un outil mis à la disposition du personnel à des fins professionnelles ; et que M. Bărbulescu avait été dûment informé du règlement intérieur de l’entreprise. Le tribunal départemental relevait que peu avant l’adoption de la sanction disciplinaire à l’encontre de M. Bărbulescu, une autre employée avait été licenciée pour avoir utilisé Internet, le téléphone et le photocopieur à des fins personnelles.

Bărbulescu fit appel, avançant que le tribunal n’avait pas ménagé un juste équilibre entre les intérêts en jeu. Par une décision définitive du 17 juin 2008, la cour d’appel rejeta ce recours, confirmant pour l’essentiel les conclusions de la juridiction inférieure. S’appuyant sur la directive 95/46/CE de l’Union européenne relative à la protection des données, elle jugea que la conduite qui avait été celle de l’employeur après avoir indiqué à M. Bărbulescu et à ses collègues que les ressources de l’entreprise ne devaient pas être utilisées à des fins personnelles avait été raisonnable et que la surveillance des communications de M. Bărbulescu avait constitué le seul moyen d’établir s’il y avait eu une infraction disciplinaire.

L’arrêt de 2016

Dans son arrêt de chambre du 12 janvier 2016, la Cour européenne des droits de l’homme a conclu, par six voix contre une, à la non-violation de l’article 8 de la Convention, jugeant que les juridictions internes avaient ménagé un juste équilibre entre le droit de M. Bărbulescu au respect de sa vie privée et de sa correspondance en vertu de l’article 8 et les intérêts de son employeur. La Cour a estimé en particulier que la vie privée et la correspondance de M. Bărbulescu avaient été mises en jeu. Elle a toutefois considéré que la surveillance de ses communications par son employeur avait été raisonnable dans le contexte d’une procédure disciplinaire.

Le 6 juin 2016, l’affaire a été renvoyée devant la Grande Chambre à la demande de M. Bărbulescu.

L’application de la Convention

La mesure litigieuse, à savoir la surveillance des communications de M. Bărbulescu qui a conduit à son licenciement, a certes été prise par une entreprise privée, mais elle a été admise par les juridictions nationales. La Cour estime donc qu’il y a lieu d’analyser le grief sous l’angle des obligations positives de l’État. Les autorités nationales étaient tenues de mettre en balance les intérêts concurrents en jeu, à savoir le droit de M. Bărbulescu au respect de sa vie privée, d’une part, et le droit de l’employeur de prendre des mesures pour assurer le bon fonctionnement de l’entreprise, d’autre part.

La transparence

Pour la Grande Chambre, les juridictions nationales ont omis de rechercher si M. Bărbulescu avait été averti préalablement de la possibilité que son employeur mette en place des mesures de surveillance ainsi que de la nature de ces mesures. Le tribunal départemental s’est borné à constater que l’attention des employés avait été appelée sur le fait que peu avant que M. Bărbulescu ne fasse l’objet d’une sanction disciplinaire, une autre employée avait été licenciée pour avoir utilisé Internet, le téléphone et le photocopieur à des fins personnelles. La Cour d’appel a constaté que l’intéressé avait été averti qu’il ne devait pas utiliser les ressources de l’entreprise à des fins personnelles.

Conformément aux normes internationales et européennes, la Cour considère que « pour pouvoir être considéré comme préalable, l’avertissement de l’employeur doit être donné avant que celui-ci ne commence son activité de surveillance, a fortiori lorsque la surveillance implique également l’accès au contenu des communications des employés. À la lecture des pièces versées au dossier de l’affaire, la Cour conclut que M. Bărbulescu n’a pas été informé à l’avance de l’étendue et de la nature de la surveillance opérée par son employeur ni de la possibilité que celui-ci ait accès au contenu même de ses messages. »

Quelle surveillance ?

La Grande Chambre aurait pu s’arrêter là mais il a clairement voulu donner un message de principe. Ce n’est pas étonnant, dans la mesure où cette affaire est la première qui a vu la cour se pencher sur la surveillance des travailleurs dans le cadre d’un contrat de droit privé. La cour avait déjà analysé cette question par rapport à des fonctionnaires et des policiers, mais jamais dans le cadre d’un emploi privé. On imagine qu’elle a voulu utiliser ce cas d’école (l’interdiction pure et simple d’utilisation de l’Internet à des fins privées n’est vraiment plus la norme) pour énoncer une doctrine.

La cour se penche donc sur l’étendue de la surveillance opérée et le degré d’intrusion dans la vie privée et regrette cette question n’ait pas été examinée par les juridictions nationales, alors même que l’employeur a enregistré en temps réel toutes les communications de M. Bărbulescu pendant la période de surveillance et qu’il en a imprimé le contenu.

La légitimité

C’était un des attendus importants de la décision de 2016. La cgambre était d’avis qu’indépendamment de la question du dommage, il n’est pas déraisonnable pour un employeur de vouloir vérifier que les employés consacrent leur temps de travail à effectuer des tâches professionnelles. Cela ressemblait fortement à une cause de légitimité générale dans le cadre des relations de travail.

La Grande chambre n’est pas de cet avis. Elle estime que les juridictions nationales n’ont pas non plus suffisamment vérifié l’existence de raisons légitimes qui auraient justifié la mise en place de la surveillance des communications de M. Bărbulescu. Le tribunal départemental a certes mentionné en particulier la nécessité d’éviter une atteinte aux systèmes informatiques de l’entreprise ou la mise en cause de la responsabilité de l’entreprise en cas d’activité illicite en ligne. Cependant : « ces exemples ne peuvent être perçus que comme des indications théoriques puisqu’il n’a pas été suggéré que M. Bărbulescu avait effectivement exposé l’entreprise à l’un de ces risques. »

Il faut donc non seulement que les événements pouvant engendrer un contrôle légitime soient déterminées et communiquées aux travailleurs, mais il faut encore qu’une de ces causes s’applique dans le cadre d’un contrôle visant une personne déterminée.

La proportionnalité

La Grande Chambre estime qu’uncune juridiction nationale n’a suffisamment cherché à savoir si le but poursuivi par l’employeur « aurait pu être atteint par des méthodes moins intrusives que l’accès au contenu des communications de M. Bărbulescu ».

De surcroît, ni l’une ni l’autre n’a examiné la gravité des conséquences de la mesure de surveillance et de la procédure disciplinaire qui s’est ensuivie, c’est-à-dire le fait que M. Bărbulescu, qui avait été licencié, avait fait l’objet de la mesure disciplinaire la plus sévère possible.

Enfin, les juges nationaux n’ont nullement établi à quel moment de la procédure disciplinaire l’employeur avait eu accès à ce contenu, et n’ont en particulier pas recherché s’il avait déjà eu accès au contenu au moment où il a convoqué M. Bărbulescu afin que celui-ci lui donne une explication pour l’utilisation qu’il avait faite des ressources de l’entreprise.

Commentaires et infos complémentaires

La décision est disponible en annexe.

Des opinions dissidentes ont été émises par certains juges. Il est évidemment intéressant d’en prendre connaissance (en annexe). L’opinion dissidente porte notamment sur la prévisibilité du contrôle et estime que dès l’instant où le règlement intérieur de l’entreprise interdisait l’utilisation d’Internet à des fins privées, le travailleur doit implicitement comprendre que le respect de cette interdiction est susceptible de faire l’objet d’un contrôle : « Les tribunaux internes ont interprété les dispositions de ce [règlement intérieur] comme sous-entendant qu’il était possible que soient mises en place des mesures de surveillance des communications, éventualité qui était de nature à réduire de manière significative la probabilité que le requérant pût raisonnablement s’attendre à ce que le caractère privé de sa correspondance fût respecté (voir, a contrario, Halford c. Royaume-Uni, 25 juin 1997, § 45, Recueil des arrêts et décisions 1997-III, et Copland, précité, § 42). Nous considérons donc que la question de l’avertissement préalable aurait dû être examinée dans ce contexte. »

Par ailleurs, la CEDH a eu la bonne idée de rédiger des Questions Fréquemment Posées afin de permettre à chacun de prendre la mesure de l’arrêt rendu. Ces FAQs sont disponibles en annexes.