Peut-on utiliser l’email professionnel comme preuve juridique

Le courriel professionnel peut-il constituer un mode de preuve ?

Nombreux sont les salariés auxquels une messagerie électronique est mise à disposition pour l’exercice de leur activité professionnelle.

L’employeur a le droit de mettre des limites quant à l’usage d’Internet sur le poste de travail. Cela peut consiste à mettre en place des dispositifs destinés à bloquer les sites qui n’ont rien à voir avec la nature de l’activité de l’entreprise. La sécurité des réseaux de la société ou d’un département justifie aussi l’interdiction de certaines activités sur Internet : téléchargement de logiciels, envoi d’e-mail à partir d’un compte personnel…

Mais les traitements des données informatiques doivent faire l’objet d’une déclaration préalable auprès la Commission nationale de l’informatique et de la liberté (CNIL). Si l’employeur met en place un contrôle individuel des salariés, une déclaration normale s’impose, sauf si un Correspondant informatique et libertés (CIL) est désigné.

En l’absence de tout dispositif de contrôle poste par poste, une déclaration simplifiée suffit. Et dans son arrêt du 1er juin 2017, la Cour de Cassation estime qu’en l’absence de contrôle individuel des salariés, le courriel professionnel est une preuve juridique recevable. En cas de litige, vous pouvez présenter des échanges d’e-mails comme mode de preuve.

Il est donc important de cerner les conditions exigées par la délibération de 2005 pour bénéficier de la procédure de déclaration simplifiée.

Les conditions requises pour bénéficier de la procédure de déclaration simplifiée

Elle est faite en référence à la norme n°46 établie par la délibération du 13 janvier 2005. Celle-ci a vocation à « simplifier l’obligation des traitements mis en œuvre par les organismes publics et privés pour la gestion de leurs personnels ».

Les finalités du traitement des données

La finalité indique à quoi votre fichier va servir. Lorsque vous déclarez un fichier à la CNIL, vous devez  indiquer obligatoirement ses finalités. Les finalités déclarées devront être respectées tout au long de la construction et de l’utilisation de votre fichier. Celles-ci sont :

• la gestion administrative du personnel : traitement du dossier professionnel des salariés, administration des répertoires internes et des ordinogrammes, organisation et préparation des réunions des organes représentatifs des salariés…
• la mise à disposition des salariés d’outils informatiques : suivi et maintenance des ordinateurs, traitement et mise à jour des annuaires informatiques, traitement du courriel professionnel (sauf si cela implique un contrôle individuel des salariés).
• l’organisation du travail : planning dans l’exécution des tâches (sauf si cela implique un contrôle de leur productivité individuelle)
• la planification des carrières et de la mobilité : évaluation professionnelle, approbation des acquis de l’expérience professionnelle…
• la formation des salariés

Les données traitées

Voici des exemples de données qui peuvent être collectées :

• identité, matricule au sein de l’entreprise, références du passeport (si l’employé est conduit à effectuer des déplacements professionnels)
• pour les salariés étrangers : type, numéro d’ordre et copie du titre portant autorisation de travail
• planification de la carrière de l’employé : date et conditions d’embauche, date, objet et motif des conditions apportées à sa situation professionnelle, sanctions disciplinaires…
• évaluation professionnelle de l’employé : date des entretiens d’évaluation, identité de l’évaluateur, qualifications professionnelles de l’employé…
• approbation des acquis de l’expérience : date de demande d’homologation, expériences professionnelles soumises à approbation…
• suivi administratif des visites médicales des employés : dates des visites, aptitude au poste de travail (propositions d’adaptation du poste occupé ou d’affectation à un autre poste recommandées par le médecin du travail)
• type de permis de conduire
• messagerie électronique – mais il est entendu que l’e-mail reçu ou envoyé par un salarié ne saurait constituer un mode de preuve si ce courriel est obtenu grâce à un contrôle individuel.
• conservation des données de connexion afin de sécuriser et d’assurer le bon fonctionnement des applications et des réseaux informatiques, à condition que cela ne débouche pas sur un contrôle individuel des salariés

La durée de conservation des données

La durée de conservation des données et celle du contrat de chaque employé concerné.

L’information des personnes concernées

La délibération de 2005 souligne que les salariés concernés doivent être informés de l’identité de la ou des personnes en charge du traitement des données. L’employeur doit aussi porter à leur connaissance les finalités du traitement, le caractère obligatoire ou facultatif des réponses à apporter et d’éventuelles sanctions en cas de défaut de réponse. L’identité de tous les destinataires des données doit aussi être communiquée, par exemple via une charte.

La sécurité des données traitées

Effectuer la déclaration (normale ou simplifiée) du traitement de données ne décharge en rien l’employeur de toute responsabilité en cas de préjudice aux libertés des salariés. Entre autres, un courriel reçu ou envoyé par un salarié ne constituerait pas une preuve juridique recevable en cas de non-respect des finalités du traitement, ou s’il est avéré qu’il y a contrôle individuel alors que l’employeur avait effectué une déclaration simplifiée.