Chambre sociale, 9 avril 2025 — 23-13.159

SOC. JL10 COUR DE CASSATION ______________________ Arrêt du 9 avril 2025 Cassation Mme MARIETTE, conseiller doyen faisant fonction de président Arrêt n° 378 F-D Pourvoi n° D 23-13.159 R É P U B L I Q U E F R A N Ç A I S E _________________________ AU NOM DU PEUPLE FRANÇAIS _________________________ ARRÊT DE LA COUR DE CASSATION, CHAMBRE SOCIALE, DU 9 AVRIL 2025 M. [Z] [E], domicilié [Adresse 1], a formé le pourvoi n° D 23-13.159 contre l'arrêt rendu le 10 janvier 2023 par la cour d'appel d'Agen (chambre sociale), dans le litige l'opposant à la société IGC, société par actions simplifiée unipersonnelle, dont le siège est [Adresse 2], défenderesse à la cassation. Le demandeur invoque, à l'appui de son pourvoi, trois moyens de cassation. Le dossier a été communiqué au procureur général. Sur le rapport de M. Carillon, conseiller référendaire, les observations de la SARL Thouvenin, Coudray et Grévy, avocat de M. [E], de la SCP Rocheteau, Uzan-Sarano et Goulet, avocat de la société IGC, après débats en l'audience publique du 11 mars 2025 où étaient présents Mme Mariette, conseiller doyen faisant fonction de président, M. Carillon, conseiller référendaire rapporteur, M. Barincou, conseiller, et Mme Pontonnier, greffier de chambre, la chambre sociale de la Cour de cassation, composée des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt. Faits et procédure 1. Selon l'arrêt attaqué (Agen, 10 janvier 2023), M. [E] a été engagé en qualité de chef d'agence le 8 juillet 2004 par la société IGC Cahors (la société). 2. Le salarié, licencié le 16 décembre 2019 pour faute grave, a saisi la juridiction prud'homale afin de contester son licenciement. Examen des moyens Sur le moyen relevé d'office 3. Après avis donné aux parties conformément à l'article 1015 du code de procédure civile, il est fait application de l'article 620, alinéa 2, du même code. Vu les articles 4, 5 et 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) : 4. Selon l'article 5 du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) et collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. 5. Selon l'article 6 § 1, le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie, notamment : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques. 6. Il en résulte que les adresses IP, qui permettent d'identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l'article 4 du RGPD, de sorte que leur collecte par l'exploitation du fichier de journalisation constitue un traitement de données à caractère personnel qui n'est licite que si la personne concernée y a consenti. 7. Pour juger le licenciement fondé et débouter le salarié de ses demandes à ce titre, l'arrêt, après avoir constaté que l'employeur produisait un procès-verbal de constat d'huissier faisant état d'informations provenant des fichiers de journalisation et de leur recoupement avec les messages envoyés de l'adresse IP attribuée au salarié, retient que l'adresse IP n° 172.25.11.3 n'est pas attribuée par un fournisseur d'accès à Internet. Il ajoute que c'est une adresse IP de classe B qui correspond à une adresse de réseau local et qui n'a pas lieu d'être déclarée à la CNIL parce qu'elle n'identifie que des périphériques dans le réseau local et non une personne physique ; qu'elle ne contient aucune donnée personnelle et qu'elle identifie seulement un ordinateur. 8. Il en déduit qu'aucune déclaration à la CNIL n'étant exigée, l'intervention de l'huissier de justice est régulière et son constat constitue une preuve licite. 9. En statuant ainsi, alors que l'exploitation des fichiers de journalisation, qui avaient permis d'identifier indirectement le salarié, constituait un traitement de données à caractère personnel au sens de l'article 4 du RGPD et qu'elle constatait que l'employeur avait traité, sans le consentement de l'intéressé, ces données à une autre fin, à savoir le contrôle individuel de son activité, que celle pour laquelle elles avaient été collectées, ce dont il résultait que la preuve était illicite, la cour d'appel a violé les textes susvisés. Portée et conséquences de la cassation 10. En application de l'article 624 du code de procédure civile, la cassation du chef du dispositif de l'arrêt jugeant le licenciement fondé et déboutant le salarié de ses demandes à