Suppression des comptes de messagerie des salariés

Grosse + copie

délivrées le

à

COUR D’APPEL DE MONTPELLIER

2e chambre civile

ARRET DU 20 MARS 2025

Numéro d’inscription au répertoire général :

N° RG 24/02397 – N° Portalis DBVK-V-B7I-QHKX

Décision déférée à la Cour :

Ordonnance du 11 AVRIL 2024

PRESIDENT DU TJ DE MONTPELLIER

N° RG 23/31575

APPELANTS :

Monsieur [S] [V]

né le 31 Janvier 1973 à [Localité 8] (30)

[Adresse 9]

[Localité 3]

Représenté sur l’audience par Me Denis BERTRAND, avocat au barreau de MONTPELLIER

Monsieur [C] [L]

né le 28 Janvier 1966 à [Localité 5] (34)

[Adresse 1]

[Localité 3]

Représenté sur l’audience par Me Denis BERTRAND, avocat au barreau de MONTPELLIER

Madame [H] [I]

née le 25 Août 1971 à [Localité 6]

[Adresse 1]

[Localité 3]

Représenté sur l’audience par Me Denis BERTRAND, avocat au barreau de MONTPELLIER

INTIMEE :

La société ECP, société par action simplifiée, immatriculée auprès du registre du commerce et des sociétés de Montpellier sous le n°443 186 580, ayant son siège social [Adresse 10], dument représentée par son Président, la société ECP DEVELOPPEMENT.

[Adresse 4]

[Localité 2]

Représentée sur l’audience par Me Aurélie GILLOT de la SCP CASCIO,ORTAL, DOMMEE, MARC, DANET, GILLOT, avocat au barreau de MONTPELLIER, avocat postulant ayant plaidé pour Me Marie DUVERNE-HANACHOWICZ, avocat au barreau de LYON

Ordonnance de clôture du 20 Janvier 2025

COMPOSITION DE LA COUR :

En application de l’article 907 du code de procédure civile, l’affaire a été débattue le 27 JANVIER 2025, en audience publique, le magistrat rapporteur ayant fait le rapport prescrit par l’article 804 du même code, devant la cour composée de :

Madame Michelle TORRECILLAS, Présidente de chambre

Madame Nelly CARLIER, Conseillère

Mme Anne-Claire BOURDON, Conseillère

qui en ont délibéré.

Greffier lors des débats : Mme Henriane MILOT

ARRET :

– Contradictoire ;

– prononcé par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile ;

– signé par Madame Michelle TORRECILLAS, Présidente de chambre, et par M. Salvatore SAMBITO, Greffier.

La société ECP est spécialisée dans la décontamination d’objets à haute valeur ajoutée en matières plastiques, métalliques et en verre. Elle est détenue par la société holding ECP DEVELOPPEMENT.

La société ECP DEVELOPPEMENT a racheté fin 2018 la société ENTEGRIS qui avait pour employés Monsieur [S] [V], responsable commercial et technique, Madame [H] [I], responsable administratif et financier, et Monsieur [C] [L], directeur général.

Le 26 septembre 2018, Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] sont entrés au capital de la société ECP DEVELOPPEMENT et ont signé un pacte d’associé, par lequel ils s’engageaient à une obligation de non-concurrence.

Lors de l’assemblée générale du 4 mai 2023, Monsieur [C] [L] a été révoqué de ses fonctions de président de la société ECP DEVELOPPEMENT et de son mandat de directeur général. Il a été licencié pour faute grave selon courrier du 21 juin 2023. Par la suite, Madame [H] [I] a été licenciée pour faute grave selon courrier du 26 juin 2023 et Monsieur [S] [V] a signé une rupture conventionnelle de contrat avec la société ECP DEVELOPPEMENT le 28 juin 2023, effective au 4 août 2023.

La Société ECP Développement ayant constaté que l’intégralité de la messagerie électronique professionnelle de M. [V] contenant l’ensemble des échanges confidentiels et stratégiques de l’entreprise avec ses clients avait été vidée de tous les messages envoyés et reçus depuis un an, elle l’a mis en demeure par e-mail du 8 août 2023 de restituer l’ensemble des données informatiques professionnelles qu’il avait supprimées.

Par acte de commissaire de justice du 27 novembre 2023, la société ECP a fait délivrer à Monsieur [S] [V] une citation directe pour atteinte à un système automatisé de traitement des données et abus de confiance devant le tribunal correctionnel de Montpellier, affaire actuellement pendante.

Parallèlement, par courriers recommandés avec avis de réception du 16 août 2023, Madame [H] [I] et Monsieur [C] [L] demandaient à leur tour à la société ECP de ne plus utiliser leur adresse e-mail professionnelle nominative.

Par courrier du 22 août 2023, le conseil des trois requérants a sollicité auprès de la société ECP l’arrêt desdits comptes de messagerie professionnelle.

Le 7 novembre 2023, par acte de commissaire de justice, Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] ont fait assigner la société ECP en référé devant le Président du tribunal judiciaire de Montpellier aux fins de la voir condamner, sous astreinte, à procéder à la fermeture de leurs comptes e-mails professionnels.

Par ordonnance rendue contradictoirement le 11 avril 2024, le juge des référés a :

– débouté Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] de l’intégralité de leurs prétentions,

– condamné Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] in solidum à payer à la SAS ECP une somme de 3.000 euros en application des dispositions de l’article 700 du Code de procédure civile,

– condamné Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] aux dépens.

Le premier juge a relevé qu’il est constant que les adresses e-mails professionnelles nominatives des requérants sont encore actives mais qu’un message automatique de réponse a été mis en place pour informer les émetteurs que la personne destinataire ne fait plus partie des équipes de la société et que leur messagerie a été réorientée.

Il retient que le départ des trois demandeurs de la société ECP a été conflictuel, Monsieur [L] et Madame [I] ayant été licenciés pour faute grave, de sorte qu’un litige est actuellement pendant devant le Conseil des prud’hommes entre les trois demandeurs et leur ancien employeur et que les demandeurs auraient violé leur clause de non-concurrence en organisant une opération de blocage du fonctionnement de l’entreprise et en tentant de racheter ses actions à bas prix et en déduit que la société ECP justifie de deux motifs légitimes et impérieux de nature à déroger à la règle de l’effacement des données personnelles, conformément au RGPD, d’une part, la situation économique de l’entreprise rendant nécessaire la conservation des données litigieuses, d’autre part, le besoin de conserver lesdites données aux fins de se défendre devant le Conseil des prud’hommes, dans l’instance en cours opposant les parties de sorte qu’aucun trouble manifestement illicite n’est caractérisé au sens de l’article 835 du Code de procédure civile.

Le 30 avril 2024, les consorts [V], [L], [I] ont interjeté appel de cette ordonnance en toutes ses dispositions.

Selon avis du 29 mai 2024, l’affaire est fixée à bref délai à l’audience du 27 janvier 2025 en application des dispositions de l’article 905 du code de procédure civile.

Vu les conclusions notifiées le 16 janvier 2025 par la partie appelante ;

Vu les conclusions notifiées le 24 juillet 2024 par la partie intimée;

Vu l’ordonnance de clôture rendue le 20 janvier 2025 ;

PRÉTENTIONS DES PARTIES

Les consorts [V], [L], [I] concluent à la réformation et à l’infirmation de l’ordonnance attaquée et demandent à la Cour statuant à nouveau de :

– dire l’appel tel qu’interjeté régulier en la forme et justifié au fond,

– rejeter toutes prétentions de la société intimée et la débouter de ses demandes reconventionnelles,

– condamner la société ECP sous astreinte journalière de 2 000 euros, courant à partir du troisième jour faisant suite à la signification de l’arrêt à intervenir, à procéder à la fermeture des comptes d’e-mails professionnels,

– condamner la société ECP à payer aux concluants la somme de 3 000 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens d’appel et de référé.

Ils font grief à la société ECP de ne pas avoir fermé leurs adresses mails professionnelles à leur départ de l’entreprise qui sont toujours utilisées par la société, ni mis en place immédiatement des messages de cessation d’activité, préférant, ainsi qu’elle le reconnaît d’ailleurs expressément, avoir connaissance de l’intégralité des messages entrant sur ces adresses au mépris des règles applicables en la matière, un tel message de cessation d’activité n’ayant été mis en place qu’en cours d’instance devant le premier juge.

Ils exposent que la société ECP ne fait pas la démonstration de motifs légitimes et impérieux justifiant qu’il soit fait exception aux dispositions du RGPD et qui prévaudraient sur leurs intérêts, droits et libertés. Ils font valoir à cet égard qu’il ne peut être considéré que les salariés se seraient rendus coupables de vols de données alors qu’il appartenait à l’entreprise de mettre en place un système de collecte et de sauvegarde des données, ce qui n’est pas le cas.

Ils ajoutent que la société ECP ne fait aucune référence au caractère légitime et raisonnable de son propre intérêt face aux atteintes aux intérêts et droits et libertés de leurs ex-salariés et qu’il lui appartenait de vérifier si le traitement qu’elle mettait en oeuvre en ne fermant pas les messageries ne portait pas atteinte à leur droit de protection des données et à leurs vies privées alors que ces messageries étaient susceptibles de recevoir des messages privés mais également des messages relatifs à leurs activités professionnelles actuelles.

Ils considèrent que le motif invoqué par la société ECP de se protéger contre des intentions prétendument malveillantes et d’assurer sa défense devant les tribunaux saisis ne suffit pas à justifier d’un motif légitime et impérieux.

Ils ajoutent qu’il est établi que la société ECP a utilisé la messagerie internet des concluants pour relever des échanges avec des tiers qu’elle entend exploiter pour démontrer que sa société est victime d’une activité concurrente des appelants, ce qui constitue une violation des règles applicables en matière de messagerie électronique par la société ECP qui a utilisé ces messages à des fins déloyales.

La société ECP conclut à la confirmation de l’ordonnance attaquée en toutes ses dispositions et demande à la Cour statuant à nouveau de :

– débouter les consorts [V], [L] et [I] de l’ensemble de leurs demandes subséquentes,

– condamner Monsieur [C] [L], Monsieur [S] [V] et Madame [H] [I] à payer in solidum la somme de 8.000 euros à la société ECP au titre de l’article 700 du Code de procédure civile,

– condamner Monsieur [C] [L], Monsieur [S] [V] et Madame [H] [I] aux entiers dépens de l’instance.

Elle invoque l’application des articles 17 et 21 du RGPD qui prévoient que si la personne concernée a droit à l’effacement des données à caractère personnel la concernant et a la droit de s’opposer à un traitement de ces données, ces dispositions ne s’appliquent pas d’une part lorsque ce traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice (article 17) et d’autre part lorsque le responsable du traitement démontre qu’il existe des motifs légitimes et impérieux pour ce traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée ou pour la constatation, l’exercice ou la défense de droits en justice (article 21).

Elle soutient avoir dans un premier temps mis en place des réponses automatiques sur les trois messageries litigieuses informant du départ des trois salariés de la société, de sorte qu’il n’existait aucun risque d’usurpation d’identité professionnelle ou d’intention malveillante de la part de la société. Elle indique avoir dans un second temps ordonné la suspension des messageries électroniques jusqu’au 31 juillet 2024, date depuis laquelle ces messageries sont désormais clôturées de sorte que la demande de fermeture sous astreinte est aujourd’hui sans objet.

Elle expose au surplus qu’elle établit l’existence d’un motif légitime ayant justifié le maintien des messageries litigieuses alors que du fait de leurs fonctions stratégiques au sein de l’entreprise, les trois salariés bénéficiaient d’une connnaissance approfondie de l’activité de la société et ont eu accès à l’intégralité des données financières et stratégiques de celle-ci, alors qu’il existait un contexte conflictuel entourant leur départ de la société, ainsi que des éléments laissant apparaître des intentions de pillage non dissimulées des actifs de la société et d’actes de concurrance déloyale et alors que M. [V] a supprimé massivement des données de sa messagerie, ce qui a contraint la société, du fait du caractère hautement statégique de son poste, à la maintenir pour reconstituer son activité .

Elle considère, en conséquence, avoir eu un intérêt légitime et impérieux à maintenir ces messageries ouvertes en vue de l’exercice de ses droits en justice.

Par application des dispositions de l’article 455 du Code de procédure civile, la Cour entend se référer aux dernières écritures des parties ci dessus visées pour plus ample exposé des moyens et prétentions qu’elles ont développés.

Aux termes de l’article 835 alinéa 1 du code de procédure civile, le président du tribunal judiciaire ou le juge du contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite.

Le trouble manifestement illicite visé par ce texte désigne toute perturbation résultant d’un fait matériel ou juridique qui, directement ou indirectement, constitue une violation évidente de la règle de droit.

A supposé établi que les comptes de messagerie aient d’ores et déjà été supprimés, il appartient à la cour de déterminer si la demande était justifiée lorsque le premier juge a statué. (Cour de Cassation 2ème Chambre civile, 4/06/2009). L’appel n’est donc pas dépourvu d’objet.

§§

Selon le considérant 40 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD), ’pour être licite, le traitement de données à caractère personnel devrait être fondé sur le consentement de la personne concernée ou reposer sur tout autre fondement légitime prévu par la loi, soit dans le présent règlement soit dans une autre disposition du droit national ou du droit de l’Union, ainsi que le prévoit le présent règlement, y compris la nécessité de respecter l’obligation légale à laquelle le responsable du traitement est soumis ou la nécessité d’exécuter un contrat auquel la personne concernée est partie ou pour prendre des mesures précontractuelles à la demande de la personne concernée.’

Les adresses e-mails litigieuses, composées du nom et du prénom des personnes à qui elles ont été attribuées, constituent des données à caractère personnel au sens de l’article 4 .1. du RGPD en ce qu’il s’agit de données se rapportant à une personne physique identifiée ou identifiable.

Selon les dispositions de l’article 5.2. du RGPD, en sa qualité de responsable de traitement, l’employeur est tenu de respecter les principes de protection des données de ses salariés, notamment de les traiter de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) et doit être en mesure de démontrer que ceux-ci sont respectés.

En application de l’article 17.1 a) du règlement, la personne concernée a le droit d’obtenir du responsable de traitement l’effacement des données le concernant lorsque :

a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière,

b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement.

En l’espèce, à compter de leur licenciement ou de la fin de leur relation de travail avec la société ECP, le consentement des salariés au traitement de leurs données personnelles par l’employeur était retiré.

A compter de la rupture du contrat de travail, il n’était plus utile pour les salariés de recevoir les messages qui leur étaient adressés à l’aide du compte de messagerie professionnelle en question, ni possible d’y donner suite. L’employeur, pour les besoins de son activité, n’avait pas davantage l’utilité de collecter les données personnelles de personnes qui n’étaient plus ses préposés.

Le fait que les comptes de messagerie des appelants ait été néanmoins conservés est de nature à permettre la collecte et l’utilisation potentielles de données à caractère personnel à l’insu des émetteurs et des destinataires des messages, nonobstant la réponse automatique mise en place par l’employeur dans un second temps.

La société ECP ne conteste pas que l’utilisation des données personnelles de ses salariés postérieurement à leur départ de l’entreprise puisse constituer un défaut de protection. Elle invoque cependant les dispositions de l’article 7. 3 e) du RGPD selon lesquelles le droit à l’effacement ne s’applique pas lorsque les traitement des données est nécessaire ’à la constatation, à l’exercice ou à la défense de droits en justice’.

Cependant, si elle justifie la persistance des comptes de messagerie par l’existence parallèle de contentieux judiciaires avec les appelants, elle n’indique pas quels éléments concrets ainsi recueillis elle projette de produire en justice pour exercer ses droits ou les défendre. Dès lors la nécessité de la conservation des données ne peut être appréciée et ne peut constituer une exception à la protection des données personnelles sur ce motif.

La société intimée invoque également à son profit les dispositions de l’article 21 du RGPD qui permet, malgré l’opposition de la personne concernée, de poursuive le traitement de ses données personnelles s’il est démontré ’qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.’

La société ECP soutient que les trois anciens salariés occupaient des postes hautement stratégiques au sein de l’entreprise, qui leur donnaient les moyens de réaliser leurs intentions non dissimulées de pillages des actifs de la société.

Pour établir le caractère hostile des relations entre les parties, la société ECP produit un document daté du 30 octobre 2023, non intitulé, dans lequel il est relaté que le 25 mai 2023, Monsieur [L] et Monsieur [V] ont organisé un déjeuner avec la plupart des cadres de l’entreprise durant lequel ils ont dénigré les nouveaux mandataires sociaux de la société, ont demandé aux cadres ’ de faire tout leur possible pour ralentir la prise de fonction de la nouvelle direction (…) l’objectif étant de reprendre l’entreprise à bon compte ou les actifs à bas prix pour redémarrer une activité dans la décontamination avec ceux qui voudraient les suivre’. Ce document, qui ne constitue pas une attestation régulière, n’établit ni l’identité des signataires, ni leur appartenance à la société, est dépourvu de force probante.

La société intimée soutient qu’elle disposait déjà d’un certain nombre de messages de démarchage de sa clientèle par les trois demandeurs, lesquels ont été délivrés par erreur de leur émetteur sur leur ancienne messagerie ecp-cleaning.com. Ces messages ne sont cependant pas versés aux débats de sorte que l’argument équivaut à une simple affirmation.

La société ECP s’appuie également sur les motifs de licenciement de Monsieur [L] et de Madame [I], lesquels résultent seulement de la lettre de licenciement qu’elle leur a adressée et qui sont à ce stade contestés par les appelants et soumis au jugement du conseil de prud’hommes.

Dès lors, le risque de comportements déloyaux de la part des appelants en ce qu’il constituerait un motif impérieux de maintien des messageries professionnelles et la condition nécessaire de la préservation des intérêts de la société, n’est pas suffisamment étayé.

Enfin la société ECP fait valoir que la suppression par Monsieur [V] de toutes les données de sa messagerie professionnelle l’a contrainte à maintenir sa messagerie électronique active après son départ « afin de monitorer des flux de messages des clients et prospects et d’espérer reconstituer son activité », rappelant que la disparition de ces données est intervenue dans le contexte très particulier de l’incendie qui a ravagé l’établissement industriel principal situé à [Localité 7] et qui concouraient à près de 90 % de son chiffre d’affaires.

Si le contexte du départ des salariés de l’entreprise, les fonctions stratégiques exercées par ces derniers, et les circonstances particulières du sinistre ci-dessus rappelé pouvaient justifier le maintien temporaire des comptes de messagerie professionnelle des appelants, il appartenait à la société ECP, en sa qualité de responsable du traitement des données, de mettre en ’uvre les mesures adéquates pour ne pas laisser perdurer le maintien des messageries au-delà d’un délai raisonnable.

Or l’intimée, qui reste taisante sur la nature et l’utilisation qu’elle a faite des messages électroniques reçus sur les boîtes professionnelles après le départ de leurs titulaires, ne met pas la cour en mesure de vérifier les motifs impérieux qu’elle allègue.

En effet Monsieur [L] et Madame [I] ont été licenciés en juin 2023, et Monsieur [V] a bénéficié d’une rupture conventionnelle de son contrat de travail en août 2023.

Les anciens salariés ont sollicité l’arrêt de leur messagerie électronique par courrier remis en main propre le 8 août 2023 pour Monsieur [V] et par lettre du 22 août 2023 pour l’ensemble des appelants.

Le 1er septembre 2023, ils ont fait dresser par commissaire de justice le constat de ce que leur messagerie était toujours active et qu’aucune réponse automatique circonstanciée n’a été retournée en réponse au mail adressé par l’officier ministériel.

Ils ont déposé en octobre 2023 une plainte auprès de la CNIL.

Alors que l’assignation en référé date du 7 novembre 2023, ce n’est que le 22 janvier 2024 soit sept à cinq mois après la rupture du contrat de travail que la société ECP justifie avoir mis en place une réponse automatique adressée aux expéditeurs de messages vers les boîtes professionnelles des intéressés.

La société ECP affirme avoir clôturé les comptes de messagerie professionnelle le 31 juillet 2024 soit un an après le départ des salariés de l’entreprise.

Ce délai n’est justifié par aucun motif impérieux et contrevient au principe de finalité combiné aux principes de minimisation et de limitation du délai de conservation des données énoncés par les articles 5.1b), 5.1 c) et 5.1 e) du RGPD.

Ainsi le caractère manifestement illicite du maintien par la société ECP des comptes de messagerie et de la consultation des messages adressés à ces anciens salariés sans leur consentement constitue un trouble manifestement illicite qu’il convient de faire cesser.

Aux termes de l’article L 131-1 alinéa 1 du code de procédure civile d’exécution, tout juge peut, même d’office, ordonner une astreinte pour assurer l’exécution de sa décision.

En l’espèce, le prononcé d’une astreinte est justifié par le délai inadapté du maintien du traitement des données personnelles par la société, par sa résistance aux demandes répétées des appelants, et par fait qu’elle ne justifie par aucune pièce dans le cadre de cette instance avoir effectivement supprimé les comptes de messagerie ainsi qu’elle le soutient.

En conséquence il convient de réformer l’ordonnance déférée en toutes ses dispositions et de faire droit à la demande de condamnation de la société ECP sous astreinte ainsi qu’il est dit au dispositif.

Sur les dépens et les frais irrépétibles :

La société ECP qui succombe sera condamnée aux entiers dépens et à payer à Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] une somme de 3.000 euros au titre de l’article 700 du Code de procédure civile.

La Cour,

Infirme l’ordonnance en toutes ses dispositions,

Condamne la société ECP, société par actions simplifiées, à rendre inactifs et supprimer les comptes de messagerie professionnelle attribués à Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] dans un délai de huit jours à compter de la signification du présent arrêt, et sous astreinte provisoire de 500 euros par jour de retard passé ce délai, et pendant une durée de six mois, période au-delà de laquelle il pourra être à nouveau statué,

Rejette toutes les demandes de la société ECP,

Condamne la société ECP aux entiers dépens de première instance et d’appel et à payer à Monsieur [S] [V], Monsieur [C] [L] et Madame [H] [I] la somme de 3.000 euros au titre de l’article 700 du Code de procédure civile.

Le greffier La présidente