Type de juridiction : Cour d’appel
Juridiction : Cour d’appel de Poitiers
Thématique : Fuite de données personnelles : la responsabilité de l’employeur
→ RésuméLa société Laboratoires Copmed, spécialisée dans la vente de compléments alimentaires, a recruté une déléguée commerciale par contrat à durée indéterminée. En janvier 2019, cette salariée a découvert que des données de géolocalisation de son téléphone professionnel étaient accessibles sur Internet, compromettant ainsi sa vie privée. Suite à cette découverte, elle a été placée en arrêt de travail à partir de mars 2019.
Le 27 mai 2019, par l’intermédiaire de son avocat, la salariée a demandé à son employeur de lui communiquer ses données personnelles conformément au RGPD, ainsi que des informations sur la notification d’une faille de sécurité à la CNIL. Le contrat de travail a été rompu par une rupture conventionnelle signée en juillet 2019, avec une fin des relations de travail en août 2019. En juillet 2020, la salariée a saisi le conseil de prud’hommes de Niort pour obtenir des dommages et intérêts, arguant d’un manquement à l’obligation de sécurité et d’une violation du RGPD. Le jugement du 6 mai 2022 a débouté la salariée de toutes ses demandes, tout en déclarant que la société n’était pas responsable d’un manquement à son obligation de sécurité. La salariée a interjeté appel, demandant l’infirmation du jugement et la reconnaissance de la responsabilité de l’employeur pour manquement à l’obligation de sécurité et violation du RGPD. En réponse, la société a soutenu qu’elle n’avait pas accès aux données de géolocalisation et que les informations divulguées étaient le résultat d’une erreur technique temporaire. La cour a finalement reconnu que la société avait manqué à son obligation de sécurité, en rendant des données personnelles accessibles sur Internet. Toutefois, elle a limité le préjudice à 3 000 euros, considérant que la salariée n’avait pas prouvé un lien direct entre ses arrêts de travail et la découverte de la faille. La cour a confirmé le jugement sur la violation du RGPD, estimant que la salariée n’avait pas démontré de préjudice distinct. La société a été condamnée aux dépens et à verser des frais à la salariée. |
ARRET N° 171
N° RG 22/01398 – N° Portalis DBV5-V-B7G-GRYY
[B]
C/
S.A.S. LABORATOIRES COPMED
RÉPUBLIQUE FRANÇAISE
AU NOM DU PEUPLE FRANÇAIS
COUR D’APPEL DE POITIERS
Chambre Sociale
ARRÊT DU 26 juin 2025
Décision déférée à la cour : Jugement du 06 mai 2022 rendu par le Conseil de Prud’hommes – Formation paritaire de NIORT
APPELANTE :
Madame [Y] [B]
née le 13 Mars 1980 à [Localité 4]
[Adresse 6]
[Localité 2]
ayant pour avocat postulant Me Laura POMMIER, avocat au barreau de POITIERS et pour avocat plaidant Me Cyrielle MARQUILLY-MORVAN, avocat au barreau de VALENCE
INTIMÉE :
S.A.S. LABORATOIRES COPMED
N° SIRET : 381 939 164
[Adresse 3]
[Localité 1]
ayant pour avocat Me Sylvain JACQUES de la SELARL SOPHIA LEGAL SOCIETE D’AVOCATS, avocat au barreau de GRASSE
COMPOSITION DE LA COUR :
En application des dispositions des articles 907 et 805 du code de procédure civile, les conseils des parties ne s’y étant pas opposés, l’affaire a été débattue le 02 Avril 2025, en audience publique, devant :
Madame Françoise CARRACHA, présidente
Monsieur Nicolas DUCHATEL, conseiller, qui a présenté son rapport
Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la cour composée de :
Madame Françoise CARRACHA, présidente
Madame Estelle LAFOND, conseillère
Monsieur Nicolas DUCHATEL, conseiller
GREFFIER, lors des débats : Madame Patricia RIVIERE
ARRÊT :
– CONTRADICTOIRE
– Prononcé publiquement par mise à disposition au greffe de la cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de procédure civile, que l’arrêt serait rendu le 19 juin 2025. Le 19 juin 2025 la date du prononcé de l’arrêt a été prorogé au 26 juin 2025.
– Signé par Madame Françoise CARRACHA, présidente, et par Madame Elodie TISSERAUD, greffière, à laquelle la minute de la décision a été remise par le magistrat signataire.
EXPOSE DU LITIGE :
La société Laboratoires Copmed (SAS) a pour activité la vente de compléments alimentaires, produits de santé naturel et micronutrition.
Mme [Y] [B] a été recrutée par la société Copmed par contrat de travail à durée indéterminée daté du 22 août 2017 en qualité de déléguée commerciale sur le secteur Ouest-Vendée, statut employé, moyennant une rémunération brute mensuelle de 2 000 euros outre un commissionnement sur les ventes.
Par courriel daté du 30 janvier 2019, Mme [B] a indiqué à son employeur qu’elle avait constaté que les données de géolocalisation issues du dispositif équipant son téléphone mobile professionnel était accessible à tous sur internet.
Mme [B] a été placée en arrêt de travail à compter du 14 mars 2019.
Par courrier daté du 27 mai 2019, la salariée, par l’intermédiaire de son avocat, a demandé à son employeur de lui communiquer l’ensemble de ses données personnelles conformément aux dispositions du règlement général sur la protection des données (RGPD) ainsi que la notification et l’avis de réception de la notification envoyée à la CNIL dans les 72 heures de la faille de sécurité intervenue.
Le contrat de travail de Mme [B] a été rompu dans le cadre d’une rupture conventionnelle signée par les parties le 10 juillet 2019 et les relations de travail ont pris fin le 16 août 2019.
Par requête du 13 juillet 2020, Mme [B] a saisi le conseil de prud’hommes de Niort aux fins d’obtenir la condamnation de l’employeur au paiement de diverses sommes à titre de dommages et intérêts pour manquement à l’obligation de sécurité et violation du règlement RGPD.
Par jugement du 6 mai 2022, le conseil de prud’hommes de Niort a :
dit que la SAS Laboratoires Copmed n’est responsable d’aucun manquement à son obligation de sécurité de résultat,
débouté Mme [B] de l’ensemble de ses demandes,
débouté la SAS Laboratoires Copmed de l’ensemble de ses demandes,
laissé à chacune des parties la charge des dépens.
Mme [B] a relevé appel de cette décision par déclaration datée du 1er juin 2022.
Dans ses dernières conclusions communiquées le 28 février 2025 et auxquelles il convient de se reporter pour l’exposé détaillé de ses prétentions et moyens, Mme [B] demande à la cour de :
infirmer le jugement du conseil de prud’hommes de Niort rendu le 6 mai 2022 en ce qu’il l’a déboutée de l’intégralité de ses demandes, à savoir :
déboutée de sa demande de condamnation pour non-respect de l’obligation de sécurité,
déboutée de sa demande de condamnation pour violation du règlement RGPD et de son préjudice subi,
déboutée de sa demande de condamnation au titre de l’article 700 du code de procédure civile,
déboutée de sa demande d’assortir les condamnations sollicitées d’un intérêt au taux légal décompté depuis la saisine du conseil de prud’hommes.
statuant à nouveau, juger que la société Laboratoires Copmed a manqué à son obligation de sécurité,
juger que la société Laboratoires Copmed a manqué aux dispositions du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (appelé ’RGPD’),
en conséquence, condamner la société Laboratoires Copmed au paiement des sommes suivantes :
10 000 euros au titre du manquement de l’employeur à son obligation de sécurité,
20 000 euros en violation de la société Copmed du règlement RGPD, ainsi que du préjudice qu’elle a subi (sic),
2 500 euros, conformément aux dispositions de l’article 700 du code de procédure civile pour la procédure de première instance,
2 500 euros conformément aux dispositions de l’article 700 du code de procédure civile pour la procédure d’appel,
débouter la société Laboratoires Copmed de sa demande reconventionnelle visant à la condamner à lui payer la somme de 2 500 euros au titre de l’article 700 du code de procédure civile,
juger que chacune des sommes allouées produira des intérêts au taux légal à compter de la saisine du conseil de prud’hommes avec capitalisation des intérêts,
débouter la société Laboratoires Copmed de l’intégralité de ses demandes, fins et conclusions plus amples ou contraires,
condamner la société aux entiers dépens de première instance et d’appel.
Dans ses dernières conclusions transmises le 14 octobre 2024 et auxquelles il convient de se reporter pour l’exposé détaillé de ses prétentions et moyens, la société Laboratoires Copmed demande à la cour de :
débouter Mme [B] de ses moyens et conclusions,
confirmer le jugement dans toutes ses dispositions,
y ajoutant, condamner Mme [B] à lui payer la somme de 2 500 euros au titre de l’article 700 du code de procédure civile et aux entiers dépens.
L’ordonnance de clôture est intervenue le 5 mars 2025.
PAR CES MOTIFS
La cour,
Confirme le jugement rendu le 6 mai 2022 par le conseil de prud’hommes de Niort en ce qu’il a débouté Mme [Y] [B] de sa demande de dommages et intérêts au titre de la violation par la société Laboratoires Copmed du règlement RGPD et la société Laboratoires Copmed de sa demande d’indemnité sur le fondement de l’article 700 du code de procédure civile,
L’infirme pour le surplus
Statuant à nouveau sur les chefs infirmés,
Condamne la société Laboratoires Copmed à payer à Mme [Y] [B] la somme de 3 000 euros à titre de dommages et intérêts pour manquement à son obligation de sécurité,
Dit que cette somme allouée à Mme [Y] [B] produira intérêts au taux légal avec capitalisation dans les conditions prévues par l’article 1343-2 du code civil à compter de la présente décision,
Condamne la société Laboratoires Copmed aux dépens de première instance et d’appel,
Déboute la société Laboratoires Copmed de sa demande sur le fondement de l’article 700 du code de procédure civile en cause d’appel,
Condamne la société Laboratoires Copmed à payer à Mme [Y] [B] la somme totale de 3 000 euros en application de l’article 700 du code de procédure civile tant au titre des frais engagés en première instance qu’en cause d’appel.
LE GREFFIER, LE PRÉSIDENT,