AIR FRANCE disposait d'un outil informatique déclaré auprès de la CNIL, permettant un suivi de l'activité journalière et un passage de consignes entre les cadres de permanence des sites de Roissy et d'Orly, ces informations ayant pour but d'informer les cadres sur les événements liés à l'exploitation et les demandes particulières des pilotes.
Le Syndicat des pilotes d'AIR FRANCE contestait cet outil informatique aux motifs:
d'un défaut de consentement de la personne concerné par l'événement et d'un manque de loyauté, les pilotes étant informés au préalable et d'une manière générale de l'existence de l'outil, de son objet et de sa finalité, mais non, lors de chaque création d'événement,
d'une utilisation de l'outil à des fins disciplinaires, donc à d'autres fins que celles déclarées lors de la création de l'outil,
de la récupération de données sensibles ou illicites, notamment la survenance d'arrêts de travail ou de faits de grêve.
La Cour de Cassation n'a pas retenu ces arguments du Syndicat. Est licite l'outil informatique qui répond aux conditions suivantes:
information préalable de l'existence de cet outil, de sa finalité, des destinataires des données collectées, des droits d'accès, rectification et suppression, par le biais d'un mémo circularisé et disponible à tout moment sur l'intranet
accession directement et à tout moment à l'événement créé.
La Cour a ensuite estimé que les cas dénoncés par le Syndicat comme fautif n'étaient pas à eux seuls suffisants pour entraîner l'illicéité de l'outil :
les sanctions disciplinaires ne figuraient pas sur l'outil et le service RH disposait d'un autre outil pour l'exercice de son activité et la gestion des dossiers professionnels des pilotes,
les indications relatives aux arrêts de travail ne faisaient pas apparaître le motif de l'absence ; les deux cas relatés de mention de la qualité de gréviste étaient isolés, ancien pour l'un d'eux, rectifiés et résultaient d'erreurs commises par les utilisateurs que l'entreprise s'efforçait d'éviter en leur diffusant une liste de termes génériques.
NDLR : l'arrêt concerne des faits antérieurs à l'entrée en vigueur du RGPD mais demeure applicable actuellement par ses solutions de fond.
Cass. Soc. 13 juin 2018 n°16-25.301
"Sur le moyen unique :
Attendu, selon l'arrêt attaqué (Paris, 29 juin 2016), que, depuis 2005, la société Air France dispose d'un outil informatique dénommé "Main Courante divisions de vol" et déclaré auprès de la Commission nationale de l'informatique et des libertés (la CNIL) comme ayant pour finalité d'être un outil informatique réservé à l'encadrement des Personnels navigants techniques (PNT) et permettant un suivi de l'activité journalière et un passage de consignes entre les cadres de permanence des sites de Roissy et d'Orly, ces informations ayant pour but d'informer les cadres sur les événements liés à l'exploitation et les demandes particulières des pilotes, cette finalité n'ayant fait l'objet d'aucune critique de la part de la CNIL au moment de sa déclaration en 2005 ; que cette application, aujourd'hui dénommée "Fidèle", a été étendue à l'ensemble de la flotte ; qu'à la suite d'une plainte du syndicat des pilotes d'Air France (le SPAF), une procédure de contrôle de cette application a été menée en 2014 par la CNIL et a été clôturée le 18 juillet 2014, après que la société Air France s'est conformée aux préconisations formulées par la CNIL lors d'une réunion du 15 mai 2014 ; qu'estimant cette application illicite au regard des dispositions de la loi n° 78-17 du 6 janvier 1978, le SPAF a saisi, le 15 mai 2014, le juge des référés afin qu'il soit jugé que l'application n'était ni conforme à ladite loi ni aux dispositions conventionnelles de la convention collective nationale des PNT et du livre des standards, qu'il soit enjoint à la société de cesser toute utilisation de cette application, et notamment de cesser de collecter, recueillir ou conserver et traiter les données nominatives des pilotes ou toute indication permettant de les identifier, d'y supprimer toute rubrique comportant des indications nominatives et toute mention à caractère personnel, de la condamner à lui payer des dommages-intérêts et d'ordonner la publication de la décision à intervenir ;
Attendu que le Syndicat des pilotes d'Air France fait grief à l'arrêt de le débouter de l'ensemble de ses demandes, alors, selon le moyen :
1°/ que l'article 7 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dispose qu'« un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes : 1° Le respect d'une obligation légale incombant au responsable du traitement ; 2° La sauvegarde de la vie de la personne concernée ; 3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ; 4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ; 5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée » ; qu'en retenant que l'application « main courante divisions de vol », sous cette dénomination comme sous son actuelle dénomination « fichier des événements liés à l'exploitation » (« Fidele »), satisfaisait aux prescriptions de l'article 7 § 5° de la loi du 6 janvier 1978, au motif que l'intérêt du traitement, en ce qu'il permettait de s'assurer que tout événement notable dans la vie du pilote, d'ordre technique ou personnel, fût pris en compte par les managers grâce à un suivi de l'activité journalière et des événements liés à l'exploitation et d'aménager et de modifier les plannings des pilotes en fonction d'éléments liés à des événements personnels ou d'incidents d'ordre professionnel, n'apparaissait pas contraire aux dispositions de l'article 7 de la loi du 6 janvier 1978, pour ne pas répondre à l'intérêt légitime poursuivi par l'entreprise, sans s'expliquer, comme elle y avait été invitée par le Syndicat des pilotes d'Air France, sur la circonstance que si la finalité de l'application litigieuse était celle alléguée par la société Air France d'une gestion des événements de l'exploitation, elle n'aurait pas pu être uniquement renseignée par la hiérarchie, mais aurait comporté l'avis du pilote concerné ou du commandant de bord, la cour d'appel a privé sa décision de base légale au regard des dispositions de l'article 7 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
2°/ que pour respecter l'obligation de loyauté de la collecte des informations posée par les dispositions de l'article 6 1° de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, il appartient au responsable du traitement de données à caractère personnel d'informer la personne concernée par ces informations de l'existence de la collecte de ces données au moment même où cette collecte a lieu et de lui permettre d'y accéder et d'en obtenir la rectification avant que l'information figurant dans le traitement de données à caractère personnel ne soit définitivement arrêtée ; qu'en énonçant, par conséquent, pour retenir que l'application litigieuse satisfaisait aux exigences de l'article 6 de la loi du n° 78-17 du 6 janvier 1978, que les pilotes concernées avaient été informés de l'existence du traitement en cause, de sa finalité, des destinataires des données collectées et des droits d'accès, de rectification et de suppression dont ils bénéficiaient, et ce depuis 2005, qu'une demande d'information a priori et systématique des pilotes de la création d'un événement, outre qu'elle paraissait difficile sinon impossible à mettre en oeuvre, ne correspondait pas aux obligations de l'article 32-1 de la loi précitée et de l'article 90 du décret d'application, dans la mesure où les intéressés avaient été informés préalablement du traitement informatique au travers d'un mémo circularisé sous forme papier et disponible de manière constante sur l'intranet dédié aux pilotes, qu'il n'était pas contesté que les pilotes pouvaient à tout moment accéder directement aux fiches les concernant en accédant à l'événement au moment de sa création, et, une fois l'événement traité par le manager, accéder directement à l'application et que la loyauté de la collecte n'imposait pas un débat contradictoire au moment de cette collecte mais la faculté d'ajouter leurs commentaires s'ils le souhaitaient, la cour d'appel a violé les dispositions de l'article 6 1° de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
3°/ qu'il résulte des dispositions de l'article 6 2° de la loi du janvier 1978 relative à l'informatique, aux fichiers et aux libertés que les données à caractère personnel sur lesquelles portent un traitement ne peuvent être utilisées à des fins incompatibles avec les finalités annoncées lors de la création du traitement ; qu'en énonçant, dès lors, pour débouter le Syndicat des pilotes d'Air France de l'ensemble de ses demandes, après avoir relevé que la société Air France avait communiqué, dans le cadre d'une instance prud'homale l'opposant au commandant de bord Christian Z..., deux extraits de l'application litigieuse afin de justifier des refus de ses demandes d'être nommé instructeur et que les demandes du commandant de bord Rémi A... de rectification et de suppression de certaines informations le concernant auraient provoqué un entretien professionnel et managérial, que si ces deux exemples démontraient certes qu'une utilisation fautive de l'application litigieuse ne pouvait être totalement exclue, ils ne permettaient pas de conclure que cette application conçue pour une utilisation spécifique de gestion quotidienne de planning des pilotes et d'exploitation de la flotte et de mise à disposition de cadres et managers, seuls habilités à y accéder, serait contraire à finalité déclarée à la commission nationale de l'informatique et des libertés, quand il résultait de ses propres constatations que la société Air France avait utilisé l'application en cause à d'autres fins que celles années lors de sa création et, partant, que cette application ne répondait pas aux exigences de l'article 6 2° de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la cour d'appel n'a pas tiré les conséquences légales qui s'évinçaient de ses propres constatations et a violé les dispositions de l'article 6 2° de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
4°/ que l'article 8 de la convention d'entreprise du personnel navigant technique de la société Air France stipule qu'il est nécessaire de porter les événements et incident au dossier professionnel afin de prendre les procédures adaptées ; qu'il en résulte qu'un événement ou incident reproché à un officier navigant ne peut servir de fondement à une décision de la société Air France à l'égard de cet officier navigant dès lors que cet événement ou incident n'a pas été porté à son dossier professionnel ; qu'en retenant, pour débouter le Syndicat des pilotes d'Air France de l'ensemble de ses demandes, que l'application litigieuse ne violait pas les dispositions de la convention d'entreprise du personnel navigant technique de la société Air France, quand elle avait relevé que la société Air France avait communiqué, dans le cadre d'une instance prud'homale l'opposant au commandant de bord Christian Z..., deux extraits de l'application litigieuse afin de justifier des refus de ses demandes d'être nommé instructeur, la cour d'appel n'a pas tiré les conséquences légales qui s'évinçaient de ses propres constatations et a violé les stipulations de l'article 8 de la convention d'entreprise du personnel navigant technique de la société Air France ;
5°/ que l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés interdit la collecte et le traitement de données à caractère personnel qui font apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes ou qui sont relatives à la santé ou la vie sexuelle de celles-ci ; que constituent de telles données les informations relatives à un arrêt de travail du salarié ; qu'en retenant le contraire, pour débouter le Syndicat des pilotes d'Air France de l'ensemble de ses demandes, la cour d'appel a violé les dispositions de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
6°/ que constitue la collecte de données sensibles, interdite par l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la collecte d'informations relatives à l'exercice du droit de grève par un salarié ; qu'en énonçant, dès lors, pour débouter le Syndicat des pilotes d'Air France de l'ensemble de ses demandes, après avoir relevé que le syndicat des pilotes d'Air France produisait une référence, corrigée depuis, à la « déclaration de grève » figurant sur une fiche créée au mois de décembre 2015 concernant le commandant de bord Rémi A... ainsi qu'une ancienne main courante, datant du 5 juillet 2003, ne figurant plus dans l'application, concernant le commandant de bord Alexandre B... mentionné à cette date comme gréviste, que ces cas isolés, résultant d'erreurs commises par les utilisateurs, que l'entreprise s'efforçait d'éviter en diffusant à ces derniers une liste de termes génériques, ne sauraient suffire à démontrer que l'application offrirait la possibilité de collecter des données illicites au sens de l'article 8 de la loi informatique et libertés, la cour d'appel n'a pas tiré les conséquences légales qui s'évinçaient de ses propres constatations et a violé les dispositions de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Mais attendu, d'abord, qu'ayant constaté que les pilotes avaient été informés préalablement de l'existence de ce traitement automatisé des données à caractère personnel, de sa finalité, des destinataires des données collectées et de leurs droits d'accès, de rectification et de suppression depuis sa date de création, par le biais d'un mémo circularisé sous forme papier adressé les 31 août 2005 et 28 janvier 2013 et disponible de manière constante sur l'intranet qui leur était dédié, et qu'ils pouvaient à tout moment accéder directement à l'événement, lors de sa création et une fois l'événement traité par le "manager", pour y ajouter leurs commentaires, la cour d'appel a pu en déduire que l'application "Main Courante" était conforme à l'exigence de loyauté de la collecte posée par l'article 6 1°de la loi n° 78-17 du 6 janvier 1978 ;
Attendu, ensuite, qu'après avoir constaté que l'application "Main Courante" permettait d'assurer un suivi, entre les PNT et leurs "managers", de l'activité journalière et des événements notables liés à l'exploitation de la flotte susceptibles d'avoir un impact en termes d'exploitation de la flotte et de gestion des emplois du temps, la cour d'appel a relevé que seul l'événement était inscrit dans l'application "Main Courante" et non ses conséquences disciplinaires qui faisaient l'objet d'un traitement distinct par un autre service, le service des ressources humaines n'ayant pas besoin de consulter cette application dès lors qu'il disposait pour l'exercice de son activité d'autres applications dédiées, que l'application "Main Courante" ne comportait aucune donnée portant sur d'éventuelles sanctions et qu'aucun rapprochement entre les données contenues dans l'application "Main Courante" et celles permettant de gérer les dossiers professionnels des pilotes, notamment pour la prise de décisions dans le déroulement de leur carrière, n'était effectué ; qu'elle a pu en déduire, les deux cas d'utilisation de données issues de l'application litigieuse dénoncés par le syndicat comme fautifs n'étant pas à eux seuls suffisants à démontrer l'illicéité de l'application, l'absence de détournement de la finalité déclarée de l'application à des fins de gestion illicite du personnel en violation de l'article 6 2° de la loi n° 78-17 du 6 janvier 1978 ;
Attendu, enfin, qu'ayant constaté que les indications relatives aux arrêts de travail ne faisaient pas apparaître le motif de l'absence de sorte qu'elles ne pouvaient être considérées comme une donnée relative à l'état de santé bénéficiant de la protection prévue à l'article 8 de la loi n°78-17 du 6 janvier 1978 et que les deux cas relatés de mention de la qualité de gréviste étaient isolés, ancien pour l'un d'eux, rectifiés et résultaient d'erreurs commises par les utilisateurs que l'entreprise s'efforçait d'éviter en leur diffusant une liste de termes génériques, la cour d'appel a pu en déduire qu'il n'était pas établi que l'application litigieuse offrait la possibilité de collecter des données illicites au sens de l'article 8 de la loi précitée"
Comentarios