[Commentaire] Éclairage sur l’appréciation de la conformité au RGPD des données personnelles d’un salarié issues de la vidéoprotection au soutien de la recevabilité de la preuve d’une faute grave

Mots-clés : RGPD • vidéosurveillance • preuve • licenciement • faute grave

Dans un arrêt du 21 mai 2025, la Chambre sociale nous éclaire pour la première fois et de manière didactique, sur son mode d’appréciation de la conformité au RGPD, des données recueillies par un système de vidéoprotection dans un litige où un salarié chargé d’assurer la sécurité des bagages dans un aéroport international, avait été licencié pour faute grave à partir d’une preuve issue de ce dispositif.

Rares sont encore les arrêts de la Chambre sociale mobilisant le RGPD. Le sont encore plus ceux qui rendent compte de l’appréciation des juges quant à la conformité du traitement des données personnelles des salariés à celui-ci. En réalité, l’arrêt du 21 mai 2025 est le premier à révéler un contrôle aussi détaillé. D’où son caractère inédit et remarquable. Alors que jusqu’à peu, le RGPD était surtout exploité au soutien de demandes ou de refus de communication de certaines pièces au nom du droit à la preuve ou du droit à la protection des données personnelles [1], au travers de l’arrêt commenté, la Chambre sociale se livre pour la première fois à une analyse assez minutieuse et didactique de la conformité d’un traitement de données personnelles au RGPD, dans un litige relatif à la justification d’un licenciement disciplinaire.

L’affaire concernait un salarié qui avait été engagé comme opérateur de sûreté dans un aéroport où il était affecté et chargé du contrôle des bagages lors du passage aux rayons X. Après avoir été licencié pour faute grave le 13 janvier 2020, son employeur lui reprochant de ne pas avoir contrôlé le bagage cabine d'un passager en violation des procédures en vigueur, le salarié a contesté cette rupture devant les prud’hommes. Puis, l’affaire a été portée devant la cour d’appel d’Amiens qui, dans un arrêt du 28 avril 2022 a jugé son licenciement justifié, le déboutant ainsi de ses demandes. La solution et la motivation des juges d’appel sont enfin confirmées par la Haute juridiction qui rejette le pourvoi formé par le salarié dans l’arrêt commenté.

La Chambre sociale répond en réalité à deux problématiques juridiques différentes que posait le cas d’espèce. La première était relative à la licéité du système de vidéosurveillance, mis en place dans l’aéroport, ayant servi à prouver la faute commise par le salarié. La seconde portait quant à elle, sur la contestation de la qualification de faute grave, au vu notamment de l’importante ancienneté du salarié et de son absence d’antécédents disciplinaires. Nul doute que le caractère sensible des fonctions occupées par le salarié en termes de sécurité des passagers d’un aéroport dans un contexte de mise en œuvre du plan Vigipirate a joué un rôle crucial dans l’appréciation de la faute grave par les juges. Ces circonstances ont aussi eu un impact sur celle de la recevabilité de la preuve issue de la vidéosurveillance/protection. La lecture de l’arrêt révèle que la licéité de cette dernière repose sur une double conformité : celle au RGPD, d’une part, et celle à la réglementation spécifique de la vidéoprotection dans les lieux publics particulièrement sensibles tels les aéroports, d’autre part [2]. Néanmoins, compte-tenu de la place prépondérante qu’occupe la conformité au RGPD dans la motivation de l’arrêt commenté, l’analyse se concentrera surtout sur celle-ci, d’autant que la réglementation propre à l’installation de la vidéoprotection dans un aéroport en France n’est pas explicitement rappelée par la Cour de cassation. Ainsi, nous examinerons, dans un premier temps, la prééminence des règles issues du RGPD au soutien de l’appréciation de la recevabilité de la preuve de la faute commise par le salarié (I.). Puis, dans un second temps, l’impact du caractère sensible des fonctions du salarié et de son lieu de travail sur la recevabilité de la preuve et la justification du licenciement (II.).

I. La prééminence des règles issues du RGPD au soutien de l’appréciation de la recevabilité de la preuve d’une faute commise par un salarié issue de la vidéosurveillance dans un aéroport international

La primauté du RGPD se manifeste très nettement dans l’arrêt du 21 mai 2025, à travers l’exclusion de certaines règles issues du droit du travail au profit du respect du seul règlement (A.) mais aussi, et c’est ce qui est inédit, par une vérification minutieuse et didactique de la conformité du traitement des données personnelles issues de la vidéosurveillance au RGPD (B.).

A. L’exclusion de certaines règles en droit du travail au profit du respect du RGPD

Cette exclusion est déjà visible dans la motivation de l’arrêt, qui ne se réfère qu’au RGPD. Elle concerne plus précisément le devoir de transparence dont est classiquement redevable l’employeur à l’égard des salariés et des représentants du personnel, préalablement à la mise en œuvre d’un moyen de surveillance. En effet, l’article L. 1222-4 du Code du travail N° Lexbase : L0814H9Z exige que les salariés soient informés préalablement à la décision de mise en œuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés, tandis que l’article L. 2312-38, alinéa 3, du Code du travail N° Lexbase : L8271LGG oblige l’employeur à une information-consultation préalable des représentants du personnel sur tout moyen de contrôle et de surveillance des salariés. Des obligations spécifiques d’information et de consultation à ce sujet sont donc posées par le Code du travail. Or, il se trouve que la vidéoprotection n’avait pas été mise en place en l’espèce, pour contrôler spécifiquement l’activité des salariés, même si elle emportait naturellement un tel effet. Il n’est donc guère étonnant que le pourvoi ait soutenu entre autres, que la cour d’appel avait violé ces deux articles du Code du travail et que partant, la preuve issue de la vidéosurveillance était illicite donc irrecevable pour fonder le licenciement disciplinaire.

Sans réelle surprise, l’argument n’a néanmoins, pas convaincu la Haute juridiction qui, après avoir rappelé que les images issues du dispositif de vidéoprotection sont des données personnelles relevant du champ d’application du RGPD, s’est fondée sur le respect par le responsable du traitement en l’espèce, des articles 13 et 14 de ce règlement, relatif au devoir de transparence, pour juger que le dispositif « n’avait pas été mis en place à l’insu de l’intéressé qui était informé à l'instar des autres personnes concernées, des finalités du dispositif de contrôle et de son droit d'accès aux enregistrements le concernant ». Or, cette obligation, au sens du RGPD, recouvre justement les informations sur les finalités du dispositif de contrôle, le droit d’accès et de rectification ou encore la mise à disposition des coordonnées du DPO, et celle-ci était en l’espèce bien remplie par le responsable du traitement par voie d’affichage.

Quant à la licéité du traitement, la Cour de cassation prend la peine de rappeler qu’en vertu de l’article 6, § 1 du règlement, il suffit qu’un seul fondement légal soit légitime pour justifier le traitement. Ainsi, le fait que le système de vidéoprotection n’ait pas été mis en place pour contrôler spécifiquement l’activité des salariés ne signifie pas qu’il soit nécessairement illicite, dès lors qu’il peut être fondé sur une autre base légale prévue par le règlement. Il en résulte également que le devoir de transparence auquel l’employeur doit être en principe redevable, préalablement à la mise en œuvre d’un dispositif de surveillance, n’a pas lieu d’être. Seule compte à cet égard, la communication des informations précitées en vertu du RGPD. Les salariés sont ainsi appréhendés comme toute partie intéressée dont les données personnelles sont traitées par le dispositif de vidéosurveillance : passager, visiteurs etc…. Il n’y a pas lieu de les informer de manière spécifique et encore moins dans un contexte où le salarié, en l’espèce, exerçait des fonctions cruciales pour la sécurité, dans un lieu public aussi sensible qu’un aéroport international.

L’absence de prise en compte de la situation du salarié par rapport aux autres personnes concernées par le traitement des données personnelles ressort aussi du côté de la problématique de la charge de la preuve que les images et enregistrements ont été bien mis à sa disposition après demande de celui-ci. En effet, là où le salarié soutenait dans son pourvoi que la preuve de la demande à exercer son droit d’accès devait reposer sur l’employeur, la Haute juridiction répond que les juges n’ont pas inversé la charge de celle-ci et qu’il n’y a donc pas eu de violation de l’article 1353 du Code civil N° Lexbase : L1013KZK. La responsabilité de cette preuve incombait donc au seul salarié. Une appréciation qui semble en adéquation avec la logique de responsabilisation innervant le RGPD. Rappelons, en effet, que cette dernière s’applique également aux destinataires du traitement censés s’assurer de la conformité de celui-ci au règlement en exerçant au besoin, les droits qui leur sont conférés à l’instar du droit d’accès. Censés être « souverains » quant à leurs données personnelles, les salariés, comme n’importe quelle personne concernée par le traitement, sont aussi responsables de l’exercice ou de l’absence d’exercice de leurs droits issus du RGPD. S’ils ont demandé à les exercer, ils sont aussi responsables d’en apporter la preuve. Il ne saurait y avoir d’aménagement probatoire particulier, comme ce que l’on a coutume d’observer dans les relations de travail dans certains domaines, comme en matière de preuve du motif de licenciement [3].

La solution s’explique certes par le RGPD mais, elle n’en traduit pas moins un certain effacement des règles du droit du travail, au profit uniquement de celles issues du droit de la protection des données personnelles. En ce domaine, l’information du salarié se dilue dans une communication générale et globale « par voie d’affichage » car destinée à l’ensemble des personnes concernées par le traitement. Et il demeure de la responsabilité des travailleurs d’en déduire qu’un tel traitement peut également servir à les surveiller et, le cas échéant, à prouver une faute disciplinaire qui leur serait imputable, ce qui dans un contexte différent de notre cas d’espèce, peut ne pas relever de l’évidence.

Eu égard aux conséquences potentiellement nuisibles du traitement des données personnelles sur l’emploi, un contrôle fort de la Cour de cassation sur la licéité et la recevabilité de la preuve issue d’un tel traitement, comme en l’espèce, apparaît salutaire.

B. Une vérification minutieuse et didactique de la conformité du traitement des données personnelles issues de la vidéosurveillance au RGPD

Dans sa première réponse dédiée à la question de la licéité de la preuve, la Haute juridiction se livre à un contrôle approfondi de la conformité du traitement des données personnelles du salarié au RGPD, preuve que les juges ont pris acte du caractère fondamental du droit à la protection des données personnelles. Tout d’abord, la Chambre sociale prend le soin de rappeler la définition de ce qu’est un traitement et un responsable du traitement, au sens de l’article 4 du RGPD, dès lors qu’en l’espèce, cette qualité était partagée aussi bien par l’employeur que par la société exploitant l’aéroport international. Ces précisions lui permettent d’en tirer une première conclusion au point 11 de l’arrêt, à savoir que les pièces versées par l’employeur pour démontrer la faute du salarié à partir de la captation et du visionnage des images issues du système de vidéoprotection de l'aéroport constituent bel et bien un traitement de données à caractère personnel au sens du RGPD. Dès lors, le responsable du traitement se devait bien de respecter les obligations qui lui incombaient en vertu de ce texte, notamment en ce qui concerne le devoir de transparence, comme exposé précédemment, ainsi que tous les principes régissant la protection des données personnelles, prévus par l’article 5, ou encore la nécessité de justifier le traitement par au moins un fondement légal, conformément à l’article 6, § 1 du règlement.

La Chambre sociale ne s’arrête pas là, elle s’appuie ensuite sur le contrôle opéré par la cour d’appel pour relater minutieusement toutes les précautions prises par le responsable du traitement afin de se conformer au texte ainsi qu’à la réglementation spécifique relative à la vidéoprotection dans un lieu public sensible [4]. En ce qui concerne la conformité au RGPD, outre le respect de l’information due aux destinataires du traitement, dont le salarié [5], la Chambre sociale relève que le responsable du traitement « avait établi une procédure périodiquement mise à jour, relative à l'utilisation et au droit d'accès aux images du système de vidéosurveillance garantissant qu'un nombre limité de personnes fussent autorisées à visionner les images et une durée de conservation des enregistrements limitée à cinq jours », une appréciation qui renvoie également au respect des principes de sécurisation des données personnelles et de minimisation du point de vue des personnes habilitées à accéder à celles-ci. Ainsi, seules les personnes autorisées à accéder à ces images ont pu dresser, en l’espèce, les constats et attestations permettant de prouver la faute disciplinaire.

Concernant l’exercice du droit d’accès par le salarié, dont ce dernier se plaignait d’avoir été privé, la Cour relève que l’employeur l’avait informé, lors de son entretien préalable, des faits reprochés. Et quand bien même l’employeur n’aurait pas rappelé au salarié l’exercice de son droit d’accès à ce moment-là, il en ressort que le responsable du traitement avait bien satisfait, préalablement au recueil des données personnelles, à son exigence de transparence, au sens du RGPD [6]. De surcroît, la Chambre sociale rappelle que le salarié aurait pu également discuter de manière contradictoire des images à partir desquelles la faute était alléguée lors de l’instance prud’homale. L’argument du salarié lié au non-respect de ses droits à la défense et partant, à une violation de la Convention européenne des droits de l’Homme et du RGPD, en raison de l’absence d’information sur l’exercice de son droit d’accès, est donc écarté.

De manière générale, une argumentation fondée sur le non-respect des droits de la défense a peu de chance de prospérer, surtout lorsque l’on se place en amont, au stade des procédures internes, compte-tenu de l’absence d’obligation légale de fournir les pièces au soutien du licenciement projeté lors de l’entretien préalable ainsi que d’informer le salarié, dès la lettre de convocation à cet entretien, des raisons de la rupture envisagée. Une telle argumentation est d’autant plus vouée à l’échec lorsque la preuve repose sur un traitement de données personnelles, compte tenu de la logique de responsabilisation qui sous-tend le RGPD et qui conduit à faire reposer sur les destinataires du traitement le soin de vérifier si le traitement de leurs données personnelles est conforme au texte, en exerçant différents droits dont le droit d’accès.

La solution rendue n’est toutefois pas réellement satisfaisante, dans le sens où tout repose finalement sur la mobilisation du salarié en tant que destinataire du traitement à exercer ses droits liés à la protection de ses données personnelles. Même si, en l’occurrence, au vu des fonctions exercées dans un lieu public sensible, il était de bon sens de considérer que le salarié ne pouvait pas, en l’espèce, ignorer que l’aéroport faisait l’objet d’une vidéoprotection, y compris son poste de travail, il n’en demeure pas moins qu’il n’est pas acquis qu’il ait été sensibilisé en temps utile à la faculté d’exercer ses droits sur ses données personnelles, c’est-à-dire en amont de son licenciement. Même si l’information sur ses droits a été fournie par la voie de l’affichage ainsi que collectivement, à travers les représentants du personnel conformément au RGPD, il n’est pas non plus acquis que tout salarié, quelle que soit sa fonction (sauf à être juriste ou ingénieur spécialiste en matière de RGPD), soit conscient de la possibilité d’exercer son droit d’accès en particulier, pour contester les griefs allégués par son employeur à son encontre à partir du traitement de ses données personnelles, comme en l’occurrence les images enregistrées. Certes, comme le rappelle la Cour de cassation, il a pu en discuter lors de l’instance prud’homale, mais n’est-ce pas déjà trop tard, dès lors que la perte d’emploi était déjà acquise ? L’enjeu d’une telle discussion au stade contentieux ne serait alors qu’indemnitaire…

Bien que la finalité du traitement ayant servi de preuve de la faute du salarié fût, en l’espèce, parfaitement légitime, à savoir comme le relève la Chambre sociale, « assurer la sécurité des personnes et des biens dans l'enceinte d'un aéroport international », et que ce traitement par la société exploitant l’aéroport comme par l’employeur, était conforme au RGPD, rendant ainsi la preuve licite et recevable, il semble à nos yeux que cette analyse n’est satisfaisante qu’en partie, si l’on prend un peu de recul par rapport aux circonstances particulières de la présente affaire et que l’on raisonne de manière plus abstraite.

L’analyse atteste certes de la place prépondérante que le RGPD a vocation à occuper dans le raisonnement des juges pour ce type de litige, mais ce faisant, elle permet aussi à la logique de responsabilisation qui touche également les destinataires du traitement, de se déployer pleinement. Or, lorsque les personnes concernées incluent des salariés et que leur emploi est virtuellement en jeu, la nécessité de les sensibiliser en temps utile à l’exercice de leurs droits relatifs à leurs données personnelles apparaît d’autant plus forte. Cela ne devrait-il pas conduire à aller encore plus loin dans le contrôle, c’est-à-dire au-delà de la seule vérification du respect du RGPD, pour s’assurer que les salariés ont réellement eu connaissance en temps utile de la possibilité d’exercer leurs droits sur leurs données personnelles, y compris pour se défendre dans un conflit avec leur employeur, en amont de toute décision ?

II. L’impact du caractère sensible des fonctions du salarié et de son lieu de travail dans l’appréciation de la recevabilité de la preuve et de la justification du licenciement

L’impact des fonctions du salarié et de son lieu de travail, dans la solution adoptée, se mesure aussi à travers le contrôle de la conformité aux règles relatives à l’installation d’une vidéoprotection dans un lieu public sensible (A.) ainsi que sur celui de la qualification de la faute grave (B.).

A. Le contrôle de la conformité aux règles sur l’installation d’une vidéoprotection dans un lieu public sensible

Outre la conformité du traitement des données personnelles issues de la vidéosurveillance au RGPD, les juges ont également contrôlé la licéité de l’installation de la vidéoprotection, en l’espèce. Même si la conformité au RGPD occupe une place prééminente dans l’arrêt commenté, des références implicites sont également faite à celle relative à la réglementation spécifique concernant la mise en place de dispositifs de vidéoprotection et ce, à travers le rappel des raisons pour lesquelles la cour d’appel a jugé ce système licite. Ainsi, non seulement ce dispositif a fait l’objet de déclarations successives à la CNIL, conformément à la réglementation applicable avant l’entrée en vigueur du RGPD, mais il a été également dûment autorisé par arrêté préfectoral, en vertu des dispositions applicables, prévues notamment par le Code de la sécurité intérieure [7]. Enfin, les représentants du personnel ont été informés et reçus par la commission départementale de vidéoprotection, chargée de délivrer un avis préalablement à l’autorisation préfectorale [8].

B. L’incidence de l’impératif de sécurisation des personnes et des biens dans un aéroport international sur la qualification de la faute grave

Assurément, l’impératif de sécurisation des personnes et des biens sur un lieu public aussi sensible qu’un aéroport international a joué un rôle prépondérant dans la qualification de faute grave en l’espèce. En effet, l’attitude du salarié n’était pas conforme à la méthodologie de contrôle de tout bagage à laquelle il devait pourtant se plier au vu de ses fonctions. Plus précisément, le reproche lui a été fait de n’avoir pas procédé à la moindre analyse du bagage d’un passager, avec qui en plus, il s’était permis d’entretenir une discussion informelle, relative à un sport bien connu. Ainsi, il a été jugé que « le manquement du salarié à ses obligations contractuelles, en dépit de l'absence d'antécédent disciplinaire, justifie son éviction immédiate de la société Securit'Air qui était dès lors légitime, […] à le licencier pour faute grave ». Compte-tenu des enjeux en termes de sécurité des autres travailleurs et plus généralement des passagers et de l’ensemble des visiteurs de l’aéroport, les arguments développés par le salarié en lien avec son ancienneté, l’absence d’antécédents disciplinaires pour des faits de même nature ou de risque réel quant à la sécurité des biens et des personnes du fait de l’absence de surveillance en l’espèce, n’ont pas convaincu.

Dans sa seconde réponse, la Haute juridiction s’en tient, à l’instar de la cour d’appel, aux éléments de preuve produits par l’employeur, justifiant des manquements du salarié aux règles de contrôle des bagages aux rayons X, y compris le témoignage du passager en question, ayant indiqué avoir discuté football avec le salarié, sans que ses bagages cabine aient été contrôlés par ce dernier. Même si le contrôle opéré sur cette partie de l’arrêt d’appel est plus léger que précédemment, ce qui frappe néanmoins, est le rappel très circonstancié, entre le point 18 et 21 de l’arrêt commenté, des moyens de preuve produits au soutien de la faute, tels que le rapport d'anomalie rédigé par le salarié ayant visionné les images, l’attestation corroborant celui-ci, ainsi que les autres témoignages allant dans le même sens, tout comme le constat rédigé par le fonctionnaire de la police de l'air et des frontières ou encore le témoignage du chef d’équipe, confirmant « qu'un rappel sur son positionnement avait été effectué quelques minutes auparavant auprès du salarié et qu'était versée la fiche intitulée ‘protocole analyse image RX classique’, référence 40, dans sa version applicable au moment des faits et relative à la méthodologie de contrôle de tout bagage à laquelle le salarié devait se plier, les éléments précédemment analysés permettant d'établir que celui-ci ne l'avait pas respectée ». Puis, avant de rejeter le pourvoi et de confirmer l’arrêt d’appel, la Chambre sociale relève « que le filtrage systématique des usagers et de leurs effets dans le respect scrupuleux des procédures applicables faisait partie des missions contractuelles essentielles du salarié qui concourraient à garantir la sécurité du personnel, des passagers et des installations ». Il en ressort que la cour d’appel a souverainement apprécié que le manquement du salarié à ses obligations contractuelles, en dépit de l'absence d'antécédent disciplinaire, rendait impossible son maintien dans l'entreprise.

Plus généralement, on peut en déduire que l’impératif de sécurité dans ce type de contexte est si fort que l’établissement de la cause réelle du licenciement, à savoir la faute, en viendrait à englober le caractère sérieux de celle-ci, alors même qu’il s’agit de deux exigences bien distinctes à démontrer. Au-delà des circonstances de la cause, de nature à légitimer une appréciation aussi sévère à l’égard du comportement du salarié, il est à espérer que pareille analyse ne devienne pas non plus systématique dans d’autres cas. La portée accordée à tout impératif de sécurité mérite la plus grande vigilance dès lors que sa prise en compte accroît le pouvoir disciplinaire de l’employeur, tout en assouplissant l’exigence de démontrer de manière cumulative une cause à la fois réelle et sérieuse de licenciement.

© Reproduction interdite, sauf autorisation écrite préalable