Rares sont les condamnations sur le fondement de l’article 226-18 du Code pénal, qui prohibe la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite. Encore plus rares sont les arrêts de la Cour de cassation rendus sur cette question. Le récent arrêt de la Cour de cassation confirmant la condamnation d’un détective privé sur ce fondement mérite donc notre attention (Cass. crim., 30 avr. 2024, n° 23-80.962).
Les faits à l’origine de cet arrêt ont été commis dans le cadre de l’affaire « IKEA », au cours de laquelle la société avait fait appel à un détective privé pour recueillir des données personnelles sur ses salariés, entre 2009 et 2012. Ces données incluaient les antécédents judiciaires, les renseignements bancaires et téléphoniques, les véhicules, les propriétés, la qualité de locataire ou de propriétaire, la situation matrimoniale, la santé, ainsi que les déplacements à l’étranger. Cette entreprise et plusieurs de ses représentants ont déjà été condamnés pénalement en juin 2021 (TJ Versailles, 15 juin 2021, n°999).
Déclaré coupable du délit de collecte de données à caractère personnel et condamné à un an d’emprisonnement avec sursis et à 20 000 euros d’amende, le détective privé chargé de ces recherches s’était pourvu en cassation, soutenant essentiellement que le recensement d’informations publiques (par voie de presse ou sur les réseaux sociaux) ne caractérisait pas un mode de collecte déloyal.
L’exigence de loyauté dans la collecte de données personnelles des salariés
Ce raisonnement n’a été suivi ni par la cour d’appel ni par la Cour de cassation.
La Cour de cassation a considéré que « le fait que les données à caractère personnel collectées par le prévenu aient été pour partie en accès libre sur internet ne retirait rien au caractère déloyal de cette collecte, dès lors qu’une telle collecte, de surcroît réalisée à des fins dévoyées de profilage des personnes concernées et d’investigation dans leur vie privée, à l’insu de celles-ci, ne pouvait s’effectuer sans qu’elles en soient informées. »
Il importe donc peu que les informations recueillies aient été rendues publiques ou non : le caractère déloyal ne s’apprécie pas en fonction de l’origine des données collectées. Cette position n’est toutefois pas nouvelle (Cass. crim., 14 mars 2006, n° 05-83.423).
Pour la Haute juridiction, le caractère déloyal, au sens de l’article 226-18 du Code pénal, ressort du fait que la collecte de données personnelles a été réalisée à l’insu des personnes concernées, les privant donc de leurs droits issus de la Loi Informatique et Libertés, étant précisé que ces faits ont été commis avant l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD). C’est cette dissimulation qui caractérise la déloyauté.
Elle souligne également le caractère illicite de la finalité de cette collecte, ayant pour objet le profilage des personnes concernées et l’investigation dans leur vie privée. Cette constatation, bien que non déterminante pour apprécier la loyauté de la collecte, était néanmoins suffisamment grave pour être relevée par la Cour de cassation.
Une restriction au pouvoir d’enquête des détectives privés ?
Une lecture rapide de cet arrêt pourrait laisser penser que la jurisprudence fait désormais interdiction aux détectives privés, et par extension aux employeurs, de recueillir en toute circonstance des informations issues de données publiques.
Telle n’est pas notre analyse.
En effet, cette condamnation doit, à notre sens, s’expliquer par la particularité de l’affaire en cause. Il existait en effet ici, à côté du dossier du personnel classique, un autre dossier contenant un grand nombre d’informations privées, voire intimes, dont le salarié n’avait nullement connaissance.
Cette situation n’est guère assimilable à celle de l’employeur qui collecterait des données issues de sources publiques pour faire valoir ses droits, par exemple en cas de vol de matériel appartenant à l’entreprise ou de violation d’une clause de non-concurrence par un ancien collaborateur. Dans cette hypothèse, la collecte n’interviendrait pas à l’insu des personnes concernées, qui en seraient informées par leur employeur dans le cadre d’une procédure disciplinaire ou judiciaire. Elle ne serait donc pas déloyale selon l’interprétation donnée par la Cour de cassation, de sorte que l’infraction prévue à l’article 226-18 du Code pénal ne serait pas caractérisée.
Au demeurant, rappelons que l’article 14 du Règlement Général de Protection des Données, qui liste les informations à fournir en cas de collecte indirecte, c’est-à-dire lorsque les données personnelles ne sont pas collectées auprès de la personne concernée, prévoit plusieurs exceptions, notamment lorsque la fourniture de telles informations « compromettrait gravement la réalisation des objectifs dudit traitement ». Selon le Comité européen de la protection des données (EDPB, ex « G29 »), cette exception concerne notamment les signalements entre acteurs privés dans le cadre de la lutte contre le blanchiment des capitaux. Cette exception peut également, à notre sens, être utilement invoquée pour justifier une collecte de données à des fins purement probatoires.
Sous réserve que les données personnelles soient collectées de façon licite et non frauduleuse, à des fins légitimes, et ne soient pas conservées durablement à l’insu des salariés, le recours à un détective privé reste donc envisageable.
