L’affaire Bărbulescu c. Roumanie a trait à une question que tout employé s’est un jour posé dans le cadre de son activité professionnelle : « mon employeur a-t-il accès à mes communications privées faites par le biais des outils de l’entreprise ? ».

L’arrêt de la Grande Chambre de la Cour européenne des droits de l’homme du 5 septembre 2017 (Requête n^o 61496/06) répond à cette question et pose les principes applicables en la matière.

Les faits

Les faits se déroulent en Roumanie en 2007 alors que M. Bărbulescu est employé dans une société commerciale de droit privé. À cet égard, il lui est demandé de créer un compte de messagerie instantanée afin de répondre aux questions des clients.

Le règlement de l’entreprise prohibe l’usage à des fins privées des ressources de celle-ci, telles que les ordinateurs et les téléphones. Ce texte ne mentionnant pas la possibilité pour l’employeur de surveiller les communications de ses employés, l’employeur distribua et fit signer à tous ses employés une note allant dans ce sens au début du mois de juillet.

Dix jours après la publication de cette note, M. Bărbulescu est convoqué dans le bureau de son employeur car on le soupçonne d’utiliser la messagerie instantanée à des fins privées. L’employé nie les faits. A ce stade, il ne sait pas si la surveillance avait également visé le contenu même de ses communications. A peine une heure après cette première rencontre, l’employeur convoque une nouvelle fois M. Bărbulescu, détenant cette fois-ci pas moins de 45 pages de communications privées voire intimes entre l’employé et ses proches.

Début août, M. Bărbulescu est licencié par son employeur. Il porte donc l’affaire devant les tribunaux civils nationaux afin d’obtenir l’annulation de la décision. Il fonde alors son argumentation sur l’arrêt de Cour européenne des droits de l’homme Copland c. Royaume-Uni (requête n^o 62617/00) selon lequel les communications par téléphone ou par courrier électronique qu’un employé fait depuis son lieu de travail sont couvertes par les notions de « vie privée » et de « correspondance » protégée par l’art. 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales (CEDH).

Suite à ces échecs devant les juridictions nationales, M. Bărbulescu saisit donc la Cour européenne des droits de l’homme. Dans un arrêt du 12 janvier 2016, la chambre confirme les décisions des autorités étatiques, estimant que la balance des intérêts penche en faveur de l’employeur. En dernier recours, le recourant demande le renvoi de l’affaire devant la Grande Chambre le 12 avril 2016.

Le raisonnement de la Grande Chambre

La Grande Chambre examine le cas d’espèces en deux questions successives que sont l’applicabilité de l’art. 8 CEDH puis le respect de ce dernier. La première question revient à se demander si les faits dont se plaint le requérant relèvent du champ d’application de l’art. 8 CEDH (§ 69). La Cour rappelle sa jurisprudence en indiquant que la notion de « vie privée » est large et qu’elle ne se prête donc pas à une définition exhaustive (§ 70). Elle indique également que ce concept peut inclure les activités professionnelles. La Cour estime en effet que c’est dans le cadre de la vie professionnelle que la majorité des gens tisse le plus de liens avec le monde extérieur, raison pour laquelle celle-ci doit être protégée contre toute restriction abusive (§ 71).

Au terme de ces considérations théoriques, la Cour arrive à la conclusion que l’application de l’art. 8 CEDH dépend de savoir si le comportement de l’employeur a fait naître chez l’employé une attente quant au respect de sa vie privée (§ 73). Autrement dit, si l’employeur fait naître des attentes dépassant les standards fixés par l’art. 8 CEDH, la Cour doit fonder son analyse sur celles-ci. En revanche, si de telles attentes ne sont pas crées, l’employeur se doit de respecter l’art. 8 CEDH.

En l’occurrence, la Cour relève que M. Bărbulescu a bien été informé de l’interdiction d’utiliser internet à des fins personnelles. Cependant, il ne ressort pas clairement du dossier que le requérant ait été informé de la surveillance avant que celle-ci ne débute (§ 77). En revanche, il est établi que le requérant n’a pas été informé préalablement de l’étendue et de la nature de la surveillance dont il a fait l’objet (§ 78). La Cour soulève pour le surplus que l’employeur a également eu accès au contenu de la boîte mail privée du requérant (§ 79).

En conclusion de cette première analyse, le Cour considère qu’il n’est pas certain que les règles mises en place par l’employeur aient créé chez M. Bărbulescu des attentes raisonnables quant au respect de sa vie privée. Elle estime cependant que les restrictions mises en place par un employeur ne peuvent mettre à néant l’exercice de la vie privée sociale sur le lieu de travail, soit le droit pour tout individu d’aller vers les autres afin de nouer et développer des relations avec ses semblables et le monde extérieur. Ces mesures peuvent, tout au plus, limiter la vie privée sociale des employés dans la mesure nécessaire (§ 80). La Cour conclut pour ces raisons à l’application de l’art. 8 CEDH (§ 81).

Elle passe ensuite à l’examen de la seconde question, soit celle du respect de l’art. 8 de la Convention. La Cour commence par indiquer que le cas d’espèce doit être analysé sous l’angle des obligations positives de l’Etat (§ 111). A ce titre, des mesures protectrices de la vie privée et de la correspondance peuvent être prévues tant par le droit pénal que par le droit du travail (§ 116).

En matière de droit du travail, la Cour estime qu’en raison du lien de subordination ainsi que de la marge de négociation entre employeur et employé, les Etats bénéficient d’une marge d’appréciation étendue dans l’adoption d’un cadre légal régissant la surveillance des communications d’employés (§ 119). Elle indique toutefois que cette marge de manœuvre n’est pas illimitée, les juridictions internes devant s’assurer que les mesures ainsi prises s’accompagnent de garanties adéquates et suffisantes contre les abus (§ 120).

Dans cette optique, la Cour a édicté 6 conditions permettant aux autorités nationales de s’assurer de respect du principe de proportionnalité et des garanties procédurales contre l’arbitraire (§ 121).

En premier lieu, elles doivent se demander si l’employé a été informé de la possibilité pour l’employeur de mettre en place un système de surveillance ainsi que de la mise en place effective de ces mesures. L’information en question doit être aussi claire que possible et préalable à la mise en place de la surveillance. Le mode de transmission de l’information dépend de chaque cas d’espèce.

En second lieu, les autorités nationales doivent examiner l’étendue de la surveillance opérée par l’employeur ainsi que le degré d’intrusion dans la vie privée de l’employé. Elles doivent distinguer la surveillance des flux des communications et celle de leur contenu. De même, il faut examiner si toutes les communications ou seulement une partie d’entre elles ont fait l’objet d’une surveillance, si celle-ci était de durée limitée ou non, ainsi que le nombre de personnes ayant eu accès à ces résultats.

La troisième condition devant être examinée est celle de l’existence de motifs légitimes justifiant la surveillance des communications et de l’accès à leur contenu. Dans ce dernier cas, l’atteinte étant plus grave, la justification doit être plus forte.

Les autorités nationales doivent ensuite, à titre de quatrième condition se demander si une mesure moins intrusive que l’accès direct au contenu des communications n’était pas envisageable.

En tant que cinquième condition, elles doivent analyser les conséquences de la surveillance sur l’employé et déterminer si les résultats ont été utilisés conformément au but déclaré de la mesure.

Finalement, la sixième condition consiste, pour les autorités nationales, à se demander si l’employé a bénéficié de garanties adéquates pour le protéger contre une surveillance trop intrusive. Ces garanties doivent en particulier lui permettre d’empêcher que l’employeur ait accès au contenu même des communications sans en avoir été averti.

Dans l’analyse du cas d’espèce la Grande Chambre commence par indiquer que les autorités roumaines se sont bien référées aux principes de nécessité, de finalité, de transparence, de légitimité, de proportionnalité et de sécurité régissant le traitement de données personnelles (§ 131). La résolution du cas repose donc uniquement sur la question du respect des critères énoncés précédemment, relatifs à la mise en balance de l’intérêt du requérant au respect de sa vie privée et de sa correspondance et de celui de l’employeur à s’assurer du bon fonctionnement de l’entreprise (§ 132).

Concernant le critère de l’information préalable de l’employé quant à une possible surveillance et à l’étendue de celle-ci, la Cour relève que cette possibilité n’a pas été évoquée préalablement et que les autorités nationales n’ont pas examiné cette question. La Cour remarque ensuite que ces mêmes autorités ont également omis d’analyser l’étendue de la surveillance ainsi que le degré d’intrusion dans la vie privée de l’employé. Elle reproche également aux juridictions nationales de ne pas avoir suffisamment vérifié si les motifs invoqués par l’employeur étaient aptes à justifier la mise en place d’une surveillance aussi stricte. Par ailleurs, la Cour relève que les conséquences de la surveillance sur l’employé n’ont pas été prises en compte. Enfin, elle souligne que les juges nationaux n’ont à aucun moment établi à quel stade de la procédure disciplinaire l’employeur a eu accès au contenu des communications, considérant que leur accès en tout temps viole le principe de la transparence (§§ 133-138).

La Grande Chambre arrive donc à la conclusion que le droit du requérant au respect de sa vie privée et de sa correspondance a été violé et que les autorités nationales ont manqué à leur obligation de protection en ne ménageant pas un juste équilibre entre les intérêts en jeu (§§ 140-141).

Les enseignements tirés de l’arrêt Bărbulescu

Ainsi qu’exposé précédemment, la Cour a déduit de cet arrêt deux nouveaux principes importants dans le cadre de la surveillance des communications qu’un employeur peut mettre en place sur le lieu de travail. Cette jurisprudence a d’ailleurs été reprise par la Cour dans le cadre de l’affaire Libert c. France (requête n^o 588/13), bien que celle ci-concerne une entreprise du secteur public, ou encore de l’affaire Vincent Del Campo c. Espagne (requête n^o 25527/13).

En premier lieu, la Cour a retenu que le respect de la vie privée ainsi que de la confidentialité des communications restaient applicables sur le lieu de travail et ne pouvaient être limités qu’en respectant le principe de proportionnalité. L’employeur ne peut donc réduire à néant l’exercice de la vie privée sociale sur le lieu de travail. L’art. 8 CEDH fixe ainsi les standards minimaux régissant le contrôle des communications des employés, mais ceux-ci peuvent être plus élevés si l’employeur fait naitre des attentes supérieures quant au respect de la sphère privée de ses salariés.

En second lieu, la Cour a accordé aux Etats une marge d’appréciation étendue concernant l’adoption d’un cadre juridique régissant la surveillance des communications non professionnelles des employés sur leur lieu de travail. Cette marge de manœuvre doit toutefois être contrebalancée par des garanties adéquates et suffisantes contre les abus. A cet égard, la Cour a édicté six conditions à examiner pour que les mesures prises soient conformes au principe de proportionnalité et aux garanties procédurales.