Le dispositif de vidéoprotection destiné à assurer la sécurité d'un aéroport peut-il servir à établir la faute du salarié d’une entreprise de sécurité ? Telle est la question posée à la Cour de cassation qui y répond en examinant les exigences requises par le RGPD.
Un salarié d’une entreprise de sécurité, affecté dans un aéroport au contrôle des bagages lors du filtrage aux rayons X, a été licencié pour faute grave pour avoir omis de contrôler le bagage d’un passager, préférant discuter football avec ce dernier. Afin d’établir ce manquement aux règles de sécurité de l’aéroport, l’employeur du salarié produit notamment le témoignage de personnes autorisées à examiner les enregistrements du dispositif de vidéosurveillance destiné à assurer la sécurité de l’aéroport, géré par l’entreprise exploitant celui-ci.
La question se posait de savoir si ce traitement de données personnelles pouvait être utilisé pour établir une faute du salarié.
Remarque
particularité intéressante, dans cette affaire, le responsable du traitement de données personnelles concernant la vidéosurveillance n’était pas la société employeur du salarié licencié, mais l’entreprise exploitant l’aéroport.
Le dispositif étant conforme au RGPD, la preuve est jugée licite
La Cour de cassation s’appuie, pour examiner la licéité de cet élément de preuve, sur les obligations relatives au règlement général sur la protection des données personnelles (RGPD). En effet, elle souligne que l'utilisation de constats et attestations réalisés à partir de la captation et du visionnage des images issues du système de vidéoprotection de l'aéroport constitue un traitement de données à caractère personnel au sens du RGPD, de sorte que l'employeur des opérateurs de sûreté affectés au contrôle des bagages est tenu au respect des obligations qui en découlent.
Dans ce cadre, il s’agit des obligations suivantes, listées par la Cour de cassation :
- que les données à caractère personnel soient traitées de manière licite, loyale et transparente au regard de la personne concernée, collectées pour des finalités déterminées, explicites et légitimes, ne soient pas traitées ultérieurement d'une manière incompatible avec ces finalités et soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (RGPD art. 5) ;
- qu’au moins une des conditions suivantes doit être remplie, soit que la personne concernée a consenti au traitement pour une ou plusieurs finalités spécifiques, soit que le traitement est nécessaire à l’exécution du contrat de travail, au respect d’une obligation légale, à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique, à l’exécution d’une mission d’intérêt public, ou aux fins d’un intérêt légitime pourvu que ne prévalent pas les intérêts ou libertés et droits fondamentaux de la personne concernée par le traitement (RGPD, art. 6§1) ;
- que le responsable du traitement délivre aux personnes concernées des informations relatives notamment aux finalités du dispositif de contrôle, à leur droit d'accès et de rectification, aux coordonnées du délégué à la protection des données (RGPD, art. 13 et 14).
Pour admettre la recevabilité de la preuve, la cour d’appel a constaté :
- que le système de vidéoprotection installé dans l’enceinte de l’aéroport avait fait l’objet de déclarations à la Cnil en application des obligations alors applicables et d’une autorisation préfectorale ;
- que s’agissant d’un lieu ouvert au public, un affichage sous forme de pictogramme représentant une caméra informait toutes les personnes concernées (non seulement les salariés, mais aussi les visiteurs) de l’existence de la vidéosurveillance et de leur droit d’accès à leurs données personnelles ;
- et que l’employeur du salarié justifiait que les représentants du personnel en avaient été informés.
Elle en a déduit que ce système de vidéoprotection qui n’avait pas pour finalité de contrôler les salariés, n’avait pas été mis en place à l’insu du salarié, informé, comme les autres personnes concernées, des finalités du contrôle et de son droit d’accès.
Elle ajoute que l’employeur justifie que l’entreprise responsable du traitement a établi une procédure garantissant un nombre limité de personnes autorisées à visionner les images et une durée de conservation des enregistrements limitée à 5 jours, et que les attestations et rapports dressés par les personnes autorisées à visionner les images avaient été soumis à un débat contradictoire devant les juges du fond.
La Cour de cassation approuve la décision de la cour d’appel, précisant qu’il ressort de ses constatations que les données à caractère personnel concernant le salarié avaient été collectées pour des finalités déterminées et légitimes (assurer la sécurité des personnes et des biens dans l'enceinte d'un aéroport international) et avaient été traitées, tant par la société exploitant l'aéroport que par l'employeur, d'une manière compatible avec ces finalités, le salarié ayant été informé des finalités du dispositif et de son droit d'accès aux enregistrements le concernant. Dès lors, la cour d'appel en a exactement déduit que les moyens de preuve tirés de l'exploitation des images captées et enregistrées le jour des faits étaient recevables.
Remarque
soulignons ici l’appréciation par la Cour de cassation de la recevabilité de la preuve d’une faute, issue d’un dispositif de vidéosurveillance, à l’aune des règles du RGPD. La Haute Juridiction s’est déjà prêtée à cet exercice à propos de l’exploitation des fichiers de journalisation des adresses IP de salariés : cette fois, les données ayant été traitées par l’employeur, sans le consentement de l’intéressé, à une autre fin que celle pour laquelle elles avaient collectées, la preuve avait été jugée illicite (Cass. soc., 9 avr. 2025, n° 23-13.159 F-D).
Notons que dans notre affaire, la faute reprochée au salarié consistait en un manquement aux règles de sécurité inhérentes à l’exercice de ses missions, à savoir le contrôle des bagages, de sorte que dans ce cas précis, ce contrôle de son activité pouvait répondre à l’objectif d’assurer la sécurité des biens et personnes dans l’aéroport.
Le manquement du salarié aux règles de sécurité constitue une faute grave
Compte tenu des spécificités du poste du salarié, le filtrage systématique des usagers et de leurs bagages en respectant les procédures applicables fait partie de ses missions contractuelles essentielles, concourant à garantir la sécurité du personnel, des passagers et des installations.
Des manquements du salarié à ces obligations de sécurité ont été établis par le rapport d’anomalie rédigé par le salarié de l’aéroport ayant visionné les images de la vidéosurveillance, les témoignages de deux autres personnes, ayant visionné ces images, le constat de manquement par le fonctionnaire de la police de l’air et des frontières. En effet, il ressort de ces éléments de preuve que le salarié a à plusieurs reprises été vu le visage tourné de telle façon qu’il ne pouvait pas voir l’écran de contrôle des bagages, discutant avec un passager, lequel a indiqué avoir discuté football avec le salarié et confirmé que son bagage cabine n’avait pas été contrôlé. Enfin, le chef d’équipe a indiqué qu’un rappel sur son positionnement avait été effectué quelques minutes avant cet incident.
La Cour de cassation estime que la cour d’appel a pu déduire de ces éléments qu’un tel manquement du salarié à ses obligations rendait impossible son maintien dans l’entreprise et caractérisait une faute grave, même en l’absence d’antécédents disciplinaires.
