CA Limoges, ch. soc., 12 mars 2026, n° 25/00368
LIMOGES
Arrêt
Autre
ARRET N° .
N° RG 25/00368 - N° Portalis DBV6-V-B7J-BIV6R
AFFAIRE :
M. [P] [O]
C/
S.A. [1] Prise en la personne de son représentant légal domicilié audit siège
MAV
Demande d'indemnités liées à la rupture du contrat de travail CDI ou CDD, son exécution ou inexécution
Grosse délivrée à Me Philippe ROUSSELIN-JABOULAY , Me Franck DELEAGE, le 12-03-2026
COUR D'APPEL DE LIMOGES
Chambre sociale
---==oOo==---
ARRET DU 12 MARS 2026
---===oOo===---
Le DOUZE MARS DEUX MILLE VINGT SIX la chambre économique et sociale a rendu l'arrêt dont la teneur suit par mise à disposition du public au greffe:
ENTRE :
Monsieur [P] [O], demeurant [Adresse 1]
représenté par Me Franck DELEAGE de la SELARL FRANCK DELEAGE, avocat au barreau de BRIVE
APPELANT d'une décision rendue le 19 MAI 2025 par le CONSEIL DE PRUD'HOMMES - FORMATION PARITAIRE DE BRIVE LA GAILLARDE
ET :
S.A. [1] Prise en la personne de son représentant légal domicilié audit siège, demeurant [Adresse 2]
représentée par Me Philippe ROUSSELIN-JABOULAY de la SELARL ELAN SOCIAL, avocat au barreau de LYON
INTIMEE
---==oO§Oo==---
Suivant avis de fixation du Président de chambre chargé de la mise en état, l'affaire a été fixée à l'audience du 19 Janvier 2026. L'ordonnance de clôture a été rendue le 14 janvier 2026.
La Cour étant composée de Madame Olivia JEORGER-LE GAC, Présidente de chambre, de Madame Marianne PLENACOSTE et de Madame Marie-Anne VALERY, Conseillers, assistées de Mme Sophie MAILLANT, Greffier. A cette audience, Madame Marie-Anne VALERY, Conseiller, a été entendue en son rapport oral, les avocats sont intervenus au soutien des intérêts de leurs clients.
Puis Madame Olivia JEORGER-LE GAC, Présidente de chambre, a donné avis aux parties que la décision serait rendue le 12 Mars 2026 par mise à disposition au greffe de la cour, après en avoir délibéré conformément à la loi.
---==oO§Oo==---
LA COUR
---==oO§Oo==---
EXPOSÉ DU LITIGE
Faits et procédure :
La société [1] (la société [2]), appartenant au groupe [3], exploite et gère des autoroutes dans le cadre d'une délégation de service public.
M. [H] [O] a été engagé en qualité de receveur par la société [2] par contrat de travail à durée indéterminée à compter du 25 juin 2001, et occupait en dernier lieu le poste de technicien péage.
Le 6 février 2020, est paru dans le journal Médiapart un article révélant l'existence au sein de l'entreprise d'un fichier numérique comprenant pour 184 salariés de la direction régionale d'exploitation Centre Auvergne des informations personnelles sur leur travail, leur vie personnelle ou leur engagement syndical, ainsi que pour certains des commentaires désobligeants.
Il est apparu que ce fichier informatique avait été créé sur l'ordinateur portable de la responsable des ressources humaines Mme [T] à partir de notes prises lors d'entretiens avec des managers, chefs de service et chefs de site.
Le 07 mars 2020, M. [O] a pris connaissance du contenu du fichier litigieux le concernant, à savoir « Veut bien faire. Énormes difficultés professionnelles. Minimum. Perd ses moyens. Il imprime pas. Il est limité », ce contenu étant retranscrit dans l'article de presse du 6 février 2020 sans mention de l'identité du salarié.
Le 09 mars 2020, M. [O] a été placé en arrêt de travail pour accident du travail, prolongé jusqu'au 10 mai 2020, pris en charge au titre de la législation professionnelle selon décision de la CPAM du 8 juin 2020.
M. [O] a repris son poste suite à un avis d'aptitude le 08 septembre 2020, avec certaines restrictions s'agissant du travail de nuit et matinal. Il a ensuite fait l'objet :
- d'un arrêt de travail pour rechute d'accident du travail du 17 septembre 2020 au 05 novembre 2020,
- de deux avis d'aptitude les 12 novembre 2020, et 23 décembre 2020,
- d'un arrêt de travail pour rechute d'accident du travail à compter du 1er février 2021.
Le 2 mai 2023, le médecin du travail a établi un avis d'inaptitude, mentionnant que l'état de santé du salarié faisait obstacle à tout reclassement dans un emploi.
Par courrier du 22 mai 2023, la société [2] a convoqué M. [O] à un entretien préalable fixé au 9 juin 2023.
Par lettre recommandée du 14 juin 2023, reçue le 16 juin suivant, M. [O] a été licencié pour inaptitude sur le fondement de l'article L. 1226-12 du code du travail.
Le 2 octobre 2023, dans le cadre d'une procédure de comparution sur reconnaissance préalable de culpabilité, Mme [T], RRH de la société [2], a été déclarée coupable par le tribunal correctionnel de Brive-la-Gaillarde des chefs de traitement de données à caractère personnel sans autorisation et d'enregistrement ou de conservation de données à caractère personnel sensibles sans le consentement de l'intéressé. Par ordonnance sur intérêts civils du 9 décembre 2024, Mme [T] a été condamnée à payer à M. [O], partie civile, une somme de 1 200 euros à titre de dommages-intérêts en réparation de son préjudice moral.
Par requête déposée le 15 février 2024, M. [O] a saisi le conseil de prud'hommes de Brive-la-Gaillarde aux fins de voir reconnaître la violation par la société [2] de son obligation de sécurité, de faire juger son licenciement dénué de cause réelle et sérieuse et d'obtenir diverses indemnités et dommages-intérêts.
Par jugement du 19 mai 2025, le conseil de prud'hommes de Brive-la-Gaillarde a :
- dit que le conseil est compétent pour la demande indemnitaire au titre de la violation du RGPD,
- constaté que Mme [T] est responsable du préjudice conformément au jugement du tribunal judiciaire de Brive-la-Gaillarde du 02 octobre 2023,
- constaté la reconnaissance du caractère professionnel de l'accident du travail survenu le 09 mars 2020 par la CPAM en date du 08 juin 2020,
- dit que Mme [T] a commis la faute dans le cadre de son contrat de travail et dans les attributions de ses fonctions,
- dit que la société [2] n'est pas responsable civilement des fautes de Mme [T],
- dit que la société [2] était en cours de mise en 'uvre d'une procédure technique et organisationnelle pour prévenir des risques de création et d'utilisation de fichiers litigieux,
- dit que la société [2] a su identifier les risques et mettre en place des moyens techniques de contrôle dans son DUERP,
- dit que le délai de 2 jours pour la mise en place d'un cabinet extérieur pour entendre les salariés est raisonnable et donc la société [2] n'a pas manqué à ses obligations de sécurité,
- dit que la société [2] n'a pas manqué à ses obligations de sécurité à l'égard de M. [O],
- dit que la société [2] n'a pas commis de fautes en lien avec le licenciement pour inaptitude pour raison professionnelle de Mr [O],
- dit que le licenciement pour inaptitude est pour cause réelle et sérieuse, car la société [2] n'est pas responsable de l'inaptitude de Mr [O],
- dit que la société [2] n'a pas contrevenu aux dispositions RGPD,
- débouté Mr [O] de toutes ses demandes,
- condamné Mr [O] à payer la somme de 2 000 euros au titre de l'article 700 du code de procédure civile à la société [2] ainsi qu'aux entiers dépens.
Par déclaration du 02 juin 2025, M. [O] a interjeté appel de ce jugement.
Par jugement du 29 août 2025, dont la société [2] a interjeté appel, le pôle social du tribunal judiciaire de Cahors a notamment :
- reconnu le caractère professionnel de l'accident subi par M. [O] le 07 mars 2020,
- reconnu la faute inexcusable de la société [2] à l'origine de cet accident,
- avant dire droit, condamné la CPAM du Lot à payer à M. [O] la somme de 5 000 euros à titre de provision sur l'indemnisation de ses préjudices, somme qu'elle récupérera auprès de la société [2], et ordonné une expertise médicale afin d'établir l'étendue des préjudices de M. [O].
Prétentions et moyens des parties
Aux termes de ses dernières conclusions notifiées par voie électronique le 13 janvier 2026, M. [O] demande à la cour de :
' réformer le jugement du conseil de prud'hommes de Brive en date du 19 mai 2025 en ce qu'il l'a:
- débouté de ses demandes en contestation de la légitimité de la rupture de son contrat de travail et des demandes indemnitaires associées,
- débouté de sa demande indemnitaire fondée sur la violation du RGPD,
- condamné au paiement de la somme de 2 000 € au titre de l'article 700 du code de procédure civile;
' statuant à nouveau :
- constater la faute commise par Mme [S] [T] et la condamnation définitive prononcée par le tribunal correctionnel de Brive le 2 octobre 2023 pour avoir enregistré ou conservé des données à caractère personnel et sensible sans le consentement de l'intéressé,
- constater le caractère définitif de la reconnaissance de son accident du travail par la CPAM le 8 juin 2020,
- constater que le tribunal judiciaire de Brive statuant sur intérêts civils a déclaré la société [2] responsable in solidum des préjudices causés aux parties civiles (dont M. [O]) par les agissements de sa préposée Mme [T],
- dire et juger que la faute commise par Mme [T] l'a été à l'occasion de ses attributions et dans le cadre de ses fonctions,
- dire et juger que la société [2], en sa qualité de commettant, est responsable civilement des fautes commises par sa préposée Mme [T],
- dire et juger à titre surabondant que la société [2] n'a pas mis en 'uvre les procédures techniques et organisationnelles lui permettant de prévenir le risque de création et d'utilisation du fichier litigieux daté du 2 juillet 2019,
- dire et juger que la société [2] n'a pas correctement identifié les risques dans son DUERP au titre de la création et de l'utilisation des fichiers contenant des données personnelles des salariés et n'a pas prévu dans le DUERP les actions pour les prévenir et y remédier,
- dire et juger que la société [2], bien que consciente de la souffrance morale des salariés lors de la révélation de l'existence de ce fichier le 6 février 2020 par [4], a manqué à son obligation de sécurité en tardant à mettre en place les mesures urgentes d'accompagnement psychologique qui auraient pu éviter l'accident du travail de M. [O] survenu le 7 mars 2020,
- dire et juger en conséquence que la société [2] a manqué à son obligation de sécurité à l'égard de M. [O],
- dire et juger que le licenciement pour inaptitude professionnelle de M. [O] du 16 juin 2023 est en lien avec les fautes commises tant par la préposée de la société [2], Mme [T], qu'avec le manquement à l'obligation de sécurité de l'employeur,
- dire et juger que son licenciement pour inaptitude professionnelle du 16 juin 2023 est sans cause réelle et sérieuse,
- condamner en conséquence la société [2] à lui payer la somme de 44 089,65 € à titre de dommages-intérêts pour licenciement sans cause réelle et sérieuse,
- dire et juger que la société [2] a contrevenu aux dispositions du RGPD et de ce fait a engagé sa responsabilité,
- condamner en conséquence la société [2] à lui payer la somme de 50 000 € à titre de dommages-intérêts pour le préjudice résultant de la violation du RGPD,
- dire et juger que toutes les sommes allouées porteront intérêts au taux légal à compter de la demande en justice et ordonner la capitalisation des intérêts échus,
- ordonner à la société [2], la remise d'un bulletin de salaire conforme au jugement à intervenir et ce sous astreinte de 150 € par jour de retard à compter du 8ème jour suivant la notification de l'arrêt à intervenir,
- condamner la société [2] à lui régler la somme de 5 000 € sur le fondement de l'article 700 du code de procédure civile,
- condamner la société [2] aux entiers dépens en ce compris les éventuels frais d'exécution.
Au soutien de ses prétentions, M. [O] affirme que son licenciement pour inaptitude est dénué de cause réelle et sérieuse, car son inaptitude a trouvé sa cause dans la dégradation de son état de santé psychologique conséquente à la faute commise par Mme [T] dans le cadre de ses attributions et sur les temps et lieu de travail, faute dont l'employeur doit assumer la responsabilité en sa qualité de commettant en application de l'article 1242 du code civil, ainsi que l'a retenu l'ordonnance sur intérêts civils du 9 décembre 2024.
M. [O] soutient par ailleurs que l'employeur a manqué à ses obligations de sécurité, en ce qu'il:
- n'a ni sensibilisé, ni contrôlé le service ressources humaines s'agissant du respect des données à caractère personnel des salariés,
- n'a pas identifié dans son document unique d'évaluation des risques de juillet 2019 le risque lié à l'utilisation de ces données, ni tenté d'y remédier, alors que le fichier litigieux existait déjà,
- n'a pris aucune mesure préventive suite à sa prise de connaissance de l'existence et de la publication prochaine du fichier le 05 février 2020 aux fins de préserver la santé mentale de M. [O], jusqu'à postérieurement à cette publication le 07 mars 2020, engendrant son accident du travail.
M. [O] souligne que le tribunal judiciaire de Cahors a reconnu le 29 août 2025 la faute inexcusable de la société [2] dans sa tardiveté à mettre en place des mesures pour préserver la santé mentale de ses salariés.
Il soutient que la juridiction prud'homale est compétente pour connaître de sa demande de dommages-intérêts pour violation du RGPD dès lors que ces faits sont nés dans le cadre de la relation de travail et qu'il ne s'agit pas de demander l'indemnisation d'un préjudice découlant de l'accident du travail du 7 mars 2020, mais la réparation du préjudice moral résultant de l'atteinte portée à son image et à sa vie privée, pour avoir été ridiculisé auprès des 315 salariés de la direction Centre-Auvergne.Sur le fond, il observe que l'infraction pénale dont Mme [T] a été déclarée coupable, ainsi que le courrier adressé par la CNIL à la société [2] mettent en évidence la violation du RGPD par l'employeur.
Aux termes de ses dernières conclusions avec appel incident notifiées par voie électronique le 28 octobre 2025, la société [2] demande à la cour de :
' infirmer le jugement entrepris en ce qu'il a :
Dit que le conseil est compétent pour la demande indemnitaire au titre de la violation du RGPD,
' statuant à nouveau :
- se déclarer incompétente pour connaître de la demande indemnitaire au titre de la violation du RGPD au profit du pôle social du tribunal judiciaire de Cahors,
- à défaut, l'en débouter,
' en conséquence :
- débouter M. [O] du surplus de ses demandes,
- condamner M. [O] d'avoir à lui payer la somme de 3 000 € au titre de l'article 700 code de procédure civile, ainsi qu'aux entiers dépens.
Elle soutient que les demandes de M. [O] au titre d'un licenciement sans cause réelle et sérieuse sont mal fondées, en ce que :
- la responsabilité du commettant du fait de ses préposés prévue par l'article 1242 du code civil est une responsabilité extra contractuelle qui n'est donc pas applicable entre les parties à un contrat de travail ; en application du principe de non-cumul entre les responsabilités contractuelle et délictuelle, dès lors que le salarié agit à l'encontre de son employeur devant la juridiction prud'homale, il ne pourrait fonder son action que sur la base de la responsabilité contractuelle de l'employeur, à l'exclusion de la responsabilité délictuelle, qui relève en l'espèce du seul juge répressif statuant sur les intérêts civils de l'infraction reprochée à Mme [T] ;
- l'employeur n'a commis aucun manquement à son obligation de sécurité au titre d'une violation du RGPD, le fichier litigieux n'ayant été créé et utilisé que par une salariée,
- la création et l'utilisation de ce fichier n'étaient pas connues de la société [2] antérieurement au 05 février 2020, et ne résultaient d'aucun ordre ou directive, l'entreprise, ne pouvant donc évaluer les risques y étant liés,
- l'employeur a respecté son obligation de sécurité postérieurement au 05 février 2020, en organisant deux réunions extraordinaires du CSE et [5], durant lesquels a été évoquée la possibilité pour les salariés le souhaitant de bénéficier d'un soutien psychologique, information relayée par la suite par courrier du 09 mars 2020 ;
- l'inaptitude de M. [O] n'est pas en relation avec la prétendue faute de l'employeur ;
- le salarié ne démontre pas la réalité du préjudice subi du fait de la rupture du contrat.
La société [2] soutient que le juge prud'homal n'est pas compétent pour statuer sur la demande de M. [O] visant à obtenir une indemnité au titre d'une violation du RGPD, cette demande correspondant à l'indemnisation du préjudice résultant du manquement à l'obligation de sécurité à l'origine d'un accident du travail, qui relève de la compétence exclusive du pôle social du tribunal judiciaire de Cahors. Sur le fond, elle conclut à l'absence de violation du RGPD dès lors que le juge pénal a reconnu à la société [2] la qualité de victime des agissements de Mme [T] et que la CNIL n'a pas prononcé de condamnation à son encontre.
L'ordonnance de clôture a été rendue le 14 janvier 2026.
MOTIVATION
1) Sur la responsabilité de la société [2] sur le fondement de l'article 1242 du code civil
Selon ce texte, on est responsable non seulement du dommage que l'on cause par son propre fait, mais encore de celui qui est causé par le fait des personnes dont on doit répondre : les commettants, du dommage causé par leurs préposés dans les fonctions auxquelles ils les ont employés.
Ces dispositions prennent place au sein du sous-titre II « la responsabilité extracontractuelle » du titre III « des sources d'obligations » du livre III du code civil.
S'il est exact que l'employeur assume à l'égard du salarié, sur le fondement de l'article 1231-1 du code civil, une responsabilité contractuelle en cas d'inexécution ou de mauvaise exécution des obligations nées du contrat de travail, et que le principe de non-cumul des responsabilités interdit au salarié d'agir sur le fondement de la responsabilité délictuelle pour la réparation du préjudice née d'une faute contractuelle, l'employeur assume, à l'égard du salarié, une responsabilité délictuelle, lorsque la faute est commise à l'occasion de l'exécution du contrat, mais non directement liée à une obligation contractuelle.
Un salarié peut donc agir contre son employeur pour mettre en cause sa responsabilité du fait des agissements de ses préposés sur le fondement de l'article 1242 du code civil, et le juge prud'homal peut connaître d'une telle demande, dès lors que selon l'article L. 1411-1 du code du travail, le conseil de prud'hommes « connaît des différends qui peuvent s'élever à l'occasion de tout contrat de travail (...) entre les employeurs (....) et les salariés qu'ils emploient ».
En l'espèce, la cour relève que l'ordonnance du juge délégué du tribunal judiciaire de Brive statuant en matière d'intérêts civils après procédure de comparution sur reconnaissance préalable de culpabilité en date du 9 décembre 2024 (page 19) énonce : « La société [2] (...) ne discute pas sa qualité de commettant, ni le principe de sa garantie. ». « La société [2] (...) ne conteste pas le principe même de sa responsabilité en sa qualité de civilement responsable des agissements de sa préposée Mme [T], dont il n'est pas discuté qu'elle a bien commis l'infraction dans le cadre de l'exercice de ses fonctions de responsable des ressources humaines et à des fins ressortant de ses attributions. Cette faute pénale implique nécessairement (...) la reconnaissance d'une faute civile qui engage, de plein droit, la responsabilité de la société [2], en sa qualité de commettant, en application de l'article 1242 du code civil ».
L'infraction pénale commise par Mme [T] au préjudice notamment de M. [O] engage la responsabilité civile de la société [2] à l'égard de ce dernier.
Le jugement déféré sera infirmé en ce qu'il a dit que la société [2] n'était pas responsable civilement des fautes de Mme [T].
2) Sur l'existence d'un manquement à l'obligation de sécurité
Les dispositions de l'article L.4121-1 du code du travail imposent à l'employeur de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs.
Ces mesures comprennent :
1° Des actions de prévention des risques professionnels et de la pénibilité au travail (...) ;
2° Des actions d'information et de formation ;
3° La mise en place d'une organisation et de moyens adaptés.
Selon l'article L.4121-2 du code du travail, ces mesures doivent être mises en oeuvre sur le fondement des principes généraux de prévention suivants :
1° Eviter les risques ;
2° Evaluer les risques qui ne peuvent pas être évités ;
3° Combattre les risques à la source ;
(...)
Il résulte du procès-verbal d'audition de M. [A], directeur régional d'exploitation adjoint, que la société [2] a été informée dès le 5 février 2020 par la rédaction de Médiapart de la parution de l'article à venir et du contenu du fichier incriminé, transmis à l'intéressé par Mme [T]; qu'elle ne pouvait donc ignorer les répercussions possibles de cette publication.
Une réunion extraordinaire du comité social et économique d'établissement s'est tenue le 12 février 2020. Il ressort du procès-verbal de la réunion les éléments suivants :
- le président du CSE-E, directeur d'exploitation, a exposé devant les représentants du personnel que l'existence de ce fichier ne relevait que de l'initiative d'une seule personne, et non d'une pratique d'entreprise. L'instance a demandé à la direction la communication individuelle à chaque salarié du contenu des annotations le concernant, en précisant que ceux-ci exprimaient indignation, colère et questionnement quand à ce qui était inscrit à leur propos. La direction s'y est opposée, en répondant avoir détruit ce document au motif qu'il était illégal, et qu'elle n'avait pas l'obligation de le fournir aux salariés car ce document « hors cadre, hors consigne, hors process, hors politique d'entreprise » n'avait pas lieu d'exister, n'appartenait pas à l'entreprise et n'était pas régi par les règles RGPD ;
- des élus ayant fait part des difficultés psychologiques de certains salariés, il leur a été répondu que la direction n'était pas responsable de ce document résultant d'une initiative personnelle, et qu'elle ne tiendrait pas compte de son contenu. Le directeur d'exploitation a ajouté que la direction était « prête à rencontrer les salariés individuellement », et qu'un entretien leur était proposé « sur la base du seul élément qui existe aujourd'hui, le seul qui est reconnu : l'entretien professionnel » ;
- le directeur d'exploitation a indiqué que le service [6] pouvait être contacté, et à l'issue de la réunion, il a fait part de l'engagement d'une réflexion pour déterminer comment la direction pourrait faire appel à un cabinet extérieur pour accompagner les salariés.
L'employeur a annoncé, lors de la réunion de la commission santé, sécurité et conditions de travail ([5]) du 20 février 2020, qu'il était envisagé de recourir au cabinet-conseil [7] et à la mise en place de groupes de paroles ; il apparaît toutefois qu'à cette date, ni le cadre ni le format de l'intervention de ce cabinet n'avaient encore été définis.
Lors de la réunion du CSE-E du 25 février 2020, le secrétaire de l'instance a relevé que « le fait d'avoir contacté un cabinet est une première étape. Il y a une urgence car cela fait une vingtaine de jours que l'article est paru ». Il ressort du procès-verbal de la réunion de la [5] du 5 mars 2020 qu'à cette date, le dispositif n'était pas effectif, et que les conditions d'intervention du cabinet [7] faisaient encore l'objet de discussions. Ce n'est que le 9 mars 2020 que la direction a adressé un courrier aux salariés pour leur faire part de la possibilité d'être reçu en groupe ou entretien individuel par le cabinet [7] à compter du 24 mars 2020.
Il apparaît par ailleurs que dès le 12 février, certains représentants syndicaux étaient en possession de tout ou partie du contenu du fichier, qui s'est diffusé informellement dans les semaines qui ont suivi, M. [O] ayant eu connaissance des informations le concernant le 7 mars 2020.
Il ressort de l'ensemble de ce qui précède que la société [2], informée dès le 5 février 2020 avant même la publication de l'article de Médiapart de l'existence et du contenu du fichier sur le point d'être rendu public, n'a pris aucune mesure avant le 12 février 2020 pour en limiter les répercussions psychologiques pour les salariés et ne démontre pas avoir informé ceux-ci, autrement que par une réunion en réunion du CSE-E ce même jour, de leur possibilité de recourir au dispositif REHALTO, leur laissant ainsi la responsabilité de prendre l'initiative d'une consultation.
Par ailleurs, si l'employeur a légitimement, dans un premier temps, refusé de diffuser le contenu d'un fichier illégalement tenu, diffusion à laquelle le RGPD ne le contraignait pas, il n'a pas pris la mesure du trouble en résultant dans la collectivité des salariés, et a maintenu son refus pendant les semaines qui ont suivi, laissant ainsi croître l'inquiétude des salariés, qui ont été conduits à prendre connaissance du fichier par leurs propres moyens et sans aucun accompagnement.
Par conséquent, la cour retient que la société [2] a manqué à son obligation de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale de M.[O].
Le jugement déféré sera infirmé en ce qu'il a dit que la société [2] n'avait pas manqué à son obligation de sécurité.
3) Sur la demande au titre d'un licenciement sans cause réelle et sérieuse
Est sans cause réelle et sérieuse, le licenciement prononcé sur le fondement d'une inaptitude trouvant sa cause dans un manquement de l'employeur.
À cet égard, la société [2] est responsable civilement de la faute commise par sa préposée Mme [T], et a manqué à son obligation de sécurité.
Il est établi que M. [O], ayant pris connaissance du contenu du fichier illégal le 7 mars 2020 par ses propres moyens et sans aucun accompagnement par l'employeur, a été placé en arrêt de travail le 9 mars 2020 pour accident du travail subi le 7 mars, jusqu'au 10 mai 2020, puis à nouveau pour rechute d'accident du travail du 17 septembre 2020 au 05 novembre 2020, puis à compter du 1er février 2021, son état n'étant toujours pas consolidé au 7 février 2022. La CPAM lui a notifié le 28 mars 2023 la reconnaissance d'un taux d'incapacité permanente supérieur ou égal à 10 %.
Ces circonstances conduisent la cour à retenir l'existence d'un lien de causalité entre d'une part, la faute de Mme [T] engageant la responsabilité civile de la société [2] et le manquement de cette dernière à son obligation de sécurité, et d'autre part, l'avis d'inaptitude prononcé par le médecin du travail le 2 mai 2023.
Par conséquent, le licenciement de M. [O] est sans cause réelle et sérieuse.
Le jugement déféré sera donc infirmé en ce qu'il a dit que la société [2] n'avait pas commis de fautes en lien avec le licenciement pour inaptitude et en ce qu'il a débouté M. [O] de ses demandes pour licenciement sans cause réelle et sérieuse.
Les dispositions de l'article L. 1235-3 du code du travail octroient au salarié, en cas de licenciement injustifié, une indemnité à la charge de l'employeur, dont le montant est compris entre des montants minimaux et maximaux variant en fonction du montant du salaire mensuel et de l'ancienneté du salarié.
Il résulte de ce texte que la perte injustifiée de son emploi par le salarié lui cause un préjudice dont il appartient au juge d'apprécier l'étendue.
En considération de sa situation particulière, notamment de son âge et de son ancienneté au moment de la rupture (21 années complètes), il y a lieu de condamner la société [2] à payer à M. [O] la somme de 35.000 euros à titre d'indemnité pour licenciement sans cause réelle et sérieuse.
4) Sur la demande de dommages-intérêts pour violation du RGPD
Sur la compétence
Selon l'article L. 1411-1 du code du travail, le conseil de prud'hommes connaît des différends qui peuvent s'élever à l'occasion de tout contrat de travail entre les employeurs (....) et les salariés qu'ils emploient.
M. [O] demande la réparation du préjudice résultant de la création d'un fichier imputable à Mme [T] mais dont l'employeur est civilement responsable.
Le diffférend étant né à l'occasion du contrat de travail entre M. [O] et la société [2], la juridiction prud'homale est compétente pour en connaître.
Le jugement déféré sera confirmé sur ce point.
Sur le fond
Il résulte des articles 4 et 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) que :
- constitue un traitement, toute opération d'enregistrement et de collecte de données à caractère personnel ;
- le traitement n'est licite que sous conditions, tenant soit au consentement de la personne concernée par les données, soit à la nécessité du traitement au regard de l'exécution d'un contrat auquel la personne est partie, du respect d'une obligation légale à laquelle le responsable du traitement est soumis, de la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique, de l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.
La violation du RGPD est sanctionnée par des amendes administratives pouvant être infligées au responsable du traitement par la Commission nationale informatique et libertés.
Des faits constitutifs d'une violation du RGPD peuvent être également sanctionnés pénalement, dans le cadre d'une poursuite pour infractions de traitement de données à caractère personnel sans autorisation et d'enregistrement ou de conservation de données à caractère personnel sensibles sans le consentement de l'intéressé réprimées par les articles 226-16 et 226-19 du code pénal.
Mme [T], responsable des ressources humaines de la société [2], a été jugée coupable de ces deux chefs d'infractions, la société [2] est civilement responsable de ces faits, sur le fondement de l'article 1242-1 du code civil.
Le préjudice moral dont la réparation est sollicitée par le salarié, résultant de l'atteinte portée à son image par la constitution illégale de ce fichier portant des commentaires profondément dénigrants, est né dès la date de diffusion du fichier, au plus tard le 12 février 2020, et est donc distinct du préjudice résultant de l'accident du travail subi le 7 mars 2020.
Toutefois, ce préjudice a déjà été réparé par la condamnation de Mme [T] à payer des dommages-intérêts à M. [O], prononcée par l'ordonnance sur intérêts civils du 9 décembre 2024, ce dernier n'ayant pas, à cette occasion, sollicité de condamnation solidaire de la société [2] à réparer le préjudice.
Le jugement déféré à la cour sera donc infirmé en ce qu'il a dit que la société [2] n'avait pas contrevenu aux dispositions du RGPD, mais confirmé en ce qu'il a débouté M. [O] de sa demande à ce titre.
5) Sur la remise d'un bulletin de salaire rectificatif
Les sommes allouées au salarié ne présentant qu'un caractère indemnitaire, il n'y a pas lieu d'ordonner la remise d'un bulletin de salaire rectificatif.
6) Sur les intérêts moratoires
Il convient de dire, conformément aux dispositions de l'article 1231-7 du code civil, que les condamnations à caractère indemnitaire porteront intérêts au taux légal à compter du présent arrêt.
Il y a lieu d'ordonner la capitalisation des intérêts, dans les conditions de l'article 1343-2 du code civil.
7) sur les dépens et les frais irrépétibles
La société [2], qui succombe, supportera la charge des dépens d'appel, et versera à M. [O] une somme de 1.000 euros au titre des frais irrépétibles.
---==oO§Oo==---
PAR CES MOTIFS
---==oO§Oo==---
La cour, statuant publiquement, par mise à disposition de la décision au greffe, par arrêt contradictoire et en dernier ressort,
Confirme le jugement déféré en ce qu'il a retenu sa compétence sur la demande indemnitaire au titre de la violation du RGPD, dit que Mme [T] a commis la faute dans le cadre de son travail et dans les attributions de ses fonctions et débouté M. [O] de ses demandes de remise d'un bulletin de salaire conforme et de dommages-intérêts pour violation du RGPD, et l'infirme sur le surplus des dispositions soumises à la cour ;
Statuant à nouveau :
Dit que la société [1] est civilement responsable de la faute commise par Mme [T] ;
Dit que la société [1] a manqué à son obligation de sécurité ;
Dit que le licenciement pour inaptitude est dépourvu de cause réelle et sérieuse ;
Condamne la société [1] à payer à M. [H] [O] la somme de 35.000 euros bruts de dommages-intérêts pour licenciement sans cause réelle et sérieuse ;
Dit que les condamnations à caractère indemnitaire porteront intérêts au taux légal à compter du présent arrêt ;
Ordonne la capitalisation des intérêts échus dus pour une année entière ;
Condamne la société [1] aux dépens d'appel ;
Condamne la société [1] à payer à M. [H] [O] la somme de 1.000 euros sur le fondement des dispositions de l'article 700 du code de procédure civile et la déboute de sa demande sur ce même fondement.
LE GREFFIER, LA PRÉSIDENTE,
Sophie MAILLANT. Olivia JEORGER-LE GAC.
N° RG 25/00368 - N° Portalis DBV6-V-B7J-BIV6R
AFFAIRE :
M. [P] [O]
C/
S.A. [1] Prise en la personne de son représentant légal domicilié audit siège
MAV
Demande d'indemnités liées à la rupture du contrat de travail CDI ou CDD, son exécution ou inexécution
Grosse délivrée à Me Philippe ROUSSELIN-JABOULAY , Me Franck DELEAGE, le 12-03-2026
COUR D'APPEL DE LIMOGES
Chambre sociale
---==oOo==---
ARRET DU 12 MARS 2026
---===oOo===---
Le DOUZE MARS DEUX MILLE VINGT SIX la chambre économique et sociale a rendu l'arrêt dont la teneur suit par mise à disposition du public au greffe:
ENTRE :
Monsieur [P] [O], demeurant [Adresse 1]
représenté par Me Franck DELEAGE de la SELARL FRANCK DELEAGE, avocat au barreau de BRIVE
APPELANT d'une décision rendue le 19 MAI 2025 par le CONSEIL DE PRUD'HOMMES - FORMATION PARITAIRE DE BRIVE LA GAILLARDE
ET :
S.A. [1] Prise en la personne de son représentant légal domicilié audit siège, demeurant [Adresse 2]
représentée par Me Philippe ROUSSELIN-JABOULAY de la SELARL ELAN SOCIAL, avocat au barreau de LYON
INTIMEE
---==oO§Oo==---
Suivant avis de fixation du Président de chambre chargé de la mise en état, l'affaire a été fixée à l'audience du 19 Janvier 2026. L'ordonnance de clôture a été rendue le 14 janvier 2026.
La Cour étant composée de Madame Olivia JEORGER-LE GAC, Présidente de chambre, de Madame Marianne PLENACOSTE et de Madame Marie-Anne VALERY, Conseillers, assistées de Mme Sophie MAILLANT, Greffier. A cette audience, Madame Marie-Anne VALERY, Conseiller, a été entendue en son rapport oral, les avocats sont intervenus au soutien des intérêts de leurs clients.
Puis Madame Olivia JEORGER-LE GAC, Présidente de chambre, a donné avis aux parties que la décision serait rendue le 12 Mars 2026 par mise à disposition au greffe de la cour, après en avoir délibéré conformément à la loi.
---==oO§Oo==---
LA COUR
---==oO§Oo==---
EXPOSÉ DU LITIGE
Faits et procédure :
La société [1] (la société [2]), appartenant au groupe [3], exploite et gère des autoroutes dans le cadre d'une délégation de service public.
M. [H] [O] a été engagé en qualité de receveur par la société [2] par contrat de travail à durée indéterminée à compter du 25 juin 2001, et occupait en dernier lieu le poste de technicien péage.
Le 6 février 2020, est paru dans le journal Médiapart un article révélant l'existence au sein de l'entreprise d'un fichier numérique comprenant pour 184 salariés de la direction régionale d'exploitation Centre Auvergne des informations personnelles sur leur travail, leur vie personnelle ou leur engagement syndical, ainsi que pour certains des commentaires désobligeants.
Il est apparu que ce fichier informatique avait été créé sur l'ordinateur portable de la responsable des ressources humaines Mme [T] à partir de notes prises lors d'entretiens avec des managers, chefs de service et chefs de site.
Le 07 mars 2020, M. [O] a pris connaissance du contenu du fichier litigieux le concernant, à savoir « Veut bien faire. Énormes difficultés professionnelles. Minimum. Perd ses moyens. Il imprime pas. Il est limité », ce contenu étant retranscrit dans l'article de presse du 6 février 2020 sans mention de l'identité du salarié.
Le 09 mars 2020, M. [O] a été placé en arrêt de travail pour accident du travail, prolongé jusqu'au 10 mai 2020, pris en charge au titre de la législation professionnelle selon décision de la CPAM du 8 juin 2020.
M. [O] a repris son poste suite à un avis d'aptitude le 08 septembre 2020, avec certaines restrictions s'agissant du travail de nuit et matinal. Il a ensuite fait l'objet :
- d'un arrêt de travail pour rechute d'accident du travail du 17 septembre 2020 au 05 novembre 2020,
- de deux avis d'aptitude les 12 novembre 2020, et 23 décembre 2020,
- d'un arrêt de travail pour rechute d'accident du travail à compter du 1er février 2021.
Le 2 mai 2023, le médecin du travail a établi un avis d'inaptitude, mentionnant que l'état de santé du salarié faisait obstacle à tout reclassement dans un emploi.
Par courrier du 22 mai 2023, la société [2] a convoqué M. [O] à un entretien préalable fixé au 9 juin 2023.
Par lettre recommandée du 14 juin 2023, reçue le 16 juin suivant, M. [O] a été licencié pour inaptitude sur le fondement de l'article L. 1226-12 du code du travail.
Le 2 octobre 2023, dans le cadre d'une procédure de comparution sur reconnaissance préalable de culpabilité, Mme [T], RRH de la société [2], a été déclarée coupable par le tribunal correctionnel de Brive-la-Gaillarde des chefs de traitement de données à caractère personnel sans autorisation et d'enregistrement ou de conservation de données à caractère personnel sensibles sans le consentement de l'intéressé. Par ordonnance sur intérêts civils du 9 décembre 2024, Mme [T] a été condamnée à payer à M. [O], partie civile, une somme de 1 200 euros à titre de dommages-intérêts en réparation de son préjudice moral.
Par requête déposée le 15 février 2024, M. [O] a saisi le conseil de prud'hommes de Brive-la-Gaillarde aux fins de voir reconnaître la violation par la société [2] de son obligation de sécurité, de faire juger son licenciement dénué de cause réelle et sérieuse et d'obtenir diverses indemnités et dommages-intérêts.
Par jugement du 19 mai 2025, le conseil de prud'hommes de Brive-la-Gaillarde a :
- dit que le conseil est compétent pour la demande indemnitaire au titre de la violation du RGPD,
- constaté que Mme [T] est responsable du préjudice conformément au jugement du tribunal judiciaire de Brive-la-Gaillarde du 02 octobre 2023,
- constaté la reconnaissance du caractère professionnel de l'accident du travail survenu le 09 mars 2020 par la CPAM en date du 08 juin 2020,
- dit que Mme [T] a commis la faute dans le cadre de son contrat de travail et dans les attributions de ses fonctions,
- dit que la société [2] n'est pas responsable civilement des fautes de Mme [T],
- dit que la société [2] était en cours de mise en 'uvre d'une procédure technique et organisationnelle pour prévenir des risques de création et d'utilisation de fichiers litigieux,
- dit que la société [2] a su identifier les risques et mettre en place des moyens techniques de contrôle dans son DUERP,
- dit que le délai de 2 jours pour la mise en place d'un cabinet extérieur pour entendre les salariés est raisonnable et donc la société [2] n'a pas manqué à ses obligations de sécurité,
- dit que la société [2] n'a pas manqué à ses obligations de sécurité à l'égard de M. [O],
- dit que la société [2] n'a pas commis de fautes en lien avec le licenciement pour inaptitude pour raison professionnelle de Mr [O],
- dit que le licenciement pour inaptitude est pour cause réelle et sérieuse, car la société [2] n'est pas responsable de l'inaptitude de Mr [O],
- dit que la société [2] n'a pas contrevenu aux dispositions RGPD,
- débouté Mr [O] de toutes ses demandes,
- condamné Mr [O] à payer la somme de 2 000 euros au titre de l'article 700 du code de procédure civile à la société [2] ainsi qu'aux entiers dépens.
Par déclaration du 02 juin 2025, M. [O] a interjeté appel de ce jugement.
Par jugement du 29 août 2025, dont la société [2] a interjeté appel, le pôle social du tribunal judiciaire de Cahors a notamment :
- reconnu le caractère professionnel de l'accident subi par M. [O] le 07 mars 2020,
- reconnu la faute inexcusable de la société [2] à l'origine de cet accident,
- avant dire droit, condamné la CPAM du Lot à payer à M. [O] la somme de 5 000 euros à titre de provision sur l'indemnisation de ses préjudices, somme qu'elle récupérera auprès de la société [2], et ordonné une expertise médicale afin d'établir l'étendue des préjudices de M. [O].
Prétentions et moyens des parties
Aux termes de ses dernières conclusions notifiées par voie électronique le 13 janvier 2026, M. [O] demande à la cour de :
' réformer le jugement du conseil de prud'hommes de Brive en date du 19 mai 2025 en ce qu'il l'a:
- débouté de ses demandes en contestation de la légitimité de la rupture de son contrat de travail et des demandes indemnitaires associées,
- débouté de sa demande indemnitaire fondée sur la violation du RGPD,
- condamné au paiement de la somme de 2 000 € au titre de l'article 700 du code de procédure civile;
' statuant à nouveau :
- constater la faute commise par Mme [S] [T] et la condamnation définitive prononcée par le tribunal correctionnel de Brive le 2 octobre 2023 pour avoir enregistré ou conservé des données à caractère personnel et sensible sans le consentement de l'intéressé,
- constater le caractère définitif de la reconnaissance de son accident du travail par la CPAM le 8 juin 2020,
- constater que le tribunal judiciaire de Brive statuant sur intérêts civils a déclaré la société [2] responsable in solidum des préjudices causés aux parties civiles (dont M. [O]) par les agissements de sa préposée Mme [T],
- dire et juger que la faute commise par Mme [T] l'a été à l'occasion de ses attributions et dans le cadre de ses fonctions,
- dire et juger que la société [2], en sa qualité de commettant, est responsable civilement des fautes commises par sa préposée Mme [T],
- dire et juger à titre surabondant que la société [2] n'a pas mis en 'uvre les procédures techniques et organisationnelles lui permettant de prévenir le risque de création et d'utilisation du fichier litigieux daté du 2 juillet 2019,
- dire et juger que la société [2] n'a pas correctement identifié les risques dans son DUERP au titre de la création et de l'utilisation des fichiers contenant des données personnelles des salariés et n'a pas prévu dans le DUERP les actions pour les prévenir et y remédier,
- dire et juger que la société [2], bien que consciente de la souffrance morale des salariés lors de la révélation de l'existence de ce fichier le 6 février 2020 par [4], a manqué à son obligation de sécurité en tardant à mettre en place les mesures urgentes d'accompagnement psychologique qui auraient pu éviter l'accident du travail de M. [O] survenu le 7 mars 2020,
- dire et juger en conséquence que la société [2] a manqué à son obligation de sécurité à l'égard de M. [O],
- dire et juger que le licenciement pour inaptitude professionnelle de M. [O] du 16 juin 2023 est en lien avec les fautes commises tant par la préposée de la société [2], Mme [T], qu'avec le manquement à l'obligation de sécurité de l'employeur,
- dire et juger que son licenciement pour inaptitude professionnelle du 16 juin 2023 est sans cause réelle et sérieuse,
- condamner en conséquence la société [2] à lui payer la somme de 44 089,65 € à titre de dommages-intérêts pour licenciement sans cause réelle et sérieuse,
- dire et juger que la société [2] a contrevenu aux dispositions du RGPD et de ce fait a engagé sa responsabilité,
- condamner en conséquence la société [2] à lui payer la somme de 50 000 € à titre de dommages-intérêts pour le préjudice résultant de la violation du RGPD,
- dire et juger que toutes les sommes allouées porteront intérêts au taux légal à compter de la demande en justice et ordonner la capitalisation des intérêts échus,
- ordonner à la société [2], la remise d'un bulletin de salaire conforme au jugement à intervenir et ce sous astreinte de 150 € par jour de retard à compter du 8ème jour suivant la notification de l'arrêt à intervenir,
- condamner la société [2] à lui régler la somme de 5 000 € sur le fondement de l'article 700 du code de procédure civile,
- condamner la société [2] aux entiers dépens en ce compris les éventuels frais d'exécution.
Au soutien de ses prétentions, M. [O] affirme que son licenciement pour inaptitude est dénué de cause réelle et sérieuse, car son inaptitude a trouvé sa cause dans la dégradation de son état de santé psychologique conséquente à la faute commise par Mme [T] dans le cadre de ses attributions et sur les temps et lieu de travail, faute dont l'employeur doit assumer la responsabilité en sa qualité de commettant en application de l'article 1242 du code civil, ainsi que l'a retenu l'ordonnance sur intérêts civils du 9 décembre 2024.
M. [O] soutient par ailleurs que l'employeur a manqué à ses obligations de sécurité, en ce qu'il:
- n'a ni sensibilisé, ni contrôlé le service ressources humaines s'agissant du respect des données à caractère personnel des salariés,
- n'a pas identifié dans son document unique d'évaluation des risques de juillet 2019 le risque lié à l'utilisation de ces données, ni tenté d'y remédier, alors que le fichier litigieux existait déjà,
- n'a pris aucune mesure préventive suite à sa prise de connaissance de l'existence et de la publication prochaine du fichier le 05 février 2020 aux fins de préserver la santé mentale de M. [O], jusqu'à postérieurement à cette publication le 07 mars 2020, engendrant son accident du travail.
M. [O] souligne que le tribunal judiciaire de Cahors a reconnu le 29 août 2025 la faute inexcusable de la société [2] dans sa tardiveté à mettre en place des mesures pour préserver la santé mentale de ses salariés.
Il soutient que la juridiction prud'homale est compétente pour connaître de sa demande de dommages-intérêts pour violation du RGPD dès lors que ces faits sont nés dans le cadre de la relation de travail et qu'il ne s'agit pas de demander l'indemnisation d'un préjudice découlant de l'accident du travail du 7 mars 2020, mais la réparation du préjudice moral résultant de l'atteinte portée à son image et à sa vie privée, pour avoir été ridiculisé auprès des 315 salariés de la direction Centre-Auvergne.Sur le fond, il observe que l'infraction pénale dont Mme [T] a été déclarée coupable, ainsi que le courrier adressé par la CNIL à la société [2] mettent en évidence la violation du RGPD par l'employeur.
Aux termes de ses dernières conclusions avec appel incident notifiées par voie électronique le 28 octobre 2025, la société [2] demande à la cour de :
' infirmer le jugement entrepris en ce qu'il a :
Dit que le conseil est compétent pour la demande indemnitaire au titre de la violation du RGPD,
' statuant à nouveau :
- se déclarer incompétente pour connaître de la demande indemnitaire au titre de la violation du RGPD au profit du pôle social du tribunal judiciaire de Cahors,
- à défaut, l'en débouter,
' en conséquence :
- débouter M. [O] du surplus de ses demandes,
- condamner M. [O] d'avoir à lui payer la somme de 3 000 € au titre de l'article 700 code de procédure civile, ainsi qu'aux entiers dépens.
Elle soutient que les demandes de M. [O] au titre d'un licenciement sans cause réelle et sérieuse sont mal fondées, en ce que :
- la responsabilité du commettant du fait de ses préposés prévue par l'article 1242 du code civil est une responsabilité extra contractuelle qui n'est donc pas applicable entre les parties à un contrat de travail ; en application du principe de non-cumul entre les responsabilités contractuelle et délictuelle, dès lors que le salarié agit à l'encontre de son employeur devant la juridiction prud'homale, il ne pourrait fonder son action que sur la base de la responsabilité contractuelle de l'employeur, à l'exclusion de la responsabilité délictuelle, qui relève en l'espèce du seul juge répressif statuant sur les intérêts civils de l'infraction reprochée à Mme [T] ;
- l'employeur n'a commis aucun manquement à son obligation de sécurité au titre d'une violation du RGPD, le fichier litigieux n'ayant été créé et utilisé que par une salariée,
- la création et l'utilisation de ce fichier n'étaient pas connues de la société [2] antérieurement au 05 février 2020, et ne résultaient d'aucun ordre ou directive, l'entreprise, ne pouvant donc évaluer les risques y étant liés,
- l'employeur a respecté son obligation de sécurité postérieurement au 05 février 2020, en organisant deux réunions extraordinaires du CSE et [5], durant lesquels a été évoquée la possibilité pour les salariés le souhaitant de bénéficier d'un soutien psychologique, information relayée par la suite par courrier du 09 mars 2020 ;
- l'inaptitude de M. [O] n'est pas en relation avec la prétendue faute de l'employeur ;
- le salarié ne démontre pas la réalité du préjudice subi du fait de la rupture du contrat.
La société [2] soutient que le juge prud'homal n'est pas compétent pour statuer sur la demande de M. [O] visant à obtenir une indemnité au titre d'une violation du RGPD, cette demande correspondant à l'indemnisation du préjudice résultant du manquement à l'obligation de sécurité à l'origine d'un accident du travail, qui relève de la compétence exclusive du pôle social du tribunal judiciaire de Cahors. Sur le fond, elle conclut à l'absence de violation du RGPD dès lors que le juge pénal a reconnu à la société [2] la qualité de victime des agissements de Mme [T] et que la CNIL n'a pas prononcé de condamnation à son encontre.
L'ordonnance de clôture a été rendue le 14 janvier 2026.
MOTIVATION
1) Sur la responsabilité de la société [2] sur le fondement de l'article 1242 du code civil
Selon ce texte, on est responsable non seulement du dommage que l'on cause par son propre fait, mais encore de celui qui est causé par le fait des personnes dont on doit répondre : les commettants, du dommage causé par leurs préposés dans les fonctions auxquelles ils les ont employés.
Ces dispositions prennent place au sein du sous-titre II « la responsabilité extracontractuelle » du titre III « des sources d'obligations » du livre III du code civil.
S'il est exact que l'employeur assume à l'égard du salarié, sur le fondement de l'article 1231-1 du code civil, une responsabilité contractuelle en cas d'inexécution ou de mauvaise exécution des obligations nées du contrat de travail, et que le principe de non-cumul des responsabilités interdit au salarié d'agir sur le fondement de la responsabilité délictuelle pour la réparation du préjudice née d'une faute contractuelle, l'employeur assume, à l'égard du salarié, une responsabilité délictuelle, lorsque la faute est commise à l'occasion de l'exécution du contrat, mais non directement liée à une obligation contractuelle.
Un salarié peut donc agir contre son employeur pour mettre en cause sa responsabilité du fait des agissements de ses préposés sur le fondement de l'article 1242 du code civil, et le juge prud'homal peut connaître d'une telle demande, dès lors que selon l'article L. 1411-1 du code du travail, le conseil de prud'hommes « connaît des différends qui peuvent s'élever à l'occasion de tout contrat de travail (...) entre les employeurs (....) et les salariés qu'ils emploient ».
En l'espèce, la cour relève que l'ordonnance du juge délégué du tribunal judiciaire de Brive statuant en matière d'intérêts civils après procédure de comparution sur reconnaissance préalable de culpabilité en date du 9 décembre 2024 (page 19) énonce : « La société [2] (...) ne discute pas sa qualité de commettant, ni le principe de sa garantie. ». « La société [2] (...) ne conteste pas le principe même de sa responsabilité en sa qualité de civilement responsable des agissements de sa préposée Mme [T], dont il n'est pas discuté qu'elle a bien commis l'infraction dans le cadre de l'exercice de ses fonctions de responsable des ressources humaines et à des fins ressortant de ses attributions. Cette faute pénale implique nécessairement (...) la reconnaissance d'une faute civile qui engage, de plein droit, la responsabilité de la société [2], en sa qualité de commettant, en application de l'article 1242 du code civil ».
L'infraction pénale commise par Mme [T] au préjudice notamment de M. [O] engage la responsabilité civile de la société [2] à l'égard de ce dernier.
Le jugement déféré sera infirmé en ce qu'il a dit que la société [2] n'était pas responsable civilement des fautes de Mme [T].
2) Sur l'existence d'un manquement à l'obligation de sécurité
Les dispositions de l'article L.4121-1 du code du travail imposent à l'employeur de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs.
Ces mesures comprennent :
1° Des actions de prévention des risques professionnels et de la pénibilité au travail (...) ;
2° Des actions d'information et de formation ;
3° La mise en place d'une organisation et de moyens adaptés.
Selon l'article L.4121-2 du code du travail, ces mesures doivent être mises en oeuvre sur le fondement des principes généraux de prévention suivants :
1° Eviter les risques ;
2° Evaluer les risques qui ne peuvent pas être évités ;
3° Combattre les risques à la source ;
(...)
Il résulte du procès-verbal d'audition de M. [A], directeur régional d'exploitation adjoint, que la société [2] a été informée dès le 5 février 2020 par la rédaction de Médiapart de la parution de l'article à venir et du contenu du fichier incriminé, transmis à l'intéressé par Mme [T]; qu'elle ne pouvait donc ignorer les répercussions possibles de cette publication.
Une réunion extraordinaire du comité social et économique d'établissement s'est tenue le 12 février 2020. Il ressort du procès-verbal de la réunion les éléments suivants :
- le président du CSE-E, directeur d'exploitation, a exposé devant les représentants du personnel que l'existence de ce fichier ne relevait que de l'initiative d'une seule personne, et non d'une pratique d'entreprise. L'instance a demandé à la direction la communication individuelle à chaque salarié du contenu des annotations le concernant, en précisant que ceux-ci exprimaient indignation, colère et questionnement quand à ce qui était inscrit à leur propos. La direction s'y est opposée, en répondant avoir détruit ce document au motif qu'il était illégal, et qu'elle n'avait pas l'obligation de le fournir aux salariés car ce document « hors cadre, hors consigne, hors process, hors politique d'entreprise » n'avait pas lieu d'exister, n'appartenait pas à l'entreprise et n'était pas régi par les règles RGPD ;
- des élus ayant fait part des difficultés psychologiques de certains salariés, il leur a été répondu que la direction n'était pas responsable de ce document résultant d'une initiative personnelle, et qu'elle ne tiendrait pas compte de son contenu. Le directeur d'exploitation a ajouté que la direction était « prête à rencontrer les salariés individuellement », et qu'un entretien leur était proposé « sur la base du seul élément qui existe aujourd'hui, le seul qui est reconnu : l'entretien professionnel » ;
- le directeur d'exploitation a indiqué que le service [6] pouvait être contacté, et à l'issue de la réunion, il a fait part de l'engagement d'une réflexion pour déterminer comment la direction pourrait faire appel à un cabinet extérieur pour accompagner les salariés.
L'employeur a annoncé, lors de la réunion de la commission santé, sécurité et conditions de travail ([5]) du 20 février 2020, qu'il était envisagé de recourir au cabinet-conseil [7] et à la mise en place de groupes de paroles ; il apparaît toutefois qu'à cette date, ni le cadre ni le format de l'intervention de ce cabinet n'avaient encore été définis.
Lors de la réunion du CSE-E du 25 février 2020, le secrétaire de l'instance a relevé que « le fait d'avoir contacté un cabinet est une première étape. Il y a une urgence car cela fait une vingtaine de jours que l'article est paru ». Il ressort du procès-verbal de la réunion de la [5] du 5 mars 2020 qu'à cette date, le dispositif n'était pas effectif, et que les conditions d'intervention du cabinet [7] faisaient encore l'objet de discussions. Ce n'est que le 9 mars 2020 que la direction a adressé un courrier aux salariés pour leur faire part de la possibilité d'être reçu en groupe ou entretien individuel par le cabinet [7] à compter du 24 mars 2020.
Il apparaît par ailleurs que dès le 12 février, certains représentants syndicaux étaient en possession de tout ou partie du contenu du fichier, qui s'est diffusé informellement dans les semaines qui ont suivi, M. [O] ayant eu connaissance des informations le concernant le 7 mars 2020.
Il ressort de l'ensemble de ce qui précède que la société [2], informée dès le 5 février 2020 avant même la publication de l'article de Médiapart de l'existence et du contenu du fichier sur le point d'être rendu public, n'a pris aucune mesure avant le 12 février 2020 pour en limiter les répercussions psychologiques pour les salariés et ne démontre pas avoir informé ceux-ci, autrement que par une réunion en réunion du CSE-E ce même jour, de leur possibilité de recourir au dispositif REHALTO, leur laissant ainsi la responsabilité de prendre l'initiative d'une consultation.
Par ailleurs, si l'employeur a légitimement, dans un premier temps, refusé de diffuser le contenu d'un fichier illégalement tenu, diffusion à laquelle le RGPD ne le contraignait pas, il n'a pas pris la mesure du trouble en résultant dans la collectivité des salariés, et a maintenu son refus pendant les semaines qui ont suivi, laissant ainsi croître l'inquiétude des salariés, qui ont été conduits à prendre connaissance du fichier par leurs propres moyens et sans aucun accompagnement.
Par conséquent, la cour retient que la société [2] a manqué à son obligation de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale de M.[O].
Le jugement déféré sera infirmé en ce qu'il a dit que la société [2] n'avait pas manqué à son obligation de sécurité.
3) Sur la demande au titre d'un licenciement sans cause réelle et sérieuse
Est sans cause réelle et sérieuse, le licenciement prononcé sur le fondement d'une inaptitude trouvant sa cause dans un manquement de l'employeur.
À cet égard, la société [2] est responsable civilement de la faute commise par sa préposée Mme [T], et a manqué à son obligation de sécurité.
Il est établi que M. [O], ayant pris connaissance du contenu du fichier illégal le 7 mars 2020 par ses propres moyens et sans aucun accompagnement par l'employeur, a été placé en arrêt de travail le 9 mars 2020 pour accident du travail subi le 7 mars, jusqu'au 10 mai 2020, puis à nouveau pour rechute d'accident du travail du 17 septembre 2020 au 05 novembre 2020, puis à compter du 1er février 2021, son état n'étant toujours pas consolidé au 7 février 2022. La CPAM lui a notifié le 28 mars 2023 la reconnaissance d'un taux d'incapacité permanente supérieur ou égal à 10 %.
Ces circonstances conduisent la cour à retenir l'existence d'un lien de causalité entre d'une part, la faute de Mme [T] engageant la responsabilité civile de la société [2] et le manquement de cette dernière à son obligation de sécurité, et d'autre part, l'avis d'inaptitude prononcé par le médecin du travail le 2 mai 2023.
Par conséquent, le licenciement de M. [O] est sans cause réelle et sérieuse.
Le jugement déféré sera donc infirmé en ce qu'il a dit que la société [2] n'avait pas commis de fautes en lien avec le licenciement pour inaptitude et en ce qu'il a débouté M. [O] de ses demandes pour licenciement sans cause réelle et sérieuse.
Les dispositions de l'article L. 1235-3 du code du travail octroient au salarié, en cas de licenciement injustifié, une indemnité à la charge de l'employeur, dont le montant est compris entre des montants minimaux et maximaux variant en fonction du montant du salaire mensuel et de l'ancienneté du salarié.
Il résulte de ce texte que la perte injustifiée de son emploi par le salarié lui cause un préjudice dont il appartient au juge d'apprécier l'étendue.
En considération de sa situation particulière, notamment de son âge et de son ancienneté au moment de la rupture (21 années complètes), il y a lieu de condamner la société [2] à payer à M. [O] la somme de 35.000 euros à titre d'indemnité pour licenciement sans cause réelle et sérieuse.
4) Sur la demande de dommages-intérêts pour violation du RGPD
Sur la compétence
Selon l'article L. 1411-1 du code du travail, le conseil de prud'hommes connaît des différends qui peuvent s'élever à l'occasion de tout contrat de travail entre les employeurs (....) et les salariés qu'ils emploient.
M. [O] demande la réparation du préjudice résultant de la création d'un fichier imputable à Mme [T] mais dont l'employeur est civilement responsable.
Le diffférend étant né à l'occasion du contrat de travail entre M. [O] et la société [2], la juridiction prud'homale est compétente pour en connaître.
Le jugement déféré sera confirmé sur ce point.
Sur le fond
Il résulte des articles 4 et 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) que :
- constitue un traitement, toute opération d'enregistrement et de collecte de données à caractère personnel ;
- le traitement n'est licite que sous conditions, tenant soit au consentement de la personne concernée par les données, soit à la nécessité du traitement au regard de l'exécution d'un contrat auquel la personne est partie, du respect d'une obligation légale à laquelle le responsable du traitement est soumis, de la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique, de l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.
La violation du RGPD est sanctionnée par des amendes administratives pouvant être infligées au responsable du traitement par la Commission nationale informatique et libertés.
Des faits constitutifs d'une violation du RGPD peuvent être également sanctionnés pénalement, dans le cadre d'une poursuite pour infractions de traitement de données à caractère personnel sans autorisation et d'enregistrement ou de conservation de données à caractère personnel sensibles sans le consentement de l'intéressé réprimées par les articles 226-16 et 226-19 du code pénal.
Mme [T], responsable des ressources humaines de la société [2], a été jugée coupable de ces deux chefs d'infractions, la société [2] est civilement responsable de ces faits, sur le fondement de l'article 1242-1 du code civil.
Le préjudice moral dont la réparation est sollicitée par le salarié, résultant de l'atteinte portée à son image par la constitution illégale de ce fichier portant des commentaires profondément dénigrants, est né dès la date de diffusion du fichier, au plus tard le 12 février 2020, et est donc distinct du préjudice résultant de l'accident du travail subi le 7 mars 2020.
Toutefois, ce préjudice a déjà été réparé par la condamnation de Mme [T] à payer des dommages-intérêts à M. [O], prononcée par l'ordonnance sur intérêts civils du 9 décembre 2024, ce dernier n'ayant pas, à cette occasion, sollicité de condamnation solidaire de la société [2] à réparer le préjudice.
Le jugement déféré à la cour sera donc infirmé en ce qu'il a dit que la société [2] n'avait pas contrevenu aux dispositions du RGPD, mais confirmé en ce qu'il a débouté M. [O] de sa demande à ce titre.
5) Sur la remise d'un bulletin de salaire rectificatif
Les sommes allouées au salarié ne présentant qu'un caractère indemnitaire, il n'y a pas lieu d'ordonner la remise d'un bulletin de salaire rectificatif.
6) Sur les intérêts moratoires
Il convient de dire, conformément aux dispositions de l'article 1231-7 du code civil, que les condamnations à caractère indemnitaire porteront intérêts au taux légal à compter du présent arrêt.
Il y a lieu d'ordonner la capitalisation des intérêts, dans les conditions de l'article 1343-2 du code civil.
7) sur les dépens et les frais irrépétibles
La société [2], qui succombe, supportera la charge des dépens d'appel, et versera à M. [O] une somme de 1.000 euros au titre des frais irrépétibles.
---==oO§Oo==---
PAR CES MOTIFS
---==oO§Oo==---
La cour, statuant publiquement, par mise à disposition de la décision au greffe, par arrêt contradictoire et en dernier ressort,
Confirme le jugement déféré en ce qu'il a retenu sa compétence sur la demande indemnitaire au titre de la violation du RGPD, dit que Mme [T] a commis la faute dans le cadre de son travail et dans les attributions de ses fonctions et débouté M. [O] de ses demandes de remise d'un bulletin de salaire conforme et de dommages-intérêts pour violation du RGPD, et l'infirme sur le surplus des dispositions soumises à la cour ;
Statuant à nouveau :
Dit que la société [1] est civilement responsable de la faute commise par Mme [T] ;
Dit que la société [1] a manqué à son obligation de sécurité ;
Dit que le licenciement pour inaptitude est dépourvu de cause réelle et sérieuse ;
Condamne la société [1] à payer à M. [H] [O] la somme de 35.000 euros bruts de dommages-intérêts pour licenciement sans cause réelle et sérieuse ;
Dit que les condamnations à caractère indemnitaire porteront intérêts au taux légal à compter du présent arrêt ;
Ordonne la capitalisation des intérêts échus dus pour une année entière ;
Condamne la société [1] aux dépens d'appel ;
Condamne la société [1] à payer à M. [H] [O] la somme de 1.000 euros sur le fondement des dispositions de l'article 700 du code de procédure civile et la déboute de sa demande sur ce même fondement.
LE GREFFIER, LA PRÉSIDENTE,
Sophie MAILLANT. Olivia JEORGER-LE GAC.