Preuve issue de données personnelles : recevabilité en procès civil

Une preuve obtenue au prix d'une atteinte aux données personnelles n'est pas automatiquement écartée du procès civil. Le juge doit, lorsqu'une partie le lui demande, mettre en balance le droit à la preuve et les droits opposés. Deux conditions cumulatives s'appliquent : la production doit être indispensable à l'exercice du droit à la preuve, et l'atteinte strictement proportionnée au but poursuivi. La chambre commerciale applique ce contrôle à un rapport d'audit interne produit dans un contentieux électoral.

L'essentiel

• Dans un procès civil, une preuve obtenue de façon illicite ou déloyale n'est pas nécessairement écartée : le juge procède à une mise en balance lorsqu'une partie le lui demande.
• La production d'un élément attentatoire à d'autres droits suppose deux conditions cumulatives : être indispensable à l'exercice du droit à la preuve, et porter une atteinte strictement proportionnée au but poursuivi.
• Une analyse purement volumétrique de données pseudonymisées, sans fichier nominatif, avec destruction des données initiales et constats d'un commissaire de justice, caractérise une atteinte très limitée.
• La désignation, par les salariés actionnaires, du candidat au mandat d'administrateur obéit aux principes généraux du droit électoral.
• Une campagne mensongère et virulente, doublée d'une rupture d'égalité des moyens de propagande, peut justifier l'annulation d'un scrutin dont l'écart final reste faible.

Un audit interne produit pour contester un scrutin

La chambre commerciale rejette le pourvoi : le rapport d'un cabinet d'audit fondé sur des données pseudonymisées pouvait être produit, et le scrutin annulé (Com., 17 juin 2026, n° 25-11.499). Le conseil d'administration de la société anonyme concernée, société mère d'un groupe, compte quinze membres, dont un représente le personnel actionnaire.

Le mode de désignation de ce représentant résulte des statuts, d'un accord d'entreprise et d'un règlement électoral. Les suffrages s'expriment en faveur d'un binôme titulaire/remplaçant. Deux binômes se sont présentés au suffrage des salariés actionnaires, l'un soutenu par un syndicat et une association d'actionnaires salariés, l'autre par un autre syndicat. Un binôme est arrivé en tête au premier tour ; l'autre l'a emporté au second, deux semaines plus tard.

Un syndicat et la candidate arrivée en tête au premier tour ont assigné la société et les autres parties devant un tribunal de commerce, en annulation du second tour. Sur décision de son conseil d'administration, la direction a confié à un cabinet d'audit une analyse technique des opérations de vote. Le pré-rapport de ce cabinet a été versé aux débats en appel.

L'arrêt attaqué (CA Versailles, 10 décembre 2024, n° 24/02869) a admis cette production et annulé le second tour. Les auteurs du pourvoi soutenaient que la cour d'appel ne pouvait retenir ce rapport sans vérifier l'information des salariés dont les données avaient été traitées, obligation qu'ils tiraient de l'article 14 du RGPD. La chambre commerciale juge ces griefs inopérants : les motifs relatifs à la licéité du traitement étaient surabondants.

La règle appliquée est celle de la mise en balance, fondée sur l'article 6, § 1, de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales et sur l'article 9 du code de procédure civile. Le juge y procède lorsqu'une partie le lui demande.

Il résulte de l'article 6, § 1, de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales et de l'article 9 du code de procédure civile que, dans un procès civil, l'illicéité ou la déloyauté dans l'obtention ou la production d'un moyen de preuve ne conduit pas nécessairement à l'écarter des débats.

Preuve issue de données personnelles : les deux conditions

Une preuve issue de données personnelles peut être produite lorsque sa production est indispensable à l'exercice du droit à la preuve et que l'atteinte reste strictement proportionnée au but poursuivi. Les deux conditions sont cumulatives. Le juge ne procède à cet examen que si une partie le lui demande.

La partie qui veut faire écarter une pièce doit donc agir. Elle identifie le droit atteint – protection des données personnelles, vie privée, liberté syndicale – et explique en quoi l'atteinte est disproportionnée. La cour d'appel a d'ailleurs relevé que les personnes physiques concernées, parties à l'instance, n'invoquaient aucune atteinte personnelle à leurs propres données ni à leur vie privée.

Les modalités techniques de l'audit pèsent lourd dans la balance. La cour d'appel s'est appuyée sur le rapport lui-même et sur cinq constats dressés par un commissaire de justice pendant les opérations. Ces constats décrivent précisément le traitement appliqué aux données des salariés.

ce sous-traitant avait pseudonymisé l'ensemble des données personnelles utilisées, détruit les données initiales, lesquelles ne comportaient pas le contenu de courriers électroniques, puis réalisé une analyse purement volumétrique des données pseudonymisées ne donnant lieu à l'établissement d'aucun fichier nominatif

La chambre commerciale approuve la déduction des juges du fond. Compte tenu de la teneur de ce rapport, le droit à la preuve de la société, du syndicat et de la candidate en justifiait la production, nécessaire à leur défense et proportionnée à « l'atteinte extrêmement limitée à la confidentialité des données protégées et à la liberté syndicale ».

Quelle portée pour les enquêtes internes et les scrutins ?

L'arrêt confirme que la mise en balance du droit à la preuve joue pleinement lorsque la preuve repose sur des données personnelles, sans valider pour autant le traitement lui-même. La distinction commande la suite : admettre un élément de preuve n'équivaut pas à déclarer licite le traitement qui l'a produit.

La cour d'appel avait jugé le traitement licite, au regard de l'intérêt légitime de la société tenue de défendre en justice la validité du processus électoral qu'elle avait organisé. La chambre commerciale qualifie ces motifs de surabondants et n'a donc pas eu à les valider. La question de l'information des personnes concernées, invoquée sur le fondement de l'article 14 du RGPD, reste ouverte.

Sur le volet électoral, l'arrêt approuve les juges du fond d'avoir exactement appliqué les principes généraux du droit électoral à la désignation du candidat par les salariés actionnaires. La cour d'appel avait retenu que les irrégularités n'annulent le scrutin que si elles heurtent directement ces principes ou si elles ont exercé une influence sur le résultat. L'appréciation de cette influence relève des juges du fond.

Deux constats ont emporté l'annulation du second tour. La communication d'un syndicat pendant la campagne avait dépassé « les limites admissibles de la liberté d'expression syndicale et de la polémique électorale ». L'égalité des moyens de propagande avait par ailleurs été rompue. Le faible écart entre les binômes en proportion du corps électoral, puis l'inversion des résultats en deux semaines, ont conduit les juges à retenir que le scrutin avait été faussé.

Sécuriser une enquête interne destinée au procès

Une entreprise qui enquête sur ses propres systèmes construit son enquête en pensant au juge, car la recevabilité du rapport dépendra des garanties techniques documentées. Le cabinet mandaté dans cette affaire n'a établi aucun fichier nominatif et n'a pas consulté le contenu des messages. Ces choix ont réduit l'atteinte aux droits des salariés.

• Cantonner la collecte aux faits suspectés et exclure le contenu des messages échangés.
• Pseudonymiser les données utilisées, puis détruire les données initiales.
• Faire constater les opérations de collecte, de pseudonymisation et de destruction par un commissaire de justice.
• S'en tenir à une analyse volumétrique, sans reconstitution d'un fichier nominatif.
• Conserver la trace écrite de l'objet de la mission confiée au tiers et du calendrier des opérations.

Pour l'organisation d'un scrutin interne, le règlement électoral s'impose aux candidats comme à leurs soutiens. La cour d'appel a retenu que toute communication aux électeurs supposait la fourniture préalable et directe de coordonnées par leurs destinataires. Une organisation qui démarche des salariés sans pouvoir établir ce point s'expose à un constat de rupture d'égalité entre candidats.

Les vérifications à mener avant de produire un rapport

Avant de verser un rapport d'enquête aux débats, trois vérifications s'imposent. La production doit être indispensable à la défense de celui qui l'invoque. Les garanties techniques – pseudonymisation, destruction des données initiales, absence de fichier nominatif, constats par un tiers – doivent être documentées et démontrables. L'atteinte doit enfin rester proportionnée au but poursuivi et limitée aux faits en litige. Face à une pièce adverse jugée irrégulière, la demande tendant à l'écarter se formule expressément devant le juge, en désignant le droit atteint et la nature concrète de l'atteinte.