Cour d'appel, chambre sociale, 26 juin 2025 — n° 22/01398

PAR CES MOTIFS La cour, Confirme le jugement rendu le 6 mai 2022 par le conseil de prud'hommes de Niort en ce qu'il a débouté Mme [Y] [B] de sa demande de dommages et intérêts au titre de la violation par la société Laboratoires Copmed du règlement RGPD et la société Laboratoires Copmed de sa demande d'indemnité sur le fondement de l'article 700 du code de procédure civile, L'infirme pour le surplus Statuant à nouveau sur les chefs infirmés, Condamne la société Laboratoires Copmed à payer à Mme [Y] [B] la somme de 3 000 euros à titre de dommages et intérêts pour manquement à son obligation de sécurité, Dit que cette somme allouée à Mme [Y] [B] produira intérêts au taux légal avec capitalisation dans les conditions prévues par l'article 1343-2 du code civil à compter de la présente décision, Condamne la société Laboratoires Copmed aux dépens de première instance et d'appel, Déboute la société Laboratoires Copmed de sa demande sur le fondement de l'article 700 du code de procédure civile en cause d'appel, Condamne la société Laboratoires Copmed à payer à Mme [Y] [B] la somme totale de 3 000 euros en application de l'article 700 du code de procédure civile tant au titre des frais engagés en première instance qu'en cause d'appel. LE GREFFIER, LE PRÉSIDENT,

EXPOSE DU LITIGE : La société Laboratoires Copmed (SAS) a pour activité la vente de compléments alimentaires, produits de santé naturel et micronutrition. Mme [Y] [B] a été recrutée par la société Copmed par contrat de travail à durée indéterminée daté du 22 août 2017 en qualité de déléguée commerciale sur le secteur Ouest-Vendée, statut employé, moyennant une rémunération brute mensuelle de 2 000 euros outre un commissionnement sur les ventes. Par courriel daté du 30 janvier 2019, Mme [B] a indiqué à son employeur qu'elle avait constaté que les données de géolocalisation issues du dispositif équipant son téléphone mobile professionnel était accessible à tous sur internet. Mme [B] a été placée en arrêt de travail à compter du 14 mars 2019. Par courrier daté du 27 mai 2019, la salariée, par l'intermédiaire de son avocat, a demandé à son employeur de lui communiquer l'ensemble de ses données personnelles conformément aux dispositions du règlement général sur la protection des données (RGPD) ainsi que la notification et l'avis de réception de la notification envoyée à la CNIL dans les 72 heures de la faille de sécurité intervenue. Le contrat de travail de Mme [B] a été rompu dans le cadre d'une rupture conventionnelle signée par les parties le 10 juillet 2019 et les relations de travail ont pris fin le 16 août 2019. Par requête du 13 juillet 2020, Mme [B] a saisi le conseil de prud'hommes de Niort aux fins d'obtenir la condamnation de l'employeur au paiement de diverses sommes à titre de dommages et intérêts pour manquement à l'obligation de sécurité et violation du règlement RGPD. Par jugement du 6 mai 2022, le conseil de prud'hommes de Niort a : dit que la SAS Laboratoires Copmed n'est responsable d'aucun manquement à son obligation de sécurité de résultat, débouté Mme [B] de l'ensemble de ses demandes, débouté la SAS Laboratoires Copmed de l'ensemble de ses demandes, laissé à chacune des parties la charge des dépens. Mme [B] a relevé appel de cette décision par déclaration datée du 1er juin 2022. Dans ses dernières conclusions communiquées le 28 février 2025 et auxquelles il convient de se reporter pour l'exposé détaillé de ses prétentions et moyens, Mme [B] demande à la cour de : infirmer le jugement du conseil de prud'hommes de Niort rendu le 6 mai 2022 en ce qu'il l'a déboutée de l'intégralité de ses demandes, à savoir : déboutée de sa demande de condamnation pour non-respect de l'obligation de sécurité, déboutée de sa demande de condamnation pour violation du règlement RGPD et de son préjudice subi, déboutée de sa demande de condamnation au titre de l'article 700 du code de procédure civile, déboutée de sa demande d'assortir les condamnations sollicitées d'un intérêt au taux légal décompté depuis la saisine du conseil de prud'hommes. statuant à nouveau, juger que la société Laboratoires Copmed a manqué à son obligation de sécurité, juger que la société Laboratoires Copmed a manqué aux dispositions du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (appelé 'RGPD'), en conséquence, condamner la société Laboratoires Copmed au paiement des sommes suivantes : 10 000 euros au titre du manquement de l'employeur à son obligation de sécurité, 20 000 euros en violation de la société Copmed du règlement RGPD, ainsi que du préjudice qu'elle a subi (sic), 2 500 euros, conformément aux dispositions de l'article 700 du code de procédure civile pour la procédure de première instance, 2 500 euros conformément aux dispositions de l'article 700 du code de procédure civile pour la procédure d'appel, débouter la société Laboratoires Copmed de sa demande reconventionnelle visant à la condamner à lui payer la somme de 2 500 euros au titre de l'article 700 du code de procédure civile,

MOTIVATION I. Sur le manquement à l'obligation de sécurité L'article L. 4121-1 du code du travail dispose que 'L'employeur prend les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs. Ces mesures comprennent : 1° Des actions de prévention des risques professionnels ; 2° Des actions d'information et de formation ; 3° La mise en place d'une organisation et de moyens adaptés. L'employeur veille à l'adéquation de ces mesures pour tenir compte du changement des circonstances et tendre à l'amélioration des situations existantes.' L'article L.4121-2 du code du travail dispose par ailleurs que : « L'employeur met en oeuvre les mesures prévues à l'article L. 4121-1 sur le fondement des principes généraux de prévention suivants : 1° Eviter les risques ; 2° Evaluer les risques qui ne peuvent pas être évités ; 3° Combattre les risques à la source ; 4° Adapter le travail à l'homme, en particulier en ce qui concerne la conception des postes de travail ainsi que le choix des équipements de travail et des méthodes de travail et de production, en vue notamment de limiter le travail monotone et le travail cadencé et de réduire les effets de ceux-ci sur la santé ; 5° Tenir compte de l'état d'évolution de la technique ; 6° Remplacer ce qui est dangereux par ce qui n'est pas dangereux ou par ce qui est moins dangereux ; 7° Planifier la prévention en y intégrant, dans un ensemble cohérent, la technique, l'organisation du travail, les conditions de travail, les relations sociales et l'influence des facteurs ambiants, notamment les risques liés au harcèlement moral et au harcèlement sexuel, tels qu'ils sont définis aux articles L. 1152-1 et L. 1153-1, ainsi que ceux liés aux agissements sexistes définis à l'article L. 1142-2-1 ; 8° Prendre des mesures de protection collective en leur donnant la priorité sur les mesures de protection individuelle ; 9° Donner les instructions appropriées aux travailleurs.' Il résulte de ces textes que l'employeur, tenu d'une obligation de sécurité envers les salariés, doit prendre les mesures nécessaires pour assurer leur sécurité et protéger leur santé physique et mentale. Toutefois, l'employeur ne méconnaît pas cette obligation légale s'il justifie avoir pris toutes les mesures de prévention prévues par les articles L.4121-1 et L.4121-2 du code du travail et si, informé de l'existence de faits susceptibles de constituer un manquement à son obligation de sécurité, il a pris les mesures immédiates propres à les faire cesser. En l'espèce, au soutien de son appel, Mme [B] expose en substance que : elle a constaté le 29 janvier 2019 que tous ses déplacements et ceux des collaborateurs étaient visibles sur le moteur de recherche google et que les adresses et heures de déplacements étaient accessibles à tous, l'adresse de son domicile apparaissait également dans les données visibles sur internet par tout internaute ainsi que celle de l'ensemble des collaborateurs, il était possible de suivre sur une carte ou dans le cadre d'une liste chacun de ses déplacements journée par journée et heure par heure depuis le 16 janvier 2018, elle a été victime de plusieurs intrusions dans son domicile en son absence qui étaient directement en lien avec les manquements de l'employeur, car il était possible de suivre ces déplacements et de savoir quand elle n'était pas chez elle, dans le but de l'intimider, le secteur dans lequel évolue la société est très concurrentiel et une concurrence agressive est à déplorer, la société n'a pas cru devoir informer le CHSCT ni mettre à jour le document unique d'évaluation des risques alors que le danger de fuites des données relatives à la géolocalisation avait bien été identifié dès le mois de janvier 2019, en sa qualité d'employeur, la société Copmed devait protéger les équipements qu'elle mettait à la disposition de ses salariés pour éviter les fuites de données personnelles et, par là même, assurer la sécurité de ses salariés, les mesures de prévention et de contrôle ont été inexistantes car les données personnelles des salariés ont été disponibles sur internet plus d'un an, elle a été choquée des manquements de son employeur et s'est vue prescrire un arrêt en mars et en avril 2019, et elle a été contrainte de rompre son contrat de travail, n'étant plus en mesure de l'exécuter sereinement, son médecin attestant qu'elle présente des signes typiques de syndrome post traumatique, et de vendre sa maison car elle ne se sentait plus en sécurité. En réponse, la société Laboratoires Copmed objecte pour l'essentiel que : elle utilise un dispositif qui n'est pas de la géolocalisation dans la mesure où il s'agit d'une application installée sur le téléphone mobile professionnel qui a pour objet d'indiquer au collaborateur la présence de praticiens autour de sa position, elle ne suit pas les déplacements de ses salariés, n'a pas accès aux déplacements des collaborateurs et n'exerce pas un contrôle sur lesdits déplacements, si les véhicules de fonction sont équipés d'un dispositif GPS, ce dispositif n'est pas relié à la société et en aucune façon elle n'a accès aux données GPS du véhicule, les salariés sont contractuellement tenus d'élaborer de façon hebdomadaire un plan de tournée, et de rendre compte quotidiennement de leur activité, sur la base de leurs seules déclarations sans qu'elle ne puisse vérifier la réalité des déplacements déclarés, elle n'était pas tenue aux obligations propres à la mise en place d'un dispositif de géolocalisation puisqu'elle ne collecte pas de données sur le suivi des déplacements, d'après le prestataire de service informatique, le personnel de la société, et personne d'autre, a pu avoir temporairement accès à une page test montrant des points de géolocalisation, inexploitables, l'outil d'aide à la prospection est licite au regard de la finalité du contrat de travail, qui est de visiter de la clientèle et des prospects pour vendre les produits de l'entreprise, Mme [B] ne prouve pas que ses données personnelles aient pu être consultables par un tiers et ne dispose d'aucune preuve quant à la réalité des intrusions qu'elle prétend avoir subies, elle emploie moins de 30 salariés et n'a donc jamais eu de CHSCT, aucun incident n'est survenu et aucun risque n'a été caractérisé de telle sorte que le DUER n'avait pas à être modifié, la cour d'appel de Lyon saisie du même litige engagé par un autre salarié l'a débouté de toutes ses demandes. Sur ce, il résulte des pièces produites que la salariée s'est manifestée auprès de son employeur le 29 janvier 2019 en lui adressant le message suivant : 'Je vous transmets ce mail pour vous informer d'un fait grave pour la protection de notre vie privée. Par hasard hier soir, sur mon ordinateur personnel, j'ai fait une recherche sur Google avec mon nom prénom +2019 afin de découvrir si j'étais présente sur une liste de gagnants à un concours. Sur la première page de proposition Google, tout en bas, apparaissaient plusieurs noms prénoms de collègues délégués et dans l'intitulé est noté Localisation GPS COPMED. J'ai bien fait de faire ma curieuse et j'ai pris le temps de tester l'outil de géolocalisation de notre laboratoire qui est accessible à tout le monde et visible en recherche sur Internet ! Nous sommes visibles sur la place publique. Ca va à l'encontre des textes de la CNIL et autres articles présents dans le droit européen qui protègent chacun. Vous avez accès à ces articles, qui sont stricts et bien cadrés que chaque entreprise est tenue de respecter. Comment cela se fait-il que ces informations, cet outil ait pu être en accès public ' (') Je comprends qu'une entreprise puisse nous géolocaliser pour notre travail si cette géolocalisation est utile. Et nous devons être protégés.