Cour d'appel, chambre sociale, 2 avril 2026 — n° 24/03177

PAR CES MOTIFS La COUR, statuant publiquement, en dernier ressort et par arrêt contradictoire, INFIRME en toutes ses dispositions le jugement rendu par le conseil de prud'hommes du Havre le 16 août 2024, Statuant à nouveau des chefs infirmés et y ajoutant, DIT le licenciement prononcé par l'association [1] à l'égard de Mme [V] [L] fondé sur une faute grave, DÉBOUTE Mme [V] [L] de l'intégralité de ses demandes subséquentes, également de sa demande fondée sur le défaut d'information du droit de se taire pendant l'entretien préalable, CONDAMNE Mme [V] [L] au paiement des entiers dépens, de première instance et d'appel, CONDAMNE Mme [V] [L] à payer à l'association [1] une somme de 500'euros en application des dispositions de l'article 700 du code de procédure civile pour les procédures de première instance et celle d'appel, DÉBOUTE Mme [V] [L] de sa demande présentée sur le fondement de l'article 700 2° du code de procédure civile. Arrêt prononcé publiquement à la date indiquée par mise à disposition au greffe de la cour d'appel, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile et signé par Mme Valérie de Larminat, présidente, et par Mme Fatiha Karam, greffière, à laquelle la minute de la décision a été remise par le magistrat signataire. LA GREFFIÈRE, LA PRÉSIDENTE,

*** Rappel des faits constants L'association [1], dont le siège social est situé à [Localité 3] en Seine-Maritime, regroupe des médecins généralistes dans le cadre d'un service de santé au travail. Elle emploie plus de dix salariés et applique la convention collective nationale des services de prévention et de santé au travail interentreprises du 20 juillet 1976. Mme [V] [L], née le 15 septembre 1988, a été engagée par cette association, d'abord dans le cadre d'un contrat de travail temporaire à effet au 3 avril 2017 et par plusieurs contrats de travail à durée déterminée, puis selon contrat de travail à durée indéterminée à compter du 1er juillet 2017, en qualité d'assistante médicale, moyennant une rémunération initiale de 1'700,55 euros brut ainsi qu'un treizième mois. Par lettre du 5 mai 2022, Mme [L] a été mise à pied à titre conservatoire et convoquée à un entretien préalable qui s'est tenu le 18 mai 2022. Mme [L] s'est ensuite vu notifier son licenciement pour faute grave, par lettre datée du 1er juin 2022, dans les termes suivants': «'Madame, Nous vous avons reçu le 18 mai 2022 dernier en entretien préalable en vue d'une éventuelle sanction disciplinaire pouvant aller jusqu'au licenciement. Cet entretien au cours duquel vous n'avez pas souhaité être assistée par un salarié de [1], faisait suite à une convocation du 5 mai 2022 par laquelle, compte tenu des faits dont nous avions été informés, nous vous avions mise en mise-à-pied à titre conservatoire en attendant votre entretien préalable. A l'issue des vérifications que nous avons effectuées suite aux faits qui avaient été portés à notre connaissance et après avoir entendu vos explications, nous avons décidé de vous notifier votre licenciement pour faute grave. Ainsi que nous vous l'avons exposé lors de l'entretien, les motifs de ce licenciement sont les suivants': Le 4 mai 2022, nous avons été alertés par l'administrateur logiciel et de données que vous aviez accédé à des dossiers médicaux de façon abusive. Vous avez notamment consulté les dossiers médicaux de : M. [A] [M] et Mme [H] [K] le 12 juillet 2021 docteur [T] [C] et Mme [H] [K] le 3 mars 2022 Mme [U] [X] le 13 janvier 2022. Pour consulter ces dossiers, vous avez saisi un motif de consultation que vous saviez fictif puisque ces personnes ne sont pas suivies par votre équipe à laquelle vous êtes rattachée ou qu'ils ne sont tout simplement plus suivis par [1]. Nous vous rappelons que le dossier médical de santé au travail retrace les informations relatives à l'état de santé du salarié, les expositions auxquelles il a été soumis, ainsi que le suivi de son aptitude au poste. Il contient donc des informations couvertes par le secret médical, relatives à l'état de santé du salarié et des données personnelles. La détention de ces données confidentielles et sensibles par [1] répond à des objectifs médicaux légalement et réglementairement encadrés. De par votre métier et votre environnement professionnel vous n'êtes pas sans savoir que vous êtes d'ailleurs, comme l'ensemble du personnel de [1], soumise au secret professionnel et à une obligation de discrétion. Ces obligations sont rappelées dans votre contrat de travail. Lors de l'entretien préalable, vous avez confirmé avoir volontairement consulté les dossiers médicaux de ces personnes sans motif professionnel. Comme seule explication, vous avez indiqué avoir été «curieuse» et que vous souhaitiez connaître l'âge des personnes en question. Ces explications ne nous ont toutefois paru ni recevables ni convaincantes. Tout d'abord ce type de curiosité déplacée n'a pas sa place au sein de [1]. Par ailleurs, il n'est pas nécessaire d'ouvrir le dossier médical d'une personne pour accéder à son âge. Vous avez en réalité détourné les procédures mises en place pour protéger les données contenues dans ces dossiers médicaux en saisissant un faux motif de consultation afin d'en forcer l'accès.

MOTIFS DE L'ARRÊT A titre liminaire, l'association [1] précise qu'elle n'entend pas maintenir son appel du chef du jugement qui a déclaré les demandes de Mme [L] non prescrites, celle-ci ayant justifié avoir déposé une demande d'aide juridictionnelle dans l'année suivant son licenciement. Sur le licenciement pour faute grave Poursuivant l'infirmation du jugement qui a dit le licenciement de Mme [L] mal fondé, l'association [1] fait valoir que le conseil de prud'hommes a retenu à tort qu'elle ne démontrait pas une violation du secret professionnel et un manquement à l'obligation de discrétion alors qu'aux termes de la lettre de licenciement, il n'était reproché à la salariée qu'une consultation fautive de données de santé, outre le fait qu'elle n'avait pas mis en 'uvre des mesures de sécurisation des données de santé. L'article L. 1232-1 du code du travail subordonne la légitimité d'un licenciement pour motif personnel à l'existence d'une cause réelle et sérieuse. La faute grave se définit comme la faute qui résulte d'un fait ou d'un ensemble de faits imputables au salarié qui constitue une violation des obligations résultant du contrat de travail ou des relations de travail d'une importance telle qu'elle rend impossible le maintien du salarié dans l'entreprise pendant la durée du préavis. Il appartient à l'employeur qui entend se prévaloir d'une faute grave du salarié d'en apporter seul la preuve. Si un doute subsiste, il profite au salarié. Aux termes de la lettre de licenciement tels qu'ils ont été énoncés précédemment, lesquels fixent les limites du litige, il est reproché à Mme [L] un seul grief tenant au fait d'avoir consulté des données médicales, de façon injustifiée, en faisant état d'un faux motif. Mme [L] prétend toutefois qu'il lui est en réalité reproché d'avoir détourné des procédures mises en place pour protéger les données contenues dans les dossiers médicaux en saisissant un faux motif de consultation afin d'en forcer l'accès, qu'elle aurait ainsi manqué à ses obligations professionnelles, sachant que la lettre de licenciement rappelle comme obligations mentionnées dans le contrat de travail, le secret professionnel et une obligation de discrétion. Elle fait valoir qu'elle n'a divulgué aucune information à qui que ce soit. Elle estime donc que c'est légitimement que le premier juge a considéré qu'il n'y avait aucun manquement à ce titre. Mais contrairement à ce que soutient la salariée et à ce qu'a retenu le conseil de prud'hommes, ainsi que cela résulte des termes de la lettre de licenciement, il ne lui est pas reproché d'avoir divulgué ou révélé les informations qu'elle avait consultées, et d'avoir ainsi violé le secret médical, ni l'obligation de discrétion à laquelle elle était astreinte. Mme [L] prétend, avant d'en discuter les caractères réel et sérieux, que les faits sont prescrits. L'article L. 1332-4 du code du travail dispose': «'Aucun fait fautif ne peut donner lieu à lui seul à l'engagement de poursuites disciplinaires au-delà d'un délai de deux mois à compter du jour où l'employeur en a eu connaissance, à moins que ce fait ait donné lieu dans le même délai à l'exercice de poursuites pénales.'» Il est constant que le délai de prescription de deux mois, pour engager des poursuites disciplinaires, n'a commencé à courir qu'à compter du jour où l'employeur a eu connaissance du fait fautif. Si les consultations reprochées à Mme [L] ont eu lieu les 7 décembre 2021, les 13 janvier et le 3 mars 2022, l'association [1] justifie n'en avoir eu connaissance que le 4 mai 2022, lorsqu'elle a été alertée par M. [I] [S], administrateur du logiciel, lequel atteste en ce sens (pièce 11 de l'employeur). Mme [L] oppose que rien ne permet de déterminer, si les faits sont avérés, pour quelle raison, ce ne serait qu'à cette date que «'ces accès non autorisés'» auraient été découverts. Elle prétend que M. [S], dans le cadre de ses missions, doit être informé et/ou surveiller très régulièrement pour ne pas dire quotidiennement les accès au logiciel et aux données médicales. Cette thèse repose cependant sur de simples hypothèses contredites par M. [S] lui-même et doit donc être écartée. Il s'ensuit qu'il sera retenu que le délai de prescription a commencé à courir le 4 mai 2022, soit moins de deux mois avant l'engagement de la procédure de licenciement, intervenue le 5 mai 2022 par l'envoi de la convocation à entretien préalable et mise à pied conservatoire. La prescription n'est donc pas acquise. Pour établir la réalité du grief, l'association [1] produit une extraction du logiciel de gestion des dossiers médicaux en santé au travail telle qu'elle a été portée à la connaissance de la présidente de l'association le 4 mai 2022. Cette extraction fait apparaître le nom de Mme [L] comme utilisateur, les dossiers médicaux consultés, l'heure et la date de ces consultations ainsi que le motif fictif renseigné par la salariée pour y accéder (page 4 des conclusions de l'employeur). Cette consultation concerne'l'accès au dossier médical de santé au travail de personnes dont l'équipe pluridisciplinaire de la salariée n'assurait pas le suivi à savoir : - un médecin du travail salarié de l'association, le docteur [T], - l'ancien directeur de [1], M. [A], - la directrice des ressources humaines (DRH) de [1], Mme [H], - une salariée de la direction, Mme [U]. Mme [L] ne remet pas en cause ces consultations, ni qu'elles ont été faites sans motif valable. Elle oppose que le niveau de protection des données gérées par l'association était insuffisant, qu'elle-même aurait dû avoir un accès restreint, ce qui aurait empêché les consultations dénoncées. Outre le fait qu'à le supposer exact, ce fait n'est pas de nature à ôter aux faits leur caractère fautif, l'association [1] produisant plusieurs pièces démontrant que dans son fonctionnement et le traitement des données qu'elle collecte pour son activité, elle prend bien en compte tous les impératifs dictés par les textes notamment dans le choix et l'utilisation du logiciel Padoa (logiciel dédié aux services de prévention et de santé au travail) ou bien encore par la mise en place d'une politique de confidentialité et de protection des données. Ainsi, la décision d'agrément de la Dreets qui, dans sa dernière décision de renouvellement, souligne que l'archivage se fait à la fois par un hébergeur possédant toutes les homologations nécessaires aux données médicales, ainsi que par Padoa, la politique de confidentialité et de protection des données de 2020 qui énumère les personnes qui ont accès aux dossiers médicaux en santé au travail à savoir le médecin du travail sous la responsabilité duquel est tenu le dossier, ainsi que les collaborateurs de son équipe (infirmiers en santé au travail et assistants médicaux) démontrent que les accès (alimentation et consultation) aux dossiers médicaux sont restreints par principe aux membres de l'équipe pluridisciplinaire (pièces 13, 14 et 17 de l'employeur). Il ne peut dans ces conditions être retenu que la protection des données était insuffisante.