Cour d'appel, pôle 6 - chambre 10, 16 avril 2026 — n° 23/00389

PAR CES MOTIFS La Cour, Dit la mutuelle d'[Localité 4] ([4]) recevable en son appel, Confirme le jugement entrepris sauf en ce qu'il a condamné la mutuelle d'[Localité 4] ([4]) à verser à Mme [F] la somme de 16 549 euros à titre d'indemnité pour licenciement sans cause réelle et sérieuse, outre les intérêts au taux légal à compter de la présente décision, Statuant à nouveau et y ajoutant, Condamne la [7] ([4]) à payer à Mme [F] les sommes suivantes : - 28 960 euros bruts à titre de dommages-intérêts pour licenciement sans cause réelle et sérieuse - 2 500 euros au titre des frais irrépétibles d'appel, Dit que la somme allouée à titre de dommages-intérêts pour licenciement sans cause réelle et sérieuse portera intérêts au taux légal à compter du 15 décembre 2022, date du jugement déféré et la condamnation au titre des frais irrépétibles d'appel produira intérêts au taux légal à compter du présent arrêt, Ordonne le remboursement par l'employeur aux organismes sociaux concernés de tout ou partie des indemnités de chômage payées au salarié licencié du jour de son licenciement au jour du prononcé de la présente décision, dans la limite de six mois d'indemnités de chômage et dit qu'une copie certifiée conforme de la présente sera adressée à ces organismes conformément aux dispositions de l'article L. 1235-4 du code du travail, Déboute la mutuelle d'[Localité 4] ([4]) de l'ensemble de ses demandes, Condamne la mutuelle d'[Localité 4] ([4]) aux dépens d'appel. LA GREFFIERE LA PRESIDENTE

EXPOSE DU LITIGE : Mme [O] [F] a été engagée par la Mutuelle [3], suivant contrat de travail à durée indéterminée en date du 29 octobre 2007, en qualité de conseillère en assurances. Son contrat de travail a été transféré à la mutuelle d'[Localité 4] ([4]) à compter du 2 avril 2012. Après avoir occupé les fonctions de gestionnaire assurances au service adhésion, la salariée a été promue au poste de technicien assurances-vie à compter du 1er mars 2019. À cette même date, elle est passée d'un emploi à temps plein à un emploi à temps partiel (80%). Dans le dernier état des relations contractuelles régies par la convention collective de la mutualité, la salariée percevait une rémunération mensuelle brute de 2 758,17 euros (moyenne sur les 12 derniers mois). Le 17 juin 2019, Mme [F] a été convoquée à un entretien préalable à un éventuel licenciement fixé au 26 juin suivant. Cette convocation était assortie d'une mise à pied à titre conservatoire Le 10 juillet 2019, elle s'est vu notifier un licenciement pour cause réelle et sérieuse, libellé dans les termes suivants : « Le lundi 17 juin à 9h16, nous avons été alertés par notre prestataire extérieur, la société [5], chargée de la sécurité et de la protection de nos données informatiques confidentielles, que vous aviez utilisé votre « LOG identifiant », autrement dit votre nom d'utilisatrice d'entreprise (sophie.noyers) et votre adresse mail professionnelle (sophie.[R] [Courriel 1]), pour vous connecter au système d'information de la [4], durant la journée du vendredi 14 juin entre 10h15 et 19h, alors que vous étiez en repos ce jour-là. Le lundi 17 juin à 11h11, nous avons également été informés que vous aviez communiqué le jeudi 13 juin 2019 à 23h20, vos login et mot de passe à Monsieur [A] [R], qui a ainsi utilisé votre adresse électronique professionnelle, pour annoncer son départ de la [4] à ses anciens collègues. Vos login et mot de passe ont ensuite été utilisés pour effectuer des connexions réussies et répétées vers le site [6] (https://wetransfer.com), site permettant le partage de fichiers. Ces connexions ont été précédées par des accès à des informations sensibles de l'entreprise (ex : téléchargements d'archives Git) via le compte applicatif de Monsieur [A] [R]. Le rapport d'investigations établi par la société [5] démontre que vous avez consulté à plusieurs reprises un site de transfert de fichiers ([6]). Par ailleurs, vos historiques de navigation internet sont d'ailleurs détaillés dans le procès-verbal de constat de Maître [U] [C], Huissier de Justice de la SCP [H] [Z] [P] [T], en date du 27 juin 2019. Vous avez ainsi sciemment manqué à vos obligations contenues dans le règlement intérieur de la [4] qui inclut, depuis le 1er novembre 2018, la Charte d'utilisation des systèmes d'information actualisée, laquelle prévoit notamment : Article 8-5-2 : « L'utilisateur est responsable de l'utilisation des systèmes d'information réalisée avec ses droits d'accès. A ce titre, il assure la protection des moyens d'authentification qui lui ont été affectés ou qu'il a généré (badges, mots de passe etc.) : Il ne les communique jamais, y compris à son responsable hiérarchique et à l'équipe chargée des SI de sa structure sauf cas de force majeure ou d'absence prolongée, les mots de passe du collaborateur peuvent être communiqués à l'employeur sur sa demande, lorsque les informations qu'il détient sont nécessaires à la poursuite de l'activité de l'entreprise (Cour de Cassation, 18 mars 2003) ». Vous avez également délibérément violé vos obligations de fidélité et de loyauté inhérentes à votre contrat de travail. Ces manquements intentionnels induisent nécessairement une perte totale de confiance en vous. Nous avons décidé de vous licencier pour motif personnel reposant sur une cause réelle et sérieuse. C'est la raison pour laquelle, la période de mise à pied à titre conservatoire vous sera rémunérée. »

MOTIFS DE LA DECISION : 1/ Sur le licenciement pour cause réelle et sérieuse En application de l'article L. 1232-1 du code du travail un licenciement doit être justifié par une cause réelle et sérieuse. L'employeur qui prend l'initiative de rompre le contrat de travail doit énoncer son ou ses motifs dans la lettre de licenciement qui fixe les limites du litige. Il incombe à l'employeur d'alléguer des faits précis sur lesquels il fonde le licenciement. Si la charge de la preuve du caractère réel et sérieux du licenciement n'appartient spécialement à aucune des parties, le juge formant sa conviction au vu des éléments fournis par les parties et au besoin après toute mesure d'instruction qu'il juge utile, il appartient, néanmoins, à l'employeur de fournir au juge des éléments lui permettant de constater la réalité et le sérieux du motif invoqué. Si un doute subsiste, il profite au salarié. Aux termes de la lettre de licenciement, il est fait grief à la salariée : - d'avoir communiqué son login et son mot de passe à son mari, également salarié de l'entreprise, pour lui permettre d'envoyer le 13 juin 2019, à 23h20, un courriel annonçant à ses collègues son départ de la mutuelle. L'employeur explique que le mari de la salariée, administrateur de projets web au sein de la mutuelle avait signé le 13 juin 2019 une rupture conventionnelle aux termes de laquelle il était prévu que ses accès VPN et son compte AD (active directory) seraient suspendus dans la soirée. Pourtant une alerte du prestataire extérieur, la société [5], a permis à l'employeur d'apprendre que M. [R] avait utilisé l'adresse mail de son épouse, en se servant des identifiants remis par cette dernière, en violation du règlement intérieur de la [4] interdisant la communication à quiconque des mots de passe - d'avoir permis à son mari d'utiliser son login et son mot de passe pour se connecter au système d'information de la [4] durant la journée du 14 juin 2019 et pour se rendre sur le site [6], site permettant le partage de fichiers. L'employeur précise que ces faits lui ont été également révélés par la société [5] et qu'il les a fait vérifier par un constat d'huissier établi le 27 juin 2019 (pièce 14). Ce dernier qui a répertorié les historiques de navigation internet a constaté que M. [R] s'était connecté, à 12h26, à l'application « Git» en tant qu'administrateur et qu'il avait, ensuite, téléchargé des fichiers grâce à [6]. M. [I], Responsable informatique de la mutuelle a, encore, confirmé ces faits en soulignant que le serveur d'archive Git contient uniquement des fichiers de codes sources appartenant à l'employeur et qu'il s'agit de données stratégiques pour l'employeur. En effet, le fait de récupérer les codes sources via [6] pouvait permettre de refaire les applications développées par la [4] par un tiers. La mise en évidence de ces agissements a d'ailleurs conduit l'employeur à rétracter l'accord de rupture conventionnelle signé avec M. [R] le 13 juin 2019 puis à le licencier. La [7] a aussi déposé une plainte pénale contre X des chefs de vol et abus de confiance. Si cette plainte a été classée sans suite en janvier 2026, le Procureur de la République a indiqué que c'était parce que les faits avaient été sanctionnés administrativement (pièce 22). L'employeur considère, en conséquence, que Mme [F] s'est rendue complice d'une infraction pénale. L'intimée conteste avoir communiqué son identifiant et son mot de passe à son époux et elle indique que tant le 13 juin 2019, que le 14 juin c'est elle-même qui s'est connectée avec ses identifiants. D'ailleurs, le 13 juin, son époux s'est contenté de se servir de son adresse mail pour adresser à ses anciens collègues un message leur annonçant son prochain départ de la société qui avait été négocié dans un délai très bref. Il n'y avait donc aucune intention malveillante dans l'envoi de ce courriel de courtoisie. Le lendemain, son mari ayant été contacté par un de ses collègues, M. [Q], qui rencontrait une difficulté dans l'exécution de son travail, il a profité de la session qu'elle avait ouverte à son nom, pour effectuer une consultation sur les questions de développement que se posait M. [Q]. L'intimée justifie par la production d'un sms que M. [Q] a bien contacté son époux le 13 juin dans la soirée pour lui demander son aide et qu'ils ont convenu d'un rendez-vous téléphonique le lendemain (pièce 23 a). A 12h26, M. [R] s'est connecté au Git dans l'attente de l'appel de M. [Q] qui est intervenu à 14h13 (pièces 18 et 23b). Contrairement à ce qu'avance l'employeur, il ne ressort pas des rapports d'investigations que des téléchargements sont intervenus avant l'appel de M. [Q] (pièce 14 employeur). M. [Q] a, également, attesté avoir demandé une consultation à M. [R] dont il ignorait qu'il venait de signer une rupture conventionnelle avec l'employeur. La salariée souligne que, non seulement, elle n'a pas communiqué ses identifiants à son mari mais qu'elle ne lui a pas davantage permis d'accéder à des informations qui ne lui étaient pas connues puisque son époux a consulté un logiciel qu'il avait lui-même contribué à développer et dont il connaissait toutes les informations. Elle explique, aussi, que les codes sources consultés par son époux étaient en accès libre et qu'ils ne présentaient aucun caractère de confidentialité. Elle ajoute que si son mari avait voulu dérober des informations à l'employeur, il n'aurait pas attendu d'être privé de ses accès et qu'il aurait agi dès l'entame de la négociation de la rupture conventionnelle. Mme [F] rappelle, encore, que si son mari avait signé, un peu dans l'urgence, une rupture conventionnelle le 13 juin 2019, il restait salarié de l'entreprise jusqu'au 31 juillet suivant. Enfin, elle insiste sur le fait que l'employeur est également incapable de justifier de son éventuel préjudice alors qu'elle et son époux ont toujours agi en parfaite bonne foi et que les sanctions qui ont été prononcées, à savoir son licenciement, celui de son époux mais aussi l'éviction de leur fils en mission d'intérim (pièce 28) sont complètement disproportionnées. En cet état, la cour observe qu'il n'est pas démontré que Mme [F] a communiqué à son époux son identifiant et son mot de passe pour se connecter au système informatique de l'entreprise les 13 et 14 juin 2019. Dans les deux cas de figure, M. [R] a parfaitement pu profiter d'une session ouverte par l'intimée ce qui n'exonère toutefois pas la salariée de toute responsabilité puisque l'article 8-5-2 du règlement intérieur de la mutuelle prévoyait que « l'utilisateur est responsable de l'utilisation des systèmes d'information réalisée avec ses droits d'accès ». Pour autant, il n'est pas contesté que M. [R], qui était encore salarié de la mutuelle, a rédigé un courriel sur la boite mail de son épouse pour informer ses collègues de son départ. Ce message de courtoisie n'a causé aucun préjudice à l'employeur et n'était pas de nature à porter atteinte à la sécurité de son système informatique, aucun reproche ne peut donc être formé à l'encontre de Mme [F] à ce titre. Il apparaît, au contraire, que cette démarche de M. [R] était nécessaire puisque le 13 juin, M. [Q], un de ses collègues de travail, l'interrogeait encore sur une question informatique. Si la pertinence de cette consultation est discutée par l'employeur, son existence est incontestable et elle correspond, en termes d'horaire, au moment où M. [R] a accédé à l'application « Git» et utilisé le système [6]. Cette coïncidence temporelle et l'absence de démonstration par l'employeur d'un téléchargement de données non nécessaires au renseignement de M. [Q] permettent d'écarter une intention malveillante de M. [R] de nature à engager la responsabilité de l'intimée, qui lui avait permis d'utiliser sa session.