La Cour de Cassation a précisé, dans un arrêt du 09 avril dernier, que les adresses IP (Internet Protocol), qui permettent l’identification d’une personne physique via l’utilisation d’un poste informatique en cas de connexion à un réseau internet, sont des données à caractère personnel au titre et au sens de l’article 4 de RGPD.

Dans cette affaire, un employeur a licencié son salarié pour faute grave au regard du fait de la découverte de la suppression et de transfert de plusieurs milliers de fichiers par le salarié vers son adresse personnelle.

Les faits étaient considérés par l’employeur comme constitutifs d’une faute grave de nature à procéder au licenciement du salarié toutefois, saisie, la Cour de Cassation a rappelé que l’adresse IP est une donnée personnelle et que sa collecte suppose le consentement du salarié concerné, de façon expresse et explicite.

En l’espèce, l’employeur n’était pas en mesure de démontrer que la collecte des informations avait été portée à la connaissance du salarié et avait recueilli son consentement.

Si la Cour d’Appel a débouté le salarié au motif de ce que l’adresse IP dont il est question ne portait que sur le réseau local de l’employeur, et n’avait pour objectif que d’identifier un poste et non pas une personne physique, la Cour de Cassation considère néanmoins que cette adresse IP doit être considérée comme étant une donnée à caractère personnel et ainsi doit faire l’objet du traitement prévu au RGPD.

La Cour de Cassation rend cet arrêt dans la continuité de la directive européenne n°95/46/CE, qui fait référence, en son article 26, à la notion d’identification, directement ou indirectement, d’une personne physique.

C’est donc sur cette base que la Cour de Cassation s’est prononcée.

Cela suppose donc d’être particulièrement vigilant s’agissant des pratiques du service informatique en interne pour protéger tant les droits du salarié, que ceux des employeurs.

Cass.Soc, 09/04/2025, n°23-13.159