Voilà un arrêt qui s'est fait attendre. Depuis l'introduction en France des chartes éthiques et dispositifs d'alerte professionnelle, « justifiée » par les scandales financiers américains et la loi Sarbannes Oxley (SOX) de 2002, c'est la première fois que la Cour de cassation est amenée à se prononcer.
L'arrêt du 8 décembre 2009 revêt donc une importance particulière, en ce qu'il condamne le « Code of business conduct » de la société Dassault Systèmes et son dispositif d'alerte professionnelle, considérant d'une part que le code de conduite porte atteinte à la liberté d'expression des salariés et d'autre part que la société a trop largement interprété les préconisations de la CNIL sur la procédure applicable aux alertes éthiques.
Sur ce point, les dispositifs d'alerte professionnelle doivent par principe être préalablement autorisés par la CNIL. Toutefois depuis une décision unique du 8 décembre 2005, la commission permet aux entreprises de déclarer par une procédure simplifiée un dispositif d'alerte professionnelle, lorsque celui-ci vise les domaines financiers, comptable, bancaire et de lutte contre la corruption. Il suffit aux entreprises de remplir une déclaration d'engagement de conformité aux préconisations de la CNIL.
La commission admet également la déclaration simplifiée de conformité pour des faits ne se rapportant pas aux domaines financiers et comptables, mais qui touchent à l'intérêt vital de l'entreprise ou l'intégrité physique ou morale de ses salariés.
Comme il fallait s'y attendre, certaines entreprises, comme la société Dassault Systèmes, se sont engouffrées dans le régime de l'autorisation unique pour mettre en place leurs dispositifs de contrôle interne, alors que le périmètre dépasse largement les domaines de la loi SOX.
En l'espèce, l'alerte professionnelle pouvait être utilisée pour signaler des manquements aux principes que le code de conduite énonce en matière comptable, financière ou de lutte contre la corruption, ainsi qu'à tout autre principe lorsqu'il met en jeu l'intérêt vital du groupe ou l'intégrité physique ou morale d'une personne notamment en cas d'atteinte au droit de la propriété intellectuelle, de divulgations d'informations strictement confidentielles.
La Cour de cassation considère que le dispositif d'alerte professionnelle de la société avait un objet plus large que celui de l'autorisation unique et ne pouvait donc en bénéficier. La société Dassault Systèmes aurait dû demander à la CNIL une autorisation formelle avant de mettre en place cette alerte professionnelle. Une autorisation qu'elle n'aurait, par ailleurs, pas obtenu puisque le dispositif ne respectait pas les mesures d'informations prévues par la loi du 6 janvier 1978 (information des personnes concernées, droit d'accès et de rectification des données).
La Haute cour souligne ainsi que le dispositif d'alerte professionnelle dans le cadre de l'autorisation simplifiée ne peut avoir d'autre finalité que les domaines financiers, comptable, bancaire et de lutte contre la corruption. Cette décision, dont on ne peut que se féliciter permet de limiter l'usage et les pratiques abusives de ces dispositifs du tout contrôle.
Quant au code de conduite de Dassault Systèmes, celui-ci obligeait tout membre du personnel à demander une autorisation expresse avant d'utiliser non seulement une information confidentielle, mais également ce que la charte appelle une information d'usage interne, telle que les notes de service, informations envoyées aux collaborateurs, organigramme, objectifs et données se rapportant aux équipes, caractéristiques techniques, formules, dessins et modèles, inventions.
S'appuyant sur les articles L1121-1 et L2281-1 du Code du travail, qui visent la liberté d'expression et le droit d'expression, la Cour de cassation souligne que les salariés jouissent à l'intérieur comme à l'extérieur de l'entreprise d'une liberté d'expression qui ne peut être entravée que par des restrictions justifiées par la nature de la tâche à accomplir et proportionnée au but recherché.
Elle considère que les informations à usage interne visées par le code de conduite ne font pas l'objet d'une définition suffisamment précise pour permettre au juge de vérifier que les restrictions apportées à la liberté d'expression sont justifiées au regard de l'article L1121-1 du code du travail.
Plus encore, elle justifie sa décision avec un autre argument celui de l'atteinte au droit d'expression collective des salariés, dans la mesure où les informations soumises à autorisation préalable d'utilisation font parties des sujets qui peuvent appartenir au domaine de ce droit. En effet, chaque salarié doit pouvoir s'exprimer en tant que membre d'une collectivité de travail sur les conditions d'exercice et l'organisation du travail sans que cela puisse être soumis à une quelconque autorisation préalable.
En remettant sur le devant de la scène juridique, le trop oublié droit d'expression, cet arrêt pointe du doigt les incompatibilités juridiques entre les chartes et le droit français, notamment quant à l'expression collective des salariés.
Il nous donne également l'occasion de rappeler que les chartes et alertes n'ont, pour nous, pas lieu d'être dans la mesure où des dispositions légales existent. On peut notamment citer l'article L2281-11 du code du travail qui prévoit des conditions d'exercice spécifiques du droit d'expression pour le personnel d'encadrement.