L’arrêt du 8 décembre 2009 (n°08-17191) revêt donc une importance toute particulière, en ce qu’il condamne le « Code of business conduct » de la société Dassault Systèmes et son dispositif d’alerte professionnelle, considérant d’une part que le code de conduite porte atteinte à la liberté d’expression des salariés et d’autre part que la société a trop largement interprété les préconisations de la CNIL sur la procédure applicable aux alertes éthiques.

Sur ce point, les dispositifs d’alerte professionnelle doivent par principe être préalablement autorisés par la CNIL. Toutefois depuis une décision unique du 8 décembre 2005, la commission permet aux entreprises de déclarer par une procédure simplifiée un dispositif d’alerte professionnelle, lorsque celui-ci vise les domaines financiers, comptable, bancaire et de lutte contre la corruption. Il suffit aux entreprises de remplir une déclaration d’engagement de conformité aux préconisations de la CNIL. Cette procédure purement déclarative, n’appelle pas de contrôle de la part de la commission.

La CNIL admet également la déclaration simplifiée de conformité pour des faits ne se rapportant pas aux domaines financiers et comptables mais qui touchent à l’intérêt vital de l’entreprise ou l’intégrité physique ou morale de ses salariés.

Aussi et comme il fallait s’y attendre, certaines entreprises, dont la société DASSAULT Systèmes, se sont engouffrées dans le régime de l’autorisation unique pour mettre en place leurs dispositifs de contrôle interne, alors que le périmètre dépassait largement les domaines de la loi SOX.
En l’espèce, l’alerte professionnelle de DASSAULT Systèmes pouvait être utilisée pour signaler des manquements aux principes que le « Code of business conduct » énonce en matière comptable, financière ou de lutte contre la corruption, ainsi qu’à tout autre principe lorsqu’il met en jeu l’intérêt vital du groupe ou l’intégrité physique ou morale d’une personne notamment en cas d’atteinte au droit de la propriété intellectuelle, de divulgations d’informations strictement confidentielles.

La Cour de cassation a ainsi considéré que le dispositif d’alerte professionnelle avait un objet plus large que celui de l’autorisation unique et ne pouvait en bénéficier. Par conséquent, la société DASSAULT Systèmes aurait dû demander à la CNIL une autorisation formelle avant de mettre en place son alerte professionnelle, ce qu’elle n’aurait pas obtenu puisque par ailleurs, le dispositif ne respectait pas les mesures d’informations (information des personnes concernées, droit d’accès et de rectification des données) et n’étaient donc pas conformes à la loi du 6 janvier 1978.

La Haute cour souligne donc que le dispositif d’alerte professionnelle dans le cadre de l’autorisation simplifiée ne peut avoir d’autre finalité que les domaines financiers, comptable, bancaire et de lutte contre la corruption. On ne peut que se féliciter de cette décision qui vise à limiter l’usage et l’abus de ces dispositifs du tout contrôle.

Quant au code de conduite de DASSAULT Systèmes que les salariés devaient respectés, celui-ci obligeait tout membre du personnel à demander une autorisation expresse avant d’utiliser non seulement une information confidentielle, mais également ce que la charte appelle une information d’usage interne, telle que les notes de service, informations envoyées aux collaborateurs, organigramme, objectifs et données se rapportant aux équipes, caractéristiques techniques, formules, dessins et modèles, inventions.

S’appuyant sur les articles L1121-1 et L2281-1 du Code du travail, qui visent la liberté d’expression et le droit d’expression, la Cour de cassation souligne que les salariés jouissent à l’intérieur comme à l’extérieur de l’entreprise d’une liberté d’expression qui ne peut être entravée que par des restrictions justifiées par la nature de la tâche à accomplir et proportionnée au but recherché. Elle considère que les informations à usage interne visées par le code de conduite ne font pas l’objet d’une définition suffisamment précise pour permettre au juge de vérifier que les restrictions apportées à la liberté d’expression sont justifiées au regard de l’article L1121-1 du code du travail.

Plus encore, elle souhaite justifier sa décision avec un autre argument celui de l’atteinte au droit d’expression collective des salariés, dans la mesure où les informations soumises à autorisation préalable d’utilisation font parties des sujets qui peuvent appartenir au domaine de ce droit. En effet, chaque salarié doit pouvoir s’exprimer en tant que membre d’une collectivité de travail sur les conditions d’exercice et l’organisation du travail sans que cela puisse être soumis à une quelconque autorisation préalable.

En remettant sur le devant de la scène juridique, le trop oublié droit d’expression, cet arrêt pointe non seulement du doigt les incompatibilités juridiques entre les chartes et le droit français, notamment quant à l’expression collective des salariés. Il nous donne également l’occasion de rappeler que les chartes et alertes n’ont pas lieu d’être dans la mesure où des dispositions légales existent et notamment l’article L2281-11 du code du travail qui prévoit des conditions d’exercice spécifiques du droit d’expression pour le personnel d’encadrement.