[ 25 septembre 2026 ]

Procédure civile

Primauté du droit à la preuve sur la protection de données personnelles piratées

Com. 17 juin 2026, n° 25-11.499

Dans l’arrêt rapporté, la Cour de cassation rappelle, au visa des articles 6, § 1 de la Convention EDH et 9 du Code de procédure civile, que l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats, par la mise en balance du droit à la preuve et des droits antinomiques en présence, dès lors que cette production est indispensable à son exercice et que l’atteinte portée à ces droits est strictement proportionnée au but poursuivi.

La solution est classique depuis que la Cour de cassation a reconnu l’existence d’un droit à la preuve, le 5 avril 2012 (Civ. 1^re, n° 11-14.177) et qu’en Assemblée plénière, elle a mis fin au principe d’interdiction de rapporter, dans le procès civil, une preuve déloyalement obtenue puis fixé les nouveaux critères de recevabilité de la preuve immorale que sont la nécessité de cette preuve et sa proportionnalité (Ass. plén., 22 déc. 2023, 20-20.648).

Elle dénote toutefois par les conséquences à la fois inattendues et périlleuses qu’elle met en évidence concernant la protection des données personnelles : déjà menacée en fait par la multiplication des cyberattaques contre les banques de données, elle se trouve affaiblie en droit par la primauté ici donnée au droit à la preuve, qui ressort une nouvelle fois renforcé.

Dans un litige relatif à la désignation de salariés actionnaires au conseil d’administration d’une société, sur la base d’un rapport d’expertise établi grâce à des données personnelles illégalement obtenues par la société mais rendues anonymes par un tiers intervenant, la Cour de cassation admet en effet la recevabilité d’une telle preuve fondée sur la production de données personnelles protégées en violation de l'article 6, § 1 du RGPD de 2018. C’est cette violation directe du RGPD que le pourvoi dénonçait devant la chambre commerciale, rappelant que lorsque des données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement est tenu d’une obligation d’information renforcée, concernant tout à la fois l'identité et les coordonnées du responsable du traitement, les finalités du traitement et la base juridique sur laquelle il repose, les catégories de données personnelles concernées, les destinataires ou catégories de destinataires des données personnelles et, lorsque le traitement est comme en l’espèce fondé sur l'article 6, § 1, pt f), son devoir d’informer s’étend aux intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, ainsi qu’à ses droits, tels que le droit de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité des données. Or la société concernée n’avait en l’espèce procédé à aucune des nombreuses informations exigées. Le moyen invoquait subsidiairement un point qui se révélera toutefois fondamental : la « pseudonymisation » des données à caractère personnel définie à l'article 4, § 5, du RGPD, ne constitue pas une exception à l'obligation d'information du responsable du traitement en cas de collecte indirecte. C’est pourtant bien cette technique de transformation des données qui motive le rejet du pourvoi. Reprenant les constatations des juges du fond, la Cour de cassation relève en effet qu'à l'occasion des opérations de vote, une fuite et une utilisation illicite des données personnelles de plusieurs salariés ont certes eu lieu, mais que le tiers mandaté par la société, tenue de garantir la confidentialité de ces données, a procédé à une analyse purement technique de celles-ci, ce qui ressort tant de son rapport que des cinq constats dressés par un commissaire au cours de ses opérations, attestant que ce sous-traitant avait pseudonymisé l'ensemble des données personnelles collectées, détruit les données initiales, lesquelles ne comportaient pas le contenu de courriers électroniques, puis réalisé une analyse purement volumétrique des données ainsi modifiées, ne donnant lieu à l'établissement d'aucun fichier nominatif. La pseudonymisation se présente ainsi comme le moyen technique de conciliation du droit à la preuve et de la protection des données personnelles. On précisera qu’aux termes de l’article 4, pt 5, du RGPD, la pseudonymisation se définit comme « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires ». Elle se distingue de l’anonymisation en ce que le processus est réversible, car les données pseudonymisées demeurent des données à caractère personnel au sens du règlement. En l’espèce, cette réversibilité n’empêche pas la Cour d’écarter le grief d’atteinte à la confidentialité des données protégées, quoique déloyalement subtilisées, à raison des modalités précitées des opérations d’analyse : extérieur à la société, le sous-traitant mandaté avait pseudonymisé l’ensemble des données personnelles des salariés, procédé avant toute analyse à la destruction des données initiales et limité son intervention à une analyse purement volumétrique — et non pas sémantique — des données ainsi modifiées. La méthodologie utilisée conduit la Cour de cassation à considérer que l’atteinte portée à la confidentialité des données litigieuses, même protégées par le règlement, se révèle « extrêmement limitée ». Elle refuse en conséquence d’écarter des débats la production de ces données, que le droit à la preuve justifie comme étant nécessaire à la défense de la société.

Assortie de la destruction des données sources et d’une analyse exclusivement quantitative des données, la « pseudonymisation » constitue donc le garde-fou technique du droit à la preuve lorsque ce dernier doit être concilié avec la nécessité de protéger des données à caractère personnel. La solution est d’une portée pratique considérable pour les sociétés confrontées comme en l’espèce à des contentieux électoraux internes, ainsi qu’à des contentieux entre associés, ou encore à des actions en responsabilité pour concurrence déloyale.

En validant la production d’un rapport d’analyse technique fondé sur des données personnelles déloyalement obtenues mais pseudonymisées, la Cour confirme et renforce le principe, initialement réservé au droit pénal, d’admission de la preuve immorale, qui s’étend désormais à tous les domaines du droit privé, tout en rappelant les exigences qui conditionnent sa recevabilité : la nécessité de sa production pour l’exercice effectif du droit à la preuve (et donc du procès équitable) et le caractère strictement proportionné de l’atteinte aux droits concurrents. Affirmée en théorie, cette transposition du contrôle de proportionnalité dégagé par l’Assemblée plénière dans ses arrêts fondateurs du 22 décembre 2023 trouve en l’espèce une portée pratique limitée : on notera en effet que la seule déloyauté dans l’obtention et la production de données personnelles ne provoque plus, en soi, une atteinte disproportionnée à la finalité probatoire poursuivie (comp. CEDH, 10 oct. 2006, L.L. c. France, req. n° 7508/02 : condamnation de la France en suite de la production en justice, non consentie, de données médicales sensibles qui constitue, au vu du rôle fondamental que joue la protection des données à caractère personnel, une atteinte disproportionnée au droit au respect de la vie privée du requérant).