TRANSFERT D'E-MAIL PRO VERS LA MESSAGERIE PERSO : LA FAUTE EXISTE... MAIS ELLE N'EST PAS FORCÉMENT GRAVE !

Dans un arrêt du 9 avril 2025 (Cass. Soc. 9 avril 2025, pourvoi n°24-12.055), la chambre sociale de la Cour de cassation a rappelé avec pragmatisme les contours de la faute grave en matière de sécurité informatique. Un salarié peut-il être licencié pour faute grave pour avoir transféré un e-mail contenant des documents confidentiels sur sa boîte personnelle ? Pas forcément, répond la Haute juridiction.

Les faits

La salariée d'une société a été licenciée pour faute grave après avoir transféré un e-mail avec pièces jointes depuis sa messagerie professionnelle vers sa messagerie personnelle, en contradiction avec les règles internes de sécurité informatique et d’éthique de l’entreprise.

Elle a saisi le conseil de prud’hommes pour contester son licenciement.

Rappel de la procédure

La Cour d’appel de Colmar, dans un arrêt du 17 novembre 2023, donne raison à la salariée. Elle juge que le licenciement ne repose ni sur une faute grave, ni même sur une cause réelle et sérieuse. La société employeur forme un pourvoi en cassation, estimant que le comportement de la salariée rendait impossible son maintien dans l’entreprise.

La question de droit

Le transfert de documents professionnels confidentiels vers une boîte mail personnelle constitue-t-il, en soi, une faute grave rendant impossible le maintien du salarié dans l’entreprise ?

La décision de la Cour d'appel de Lyon

Par un arrêt du 9 avril 2025, la Cour de cassation rejette le pourvoi de l’employeur. Elle valide l’appréciation des juges du fond qui ont estimé :

• que les faits reprochés étaient établis et constituaient un manquement aux règles internes de sécurité,

• mais qu’ils ne suffisaient pas à caractériser une faute grave dans la mesure où aucune transmission externe des données n’avait été démontrée, la salariée bénéficiait d’une longue ancienneté sans passé disciplinaire et aucun rappel préalable à ses obligations n’avait été effectué par l’employeur.

La décision illustre le pouvoir d’appréciation des juges du fond dans la qualification de la faute grave. 

Elle rappelle que :

• La faute grave n’est pas définie uniquement par la transgression d’une règle interne, aussi importante soit-elle, mais par l’impossibilité de maintenir le salarié dans l’entreprise, ce qui suppose une gravité particulière du comportement.

• L’ancienneté, l’absence d’antécédents disciplinaires et l’absence de dommage réel sont des éléments contextuels à prendre en compte, qui peuvent atténuer la portée de la faute.

• La Cour refuse de raisonner par hypothèse : en l’absence de preuve d’un usage malveillant des données, elle refuse de qualifier la faute de grave.

En somme, même dans un contexte de sécurité informatique renforcée, le simple manquement aux règles internes ne suffit pas, sans preuve d’intention malveillante ou d’atteinte concrète aux intérêts de l’entreprise.