La question de la gravité des manquements aux règles de sécurité informatique en entreprise continue de nourrir la jurisprudence. Dans un arrêt du 9 avril 2025 (Cass. soc., n° 24-12.055), la Cour de cassation rappelle qu’un tel manquement, même avéré, ne suffit pas à caractériser une faute grave, ni nécessairement une cause réelle et sérieuse de licenciement. Cour de cassation, civile, Chambre sociale, 9 avril 2025, 24-12.055, Inédit

Une salariée de la société Lyreco, engagée depuis 1995 en qualité de VRP et occupant les fonctions de chargée d’affaires, a été licenciée pour faute grave en juillet 2019. Il lui était reproché d’avoir transféré, depuis sa messagerie professionnelle, un courriel contenant des documents hautement confidentiels vers sa messagerie personnelle, en violation du code éthique et de la charte informatique de l’entreprise. L’employeur soulignait que la salariée avait sciemment dissimulé cet envoi en supprimant toute trace du message.

L’intéressée contestait son licenciement, invoquant notamment l’absence d’intention de nuire et la volonté de poursuivre son travail depuis son domicile, son équipement professionnel ne lui permettant pas un accès optimal aux documents concernés.

La cour d’appel de Colmar, suivie par la Cour de cassation, a écarté la qualification de faute grave. Elle a reconnu que le transfert d’un document confidentiel sur la messagerie personnelle de la salariée constituait bien un manquement aux règles internes de sécurité. Toutefois, plusieurs éléments ont conduit à modérer l’analyse :

• aucun élément ne permettait d’établir que les données avaient été transmises à des tiers extérieurs à l’entreprise ;
• la salariée disposait de 24 années d’ancienneté sans le moindre antécédent disciplinaire ;
• le maintien de la salariée dans l’entreprise n’apparaissait pas impossible au regard de ces éléments.

La Cour a ainsi jugé que les faits reprochés ne constituaient ni une faute grave, ni une cause réelle et sérieuse de licenciement.

Cet arrêt rappelle une règle fondamentale du droit disciplinaire : l’évaluation de la faute s’effectue au regard des circonstances. Un manquement aux règles internes, même grave en apparence, n’entraîne pas automatiquement une rupture immédiate du contrat de travail aux torts du salarié.

En matière de sécurité informatique et de protection des données confidentielles, les juges prennent en compte plusieurs critères :

• l’intention du salarié ;
• la nature et la sensibilité des informations concernées ;
• le risque réel encouru par l’entreprise ;
• le comportement antérieur du salarié.

Ainsi, la faute grave suppose des faits d’une gravité telle qu’ils rendent impossible la poursuite du contrat. Ce n’est pas parce qu’une règle est enfreinte qu’un licenciement pour faute grave sera validé : il faut un déséquilibre manifeste du lien de confiance, une mise en péril de l’entreprise ou une volonté de nuire.

À l’inverse, un salarié qui copierait en masse des fichiers confidentiels, utiliserait des moyens frauduleux pour y accéder ou les emporterait à des fins personnelles pourrait voir son comportement qualifié de faute grave, même en présence d’une ancienneté importante (v. Cass. soc., 25 septembre 2024, n° 23-13992 FSB).https://www.courdecassation.fr/decision/66f3a7de5c2cfc5a084ac611

L’arrêt du 9 avril 2025 s’inscrit dans une jurisprudence constante mais nuancée : la gravité d’un manquement s’apprécie toujours dans son contexte factuel, et l’entreprise ne peut faire l’économie d’une analyse individualisée de la situation du salarié, y compris en matière de cybersécurité et de confidentialité.