Brief — Son ancien employeur s'est connecté à son compte eBay privé avec son identifiant et son mot de passe : la Cour de justice vient de dire que le juge peut quand même utiliser ces preuves

Thème : jurisprudence de l'Union et preuve numérique — utilisation judiciaire de données personnelles obtenues en violation du RGPD, base de licéité propre au juge, minimisation au stade de la divulgation et droit à un procès équitable

Mots-clés : #rgpd #cjue #cyber #preuve-illicite #minimisation #ebay

Le 18 juin 2026, la cinquième chambre de la Cour de justice de l'Union européenne a rendu l'arrêt **C-484/24, *NTH Haustechnik*, sur renvoi préjudiciel du Landesarbeitsgericht Niedersachsen (cour d'appel du travail de Basse-Saxe), après les conclusions de l'avocat général Dean Spielmann du 16 octobre 2025. Les faits tiennent en trois lignes : NTH Haustechnik GmbH, entreprise de chauffage et de climatisation, met fin au contrat de travail de EM, qui conserve l'accès aux locaux et aux ordinateurs qui s'y trouvent ; trois ans plus tard, l'entreprise découvre que EM a vendu sur eBay des biens dont elle revendique la propriété. Elle l'a découvert en se connectant au compte eBay privé de EM avec son identifiant et son mot de passe**. La juridiction de renvoi n'exclut pas que cette collecte ait été illicite, et demande si elle peut malgré tout en tenir compte.

La Cour dissocie deux questions que la pratique confond systématiquement. L'admissibilité des preuves relève, en l'état du droit de l'Union, du droit national. Mais le juge qui extrait des données personnelles de pièces électroniques transmises par une partie accomplit lui-même un acte de collecte : il devient responsable de traitement et le RGPD s'applique à son office juridictionnel. Deux précisions techniques suivent : l'article 17, §3, e) — l'exception au droit à l'effacement lorsque les données sont nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice — n'est pas une base de licéité alternative, la liste de l'article 6, §1, étant exhaustive et limitative ; et le principe de minimisation de l'article 5, §1, c), n'impose pas au juge de vérifier la proportionnalité pour chaque traitement pris isolément, dès lors que les exigences propres à la minimisation sont respectées.

Le point décisif est le cinquième. Ni la Charte (articles 7 et 8) ni le RGPD ne s'opposent à ce qu'une juridiction nationale utilise une preuve contenant des données personnelles obtenues en violation du droit à la vie privée et à la protection des données, lorsque l'intérêt légitime de la partie qui les transmet ne l'emporte pas sur le simple intérêt à faire valoir les faits qu'elle invoque. Le raisonnement passe par une base de licéité propre au juge : son traitement est nécessaire au respect d'une obligation légale (article 6, §1, c), lu avec l'article 6, §3) — celle de statuer sur l'admissibilité de la preuve puis, si elle est admise, d'en tenir compte — et cette obligation poursuit un objectif d'intérêt général, le droit à un procès équitable de l'article 47 de la Charte. La protection des données n'est pas un droit absolu ; elle se met en balance. La garantie ne disparaît pas pour autant, elle se déplace : avant de divulguer ces données aux parties ou à des tiers, le juge doit examiner si elles se limitent à ce qui est nécessaire et prendre les mesures réduisant autant que possible l'atteinte. Enfin, s'agissant des tiers non parties à l'instance, le juge doit respecter le RGPD en traitant leurs données, mais le droit de l'Union n'exige pas, en principe, que les parties puissent se prévaloir d'une atteinte qui leur est faite à eux.

Pour un praticien de la sécurité, la portée est directe. L'arrêt ne dit pas que la collecte était licite, ni qu'elle est sans conséquence : celui qui se connecte au compte d'autrui reste exposé à la responsabilité civile, à l'action de l'autorité de contrôle et, en droit français, à l'article 323-1 du code pénal réprimant l'accès frauduleux à un système de traitement automatisé de données. Il dit que l'illicéité de la collecte et l'irrecevabilité de la preuve sont deux questions distinctes. La solution converge d'ailleurs avec le revirement de la Cour de cassation, assemblée plénière, du 22 décembre 2023 (pourvois n° 20-20.648 et n° 21-11.330) : le juge civil français n'écarte plus par principe une preuve déloyale ou illicite, il apprécie si son usage porte atteinte au caractère équitable de la procédure prise dans son ensemble, en mettant le droit à la preuve en balance avec les droits antinomiques. Concrètement, deux artefacts changent de statut : les journaux d'authentification, qui servent simultanément à établir l'intrusion et à documenter la provenance de la pièce ; et le périmètre effectivement versé aux débats, qui devient le lieu où se joue désormais la protection des personnes — caviardage, restriction du volume produit, traitement séparé des données de tiers.

Brief — Son ancien employeur s'est connecté à son compte eBay privé avec son identifiant et son mot de passe : la Cour de justice vient de dire que le juge peut quand même utiliser ces preuves

Sources