TRIBUNAL

JUDICIAIRE

DE PARIS [1]

[1] 3 Expéditions

exécutoires

— M^e GUEROULT

— M^e BES DE BERC

— M^e BARBARA

délivrées le :

+ 1 Copie dossier

■

5ème chambre

2ème section

N° RG 20/12149

N° Portalis 352J-W-B7E-CTKAI

N° MINUTE :

DEBOUTE

Assignation du :

25 Novembre 2020

JUGEMENT

rendu le 30 Janvier 2025

DEMANDEUR

Monsieur [X] [I], né le [Date naissance 4] 1963 à [Localité 5] (ARGENTINE), de nationalité argentine et française, domicilié [Adresse 2].

Représenté par Maître Sabine GUEROULT de la S.E.L.A.R.L. CABINET SGTR, avocat au barreau de PARIS, avocat postulant, vestiaire #D1491 et par Maître David METIN de l’A.A.R.P.I. METIN & ASSOCIES, avocat au barreau de VERSAILLES; avocat plaidant.

DÉFENDERESSES

La société STIMULUS, société par actions simplifiée au capital de 43.000,00 euros, immatriculée au Registre du Commerce et des Sociétés de PARIS sous le numéro 349 428 995, ayant son siège social [Adresse 3], prise en la personne de son représentant légal domicilié en cette qualité audit siège.

Représentée par Maître Daphné BES DE BERC de la S.E.L.E.U.R.L. DAPHNE BES DE BERC, avocat au barreau de PARIS, vestiaire #P0030.

Décision du 30 Janvier 2025

5ème chambre 2ème section

N° RG 20/12149 – N° Portalis 352J-W-B7E-CTKAI

La société TOTALENERGIES SE, intervenante forcée, société immatriculée au Registre du Commerce et des Sociétés de NANTERRE sous le numéro 542 051 180, dont le siège social est situé [Adresse 1], prise en la personne de son représentant légal, domicilié en cette qualité audit siège.

Représentée par Maître Emmanuelle BARBARA de la S.C.P. AUGUST & DEBOUZY ET ASSOCIÉS, avocat au barreau de PARIS, vestiaire #P0438.

COMPOSITION DU TRIBUNAL

Madame Christine BOILLOT, Vice-Présidente,

Madame Elodie GUENNEC, Vice-présidente,

Monsieur Pierre CHAFFENET, Juge,

assistés de Madame [G] [S], Greffière stagiaire.

DEBATS

A l’audience du 21 Novembre 2024 présidée par Madame Christine BOILLOT, Vice-Présidente, tenue en audience publique avis a été donné aux parties que le jugement serait rendu par mise à disposition au greffe le 30 Janvier 2025.

JUGEMENT

Prononcé par mise à disposition au greffe

Contradictoire

En premier ressort

Monsieur [X] [I] a été embauché le 1er février 1995 par la société TOTAL AUSTRAL, filiale du groupe TOTAL en Argentine, en qualité de « Responsable du département Juridique ». Après une période de détachement, il a ensuite été muté au sein de la société TOTAL SA, devenue TOTALENERGIES SE, à compter du 1er novembre 2003.

Du 1er juillet 2009 au 15 mars 2021, ce dernier n’exerçait plus d’activité opérationnelle mais uniquement divers mandats de représentation du personnel, à temps plein. A ce titre, Monsieur [X] [I], salarié protégé, bénéficiait d’une protection particulière imposant à l’employeur d’obtenir une autorisation préalable de l’Inspection du travail à tout licenciement.

La société TOTALENERGIES SE a été, au mois de février 2020, destinataire de plusieurs signalements croisés, dont l’un émanant notamment de Monsieur [X] [I], et un autre de Monsieur [N], suivis de plusieurs autres. Et le 11 février 2020, la médecine du travail a adressé divers signalements à la société. Ces différentes alertes se fondaient sur plusieurs dispositifs juridiques distincts (souffrance au travail, harcèlement), et mettaient notamment en cause trois salariés protégés.

La société TOTALENERGIES SE, confrontée à la nécessité d’entreprendre une enquête, a choisi de l’externaliser faisant appel à la SAS STIMULUS, la seule enquête en interne étant exclue dans ce contexte où des membres du CSE étaient en cause.

La société STIMULUS, créée en 1989, est un cabinet de conseil de référence en matière de bien-être et de santé psychologique au travail, qui intervient notamment dans la gestion de situations dites « sensibles », proposant la mise en œuvre de divers types d’enquête, tels que des enquêtes souffrance au travail, ou des enquêtes pour situation présumée de harcèlement.

La composition de la commission d’enquête a été approuvée par le CSE le 3 mars 2020. Elle s’est réunie pour la première fois le lendemain.

Le rapport final a été remis au chef d’établissement par la commission d’enquête le 31 juillet 2020, avec restitution au comité d’entreprise le 21 septembre 2020, réalisée par visioconférence, dans un contexte de crise sanitaire, non sans avoir rappelé l’obligation de confidentialité quant aux informations en cause, et du fait que le CSE avait été saisi d’une alerte.

Compte tenu des agissements de Monsieur [X] [I], la société TOTALENERGIES SE a décidé de le licencier, et l’a convoqué à un entretien préalable. L’inspecteur du travail a par décision du 1er mars 2021 autorisé le licenciement, intervenu le 15 mars 2021.

Cependant, cette décision a par la suite été annulée par décision du tribunal administratif de Cergy-Pontoise du 10 novembre 2022, contre laquelle la société TOTALENERGIES SE a fait appel, l’affaire étant actuellement pendante sans que la date d’audience soit encore fixée.

Dans ce contexte, Monsieur [X] [I] a initié plusieurs procédures judiciaires :

— L’une en référé devant le conseil de prud’hommes de Nanterre, le 26 février 2020, visant à " exclure de l’enquête et de tout processus décisionnaire les membres de la direction […] et l’ensemble de leurs subordonnés ", sur le fondement de l’article L.2312-59 du code du travail, action dont il s’est finalement désisté.

— Une autre en référé devant le conseil de prud’hommes de Nanterre le 17 novembre 2020, pour obtenir la suspension de la procédure de licenciement le concernant. il s’est aussi désisté de cette instance.

— Un référé suspension du tribunal administratif de Cergy-Pontoise, selon une requête du 11 mars 2021, visant à suspendre les effets de la décision de l’inspecteur du travail du 1er mars 2021. Par une décision en date du 23 mars 2021, sa requête s’est traduite par un non-lieu à statuer.

— Puis un recours pour excès de pouvoir devant le tribunal administratif de Cergy-Pontoise aux fins d’obtenir l’annulation de la décision de l’inspection du travail du 1er mars 2021, par requête du 11 mars 2021. Le tribunal administratif de Cergy-Pontoise, le 10 novembre 2022, a annulé cette autorisation, décision contre laquelle la société TOTALENERGIES SE a fait appel, l’affaire étant actuellement pendante sans que la date d’audience soit encore fixée.

— Enfin, un recours devant la CNIL ayant donné lieu à un avis du 25 juillet 2024, postérieur à la clôture, et transmis par le demandeur par voie de note en délibéré, à la demande du tribunal.

Monsieur [X] [I] a également attrait la société STIMULUS, par exploit du 25 novembre 2020, devant le tribunal judiciaire de Paris aux fins de la voir condamner au titre de ses manquement à la législation relative à la protection des données, sollicitant à ce titre 30.000 € et ajoutant une demande de 10.000 € à raison du manquement au code de la déontologie de la Fédération des intervenants en risques psychosociaux, il s’agit de la présente procédure.

Le 3 novembre 2021, la société STIMULUS a attrait dans la cause la société TOTALENERGIES SE qui lui avait commandé ce rapport.

Les deux affaires ont été jointes par ordonnance du 13 janvier 2022.

Puis compte tenu de son licenciement, et de ce que la société TOTALENERGIES SE a été attraite dans la cause, le demandeur à l’instance a augmenté le montant de ses demandes indemnitaires formulées uniquement contre la société STIMULUS, pour obtenir compensation du préjudice financier que lui a causé son licenciement, demandes qu’il a évaluées dans un premier temps à 2.700.000 €, pour les réduire ensuite à 1.500.000 € compte tenu de l’annulation du licenciement.

Il sollicite également désormais l’annulation du rapport d’enquête.

Monsieur [X] [I] prétend en effet que ledit rapport est le support essentiel de son licenciement, ce qu’il soutient dans le cadre de sa procédure de licenciement.

Par voie d’incident devant le juge de la mise en état, dans le cadre de cette procédure, le demandeur a sollicité la communication dudit rapport, demande jugée sans objet par le juge de la mise en état, ledit rapport étant désormais communiqué par la société TOTALENERGIES SE. L’incompétence du tribunal rationae materiae a également été soulevée, s’agissant d’un litige mettant en cause le licenciement de Monsieur [X] [I], mais elle a été rejetée, par ordonnance du 20 octobre 2022, puisque l’instance en cause n’a pas pour objet le licenciement, mais le respect de la législation sur la protection des données personnelles.

Monsieur [X] [I], dans ses dernières conclusions notifiées par voie dématérialisée, le 13 juin 2023, sollicite du tribunal, sous le bénéfice de l’exécution provisoire, et au visa du règlement européen n°2016/679 du 27 avril 2016 sur la protection des données, de la loi n°78-17 du 6 janvier 1978, modifiée par la loi n°218-493 du 20 juin 2018, des articles 6 à 8 de la loi n°2016-1691 du 6 décembre 2016 et l’article 5 du décret n°2017-564 du 19 avril 2017, de l’article L.2312-59 du code du travail, des articles 1240, 1241 et 1242 du code civil, des délibérations de la CNIL n°2018-326 et 2018-327 du 11 octobre 2018, et du code de déontologie du FIRPS, de

— le déclarer recevable et fondé en ses demandes ;

— rejeter les incompétences soulevées par la société TOTALENERGIES SE ;

— à titre principal, juger que la société STIMULUS est un traitant illégitime, puisque non autorisé à traiter des données personnelles autres que les nom, prénom et adresse électronique ;

à titre subsidiaire, que la société STIMULUS est responsable conjoint du traitement effectué sur les données personnelles de Monsieur [X] [I] ;

à titre infiniment subsidiaire, que la société STIMULUS a la qualification de sous-traitante;

— ordonner l’annulation du rapport d’enquête émis, puisqu’elle est tenue au strict respect des dispositions sur la protection des données à caractère personnel, dont elle n’a pas respecté les termes, ce qui rend ce traitement de données le concernant illicite, la société STIMULUS ayant de surcroît violé le code de déontologie auquel elle était soumise ;

— condamner la société STIMULUS à lui verser,

—  1.500.000 € à titre de dommages-intérêts, en réparation du préjudice subi du fait de la violation de ces dispositions sur la protection des données à caractère personnel;

—  3.000 € au titre de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens, dont distraction au profit du cabinet SGTR ;

— condamner la société TOTALENERGIES SE à lui verser 3.000 €, au titre de l’article 700 du code de procédure civile ;

— débouter les sociétés STIMULUS et TOTALENERGIES SE de leurs demandes.

En réponse, la société STIMULUS, dans ses conclusions récapitulatives notifiées par RPVA le 18 avril 2024, sollicite du tribunal,

A titre principal, de débouter Monsieur [X] [I] de l’ensemble de ses demandes ;

Subsidiairement, en cas de condamnation, d’écarter l’exécution provisoire ;

A titre reconventionnel, de condamner le demandeur à lui verser 15.000 € à titre de dommages intérêts ;

En tout état de cause, condamner,

— la société TOTAL ENERGIES SE à le garantir de toute condamnation à son endroit ;

— Monsieur [X] [I] à lui verser 30.000 €, au titre de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens.

Et la société TOTALENERGIES SE dans ses dernières écritures, notifiées par voie électronique le 21 septembre 2023, demande au tribunal,

A titre principal,

— de se déclarer incompétent rationae materiae,

— au profit de la cour administrative d’appel de Versailles, laquelle est d’ores et déjà saisie de l’examen de la validité du rapport d’enquête STIMULUS et de sa force probatoire ;

— au profit du conseil de prud’hommes, compétent pour apprécier les demandes financières de Monsieur [X] [I] se rapportant au remboursement de ses salaires entre la date de son licenciement et ses 70 ans ;

— juger que la société TOTALENERGIES SE, seule responsable du traitement, n’a pas méconnu les dispositions sur la protection des données à caractère personnel ;

A titre subsidiaire, déclarer irrecevables les demandes du requérant et, l’en débouter;

En tout état de cause, le condamner à lui payer 2.000 € à au titre des frais irrépétibles ainsi qu’aux entiers dépens.

Pour un plus ample exposé des moyens et prétentions des parties, il sera renvoyé aux conclusions susvisées, en application de l’article 455 du code de procédure civile.

L’ordonnance de clôture a été rendue le 25 avril 2024.

Le tribunal a sollicité, lors l’audience collégiale du 21 novembre 2024 fixée pour plaidoirie, que soit communiquée, par voie de note en délibéré la décision de la CNIL survenue après la clôture, et a fait savoir qu’il entendait relever l’office l’application de l’article 789 du code de procédure civile, s’agissant des exceptions de procédure et fins de non-recevoir soulevées par la société TOTALENERGIES SE, qui n’ont pas fait l’objet de conclusions séparées d’incident devant le juge de la mise en état, compte tenu de la date de l’assignation.

MOTIFS DE LA DÉCISION,

A titre liminaire le tribunal relève que si le demandeur fait état dans ses développements de la responsabilité conjointe dans le traitement des données entre la société TOTALENERGIES SE et STIMULUS, il ne forme aucune demande contre la société TOTALENERGIES SE, qui est à l’origine du licenciement aujourd’hui remis en cause, au titre du dispositif de ses conclusions, si ce n’est une demande au titre de l’article 700 du code de procédure civile. Les demandes notamment indemnitaires ne sont dirigées que contre la société STIMULUS en ce qu’elle aurait manqué à ses obligations. Les demandes formées contre la société TOTALENERGIES SE au titre de cette instance, procèdent uniquement de l’appel en garantie de son prestataire, la société STIMULUS.

Sur les incompétences et sur la recevabilité

La société TOTALENERGIES SE fait valoir que les instances engagées visent toutes le même objet, sous couvert de demandes distinctes, à savoir l’invalidation du rapport d’expertise du cabinet indépendant, et l’indemnisation des conséquences d’un licenciement pour l’heure invalidé, question qu’il n’entre pas dans les pouvoirs du tribunal de trancher, le conseil de prud’hommes étant exclusivement compétent à cet égard, et seule la juridiction administrative étant compétente pour envisager la validité de l’autorisation de licencier et apprécier la gravité des faits reprochés au salarié protégé.

Elle en déduit une incompétence rationae materiae :

— au profit de la cour administrative d’appel de Versailles, laquelle est d’ores et déjà saisie de l’examen de la validité du rapport d’enquête Stimulus et de sa force probatoire ;

— au profit du conseil de prud’hommes compétent pour apprécier les demandes financières de Monsieur [X] [I] se rapportant au remboursement de ses salaires entre la date de son licenciement et ses 70 ans.

Elle sollicite à titre subsidiaire l’irrecevabilité de ces demandes.

La société TOTAL ENERGIES relève à ce titre que le demandeur s’est désisté de son recours devant le conseil de prud’hommes qui devait statuer sur l’inopposabilité du rapport à son égard.

Sur ce

L’article 789 du code de procédure civile dispose que le juge de la mise en état est, à compter de sa désignation, seul compétent, à l’exclusion de toute autre formation du tribunal, pour statuer sur les exceptions de procédure et fins de non-recevoir.

Il en résulte que la formation de jugement du tribunal n’a pas le pouvoir de trancher les exceptions de procédure et fins de non-recevoir soulevées par la société TOTALENERGIES SE, ces prétentions étant irrecevables, pour n’avoir pas fait l’objet de conclusions séparées d’incident devant le juge de la mise en état, alors que les assignations sont en date du 25 novembre 2020 et 3 novembre 2021. Ces demandes seront donc rejetées.

S’agissant de l’incompétence au bénéfice des juridictions prud’homales, en revanche, elle a déjà été soulevée devant le juge de la mise en état qui l’a rejetée par ordonnance du 20 octobre 2022, cette ordonnance ayant l’autorité de la chose jugée. Cette demande est donc reprise à tort au dispositif des conclusions de la société TOTALENERGIES SE et sera, elle aussi, déclarée irrecevable.

Il en ira de même de l’incompétence au bénéfice au profit de la Cour administrative d’appel de Versailles, saisie de l’examen de la validité du rapport d’enquête de la société STIMULUS, pour les raisons préalablement évoquées, celle-ci n’ayant, quant à elle, pas fait l’objet de conclusions séparées d’incident.

Sur la violation du RGPD, de la loi informatique et liberté et du code de déontologie

Monsieur [X] [I] avance qu’il a déjà été licencié puis réintégré chez TOTAL, ce, à raison de sa nationalité, entre 2011 et 2014, et que les discriminations et harcèlements, à son égard, n’ont jamais cessé. Il fait valoir qu’il occupait, aux côtés de Madame [E], des mandats clés au sein des organisations syndicales, et que le syndicat SICTAME UNSA, dont il était le coordinateur, par ses questionnements et ses revendications, était susceptible d’irriter la direction et de susciter des comportements discriminatoires en représailles contre ses affiliés, alors qu’il remettait en cause certaines pratiques chez TOTAL. Le requérant souligne que dans ce contexte, il a dû dénoncer auprès de Monsieur [N], son responsable administratif, les harcèlements dont il faisait l’objet, de la part de la direction, le 25 avril 2019, et qu’il a sollicité une médiation (article L.1152-6 du code du travail). Et il souligne que la direction s’est saisie de ce que Monsieur [N], lui aussi, a dénoncé la dégradation de ses conditions de travail, et d’autres plaintes, pour confier une enquête externalisée à la société STIMULUS.

Il considère que par son intervention, la société STIMULUS a participé activement à la volonté de l’évincer de la société TOTALENERGIES SE, en mettant en place un comité ad hoc, à visée strictement disciplinaire lequel n’était prévu par aucun texte conventionnel au sein de cette entreprise.

Le demandeur souligne que ce processus d’enquête a été mis en place, sans respecter ses droits fondamentaux, ses données personnelles et plus largement le règlement général sur la protection des données (ci-après RGPD), ce alors même que Monsieur [N], impliqué dans ces dénonciations, connaissait bien la société STIMULUS, et que l’enquête s’est avérée très intrusive, au-delà des seules données neutres, « nom, prénom et mail », que la société STIMULUS était habilitée à collecter. Le rapport émis est, selon lui, partial, et dénué d’indépendance : il soutient qu’il est à l’origine de son licenciement dont il a été le support essentiel.

Il prétend en effet que la société STIMULUS, en tant qu’elle collectait ces données, devait en assurer la protection, ce qu’elle n’a pas fait, alors qu’elle était soumise aux obligations du RGPD, de sorte qu’il est fondé à agir en réparation de ses préjudices. Si le tribunal ne reconnaissait pas à la société STIMULUS la qualité de traitant illégitime elle devrait selon lui, au moins être qualifiée de traitant conjoint, auquel cas elle est tenue de respecter l’article 26 du RGPD, ou de sous-traitant, qui la contraint respecter l’article 82 du RGPD. En toute hypothèse, elle est, à ce titre, responsable de ses manquements à la législation relative à la protection des données, alors qu’elle n’a été autorisée à traiter que des données limitativement énumérées, et qu’elle n’était pas habilitée à exercer une véritable enquête, ce qu’elle a fait selon lui. Il ajoute qu’elle ne saurait s’abriter derrière TOTALENERGIES SE pour s’exonérer de cette responsabilité.

Monsieur [X] [I] prétend encore que la société STIMULUS est à l’origine de la composition de la commission, et qui a décidé des données à traiter, des questions à poser, compte tenu de son expertise en matière psychosociale.

Le demandeur considère, en particulier, que les obligations de transparence et de loyauté telles qu’envisagées à l’article 5 du RGPD n’ont pas été respectées (articles 12,13 et 14 du RGPD), et que la société STIMULUS aurait dû lui ménager un droit d’accès aux données (article 15) ce qui n’a pas été le cas.

Selon lui, cette société n’a répondu que tardivement à ses questions légitimes sur la méthodologie suivie.

Il dénonce l’absence d’analyse d’impact (article 62 de la loi informatique et liberté) et le manquement à l’obligation de confidentialité de la loi SAPIN, puisqu’il était lanceur d’alerte.

Selon lui, rien ne justifiait la restitution de cette enquête partiale au CSE, sans masquer les identités des signalants, ce qui traduit la méconnaissance des obligations de confidentialité qui s’imposent, alors que l’enquête n’a pas été menée conjointement avec lui.

Selon le demandeur, une telle manière de faire traduit assurément une violation du code de déontologie du FIRPS, alors que, d’une part, la société STIMULUS est une professionnelle de santé, et qu’en tant que telle, la société devait être strictement indépendante de l’employeur, et d’autre part que l’étude n’a pas été menée, dans le respect de la personne humaine, de son psychisme et de ses droits inaliénables, notamment de son droit à la dignité. Il rappelle de nouveau qu’aucune information autre qu’anonymisée ne devait être divulguée.

Il en résulte, selon lui, que la société STIMULUS a engagé sa responsabilité à son endroit, et qu’il est en droit de demander réparation de ses préjudices matériels et moraux, alors que la diffusion des résultats d’enquête s’est faite en audioconférence, sans prendre en compte sa propre version des faits, et en n’anonymisant pas les données, sans qu’il ne soit possible de s’assurer que d’autres personnes que les membres du CSE aient été placés dans la possibilité d’entendre ce qui se disait, dans le respect des données personnelles de chacun, une telle attitude ayant porté atteinte à sa réputation. Il invoque, à ce titre, un préjudice d’angoisse. Il se prévaut également d’un préjudice financier lié à son licenciement et à la précarisation de sa situation professionnelle, puisqu’il est placé dans l’ignorance de ce qu’il adviendra des procédures en cause, alors que la société TOTALENERGIES SE a initié plusieurs procédures contre lui, afin de remettre en cause certains de ses mandats. Ceci atteste selon lui de la détermination de son employeur à lui nuire, en dépit de l’annulation de son licenciement. Il évalue sa chance d’être réintégré à 50 %.

La société STIMULUS oppose que le demandeur ne rapporte pas la preuve des manquements qu’il allègue, ni même d’un lien de causalité entre les manquements qu’il invoque et le préjudice. Elle souligne en outre que les préjudices en cause n’ont pas le caractère de certitude requis.

La société défenderesse principale fait valoir que la catégorie de traitant illégitime, invoquée au titre des conclusions du demandeur, n’existe pas, aux termes du règlement précité de protection des données personnelles, qu’elle n’est pas davantage responsable à titre principal, ou conjoint du traitement effectué sur les données personnelles de Monsieur [X] [I], la société TOTALENERGIES SE, admettant bien, au titre de ses écritures, être seule responsable de ce traitement, mais qu’elle est tout au plus sous-traitante aux termes de cette réglementation et qu’elle a, à ce titre respecté ses obligations, de sorte que le droit à réparation, invoqué par le demandeur, qui se prévaut de l’article 82 du règlement, n’est pas fondé, les conditions de sa responsabilité n’étant pas réunies.

Quelle que soit la qualification retenue à son endroit, elle fait valoir en effet que la législation relative à la protection des données personnelles a été scrupuleusement respectée, le demandeur ne précisant pas quelles données à caractère personnel permettraient de l’identifier, aucune donnée autre que celles strictement visées par le contrat conclu par TOTALENERGIES SE avec elle, n’ayant été exploitée par les enquêteurs, ce contrat comportant bien toutes les mentions requises à l’article 28 du RGPD.

Elle rappelle que l’initiative de la collecte de ces informations revient à la société TOTALENERGIES SE qui a organisé les auditions, géré l’outil Teams mis à disposition, et défini la nature des données collectées et leurs conditions de traitement, en informant les protagonistes par une note explicative à cet effet, et qu’elle n’a fait en tant que prestataire que respecter les instructions de la société TOTALENERGIES SE.

Elle rappelle l’exigence du dommage, lequel constitue une condition de la réparation, en vertu de la jurisprudence de la CJUE et que le dommage certain n’est pas caractérisé, en l’occurrence, notamment parce que le licenciement invoqué par le demandeur a été annulé.

Elle souligne que le traitement des données s’est fait en toute transparence, équité et loyauté et qu’il n’est pas établi que la société STIMULUS n’ait pas fait droit à ses demandes relatives au traitement alors qu’il a pu contester la procédure suivie et critiquer les méthodes de travail. Ce, alors que le traitement des données relevait de la société TOTALENERGIES SE, et que le demandeur a refusé délibérément de participer à un entretien, en vue d’obtenir les informations relatives à la confidentialité des données, et que la notice relative au traitement des données lui a bien été transmise.

Elle rappelle que le consentement préalable à la collecte des données, envisagé par l’article 8 du RGPD, n’est pas toujours un prérequis, notamment lorsqu’il s’agit de se conformer à une obligation légale, comme le précise l’article 6 de ce règlement.

Elle souligne que si une plainte a été déposée à la CNIL, il n’est pas établi qu’elle a conduit cet organisme à caractériser une violation des obligations de la société TOTALENERGIES SE, et que le demandeur ne démontre pas le refus d’accès à ses données, et que les demandes en ce sens ont bien été transmises à la société TOTALENERGIES SE.

Elle avance qu’il n’est pas plus établi que ses données personnelles auraient été révélées, dans le cadre de la restitution de l’enquête, laquelle s’est faite comme il se devait devant le CSE saisi d’une alerte, les membres du CSE étant tenus par une obligation de confidentialité, les dispositions de la loi SAPIN, relatives à la protection des lanceurs d’alerte n’ayant pas vocation à s’appliquer.

Les données hautement sensibles qui auraient été révélées ne sont pas davantage précisées.

Elle ajoute que la réalisation d’une étude d’impact ne s’imposait nullement, s’agissant de la collecte de données dont l’employeur disposait déjà, et qu’il ne faisait que lui retransmettre aux fins de l’étude.

Enfin, selon elle, le manquement au code de déontologie n’est pas plus établi, alors que de jurisprudence constante, une infraction à un code de déontologie ne suffit pas à établir une faute civile, et que de surcroît, les obligations de ce code ont bel et bien été respectées, puisque l’enquête s’inscrivait dans un contexte de plaintes croisées, et que la constitution de la commission a été guidée par un souci de parité, l’absence de lien personnel connu ou reconnu, et le souci d’éviter un lien d’autorité hiérarchique ou fonctionnelle, et que l’enquête a été guidée par un souci de confidentialité rappelé sur chaque page du rapport et à chaque participant et garantie par l’anonymat. Elle souligne encore que la restitution du rapport au CSE s’imposait par le contexte d’enquête de grave danger imminent.

Pour finir, la société STIMULUS rappelle que l’inspection du travail ne s’est en aucun cas basée sur ce rapport, mais sur d’autres pièces qui lui ont été communiquées pour autoriser le licenciement, de sorte que le lien de causalité entre le manquement allégué et le dommage prétendu fait défaut.

La société TOTALENERGIES SE, se prétend seule responsable du traitement, et soutient n’avoir pas méconnu les dispositions du RGPD. Elle avance que les demandes à son endroit sont infondées, aucune faute et aucun préjudice en lien causal avec un prétendu manquement à ses obligations légales n’étant établis.

Elle précise que c’est afin de se conformer à ses obligations légales issues des articles L.4121-1 et L.1152-4 et 5 du code du travail que la société a fait appel aux services de la société STIMULUS, ces dispositifs étant tous d’ordre public. Il s’agissait donc, selon elle, par cette enquête, de répondre aux obligations légales de l’employeur, en vue de gérer les alertes reçues, conformément à l’article 6 du RGPD qui ouvre alors la possibilité de collecte de données à caractère personnel.

Elle considère qu’en tant que responsable de traitement TOTALENERGIES SE est donc fondée, à ce titre, à communiquer des données personnelles à un prestataire chargé de les recueillir et de les traiter. Elle en déduit que la communication des données et leur traitement sont licites pour respecter les obligations légales de sécurité au travail pesant sur l’employeur, sans qu’il soit établi que la société STIMULUS ait outrepassé les termes de l’autorisation accordée, ces données étant limitées aux noms prénoms adresses mails et fonctions exercées, en vue de traiter les faits signalés ayant justifié l’enquête, éléments figurant dans la note explicative.

La société TOTAL ENERGIES SE prétend que Monsieur [X] [I] a été informé de ses droits au titre du RGPD, qu’il a pu exercer ses droits d’accès et de rectification, de sorte qu’aucun manquement à ses obligations légales n’est établi.

Elle prétend que les préjudices moraux, liés à l’atteinte à sa réputation, et financiers, résultant de son licenciement, ne sont pas davantage caractérisés, alors notamment que le licenciement a été annulé, et que le tribunal administratif ne s’est pas fondé sur ledit rapport pour remettre en cause l’autorisation de licenciement.

Elle souligne que l’exigence du dommage constitue une condition de la réparation, en vertu de la jurisprudence de la CJUE, et rappelle que ce rapport n’a pas vocation à être diffusé et que le préjudice d’anxiété invoqué n’est pas caractérisé. Elle précise que le salarié protégé a même réintégré les effectifs de l’entreprise.

Sur ce

Aux fins du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, sont définis à l’article 4, notamment

— les données à caractère personnel qui s’entendent comme, toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

— le responsable du traitement, soit, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre ;

— le sous-traitant, soit, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

Il résulte de l’article 5 de ce même texte que les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ;

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ;

f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité).

Le responsable du traitement est responsable du respect du paragraphe 1 de ces dispositions et est en mesure de démontrer que celles-ci ont été respectées.

L’article 6 dudit texte qui envisage la licéité du traitement précise que le traitement des données doit reposer sur différentes bases légales prévues par le texte. " Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;

c)le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis(…) ".

L’article 24 ajoute, s’agissant de la responsabilité du responsable du traitement, que compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au règlement. Ces mesures sont réexaminées et actualisées si nécessaire.

L’article 82 de ce texte envisage les sanctions devant le juge judiciaire en précisant quant au droit à réparation et la responsabilité que :

«  1. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.

2. Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement. Un sous-traitant n’est tenu pour responsable du dommage causé par le traitement que s’il n’a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu’il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci.

3. Un responsable du traitement ou un sous-traitant est exonéré de responsabilité, au titre du paragraphe 2, s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable.

4. Lorsque plusieurs responsables du traitement ou sous-traitants ou lorsque, à la fois, un responsable du traitement et un sous-traitant participent au même traitement et, lorsque, au titre des paragraphes 2 et 3, ils sont responsables d’un dommage causé par le traitement, chacun des responsables du traitement ou des sous-traitants est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective.

5. Lorsqu’un responsable du traitement ou un sous-traitant a, conformément au paragraphe 4, réparé totalement le dommage subi, il est en droit de réclamer auprès des autres responsables du traitement ou sous-traitants ayant participé au même traitement la part de la réparation correspondant à leur part de responsabilité dans le dommage, conformément aux conditions fixées au paragraphe 2.

6. Les actions judiciaires engagées pour exercer le droit à obtenir réparation sont intentées devant les juridictions compétentes en vertu du droit de l’État membre visé à l’article 79, paragraphe 2 ".

Il résulte par ailleurs des articles L.4121-1 et L.1152-4 du code du travail, que l’employeur prend les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs.

Ces mesures comprennent :

1° Des actions de prévention des risques professionnels, y compris ceux mentionnés à l’article L.4161-1 ;

2° Des actions d’information et de formation ;

3° La mise en place d’une organisation et de moyens adaptés.

L’employeur veille à l’adaptation de ces mesures pour tenir compte du changement des circonstances et tendre à l’amélioration des situations existantes.

L’employeur prend toutes dispositions nécessaires en vue de prévenir les agissements de harcèlement moral.

Les personnes mentionnées à l’article L.1152-2 sont informées par tout moyen du texte de l’article 222-33-2 du code pénal.

En l’espèce, la notion de traitant illégitime, puisque non autorisé à traiter des données personnelles autres que les nom, prénom et adresse électronique, invoquée par le demandeur au soutien de ses écritures, ne renvoie pas à une qualification visée par ledit règlement.

La société STIMULUS ne saurait non plus être qualifiée de responsable principal ni même conjoint du traitement effectué sur les données personnelles de Monsieur [X] [I], au sens des articles 4 et 7, du règlement sur la protection des données personnelles, dans la mesure où il ne lui appartenait pas, comme en convient la société TOTALENERGIES SE au titre de ses écritures, de déterminer la finalité du traitement et les moyens de celui-ci.

Cela résulte au demeurant des documents contractuels et de l’avenant produits par la société STIMULUS par lesquels la société TOTALENERGIES SE cadre la mission de son prestataire et en définit les finalités et moyens, limitant la collecte des données personnes au nom prénom et adresse électronique (pièces n° 4 et 5 de la société STIMULUS).

La société STIMULUS souligne encore, en en justifiant par la production de pièces, que le choix de recourir à un comité ad hoc approuvé par le CSE de la société TOTALENERGIES SE, et l’initiative de la collecte de ces informations reviennent à la société TOTALENERGIES SE qui a organisé les auditions, géré l’outil Teams, mis à disposition et défini la nature des données collectées et leurs conditions de traitement, en informant les protagonistes par une note explicative à cet effet. La société STIMULUS n’a ainsi fait que respecter les instructions de TOTALENERGIES SE, la consultante chargée de l’enquête ayant bien signé son engagement de confidentialité.

Il en résulte que la société STIMULUS ne peut dès lors être qualifiée que de sous-traitante, puisqu’elle exécute les opérations de traitement, pour le compte du responsable au sens de l’article 4 du RGPD : elle intervient en effet comme prestataire, sur commande, sans définir par elle-même les finalités du traitement.

Elle n’est dès lors tenue qu’au respect des obligations relatives au traitement et ne peut engager sa responsabilité que dans ce cadre. Elle s’est engagée notamment à respecter le cadre que lui a fixé la société TOTALENERGIES SE, en vertu de l’article 82 du RGPD. Elle est à ce titre tout comme le responsable du traitement soumise à une obligation de sécurité et de confidentialité de transparence et de loyauté.

La qualification de sous-traitante est d’ailleurs celle retenue par la CNIL au terme de la saisine dont elle a fait l’objet de la part du demandeur et dont l’avis est daté du 25 juillet 2024, la CNIL prenant le soin de rappeler que « le RGPD distingue les obligations incombant au responsable de traitement (celui qui détermine les finalités et les moyens do traitement de données à caractère personnel) et celles incombant au sous-traitant, lequel, au sens du RGPD, traite des données à caractère personnel pour le compte d’un responsable de traitement ou fournit une solution » clé en main « tout en traitant effectivement des données à caractère personnel ».

Sont produits les documents de confidentialité signés par les protagonistes et courriers de convocation des personnes auditionnées notamment celui de Monsieur [X] [I] (pièce n° 6 de la société STIMULUS).

La base légale sur laquelle est formée la procédure est précisée dans les courriers de convocation de la société TOTALENERGIES SE aux entretiens à savoir les signalements croisés pour des faits de harcèlement mettant en cause des salariés protégés (pièce n° 7 de la société STIMULUS). Et la société TOTALENERGIES SE en justifie par les obligations de l’employeur issues des articles L.4121-1 et L.1152-4 du code du travail quant à la santé de ses salariés et quant à la lutte contre le harcèlement, au regard des procédures de signalement et d’alerte produites (pièce n° 1de la société TOTALENERGIES SE) et qui sont à l’origine dudit rapport. Cette base légale a donc bien été précisée avant toute collecte de données personnelles, conformément au contrat définissant les missions de la société STIMULUS à l’égard des personnes interrogées. Et le traitement est donc licite car nécessaire au respect des obligations de l’employeur, responsable du traitement.

S’il est acquis que des salariés protégés sont en cause il n’est pas démontré que la question de leur appartenance syndicale aurait fait l’objet d’une collecte, en tant que données considérées comme sensibles, ni qu’un traitement particulier aurait, en conséquence, dû être opéré.

Il n’est pas non plus justifié, en l’occurrence, que l’étude d’impact, qui n’est pas systématique en matière de traitement des données, s’imposait ici.

Monsieur [X] [I] ne parvient pas davantage à démontrer qu’en tant qu’il était concerné par ces collectes de données ses droits ont été bafoués par le sous-traitant, au sens de la législation relative à la protection des données, ni quelles données personnelles auraient été collectées ou traitées de manière illicite, au sens de cette législation, alors qu’est produit le courrier de convocation devant la commission en vue de son audition lui rappelant ses droits, et qu’il a refusé, à plusieurs reprises, de se rendre devant cette commission.

En l’occurrence, il convient de rappeler qu’il s’agit d’une collecte de données ayant pour base légale, non le consentement des intéressés, mais un intérêt légitime, à savoir le respect des exigences imposées par le code du travail à l’employeur en matière de harcèlement, comme l’admet l’avis de la CNIL en date du 25 juillet 2024. En effet, lorsque le traitement se fonde, comme en l’espèce, sur une obligation légale, à savoir les articles L.4121-1 et L.1152-4 du code du travail, le droit d’opposition invoqué par le demandeur n’a pas la même portée.

Ainsi la CNIL énonce-t-elle « le recours à la base légale de l’intérêt légitime est soumis à des conditions qui apparaissent réunies en l’espèce : l’intérêt poursuivi par le responsable de traitement doit être légitime, le traitement de données à caractère personnel doit être nécessaire et ne pas heurter les droits et intérêts des personnes dont les données sont traitées, compte-tenu de leurs attentes raisonnables telles que précisées au considérant 47 du RGPD ».

Et il n’est pas établi, ni allégué ou démontré que le droit d’accès à ses données n’a pas été respecté par le sous-traitant contre qui les demandes sont dirigées dans le cadre de la présente instance.

La CNIL précise ainsi dans son avis que les obligations du responsable du traitement et du sous-traitant sont distinctes : « le sous-traitant doit notamment aider Ie donneur d’ordre clans le traitement des demandes d’exercice des droits d’accès, rectification, effacement, limitation, portabilité (article 28.3.e). du RGPD). Cependant, au regard des dispositions du RGPD, le sous-traitant n’est pas tenu de répondre directement aux personnes exerçant leurs droits. Dès lors, la société STIMULUS n’était pas tenue de répondre aux demandes exercées auprès d’elle et c’est à bon droit qu’elle les a communiquées à la société TOTAL ENERGIES SE afin que cette dernière en qualité de responsable de traitement puisse y apporter une réponse ».

Le responsable du traitement justifie avoir informé, par les documents produits à l’instance, Monsieur [X] [I] et les intéressés, de la collecte de l’information et de ses finalités. Ce dernier admet d’ailleurs, au titre de ses écritures, que la société STIMULUS a répondu – certes tardivement – à ses questions légitimes, sur la méthodologie suivie.

Il n’est pas davantage établi que les informations personnelles collectées soient disproportionnées par rapport à la finalité de l’étude, et aux enjeux de protection des données personnelles, le rapport étant qualifié de confidentiel, comme cela est rappelé d’emblée en page de garde, et à chaque page, et aucune divulgation autre que la restitution aux membres du CSE n’étant établie, alors que les membres du CSE sont eux-mêmes soumis à une obligation de discrétion, et il n’est pas établi ni allégué que les procès-verbaux de ces réunions ont fait l’objet d’une quelconque diffusion.

Le rapport comporte d’ailleurs un chapitre préliminaire « précaution de lecture du rapport » dans lequel la société rappelle les limites de la mission confiée à la commission et au prestataire, et en particulier, fait état de ce que le rapport ne porte pas de jugement et que la commission n’est pas habilitée à qualifier juridiquement les comportements, notamment de harcèlement moral, se livrant à de simples constatations de fait.

Elle rappelle que le rapport se borne par ailleurs à reproduire les verbatims figurant dans des écrits officiels et/ ou non confidentiels.

La société STIMULUS y rappelle la nécessité à laquelle elle a été confrontée de s’adapter, cette enquête ayant été lancée en pleine crise Covid, d’où le recours à Teams et à la visioconférence avec 14 entretiens ainsi menés.

Enfin, le tribunal observe que ne sont utilisées que des initiales pour désigner les auteurs et destinataires des plaintes croisées.

Il résulte de l’ensemble de ces éléments que l’enquête ainsi menée, est essentiellement factuelle, dans le respect du principe de minimalisation des atteintes aux données personnelles.

Sur la nullité alléguée du rapport

Le demandeur sollicite l’annulation du rapport de la société STIMULUS qui oppose que cette demande ne repose sur aucun fondement juridique.

La société TOTALENERGIES SE prétend qu’il appartient uniquement à la juridiction administrative de traiter cette question et d’apprécier la valeur probante dudit rapport. Elle ajoute que le fondement de la demande d’annulation de ce rapport n’est pas précisé, le droit d’effacement, d’opposition ou de limitation envisagé respectivement aux articles 21, 17 et 18, n’étant pas applicable lorsqu’il s’agit pour un employeur de se conformer à ses obligations légales.

En l’espèce, la nullité invoquée par le demandeur ne repose sur aucun fondement juridique explicite, la législation relative à la protection des données n’envisageant, en cas de contravention à ses dispositions, à titre de sanction, que des sanctions pénales, d’amende et une responsabilité de ceux qui participent au traitement des données, en cas de violation de ses dispositions, et de dommage en lien causal avec les manquements allégués (article 82 précité).

Cette demande sera donc rejetée, alors qu’ il n’est pas démontré par le demandeur, sur qui pèse la charge d’une telle preuve, que le comité ad hoc, chargé du rapport était à visée strictement disciplinaire. Certes, une telle commission ad hoc n’était prévue par aucun texte conventionnel au sein de l’entreprise, mais elle répondait à une nécessité, compte tenu des plaintes croisées adressées à la direction et des procédures d’alerte initiées qui impliquaient certains salariés protégés et empêchaient la mise en œuvre directe d’une enquête par le CSE. En outre, cette commission ne s’est livrée à aucune qualification juridique des faits en cause dans les limites de sa mission.

Etant précisé que la demande de Monsieur [X] [I] ne saurait davantage s’analyser en une demande d’écarter des débats ledit rapport, puisqu’il est l’objet même des demandes indemnitaires, et de la responsabilité invoquée par le demandeur.

Sur l’action indemnitaire

Monsieur [X] [I], pour les moyens ci-avant exposés, conclut à la responsabilité de la société STIMULUS et sollicite sa condamnation à lui payer différentes indemnités.

La société TOTALENERGIES SE invoque que les manquements ne sont pas établis, le demandeur se contentant d’affirmer le caractère illicite de la collecte sans le démontrer et que les préjudices moraux, liés à l’atteinte à sa réputation, et financiers, résultant de son licenciement ne sont pas davantage caractérisés, alors notamment que le licenciement a été annulé, mais que pour annuler l’autorisation de licenciement le tribunal administratif ne s’est pas fondé sur ledit rapport. Elle souligne que l’exigence du dommage constitue une condition de la réparation, en vertu de la jurisprudence de la CJUE, et rappelle que ce rapport n’a pas vocation à être diffusé et que le préjudice d’anxiété invoqué n’est pas caractérisé. Elle précise que le salarié protégé a même réintégré les effectifs de l’entreprise.

La société STIMULUS avance que le demandeur ne rapporte pas la preuve du dommage, elle souligne que les préjudices en cause n’ont pas le caractère de certitude requis.

En l’espèce, si l’article 82 du règlement susvisé envisage la responsabilité du sous-traitant et du responsable de traitement que sont respectivement la société STIMULUS et la société TOTALENERGIES SE cette responsabilité suppose d’une part, au regard de cet article, qu’une infraction au règlement soit caractérisée et qu’un préjudice certain en lien causal avec celle-ci soit établi.

Or, le demandeur qui dirige son action contre le sous-traitant, et sur qui pèse la charge d’une telle preuve, n’est pas en mesure d’établir que la société STIMULUS aurait méconnu ses obligations en cette qualité, au regard des exigences posées par la législation relative au traitement des données, alors que la base légale du traitement reposait rappelons-le sur une intérêt légitime, compte tenu des obligations légales de l’employeur, issues des articles L.4121-1 et L.1152-4 du code du travail précités, et que le demandeur n’agit pas directement contre le responsable du traitement, et ne peut dès lors lui imputer les obligations relevant du seul responsable du traitement, en vertu des articles 5 et 24 du règlement précité.

Monsieur [X] [I] ne démontre pas que l’enquête se serait révélée trop intrusive, et les moyens mis en œuvre disproportionnés au regard des finalités de celle-ci et des exigences nécessaires au traitement des données personnelles, ni même que des données sensibles ont été révélées.

Il n’est pas davantage établi par le demandeur que la société STIMULUS aurait outrepassé les termes de l’autorisation qui lui a été accordée, et le cadre du traitement des données fixé au départ.

Il n’est pas non plus établi que les droits de Monsieur [X] [I] au regard du traitement des données ont été méconnus.

Il ressort en effet des élements produits que les personnes convoquées et entendues par la société STIMULUS dans le cadre de la mission qui lui a été confiée par la société TOTALENERGIES SE, ont été informées des finalités de l’enquête et de son cadre, qu’elles ont toutes été convoquées individuellement à cette fin, et que la confidentialité des données a été rappelée d’emblée et dans le cadre de la restitution devant le CSE, qui compte tenu des finalités du rapport était naturellement destinataire de ces restitutions, sans qu’une atteinte à la confidentialité soit établie, dans ce cas précis, au regard du contexte particulier de l’année 2020 et du confinement.

Les éléments de méthode ont été précisés notamment aux personnes interrogées, ces éléments ayant été précisés également au comité d’entreprise, comme les différents procès-verbaux du CSE produits en attestent, les différentes phases du traitement étant notamment retracées selon un schéma classique : recueil, analyse, restitution (rapport page n° 20) sans qu’il n’en ressorte un quelconque manquement aux principes de bienveillance, de neutralité, de non-jugement et d’impartialité, rappelés, les entretiens menés étant semi-directifs avec une anonymisation par le recours à de simples initiales.

La composition de commission ainsi envisagée traduit une absence de lien hiérarchique puisqu’elle est présidée par la société STIMULUS extérieure à l’entreprise. Il en ressort qu’elle était de ce fait indépendante de l’employeur de Monsieur [X] [I], qui n’établit donc pas dans ces circonstances un manquement des défenderesses aux principes susvisés.

C’est dans ces conditions que la commission s’est livrée à l’audition des protagonistes directs des plaintes et des témoins en précisant bien qu’elle n’était pas habilitée à qualifier juridiquement lesdits comportements de harcèlement.

C’est bien l’entreprise TOTALENERGIES SE à qui le rapport a été remis et qui a choisi les modalités de diffusion du rapport compte tenu de son objet (rapport produit page n° 24). Monsieur [X] [I] ne peut donc en tirer un quelconque grief à l’encontre de la société STIMULUS.

Au demeurant, le demandeur ne saurait invoquer aucun manquement à l’obligation de loyauté qui s’impose au sous-traitant, alors qu’il s’infère des éléments produits, que convoqué à trois reprises pour s’exprimer devant la commission, Monsieur [X] [I] a refusé de le faire, de sorte qu’il ne saurait imputer à la société STIMULUS de ne pas avoir intégré sa version des faits, alors que les autres protagonistes ont accepté d’être entendu sur leur version des faits.

Les griefs de partialité et d’absence d’indépendance de cette société, invoqués par le demandeur, à l’encontre de la société STIMULUS ne sont pas étayés, et procèdent de simples affirmations, le seul fait que cette société se soit vue confier le soin d’établir d’autres enquêtes dans le cadre d’un suicide n’étant pas suffisant à l’établir.

Enfin l’avis de la CNIL du 25 juillet 2024, produit aux débats précise qu’ « après analyse de l’ensembIe des éléments portés à. la connaissance de la CNIL, il apparaît qu’ils ne permettent pas de caractériser un manquement à l’obligation de garantir une sécurité appropriée des données à caractère personnel ».

Et, « s’agissant de la société STIMULUS » le même avis précise que « la CNIL a appelé son attention sur les obligations incombant an sous-traitant qui doit aider le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36, compte tenu de la nature du traitement et des informations dont il dispose (article 28.3.f.) du RGPD), sans qu’un manquement au RGPD ne soit pour autant retenu ».

Le demandeur n’établit pas davantage, au regard des éléments qu’il produit, le manquement au code de déontologie invoqué, alors qu’il lui incombe de prouver une faute, au sens de l’article 1240 du code civil, la violation d’un code de déontologie, fût-elle avérée, ne constituant pas nécessairement une faute civile, et que l’atteinte à la dignité invoquée n’est aucunement étayée.

Le demandeur n’établit pas, au surplus, de préjudice certain, ni même de lien causal entre le préjudice qu’il allègue, et les manquements prétendus. En effet, la procédure de licenciement qu’il invoque comme étant directement causée par le rapport, a été annulée, et le salarié réintégré. Comme le rappelle la société STIMULUS, l’inspection du travail ne s’est en aucun cas basée sur ce rapport, mais sur d’autres pièces qui lui ont été communiquées, pour autoriser le licenciement. Par ailleurs, la décision du tribunal administratif de Cergy-Pontoise, a annulé l’autorisation de licenciement comme n’étant pas suffisamment étayée, au regard des pièces produites, sans aucunement se référer audit rapport, de sorte que le lien de causalité entre le manquement allégué et le dommage prétendu fait défaut, puisque la nullité et la réintégration emportent obligation pour le salarié d’obtenir l’ensemble des salaires dont il a pu être privé depuis la mesure de licenciement annulée.

Ainsi, faute d’être en mesure d’établir le préjudice moral et financier certain, ou même le préjudice d’angoisse allégué, ni la perte du niveau de vie qu’il invoque, en lien causal avec les manquements, Monsieur [X] [I] sera débouté de sa demande indemnitaire, alors que l’exigence du dommage constituant une condition de la réparation au sens des textes précités.

Sur l’appel en garantie de TOTALENERGIES SE par la société STIMULUS

La responsabilité de la société STIMULUS ayant été écartée, l’appel en garantie que cette société a formé contre la société TOTALENERGIES SE, responsable du traitement, est sans objet, et sera lui aussi rejeté par voie de conséquence.

Sur la demande indemnitaire de la société STIMULUS contre le demandeur

La société STIMULUS sollicite à titre reconventionnel, de condamner le demandeur à lui verser 15.000 € à titre de dommages intérêts à raison de l’action ainsi engagée contre elle qu’elle juge abusive.

L’article 6§1 de la Convention européenne de sauvegarde des droits de l’homme fait de l’accès à un tribunal un droit fondamental. Aux termes de l’article 1240 du code civil, la demande au titre de la procédure abusive doit caractériser une faute de la partie demanderesse faisant dégénérer en abus le droit d’agir en justice.

Le droit d’agir en justice constituant un droit fondamental, le seul fait pour une partie d’intenter une action en justice, en vue d’obtenir le dédommagement d’un préjudice qu’elle estime fondé, ne saurait constituer un abus. L’appréciation inexacte qu’une partie fait de ses droits n’est pas, en soi, constitutive d’une faute.

Ainsi, faute pour la société STIMULUS d’établir le caractère abusif de l’action ainsi engagée, cette dernière sera déboutée de sa demande de ce chef.

Sur les demandes accessoires

Partie succombante, Monsieur [X] [I], sera condamné aux dépens ainsi qu’à verser une somme de 9.000 € à la société STIMULUS, d’une part, et 2.000 € à la société TOTALENERGIES SE, d’autre part, en application de l’article 700 du code de procédure civile.

En application de l’article 514 du code de procédure civile, les décisions de première instance sont de plein droit exécutoires, à titre provisoire, à moins que la loi ou la décision rendue n’en dispose autrement. Aucun élément ne justifie de faire échec à l’exécution provisoire de droit prévue par cet article.

PAR CES MOTIFS,

Le tribunal, statuant publiquement par jugement contradictoire, en premier ressort et par mise à disposition au greffe,

DECLARE IRRECEVABLES l’exception de compétence ainsi que les fins de non-recevoir soulevées par la société TOTALENERGIES SE ;

DEBOUTE Monsieur [X] [I] de l’ensemble de ses demandes ;

DEBOUTE les sociétés TOTALENERGIES SE et STIMULUS, de leurs plus amples demandes, et en particulier la première de son appel en garantie contre la seconde ;

CONDAMNE Monsieur [X] [I] à payer une somme de 9.000 € à la société STIMULUS, d’une part, et 2.000 € à la société TOTALENERGIES SE, d’autre part, en application de l’article 700 du code de procédure civile ;

CONDAMNE Monsieur [X] [I] aux dépens ;

RAPPELLE que la présente décision est assortie de plein droit de l’exécution provisoire.

Fait et jugé à Paris le 30 Janvier 2025.

La Greffière, Le Président,