Cour d'appel de Versailles — Chambre sociale 4-3

COUR D'APPEL

DE

VERSAILLES

Code nac : 80A

Chambre sociale 4-3

ARRET N°

CONTRADICTOIRE

DU 13 JUILLET 2026

N° RG 23/02875 -

N° Portalis DBV3-V-B7H-WEKM

AFFAIRE :

[G] [L]

C/

S.A.S. [1]

Décision déférée à la cour : Jugement rendu le 21 Septembre 2023 par le Conseil de Prud'hommes de BOULOGNE-

[I]

N° RG : F 20/01482

Copies exécutoires et certifiées conformes délivrées à :

Me Boris CARDINEAUD

Me Jean D'ALEMAN

le :

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

LE TREIZE JUILLET DEUX MILLE VINGT SIX,

La cour d'appel de Versailles a rendu l'arrêt suivant dans l'affaire entre :

Monsieur [G] [L]

[Adresse 1]

[Localité 1]

Représentant : Me Boris CARDINEAUD, avocat au barreau de PARIS, vestiaire : D1325

APPELANT

****************

S.A.S. [1]

N° SIREN : [N° SIREN/SIRET 1]

[Adresse 2]

[Localité 2]

Représentant : Me Jean D'ALEMAN de la SELAS ærige, avocat au barreau de PARIS, vestiaire : L0305

Substitué pour l'audience par : Me Alice VINCENTI, Plaidant, avocate au barreau de PARIS

INTIMÉE

****************

Composition de la cour :

En application des dispositions de l'article 914-5 du code de procédure civile, l'affaire a été débattue à l'audience publique du 28 Mai 2026 les avocats des parties ne s'y étant pas opposés, devant Madame Anne DUVAL, Conseillère chargée du rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la cour, composée de :

Madame Laurence SINQUIN, Présidente,

Madame Anne DUVAL, Conseillère,

Madame Françoise CATTON, Conseillère,

Greffier en préaffectation lors des débats : Monsieur Anthony CHEVRON

FAITS ET PROCÉDURE

La société [1] est une société par actions simplifiée immatriculée au registre du commerce et des sociétés de Nanterre.

Elle a pour activités la fabrication, la transformation, le conditionnement, l'achat, la vente, la représentation sous toutes ses formes y compris agence générale, entreprise de tous produits ou spécialités ayant un caractère alimentaire ou diététique et toutes activités se rattachant directement ou indirectement à l'objet.

Elle emploie plus de 11 salariés.

Par contrat de travail à durée indéterminée en date du 27 novembre 2019, M. [L] a été engagé par la société [1], en qualité de responsable sécurité et conformité au sein du département Direction Market, niveau 8, échelon 2, statut cadre, à temps plein, à compter du 1er janvier 2020.

Au dernier état de la relation de travail, M. [L] exerçait toujours les fonctions de responsable sécurité et conformité IT, et percevait le salaire moyen brut de 5 925, 93 euros par mois retenu par le conseil de prud'hommes.

La relation contractuelle était régie par les dispositions de la convention collective nationale des 5 branches industries alimentaires diverses du 21 mars 2012 et celle de l'industrie laitière du 20 mai 1955.

Par courrier recommandé avec accusé de réception en date du 6 mai 2020, la société [1] a convoqué M. [L] à un entretien préalable à un éventuel licenciement et lui a notifié sa mise à pied à titre conservatoire.

L'entretien s'est tenu le 19 mai 2020 en présence d'une représentante syndicale.

Par courrier recommandé avec accusé de réception en date du 22 mai 2020, la société [1] a notifié à M. [L] son licenciement pour motif personnel, en ces termes :

« Monsieur,

Nous faisons suite à notre entretien du 19 mai 2020 auquel nous vous avons convoqué par courrier recommandé avec accusé de réception en date du 6 mai et au cours duquel vous étiez assisté de Madame [F] [C].

Par la présente, nous vous notifions votre licenciement pour cause personnelle.

En effet, vous avez été embauché le 1er janvier 2020 pour occuper le poste de Responsable Sécurité et conformité.

A ce titre, vous devez accompagner de façon proactive les équipes du [2] ([2])et les Business de [3] en France en étant le garant de la Sécurité et de la conformité des Systèmes d'informations et en apportant votre expertise. Vous coordonnez le support aux équipes dans les domaines Conformité, Sécurité et Risques pour atteindre les objectifs de qualité requis par le Groupe et vous assurez le respect des règles de RGPD.

Cependant, depuis votre embauche nous avons relevé les élements suivants :

En dépit des nombreuses demandes de vos managers, depuis votre arrivée au sein de la société, vous n'avez pas transmis votre feuille de route pourtant essentielle et avez systématiquement remis en question les objectifs attendus par votre hiérarchie ainsi que les délais pour les restituer.

Vos résultats sur la conformité des Clouds sous votre responsabilité sont également insuffisants constituant le plus mauvais marché [3].

De plus, nous vous avons demandé de préparer l'audit Iso qui constitue une priorité dans votre activité. Or, vous avez une nouvelle fois remis en cause les délais de réalisation en sous-entendant que votre manager ne devait pas bien connaître vos tâches que vous avez listées. Aucun planning ou plan d'action n'a été produit alors que vous connaissez l'urgence de produire ces éléments compte tenu des dates de l'audit.

Par ailleurs, alors que votre manager vous avait demandé la mise à jour du registre des traitements des données personnelles dès le 8 janvier, vous n'avez pas effectué cette tâche entraînant un retard alors que vous n'êtes pas sans ignorer l'importance de la réglementation relative à la protection des données.

Cette remise en cause des directives de votre management ainsi que l'absence de réalisation des missions pour lesquelles vous avez été embauché n'est pas acceptable et mettent en difficulté vos managers, collègues et interlocuteurs et plus largement l'entreprise ce qui va à l'encontre des attentes pour le poste de Responsable Sécurité et conformité.

Vos explications recueillies lors de notre entretien ne nous ayant pas permis de revoir notre appréciation des faits, nous vous informons que nous sommes au regret de vous notifier par la présente votre licenciement pour cause personnelle.

Votre contrat prendra fin à la date d'envoi de la présente. Votre préavis de 3 mois débutera à la date de première présentation de ce courrier. Néanmoins, nous vous dispensons de l'exécution de ce préavis qui vous sera rémunéré aux échéances habituelles de paye.

Par ailleurs, nous vous informons que vous percevrez votre rémunération durant la période de mise à pied conservatoire prévue dans la lettre qui vous a été adressée le 6 mai.

Votre certificat de travail, votre reçu pour solde de tout compte et votre attestation Pôle emploi vous seront adressés à l'issue de votre préavis.

Nous vous rappelons que vous êtes tenus de préserver la plus stricte confidentialité sur les éléments stratégiques et autres informations confidentielles dont vous avez pu avoir connaissance dans le cadre de vos fonctions. (...)»

Par requête introductive reçue au greffe en date du 30 novembre 2020, M. [L] a saisi le conseil de prud'hommes de Boulogne-Billancourt d'une demande tendant à ce que son licenciement pour motif personnel soit jugé comme étant nul, et à défaut, comme étant sans cause réelle et sérieuse, et à obtenir le versement de diverses sommes à titre de dommages et intérêts.

Par jugement rendu le 21 septembre 2023, auquel renvoie la cour pour l'exposé des demandes initiales des parties et de la procédure antérieure, le conseil de prud'hommes de Boulogne-Billancourt a :

- Débouté M. [L] de l'intégralité de ses demandes ;

- Condamné M. [L] aux entiers dépens ;

- Débouté la société [1] de sa demande reconventionnelle au titre de l'article 700 du code de procédure civile.

Par déclaration d'appel reçue au greffe le 17 octobre 2023, M. [L] a interjeté appel de ce jugement.

La clôture de l'instruction a été prononcée le 25 mars 2026.

MOYENS ET PRÉTENTIONS

Par dernières conclusions remises au greffe et notifiées par le RPVA le 19 décembre 2023, auxquelles il est renvoyé pour l'exposé des moyens et prétentions conformément aux dispositions de l'article 455 du code de procédure civile, M. [L] appelant et intimé à titre incident, demande à la cour de :

- Infirmer le jugement en ce qu'il a :

débouté M. [L] de l'intégralité de ses demandes ;

condamné M. [L] aux entiers dépens ;

Et, statuant à nouveau,

A titre principal,

- Condamner la société [1] à verser à M. [L] la somme de 46 300 euros nets à titre d'indemnité pour licenciement nul ;

A titre subsidiaire,

- Juger que doit être écarté le plafonnement prévu par l'article L. 1235-3 du Code du travail en raison de son inconventionnalité, ce plafonnement violant les dispositions de l'article 24 de la Charte Sociale Européenne ainsi que les articles 4 et 10 de la Convention n°158 de l'OIT ;

- Condamner la société [1] à verser à M. [L] la somme de 46 300 euros nets à titre d'indemnité pour licenciement sans cause réelle et sérieuse ;

En tout état de cause,

- Condamner la société [1] à verser à M. [L] la somme de 10 000 euros nets à titre de dommages-intérêts pour les circonstances vexatoires du licenciement ;

- Condamner la société [1] à verser à M. [L] la somme de 5 000 euros au titre de l'article 700 du Code de procédure civile ;

- Condamner la société [1] aux entiers dépens.

Par dernières conclusions remises au greffe et notifiées par le RPVA le 8 mars 2024, auxquelles il est renvoyé pour l'exposé des moyens conformément aux dispositions de l'article 455 du code de procédure civile, la société [1] et appelante à titre incident, demande à la cour de :

A titre principal :

- Confirmer le jugement rendu par le conseil de prud'hommes de Boulogne Billancourt le 21 septembre 2023 en ce qu'il a

Débouté M. [L] de l'intégralité de ses demandes ;

Condamné M. [L] aux entiers dépens ;

Et, statuant à nouveau :

- Juger que le licenciement de M. [L] pour cause personnelle est parfaitement fondé, justifié et régulier ;

- Juger que M. [L] n'a subi aucune discrimination au titre d'un statut de lanceur d'alerte ;

En conséquence :

- Débouter M. [L] de l'ensemble de ses demandes, fins et conclusions ;

A titre subsidiaire :

- Fixer le salaire de référence de M. [L] à 5 925,93 euros ;

- Limiter les dommages et intérêts au titre du licenciement sans cause réelle et sérieuse au maximum de 1 mois de salaire, soit 5 925,93 euros, prévu par l'article L.1235-3 du Code du travail ;

En tout état de cause :

- Juger que M. [L] n'apporte pas la preuve du montant des préjudices invoqués ;

- Débouter M. [L] de sa demande de 10 000 euros pour « circonstances vexatoires » ;

- Débouter M. [L] de sa demande au titre de l'article 700 du code de procédure civile ;

- Condamner M. [L] aux entiers dépens et à verser à la Société la somme de 2 500 euros au titre de l'article 700 du code de procédure civile ;

MOTIFS

I. Sur la rupture du contrat de travail

M.[L] soutient à titre principal la nullité de son licenciement fondée sur une discrimination résultant de la violation de la protection des lanceurs d'alerte.

A titre subsidiaire, il soutient l'absence de cause réelle et sérieuse, les griefs visés par l'employeur n'étant pas établis.

A. Sur le moyen de nullité du licenciement

L'article 6 de la loi n°2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dans sa version applicable au litige, soit la version en vigueur du 11 décembre 2016 au 01 septembre 2022, précise qu'un lanceur d'alerte est une personne physique qui révèle ou signale, de manière désintéressée et de bonne foi, un crime ou un délit, une violation grave et manifeste d'un engagement international régulièrement ratifié ou approuvé par la France, d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l'intérêt général, dont elle a eu personnellement connaissance.

Les faits, informations ou documents, quel que soit leur forme ou leur support, couverts par le secret de la défense nationale, le secret médical ou le secret des relations entre un avocat et son client sont exclus du régime de l'alerte défini par le présent chapitre.

L'article 8 de ladite loi précise que :

- Le signalement d'une alerte est porté à la connaissance du supérieur hiérarchique, direct ou indirect, de l'employeur ou d'un référent désigné par celui-ci.

En l'absence de diligences de la personne destinataire de l'alerte mentionnée au premier alinéa du présent I à vérifier, dans un délai raisonnable, la recevabilité du signalement, celui-ci est adressé à l'autorité judiciaire, à l'autorité administrative ou aux ordres professionnels.

En dernier ressort, à défaut de traitement par l'un des organismes mentionnés au deuxième alinéa du présent I dans un délai de trois mois, le signalement peut être rendu public.

II. - En cas de danger grave et imminent ou en présence d'un risque de dommages irréversibles, le signalement peut être porté directement à la connaissance des organismes mentionnés au deuxième alinéa du I. Il peut être rendu public.

III. - Des procédures appropriées de recueil des signalements émis par les membres de leur personnel ou par des collaborateurs extérieurs et occasionnels sont établies par les personnes morales de droit public ou de droit privé d'au moins cinquante salariés, les administrations de l'Etat, les communes de plus de 10 000 habitants ainsi que les établissements publics de coopération intercommunale à fiscalité propre dont elles sont membres, les départements et les régions, dans des conditions fixées par décret en Conseil d'Etat.

IV. - Toute personne peut adresser son signalement au Défenseur des droits afin d'être orientée vers l'organisme approprié de recueil de l'alerte.

L'article L1121-2 du code du travail prévoit qu'aucun salarié ne peut être licencié pour avoir signalé ou divulgué des informations dans les conditions prévues aux articles 6 et 8 de la même loi.

Selon l'article L1132-3-3 du code du travail, aucune personne ayant témoigné, de bonne foi, de faits constitutifs d'un délit ou d'un crime dont elle a eu connaissance dans l'exercice de ses fonctions ou ayant relaté de tels faits ne peut faire l'objet des mesures mentionnées à l'article L. 1121-2.

Les personnes mentionnées au premier alinéa du présent article bénéficient des protections prévues aux I et III de l'article 10-1 et aux articles 12 à 13-1 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique.

Selon l'article L1132-1 du code du travail, aucun salarié ne peut être licencié en raison de sa qualité de lanceur d'alerte, de facilitateur ou de personne en lien avec un lanceur d'alerte, au sens, respectivement, du I de l'article 6 et des 1° et 2° de l'article 6-1 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique.

L'article L1132-4 du code du travail dispose que toute disposition ou tout acte pris à l'égard d'un salarié en méconnaissance des dispositions du présent chapitre ou du II de l'article 10-1 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique est nul.

En application de l'article L. 1134-1 du même code, lorsque survient un litige en raison d'une méconnaissance de ces dispositions, il appartient au salarié qui se prétend lésé par une mesure discriminatoire de présenter au juge des éléments de fait laissant supposer l'existence d'une discrimination directe ou indirecte au vu desquels il incombe à l'employeur de prouver que les mesures prises sont justifiées par des éléments objectifs étrangers à toute discrimination.

Le salarié qui relate ou témoigne de faits constitutifs d'un délit ou d'un crime dont il aurait eu connaissance dans l'exercice de ses fonctions n'est pas soumis à l'exigence d'agir de manière désintéressée au sens de l'art. 6 de la Loi n°2016-1691 du 9 déc. 2016. (Soc. 13 sept. 2023, n°21-22.301)

***

A l'appui d'une discrimination fondée sur la violation par l'employeur de la protection des lanceurs d'alerte, le salarié verse aux débats l'audit interne chez [4] réalisé par le DPO [1] depuis janvier 2020 et restitué le 31 mars 2020, lequel pointe divers 'manquements de plusieurs ordres vis à vis de la CNIL' en matière de disclaimers et cookie, des insuffisances en matière de backoffice, une analyse des impacts et de la responsabilité de [3], [4] et du directeur juridique de [3] en cas de non conformité RGPD et son courriel du 13 avril 2020 adressé à Monsieur [N], directeur juridique de [1] et Monsieur [E], directeur [5], qui rappelle la présentation qu'il a effectuée auprès d'eux le 31 mars 2020, au titre de son 'devoir d'information', le caractère pénalement répréhensible des non conformités mises en évidence, la responsabilité juridique face à l'autorité de contrôle, et sollicite des moyens d'y remédier. Ces éléments constituent une alerte au sens des dispositions précitées.

Si l'employeur ne conteste pas que les faits dénoncés par le salarié sont susceptibles de recevoir une qualification pénale, il objecte que le salarié ne peut se prévaloir du statut de lanceur d'alerte du salarié au motif d'une part qu'il se trouvait dans l'exercice rémunéré de ses fonctions, d'autre part qu'il n'a suivi ni la procédure prévue par la loi du 9 décembre 2016, ni la procédure interne de l'entreprise.

Néanmoins, il est constant que Monsieur [E] est le supérieur hiérarchique de M.[L] et qu'il a été destinataire tant de la présentation de l'audit le 31 mars 2020 que du courriel du 13 avril 2020. Il importe peu que le salarié n'ait pas transmis ces éléments à l'autorité judiciaire avant son licenciement intervenu le 22 mai 2020. En effet, la loi prévoit que le signalement aux autorités judiciaires intervient à défaut de diligences de l'employeur 'dans un délai raisonnable', lequel n'était pas écoulé à la date du licenciement.

Par ailleurs, si l'employeur justifie de la mise en place d'un dispositif interne d'alerte anonyme, le salarié n'est pas tenu d'y avoir recours dès lors qu'il se situe dans le cadre de l'article 14 du code de conduite professionnelle de [3] qui précise que 'les salariés doivent alerter leur responsable hiérarchique, la direction des ressources humaines ou la direction juridique de toute pratique ou tout acte qu'ils tiennent pour illégal ou non-conforme au présent code'.

Ainsi, en avertissant le directeur juridique de l'entreprise et son supérieur hiérarchique, M.[L] a respecté tant la loi que la procédure interne.

En outre, la circonstance que M.[L] ait eu connaissance des faits répréhensibles dont il alerte l'employeur dans l'exercice de ses fonctions de responsable sécurité et conformité IT, qui lui impose de s'assurer du respect du standard lié au RGPD, et plus précisément dans le cadre d'un audit commandé par l'employeur, n'est pas exclusive du statut de lanceur d'alerte, dès lors que la loi précitée, dans sa version applicable au litige, ne contient pas d'exigence à ce titre, tandis que le code du travail prévoit expressément que le salarié en ait eu connaissance 'dans l'exercice de ses fonctions'.

Par ailleurs, il ne ressort d'aucun élément que le salarié aurait reçu une contrepartie financière directement liée à ce signalement, et aucun élément ne permet de remettre en cause sa bonne foi en ce qu'il n'est pas démontré qu'il avait connaissance de la fausseté des faits qu'il a dénoncés.

Ainsi, M.[L] est fondé à se prévaloir de la protection des lanceurs d'alerte.

Enfin, M.[L] a été convoqué pour un entretien préalable à un éventuel licenciement le 6 mai 2020, que cet entretien s'est tenu le 19 mai 2020, et que le licenciement lui a été notifié le 22 mai 2020, soit moins de deux mois après la présentation de l'audit et le courriel précités. Cette concomitance est de nature à laisser supposer l'existence d'une discrimination.

L'employeur invoque la cause réelle et sérieuse du licenciement de M.[L] pour considérer qu'il justifie d'éléments objectifs étrangers à l'alerte de l'intéressé qui permettent d'écarter toute discrimination.

La cour doit donc, à ce stade, procéder à l'examen des griefs retenus par l'employeur.

Sur la cause réelle et sérieuse du licenciement

L'article L.1232-1 du code du travail dispose que tout licenciement pour motif personnel est justifié par une cause réelle et sérieuse.

Si la charge de la preuve du caractère réel et sérieux du licenciement ne pèse spécialement sur aucune des parties, le juge forme sa conviction au vu des éléments fournis par les parties et au besoin après toute mesure d'instruction qu'il juge utile en application de l'article L. 1235-1 du code du travail.

Il appartient néanmoins à l'employeur de fournir au juge des éléments lui permettant de constater la réalité et le sérieux du motif invoqué.

L'article L. 1232-6 du code du travail prévoit que la lettre de licenciement comporte l'énoncé du ou des motifs invoqués par l'employeur. Elle fixe les limites du litige en ce qui concerne les motifs du licenciement et c'est le motif de la rupture mentionné dans la lettre de licenciement qui détermine le caractère disciplinaire ou non du licenciement.

Dans sa lettre de licenciement, l'employeur invoque les griefs suivants :

- refus d'établir sa feuille de route

- remise en question des objectifs attendus et des délais impartis

- refus des directives données pour préparer l'audit ISO

- insuffisance des résultats sur la conformité des clouds

- l'absence de mise à jour du registre des traitements des données personnelles.

A titre liminaire, la cour rappelle que la fiche de poste non contestée du salarié prévoit notamment les missions suivantes :

*Être le garant du fonctionnement de l'information Security Management System ([6], basé sur l'ISO/IEC 27001:2013) en tant que Lead (Animation des Management Reviews, suivi des reassesments des risques et des contrôles, organisation des audits internes (Independant Review) et externes ([7]).

*Animer le pilier conformité au sein du [2] pour supporter les équipes fonctionnelles sur les sujets Security (Livrables : préparation des supports, priorisation des activités prévisionnelles des équipes, indicateurs à jours, compte rendus)

*Coordonner et animer les Cloud Service Review Management en relation avec le Security Operation Center et les équipes [8] (Livrables : Security Compliance Index au niveau requis, documentation à jour, solutions conformes).

*Apporter le support de la solution ServiceNow pour les domaines Application Portfolio Management, je forme les collaborateurs LGO et je m'assure du respect du standard lié au RGPD (Règlement Général sur la Protection des Données).

* Etre le garant de la mise en place des outils de pilotage de la conformité par le Groupe, et je suis en contact avec les auditeurs [7], l'agent Nationale de la Sécurité des Systèmes d'information (ANSSI) et le service informatique des fournisseurs des solutions Cloud.

Il s'ensuit que le poste du salarié couvrait deux volets principaux, la sécurité informatique d'une part, les données personnelles d'autre part, ce que M.[L] qualifiait par courriel le 10 octobre 2019 de 'très motivant et challengeant avec des enjeux énormes'.

* Concernant le refus d'établir sa feuille de route, mission qui ressort de la fiche de poste précitée en termes de livrables et de priorisation des activités prévisionnelles, l'employeur justifie de communication par le salarié des feuilles de route attendues tant sur le volet des données personnelles que sur celui de la sécurité informatique.

Par courriel du 26 février 2020, soit deux mois après son embauche M.[L] s'engage à transmettre sa feuille de route 'data privacy champion : budget 2020" fin mars 2020.

A partir de cette date, en dépit des relances de sa hiérarchie qui lui rappelle cet objectif prioritaire jusqu'au 28 avril 2020, qui lui propose notamment les services d'avocats et qui justifie du budget alloué à ce périmètre et de la prise en charge d'une formation externe début février 2020, le salarié ne transmet aucune feuille de route, indiquant même par courriel du 13 avril 2020 ne pas disposer du budget nécessaire à sa mission.

Sur le volet sécurité informatique, par courriel en date 30 avril 2020, le salarié déclare rencontrer des difficultés et avoir besoin de plus de temps pour élaborer sa feuille de route. Or, l'employeur justifie qu'il disposait des moyens nécessaires pour effectuer cette tâche puisqu'il avait été introduit et présenté au comité de conformité du groupe, était invité aux réunions [9] et à une mission de 3 jours à [Localité 3] les 27, 28 et 29 janvier 2020. Le salarié connaissait donc les interlocuteurs nécessaires pour établir la feuille de route.

Si M.[L] invoque une surcharge de travail, il ne l'établit pas. Il se prévaut de l'adjonction à ses fonctions de responsable sécurité et conformité, de celles de délégué à la protection des données auprès de la CNIL en janvier 2020. Or, il ressort des échanges précités que le poste du salarié couvrait d'emblée cet aspect, le rôle de 'Data Privacy Champion' constituant, au vu de la fiche de poste, un relai en France du délégué à la protection des données du groupe localisé en Suisse, Monsieur [B]. A ce titre, Monsieur [E] accède à sa demande d'inscription à la CNIL comme délégué à la protection des données, sans que cette acceptation ait pour effet de conférer au salarié la qualité juridique de DPO au sein de l'entreprise, ainsi qu'en attestent les termes de l'annonce de son arrivée au sein du groupe, son inscription en contact interne en qualité de DPC, ses échanges et sa signature. Dans ce cadre, le courriel du salarié du 30 avril 2020 se fixant comme objectif de 'livrer deux feuilles de route sur la data privacy et la sécurité en semaine 36", soit à près de 9 mois suivant son embauche, ne répond pas à la commande de l'employeur.

Par conséquent, le grief est établi en ce que le salarié n'a transmis de feuille de route ni en matière de protection données personnelles, ni en matière de sécurité informatique.

* Concernant la remise en question systématique des demandes de sa hiérarchie et des délais impartis, l'employeur verse aux débats les échanges entretenus avec le salarié relatifs à la demande d'inscription de ses objectifs 2020 dans l'outil informatique. Au-delà de la maîtrise de l'outil informatique en question, les demandes de précision du salarié et sa contribution à leur fixation apparaissent légitimes dès lors que l'employeur ne justifie pas les avoir unilatéralement déterminés et communiqués au salarié en début de période comme le prévoit l'article 5 du contrat de travail de M.[L], à l'exception de l'objectif d'actualisation du registre des traitements fixé le 8 janvier 2020 ainsi qu'il ressort du courriel de M.[N] du 4 mai 2020.

Par conséquent, le grief n'est pas établi.

* Concernant le refus des directives données pour préparer l'audit ISO, l'employeur justifie de sa demande au salarié par courriel du 28 avril 2020 pour début juin 2020, lui fournissant la liste des points à évoquer en CODIR dès la semaine suivante, et d'échanges aux termes desquels il lui communique les délais utiles en accord avec les impératifs que le salarié lui oppose, et priorise ses missions dans cet objectif.

La cour relève qu'au cours de ces échanges, le ton du salarié est ironique, excessivement revendicatif et en tout cas inapproprié à un échange avec sa hiérarchie. Le salarié, qui ne conteste pas la légitimité de cette mission figurant sur sa fiche de poste du salarié et pour laquelle il disposait des compétences, ne produit aucun élément étayant le travail prétendument accompli, étant précisé que le message de félicitation de M.[E] du 1er juillet 2020 qu'il verse aux débats est postérieur à son licenciement et adressé 'à [S], aux piliers et aux managers'.

Par conséquent, le grief est établi.

* Concernant l'insuffisance des résultats sur la conformité des clouds, si cette mission est expressément prévue par la fiche de poste du salarié, l'employeur ne justifie d'une alerte à ce dernier que le 6 mai 2020, soit moins de 15 jours avant sa convocation à un entretien préalable à un éventuel licenciement, et à la période où ses missions prioritaires sont la remise de ses feuilles de route et la préparation de l'audit ISO. Dès lors, en l'absence de justification par l'employeur de la communication au salarié d'un objectif sur ce point, il ne saurait lui être reproché une insuffisance de résultats à ce titre.

Par conséquent, le grief n'est pas établi.

*Concernant l'absence de mise à jour du registre des traitements des données personnelles, mission qui ressort de la fiche de poste de M.[L], l'employeur justifie avoir fixé cet objectif au salarié dès le 8 janvier 2020 par courriel précité de M.[N].

L'absence de traitement au 30 avril 2020 et depuis plusieurs semaines de divers mails adressés sur la boîte 'protection des données' est conforté par la copie écran adressée au salarié, étant précisé que M.[L] n'étaye en rien le prétendu 'bug informatique' de cette boîte mail dont l'employeur justifie le fonctionnement, et dont le salarié se prévaut pour demander au directeur juridique d'effectuer ce travail à sa place.

En outre, contrairement à ce qu'il affirme dans ses écritures, le salarié reconnaît dans cet échange que la mise à jour du registre des traitements des données personnelles avait bien été traitée durant les 8 mois d'absence de son prédécesseur.

Par ailleurs, la cour relève à nouveau que le ton du salarié au cours des échanges entretenus à ce sujet avec ses interlocuteurs, dont M.[N], est inapproprié dans le cadre professionnel.

Par conséquent, le grief est établi.

Il résulte des griefs établis, à savoir l'absence d'établissement de sa feuille de route sur le volet des données personnelles et sur celui de la sécurité informatique, le refus des directives données pour préparer l'audit ISO et l'absence de mise à jour du registre des traitements des données personnelles, que le salarié a manqué à ses obligations contractuelles à l'égard des trois missions dont il avait connaissance du caractère prioritaire, rejetant sur autrui la responsabilité de son insuffisance et adoptant vis à vis de sa hiérarchie une communication inappropriée, sans remise en question. Compte tenu de l'expérience professionnelle dont justifie le salarié et de son niveau de responsabilité, ces manquements constituent une cause réelle et sérieuse de licenciement.

Il en résulte que l'employeur justifie d'éléments objectifs étrangers à l'alerte du salarié, et donc à toute discrimination. Le salarié sera donc débouté de sa demande, par confirmation des premiers juges.

Il suit de la cause réelle et sérieuse du licenciement de M.[L] que sa demande subsidiaire à ce titre sera également rejetée, par confirmation des premiers juges.

Sur la demande de dommages et intérêts pour licenciement vexatoire

Le salarié soutient que son licenciement présente un caractère vexatoire en ce qu'il a été mis à pied à titre conservatoire avant d'être licencié pour motif personnel, que sa messagerie et son accès au réseau de l'entreprise lui ont été brutalement retirés, que l'employeur mettait fin dès le 12 mai 2020 à sa mission de DPO auprès de la CNIL et ne lui permettait pas de récupérer ses effets personnels, notamment son permis de conduire.

L'employeur soutient l'absence de circonstances vexatoires du licenciement.

L'article 1240 du code civil dispose que tout fait quelconque de l'homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer.

En l'espèce, le salarié ne justifie pas de la date à laquelle sa messagerie et son accès au réseau de l'entreprise lui ont été retirés, alors que cette mesure est légitime dans le cadre de la dispense de préavis dont il a bénéficié du 1er juillet 2020.

Les échanges de courriels entretenus par le salarié entre le 22 mai et le 15 juin 2020 ne démontrent pas que son permis de conduire était resté sur son lieu de travail, les diligences pour l'y retrouver restant infructueuses. Le salarié ne produit aucun élément relatif à d'autres effets personnels.

Néanmoins, l'employeur prétend sans l'établir que la désinscription du salarié auprès de la CNIL avant son licenciement est le fait du salarié lui-même. En effet, les échanges courriels versés aux débats ne comportent pas de date s'agissant du message attribué au salarié, contactant le service DPO ' pour savoir si mon employeur a procédé à la suppression de ma désignation DPO [1]'.

En outre, si l'employeur, qui avait mis à pied le salarié à titre conservatoire le 6 mai 2020, ne l'a finalement pas licencié pour faute grave ou lourde, seuls cas dans lesquels ce dernier pouvait être privé de son salaire, l'employeur ne justifie pas de la reprise immédiate du paiement du salaire de M.[L] ainsi qu'il l'écrit dans la lettre de licenciement, alors que le conseil du salarié signifie à [1] le 7 juillet 2020 que son client reste créancier de la somme de 1 580,32 euros bruts à ce titre.

Ainsi, le caractère vexatoire du licenciement de M.[L] est établi et justifie l'allocation de la somme de 1 000 euros en réparation, par infirmation des premiers juges.

Sur les frais irrépétibles et les dépens

En considération de l'équité et en application de l'article 700 du code de procédure civile, il y a lieu de confirmer le jugement attaqué en ce qu'il a débouté l'employeur de sa demande au titre des frais irrépétibles et condamné le salarié aux dépens.

En considération de l'équité et sur le même fondement, l'employeur sera condamné à payer au salarié la somme de 1 500 euros au titre des frais irrépétibles, et aux dépens d'appel.

PAR CES MOTIFS

La cour, statuant par arrêt contradictoire, en dernier ressort et prononcé par mise à disposition au greffe:

CONFIRME le jugement du conseil de prud'hommes de Boulogne Billancourt du 21 septembre 2023, sauf en ce qu'il a débouté Monsieur [G] [L] de sa demande de dommages et intérêts pour licenciement vexatoire;

Statuant à nouveau et y ajoutant,

CONDAMNE la société [1] à payer à Monsieur [G] [L] la somme de

1 000 euros à titre de dommages et intérêts pour licenciement vexatoire,

CONDAMNE la société [1] à payer à Monsieur [G] [L] la somme de 1 500 euros sur le fondement de l'article 700 du code de procédure civile,

REJETTE toute autre demande,

CONDAMNE la société [1] aux dépens d'appel.

- prononcé publiquement par mise à disposition de l'arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.

- signé par Madame Françoise CATTON, conseillère, pour la Présidente légitimement empêchée, et par Monsieur Anthony CHEVRON, Greffier en préaffectation, auquel la minute de la décision a été remise par le magistrat signataire.

LE GREFFIER P/ LA PRÉSIDENTE EMPÊCHÉE