L’arrêt rendu le 5 mars 2026 par la cour d’appel de Paris présente un intérêt particulier pour la veille en droit social et en protection des données. Saisi d’un litige relatif au licenciement d’un directeur général adjoint chargé des stratégies financières et du « business support », le juge d’appel devait apprécier la portée de ses responsabilités dans un contexte de compromission du site marchand de l’entreprise.
L’affaire trouve son origine dans la découverte, en janvier 2020, d’un piratage affectant le site e-commerce du groupe depuis juillet 2019 : plusieurs millions de coordonnées de personnes, dont des numéros de cartes bancaires, avaient été extraites. La directrice générale a mis en place une cellule de crise, suspendu les paiements par carte bancaire, puis mandaté un expert ; la CNIL a procédé à un contrôle en mars 2020. Ces éléments sont examinés non comme une violation autonome du RGPD, mais comme le contexte des griefs reprochés au salarié.
La cour relève que le contrat du directeur lui confiait la stratégie informatique du groupe et le respect des normes et procédures, et qu’il bénéficiait d’une délégation de pouvoir lui permettant de signer les documents nécessaires à la mise en conformité au RGPD pour son périmètre. Elle juge donc qu’il ne pouvait soutenir que la sécurité du site marchand ou la gestion des données clients échappaient à ses responsabilités.
L’arrêt est également éclairant sur l’articulation entre la fonction de DPO et la responsabilité managériale : la nomination d’un délégué à la protection des données en 2018 n’avait pas remis en cause la délégation de pouvoir du dirigeant ni sa responsabilité informatique. La désignation d’un DPO ne transfère donc pas, à elle seule, la responsabilité opérationnelle ou hiérarchique des dirigeants.
Sur le fond, la cour retient le grief principal lié au piratage : le salarié ne justifie d’aucune action concrète déterminante, hormis un courriel jugé trop vague. Le manquement réside dans une insuffisance de réaction, d’alerte et de pilotage. La cour refuse toutefois la qualification de faute grave : le licenciement repose sur une cause réelle et sérieuse, ce qui permet au salarié de conserver son indemnité de préavis et son indemnité conventionnelle.
L’intérêt de l’arrêt est précis : une délégation de pouvoir en matière de conformité ou de sécurité des données n’est pas neutre en contentieux social. Sans poser de responsabilité automatique du dirigeant, la cour confirme qu’un défaut de réaction face à une compromission majeure peut justifier un licenciement lorsque le périmètre de responsabilité est clairement établi.
Source : Clubic.