Cour d'appel, 26 février 2025. 23/02785

COUR D'APPEL DE BORDEAUX CHAMBRE SOCIALE - SECTION A -------------------------- ARRÊT DU : 26 FEVRIER 2025 PRUD'HOMMES N° RG 23/02785 - N° Portalis DBVJ-V-B7H-NJSM S.A. LA POSTE c/ Syndicat SUD PTT GIRONDE Nature de la décision : AU FOND Grosse délivrée le : à : Décision déférée à la Cour : jugement rendu le 21 avril 2023 (R.G. n°21/10136) par le Tribunal de Grande Instance de BORDEAUX, suivant déclaration d'appel du 09 juin 2023, APPELANTE : S.A. LA POSTE agissant en la personne de son représentant légal domicilié en cette qualité au siège social [Adresse 1] N° SIRET : 356 00 0 0 00 assistée de Me Florence GAULLIER de la SELARL CABINET VERCKEN & GAULLIER, avocat au barreau de PARIS, représentée par Me Caroline PRUNIERES-LE MOIGNE de la SELARL LEXYMORE, avocat au barreau de BORDEAUX, INTIMÉE : Syndicat SUD PTT GIRONDE pris en la personne de son secrétaire général domicilié en cette qualité au siège social [Adresse 15] / France représenté par Me Paul CESSO, avocat au barreau de BORDEAUX COMPOSITION DE LA COUR : L'affaire a été débattue le 13 janvier 2025 en audience publique, devant la cour composée de : Madame Sylvie Hylaire, présidente Madame Sylvie Tronche, conseillère Madame Laure Quinet, conseillère qui en ont délibéré. Greffière lors des débats : A.-Marie Lacour-Rivière, Greffière lors des débats : Sylvaine Déchamps ARRÊT : - contradictoire - prononcé publiquement par mise à disposition de l'arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues à l'article 450 alinéa 2 du code de procédure civile. *** EXPOSÉ DU LITIGE La société La Poste a mis en place un dispositif d'évaluation comparative de type 'Benchmarking' et a organisé des challenges à l'attention des équipes commerciales, destinés à promouvoir des produits sur des périodes déterminées. Ces challenges ont fait l'objet d'un accord social portant sur les conditions d'exercice des métiers de conseil bancaire, négocié et conclu au niveau national le 11 septembre 2017, et signé par l'ensemble des organisations syndicales, à l'exception du syndicat Sud PTT. Le 17 décembre 2021, après avoir été alerté par des salariés, le syndicat Sud PTT Gironde a saisi le tribunal judiciaire de Bordeaux aux fins d'une part, de voir enjoindre à la société La Poste de cesser de divulguer à tous, les données personnelles résultant des opérations de challenges commerciaux, ou de toute autre opération imposant au salarié un résultat et, d'autre part, de solliciter des dommages et intérêts. Par jugement rendu le 27 avril 2023, le tribunal judiciaire a : - enjoint à la société La Poste de cesser de laisser divulguer à tous, de quelque manière que ce soit et sous quelque forme que ce soit, les données personnelles résultant des opérations de challenges commerciaux ou de toute autre opération imposant au salarié un résultat, - constaté que la mise en place du dispositif modifiant le système actuel ne peut être fait immédiatement, écarté en conséquence l'exécution provisoire de sa décision et dit n'y avoir lieu à assortir la condamnation d'une astreinte, - condamné La Poste à verser au syndicat Sud PTT Gironde la somme de 2.500 euros à titre de dommages et intérêts et celle de 2.500 euros sur le fondement de l'article 700 du code de procédure civile, - condamné La Poste aux dépens. La société La Poste a relevé appel de cette décision, notifiée par lettre adressée aux parties par le greffe le 12 mai 2023, par deux déclarations des 9 juin et 6 juillet 2023, lesquelles enrolées sous les n° RG 23/2785 et 23/3276 ont fait l'objet d'une jonction pour être enrôlée sous le premier de ces numéros. Dans ses dernières conclusions adressées au greffe par le réseau privé virtuel des avocats le 4 décembre 2024, la société La Poste demande à la cour de la juger recevable et bien fondée en son appel de la décision rendue le 27 avril 2023 par le tribunal judiciaire de Bordeaux et y faisant droit : - d'infirmer le jugement déféré en ce qu'il : * lui a enjoint de cesser de laisser divulguer à tous de quelque manière que ce soit et sous quelque forme que ce soit, les données personnelles résultant des opérations de challenges commerciaux ou de toute autre opération imposant au salarié un résultat, * constaté que la mise en place du dispositif modifiant le système actuel ne peut être fait immédiatement, écarte en conséquence l'exécution provisoire de sa décision et dit n'y avoir lieu à assortir la condamnation d'une astreinte, * l'a condamnée à verser au syndicat Sud PTT la somme de 2.500 euros à titre de dommages et intérêts et celle de 2.500 euros sur le fondement de l'article 700 du code de procédure civile, * l'a condamnée aux dépens ; Et, statuant à nouveau, de : - débouter le syndicat Sud PTT de toutes ses demandes à son encontre, - le condamner à lui verser la somme de 8.000 euros au titre des frais irrépétibles qu'elle a dû exposer pour se défendre conformément à l'article 700 du code de procédure civile, - condamner le syndicat Sud PTT aux dépens de la première instance et de l'instance d'appel. Dans ses dernières conclusions adressées au greffe par le réseau privé virtuel des avocats le 16 décembre 2024, le syndicat Sud PTT Gironde demande à la cour de déclarer irrecevables toutes conclusions de La Poste communiquées postérieurement au 17 décembre 2024 et : - d'infirmer le jugement en ce qu'il a : * enjoint à la société La Poste de cesser de laisser divulguer à tous de quelque manière que ce soit et sous quelque forme que ce soit, les données personnelles résultant des opérations de challenges commerciaux ou de toute autre opération imposant au salarié un résultat, * constaté que la mise en place du dispositif modifiant le système actuel ne peut être fait immédiatement, écarte en conséquence l'exécution provisoire de sa décision et dit n'y avoir lieu à assortir la condamnation d'une astreinte, - de faire injonction à la Poste de ne pas divulguer publiquement, par mail, affichage ou quelque autre manière que ce soit, l'identité des agents ayant participé aux challenges avec, accolés, leurs résultats, leurs gains et leurs périodes d'absence, - de confirmer le jugement qui a constaté que la responsabilité de La Poste était engagée à son égard et l'a condamnée à lui verser des dommages-intérêts, - de l'infirmer quant au montant de la somme allouée et condamner la société La Poste à lui verser la somme de 10.000 euros à titre de dommages intérêts, - de condamner la société La Poste à lui verser la somme de 3.500 euros supplémentaires sur le fondement de l'article 700 du code de procédure civile ainsi qu'aux dépens de première instance et d'appel, - de débouter La Poste de l'ensemble de ses demandes. L'ordonnance de clôture a été rendue le 30 décembre 2024 et l'affaire a été fixée à l'audience du 13 janvier 2025. Pour un plus ample exposé des faits, de la procédure antérieure, des prétentions et des moyens des parties, la cour se réfère à leurs conclusions écrites conformément aux dispositions de l'article 455 du code de procédure civile ainsi qu'à la décision déférée. MOTIFS DE LA DECISION Pour voir infirmer la décision entreprise La Poste soutient que s'agissant du traitement des données personnelles, la juridiction lui a enjoint, sur le fondement d'une interprétation erronée du Règlement Général sur la Protection des données (ci-après RGPD), de recueillir le consentement des participants aux challenges pour traiter et diffuser leurs données personnelles dans le cadre de la diffusion de leurs résultats et d'autre part, de cesser une telle diffusion en l'absence de leur consentement. Elle affirme que le consentement des salariés au traitement de leurs données personnelles dans le cadre de challenges commerciaux n'est pas imposé par le RGPD, lequel prévoit en son article 6, d'autres conditions à la licéité d'un tel traitement, notamment une condition relative à la poursuite des intérêts légitimes du responsable de traitement. Elle considère avoir ainsi un intérêt légitime à animer ses réseaux et à stimuler les activités de vente de ses produits en organisant des challenges commerciaux, pratique courante, destinée à dynamiser les équipes, valoriser leur travail et améliorer leur performance. La Poste relève que dans ce cadre, la diffusion des résultats est indispensable pour la motivation des salariés et la valorisation des gagnants, ce qu'une diffusion anonyme ne permet pas. L'appelante avance que ces challenges, qui n'ont jamais suscité de difficultés sociales ou d'alertes auprès du CHSCT, des syndicats ou du service de médecine du travail, ont bien été accueillis par les salariés concernés et ont eu un impact positif sur leurs conditions de travail au regard du baromètre social, soulignant l'absence de remise en cause de leur légitimité par le syndicat Sud PTT. Elle se réfère en outre à l'avis d'un représentant de la CNIL pour considérer que l'existence du lien hiérarchique dans le contexte professionnel crée un déséquilibre dans les relations susceptible d'affecter le caractère libre du consentement de sorte que la base légale du consentement, retenue par les premiers juges, n'est pas en adéquation avec cette situation. Elle en conclut que la poursuite de ses intérêts légitimes justifie la communication des résultats individuels avec les autres participants d'une même équipe ainsi que la communication des résultats individuels des gagnants à la fin du challenge dans la mesure où les salariés sont informés des conditions applicables, d'une part, aux challenges qui figurent dans les règlements mis en ligne sur plusieurs outils numériques et, d'autre part, aux traitements des données personnelles associés. Elle ajoute enfin que pour la préservation des intérêts, des libertés et droits fondamentaux des salariés, elle n'a jamais rendu obligatoire la participation aux challenges, les salariés pouvant exercer leur droit d'opposition au traitement de leurs données personnelles. S'agissant de la sécurité et de la confidentialité des données, aucune violation de confidentialité au sens du RGPD ne peut lui être reprochée. La Poste explique qu'en l'absence de confidentialité légalement ou contractuellement prévue, elle a déterminé le périmètre de partage des données concernées, en tenant compte de leur nature, des droits et libertés en présence et de la nécessité de leur traitement. Elle considère ainsi que l'indication sur les tableaux de résultats querellés du nombre de semaines dites d'inactivité des commerciaux pendant les périodes de challenge ne permet pas de déduire des périodes de congés ou d'arrêt dans la mesure où le salarié peut être considéré comme inactif s'il n'a pas atteint un certain seuil minimum. S'il est possible à la lecture de ces tableaux de connaître le montant des gains perçus, elle ajoute que cela ne peut toutefois permettre de révéler le salaire mensuel de la personne concernée. S'agissant du périmètre du partage de données, la circulation de ces données est autorisée et encadrée dans le cadre du code de conduite édicté par ses soins et de la charte relative à l'accès et à l'utilisation de ses systèmes d'information, de sorte que les données concernant les résultats de vente de chaque salarié ne sont accessibles qu'aux profils autorisés, répondent au niveau de confidentialité - dit C 2-restreint - alors que les managers sont des personnes autorisées au sens du RGPD. En outre, l'appelante considère que le partage de données est mesuré et proportionné tant au regard des droits et libertés que de la nécessité de la diffusion, les résultats finaux des challenges étant diffusés en interne pour assurer la transparence de la distribution des récompenses. Elle avance que chaque participant doit pouvoir accéder à ses résultats et que chaque manager doit pouvoir accéder aux résultats de son équipe pour apprécier son efficacité par le biais de deux outils dont les habilitations d'accès ont été définies de manière stricte. Ainsi, pour les challenges collectifs, chaque manager reçoit par e-mail les résultats des équipes sans résultats individuels ; pour les challenges individuels, chaque manager reçoit un e-mail comportant uniquement les résultats individuels des lauréats et peut décider de partager ces informations avec eux; pour les résultats intermédiaires, les communications sur les résultats intermédiaires n'ont pas été systématisées et les commerciaux demandent eux-mêmes à pouvoir accéder aux résultats intermédiaires aux fins de se jauger par rapport à leurs collègues. Elle conclut que le principe est un accès des salariés limité à leurs résultats individuels et aux seuls classements et chiffres associés à ces classements sans possibilité d'identifier les autres salariés et l'exception est la divulgation au sein d'une même équipe, par le manager, de résultats non anonymes sous réserve d'être justifiée, nécessaire et ponctuelle. S'agissant d'une pratique permettant d'évaluer les salariés, les données concernées ne sont pas des résultats d'évaluation professionnelle au sens de l'article L. 1222-3 du code du travail car les objectifs individualisés, définis lors des entretiens annuels d'évaluation, ne correspondent pas systématiquement aux objets des challenges, les résultats des challenges et les évaluations professionnelles étant décorrélés. * De son côté, considérant que les challenges commerciaux dénoncés sont à l'origine de divulgation d'informations confidentielles sans qu'il soit justifié de la légalité de cette diffusion et de sa légitimité, le syndicat intimé objecte pour l'essentiel que son action ne tend pas à en interdire la pratique mais à mettre en exergue les difficultés qu'elle engendre, les agents craignant notamment les conséquences de leur refus d'y participer. Il relève à ce titre que la participation ne repose pas sur le volontariat puisque l'inscription est automatique et le règlement fixant les modalités du droit d'opposition n'est pas distribué aux agents mais mis à leur disposition sur demande auprès de la direction commerciale, ce qu'il estime particulièrement dissuasif. Il entend, par son action, faire cesser la divulgation (par affichage, mails ou autre) à tous ou à plusieurs, des résultats, salaires, absences et autres données personnelles résultant de la participation des salariés à ces challenges. Il critique les arguments de La Poste fondés pour l'essentiel sur le RGPD qui n'est pas la seule réglementation applicable en la matière selon lui, tout en précisant que la notion de poursuite d'intérêt légitime doit être appréciée strictement. Il relève à ce sujet que l'employeur s'abstient d'expliquer en quoi il serait légitime, non pas de mettre en place des challenges commerciaux, mais de divulguer des résultats nominatifs avec des éléments de salaires et de présence ou d'absence, relatifs à la vie privée des salariés ajoutant que l'intérêt légitime a pour limite, au regard du RGPD, les intérêts, libertés et droits fondamentaux de la personne dont les données sont traitées. Selon lui, peu importe que le partage de données soit mesuré et proportionné au regard des droits et libertés en présence dans la mesure où la confidentialité a été levée par l'employeur en divulguant des informations relatives aux salariés. Il considère ainsi que La Poste a violé : - son devoir général de confidentialité à l'égard de ses agents dans la mesure où les tableaux communiqués diffusent l'identité des participants, l'agence et le secteur concernés, un classement du premier au dernier, la mention des gagnants, les résultats de l'ensemble des personnes concernées, certains montants de primes, le nombre de semaines sur la période considérée au cours de laquelle les salariés ont été actifs, inactifs ou absents (pièces 3, 4, 5, 6, 7,11,12 et 17 ), ces tableaux ayant été diffusés par mails par les managers aux agents concernés par les challenges, et à plusieurs dizaines d'agents mais également par affichage (pièces 16, 17 et 18), un représentant du CHST ayant été interpellé par plusieurs salariés sur ce point le 13 octobre 2022. Il précise que contrairement à ce qui est soutenu, les divulgations ne sont pas intervenues dans un cadre restreint au sein de l'équipe participant au challenge puisque certaines d'entre elles ont porté sur plusieurs départements avec de longues listes, outre la publication par voie d'affichage de listes visibles non seulement par l'ensemble des agents mais également par toute personne circulant dans les locaux. - ses devoirs eu égard aux données informatisées et au RGPD, non seulement en diffusant des données confidentielles des participants à des tiers non autorisés mais également en s'abstenant de leur remettre les informations prévues à l'article 13 du RGPD. Le syndicat estime enfin que cette pratique est une manière de procéder à l'évaluation professionnelle des agents en affirmant que les résultats obtenus sont pris en compte lors des entretiens annuels d'appréciation pour être ensuite diffusés, en contravention avec les dispositions de l'article L. 1222-3 du code du travail. * * * Sur l'articulation de la base légale du RGPD retenue par La Poste et de son devoir de confidentialité Au soutien de son appel, la Poste explique pouvoir se dispenser du consentement préalable des participants en faisant valoir son intérêt légitime à animer ses réseaux en organisant des challenges commerciaux pour lesquels la diffusion des résultats est indispensable à la motivation des salariés, ce qu'une diffusion anonyme ne permettrait pas. * A titre liminaire, contrairement à ce qui est soutenu par l'appelante dans le corps de ses conclusions, les premiers juges ne lui ont pas fait injonction de recueillir le consentement des salariés participants aux challenges commerciaux pour traiter et diffuser leurs données personnelles mais ont indiqué que "la mesure qui pourrait être recommandée serait de mieux s'attacher au recueil du consentement tant pour la participation aux opérations commerciales de challenge que pour la diffusion des informations concernant les résultats". * Le RGPD est un règlement de l'Union européenne, qui constitue le texte de référence en matière de protection des données à caractère personnel et a pour objet de garantir le droit des personnes physiques à la protection de leurs données à caractère personnel. L'article 4 de ce règlement, prévoit que : - "toute information se rapportant à une personne physique identifiée ou identifiable" constitue des "données à caractère personnel" ; - la "pseudonymisation" est le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ; - le "responsable du traitement" est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement. Aux termes de l'article 5 du règlement : "1. Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ; b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ; c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ; e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (') ; f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité)". Par ailleurs l'article 6 énonce : "Licéité du traitement : 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; (') f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant". Les articles 13 à 15 imposent le respect des droits des personnes qui doivent notamment être informées de l'identité du responsable de traitement, de sa finalité, des destinataires des données et des modalités d'exercice de leurs droits "informatique et liberté", d'accès, de rectification et d'opposition. Enfin, l'article 24 dispose : "Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en oeuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement '". Par ailleurs, l'employeur est tenu d'un devoir de confidentialité et de discrétion à l'égard des salariés et doit notamment s'abstenir de divulguer le montant de leurs salaires et leurs périodes d'absence pour le respect de la vie privée, lesquelles peuvent correspondre à des absences pour maladie ou événements familiaux. * Il en résulte que pour être licite, un traitement de données doit se fonder sur l'une des six bases légales prévues par l'article 6 du RGPD, parmi lesquelles figurent notamment, le consentement de la personne concernée par le traitement, mais également l'intérêt légitime de celui qui traite ses données ou celle d'un tiers. En l'espèce et ainsi que le fait valoir l'appelante, l'intérêt commercial peut constituer un intérêt légitime au sens du RGPD, dispensant du recueil du consentement préalable de la personne concernée. Cependant, il est subordonné à deux conditions, à savoir : - vérifier que l'intérêt légitime ne peut pas raisonnablement être atteint de manière aussi efficace par d'autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, - que les intérêts ou les libertés et les droits fondamentaux des personnes concernées par la protection des données ne prévalent pas sur l'intérêt légitime du responsable du traitement, ce qui implique une pondération des droits et des intérêts opposés en cause et notamment de tenir compte de l'impact sur la personne concernée du traitement de ses données personnelles. Il est établi que La Poste n'a pas procédé au recueil du consentement des salariés concernés par les challenges commerciaux. Si l'appelante précise avoir eu un intérêt légitime à procéder de la sorte, il doit néanmoins être vérifié que d'une part, il n'existerait pas, quant à la diffusion des résultats de ces challenges, des alternatives moins attentatoires à la protection des données personnelles et, d'autre part, que ce partage de données est proportionné au regard des droits et libertés en présence. Pour y parvenir, la Poste explique avoir adopté les mesures techniques et organisationnelles suivantes : - les résultats des challenges nationaux publiés par secteur sont collectifs sans présenter de caractère individuel, - les résultats individuels sont mis en ligne sur un outil dénommé Polaris, chaque participant ayant accès à ses propres résultats, - les managers habilités ont accès au classement des gagnants et aux résultats des membres de l'équipe commerciale dont ils ont la responsabilité, - ce n'est qu'à la fin du challenge que le résultat et l'identité des gagnants sont publiés sur l'intranet Polaris, le règlement prévoyant que les gagnants autorisent par avance une telle diffusion sur l'intranet de La Poste et de La Banque Postale, - s'agissant des challenges locaux, les résultats intermédiaires se trouvent au sein d'un groupe Teams et la direction régionale de Gironde et de Garonne dont les membres sont des managers, ont seuls accès aux résultats de leurs équipes commerciales, - la consultation permanente par chaque salarié des résultats de ses collègues n'est pas possible et leur diffusion au sein d'une équipe est réservée à des cas particuliers, notamment, en cas de besoin identifié par les managers ou à la suite de demandes des équipes. Cependant, le syndicat intimé fait grief à l'employeur d'avoir porté atteinte au respect de la vie personnelle et privée des salariés, protégée par l'article 8 de la Convention européenne des droits de l'Homme, en divulguant, à d'autres salariés, le montant des primes attribuées à un agent, - ce qui revient à communiquer sur son salaire - ainsi que ses périodes d'absence. Il produit en ce sens des tableaux qui ont été diffusés soit par courriels (pièces 3, 4, 5, 6, 7, 11, 12 et15) soit par affichage (pièce 18), ce dont il est attesté par deux salariés, Messieurs [X] et [C] (pièces 16 et 17). A titre d'exemple, le tableau intitulé "La grande course 2021" (pièce 5) sur lequel figurent le nom des participants, leur agence et leur secteur ([Adresse 2], [Adresse 13], [Localité 16], [Localité 12], [Localité 3] et [Localité 11], [Localité 8], [Localité 10], [Adresse 5], [Localité 4], [Localité 7], [Localité 14], [Localité 9], etc') ainsi que le nombre de semaines où le salarié a été inactif ou non présent, a été largement diffusé. En effet sont joints à ce tableau, le mail d'envoi de M. [H] à de nombreux salariés avec le commentaire suivant : "en PJ, le détail de l'activité A/VIE par conseiller sur les 5 premières semaines de l'étape n°2 de LGN. Bravo aux 5 conseillers du Médoc qui réalisent un 5 sur 5 : (') les conseillers en difficulté doivent absolument activer leur compteur rapidement" ainsi qu'un mail de M. [P] qui précise : "vous avez en colonne H le nombre de semaine sur 5 semaines où le conseiller a été déclaré inactif (car en-deçà des attendus) ou non présent' vous constaterez un lien entre activité et résultats : l'activité fait les résultats". Le tableau, objet de la pièce 18, intitulé "suivi du CA par agent (€ H.T.)" qui mentionne l'identité des agents et leurs performances individuelles quant aux chiffres d'affaires du courrier et des colis, ce qui permet, ainsi que le souligne M. [C] dans son attestation "de déterminer qui a contribué au chiffre d'affaires et à quelle hauteur", a été affiché sur le site de la plateforme de [Adresse 6] (PFL) le 13 octobre 2022, à la vue des agents et de toute personne ayant accès à cet endroit. A l'aune de ces éléments, force est de constater que des résultats de challenges ont été diffusés de façon générale, à d'autres que les seules personnes concernées ou que les seuls managers des équipes, tandis que d'autres résultats ont fait l'objet d'un affichage à la vue de tous (pièce 18). Par ailleurs, s'agissant du contenu des données personnelles diffusées, il ressort de l'examen du tableau "La grande course 2021" (pièce 5) que figurent outre le nom des participants au challenge, leur agence et leur secteur ainsi que le nombre de semaines où le salarié a été inactif ou absent. Sur le tableau, objet de la pièce 15, sont aussi associés au nom de certains participants, leur gain potentiel. Enfin, il ressort des pièces versées aux débats que la participation à certains challenges est automatique (règlement Top 21), que les gagnants autorisent par avance à diffuser leur identité, sauf à s'y opposer par lettre recommandée avec avis de réception, et que les règlements fixant les modalités visées aux articles 13 à 15 du règlement notamment quant à leur droit d'opposition, ne sont pas distribués aux agents mais mis à leur disposition sur demande auprès de la direction commerciale de sorte que les principes protecteurs mis en place par le RGPD ne sont pas suffisamment respectés. En conclusion, si l'intérêt légitime de La Poste peut en effet être justifié par des finalités propres à l'organisation des challenges commerciaux et ne requiert pas en conséquence le consentement des salariés concernés, toutefois en diffusant largement et en affichant des données confidentielles relatives aux gains et aux périodes d'absence des participants, il ne peut être justifié que l'atteinte aux droits de ces derniers est strictement proportionnée au but commercial poursuivi, ce que les premiers juges ont retenu à bon droit. Sur l'évaluation des salariés Selon le syndicat, au visa de l'article L. 1222-3 du code du travail, la pratique des challenges commerciaux permet d'évaluer les salariés, les résultats obtenus étant pris en compte dans l'entretien annuel d'appréciation annuelle, ce que conteste La Poste. Aux termes de l'article L. 1222-3 du code du travail, le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d'évaluation professionnelles mises en oeuvre à son égard. Les résultats obtenus sont confidentiels. Les méthodes et techniques d'évaluation des salariés doivent être pertinentes au regard de la finalité poursuivie. En l'espèce, il résulte des pièces versées par l'une et l'autre des parties que la participation aux challenges ne figure pas parmi les critères de performance analysés lors des évaluations professionnelles des agents de sorte que le résultat et le classement des participants aux challenges ne sont pas confidentiels au sens de l'article L. 1222-3 du code du travail. * * * En considération de l'ensemble de ces éléments, il sera fait injonction à La Poste de ne pas divulguer publiquement, par mail, affichage ou quelque autre manière que ce soit, les gains et périodes d'absence des agents ayant participé aux challenges commerciaux, la cour réduisant ainsi le périmètre de l'injonction prononcée par les premiers juges dont la décision est de ce fait infirmée. Sur le bien-fondé des demandes du syndicat Pour voir infirmer la décision sur ce point, La Poste soutient que le syndicat s'abstient de rapporter un quelconque préjudice. En réplique et au soutien de sa demande de dommages et intérêts à hauteur de 10.000 euros, le syndicat affirme avoir nécessairement subi un préjudice puisque l'intérêt collectif de la profession a été atteint alors qu'il a pour but de le défendre. Compte tenu des développements précédents, il est démontré que l'employeur a causé un préjudice à la profession en ne respectant pas son obligation de confidentialité à l'égard de ses agents. Ce faisant, il convient de confirmer la décision entreprise qui a alloué au syndicat la somme de 2.500 euros à ce titre. Sur les autres demandes La société La Poste, partie perdante à l'instance et en son recours, supportera les dépens exposés en cause d'appel et sera condamnée à verser au syndicat la somme complémentaire de 2.000 euros au titre des frais irrépétibles exposés en cause d'appel. PAR CES MOTIFS, La cour, Infirme le jugement entrepris en toutes ses dispositions sauf en ce qu'il a : - alloué au syndicat Sud PTT la somme de 2.500 euros à titre de dommages et intérêts, - condamné La Poste à verser au syndicat Sud PTT la somme de 2.500 euros au titre de l'article 700 du code de procédure civile ainsi qu'à supporter les dépens, Statuant des chefs infirmés et y ajoutant, Enjoint à la société La Poste de ne pas divulguer publiquement, par mail, affichage ou quelque autre manière que ce soit, les gains et les périodes d'absence des agents ayant participé aux challenges commerciaux, Condamne la société La Poste à verser au syndicat Sud PTT la somme complémentaire de 2.000 euros au titre des frais irrépétibles exposés en cause d'appel l'article 700 du code de procédure civile, Déboute la société La Poste de sa demande au titre des frais irrépétibles, Condamne la société La Poste aux dépens exposés en cause d'appel. Signé par Sylvie Hylaire, présidente et par Sylvaine Déchamps, greffière, à laquelle la minute de la décision a été remise par le magistrat signataire. Sylvaine Déchamps Sylvie Hylaire