Section 3. Les possibilités de limitation ou d’exonération de responsabilité
3.1. L’absence de contrôle du commettant
Le contrôle du commettant implique le « pouvoir de donner des ordres, des instructions ou des directives précises sur la manière dont le préposé doit exécuter la tâche »411, mais également la maîtrise que l’employeur exerce sur les outils qu’il met à la disposition de ses salariés. Ce second aspect a une grande importance lorsque l’on sait que le contrôle de l’activité sur les réseaux numériques n’est pas toujours aisé. La question peut devenir encore plus complexe lorsque l’entreprise a recours à des télétravailleurs. Un nombre croissant d’organisations confient, en effet, une partie de leurs travaux à des personnes travaillant à distance, parfois dans le cadre d’un contrat de travail. L’entreprise pourra alors tenter de démonter que l’auteur des actes dommageables n’est pas son préposé, mais plutôt un travailleur autonome auquel il est, par exemple, lié par un contrat d’entreprise412. Dans un tel contexte, les juges chercheront certainement, dans un premier temps à qualifier, si nécessaire, la relation contractuelle existant entre l’entreprise et le travailleur auteur des actes dommageables. Ensuite, si le lien de préposition est établi, la question se ramènera sans doute alors, à déterminer, conformément à la jurisprudence constante, « si, quel que soit le moment ou le lieu où l'acte a été posé, le préposé agissait ou non pour le compte du patron »413.
Un premier moyen de défense pourra consister pour l’employeur à invoquer son ignorance des agissements illicites du salarié, pour tenter de s’exonérer de sa responsabilité, puisque « le facteur qui déclenche [la] responsabilité [des intermédiaires] est la connaissance qu’ils ont ou qu’ils acquièrent de la nature délictueuse de l’information circulant dans le réseau »414. Ce sera notamment le cas lorsque le salarié a recours à des stratagèmes pour contourner les contrôles existants, par exemple, en demandant à ses interlocuteurs de compresser leurs messages ou de leur attribuer des noms anodins (ceux de fournisseurs de
411 J.-L. BAUDOUIN et P. DESLAURIERS, « La responsabilité des commettants », préc., note 268, n° 1-780. 412 Id., n° 1-797, 1-798, 1-799, 1-800 et 1-801.
413 Id., n° 1-834. 414 P. T
l’entreprise, par exemple) afin qu’ils ne soient pas bloqués par le système de filtrage, en raison de leur taille ou de leur intitulé415.
De plus, puisque c’est le degré de contrôle exercé sur un document qui détermine les droits et responsabilités à son égard416, l’employeur pourra tenter de limiter sa responsabilité en minimisant l’intensité de son contrôle sur les contenus circulant dans son réseau ou soutenant qu’il n’avait aucune maîtrise sur les activités reprochées. Il devra, notamment, s’attacher à démontrer que les actes visés résultaient de la seule activité du salarié417. Il pourra exploiter le fait que les actes dommageables ont été commis par un employé ayant accédé à distance à son réseau. La question se pose, en effet, de savoir si et comment l’employeur peut contrôler l’activité d’un salarié qui accède à distance à son système informatique. Là encore, tout dépendra de l’acception du rôle de l’employeur par le juge. En effet, si l’on considère que l’employeur est responsable de son système informatique, on pourra difficilement admettre la thèse de l’absence de contrôle, puisqu’il existe des solutions techniques permettant d’accéder à distance au disque dur du salarié et donc de contrôler son activité418. La Cour de cassation française a ainsi admis que la responsabilité de l’employeur pouvait être engagée en raison des agissements frauduleux commis par ses salariés avec des outils de communication se trouvant dans ses locaux, mais sur lesquels il n’avait pas de contrôle technique direct419. S’agissant du salarié travaillant à distance, s’il est certain que les moyens de communication mis à sa disposition ne se trouvent pas dans les locaux de l’employeur (et donc sous son contrôle physique direct), on pourrait, en revanche, considérer qu’ils sont sous son contrôle technique, dans la mesure où c’est lui qui définit les conditions d’accès au réseau de son entreprise. Certains auteurs sont d’ailleurs d’avis que le lieu du télétravail devrait être considéré comme une « extension des lieux
415 Pour une illustration, voir Blais c. Société des Loteries Vidéos du Québec Inc., préc., note 239. 416 V. GAUTRAIS et P. TRUDEL, préc., note 318, p. 71.
417 Id., p. 74-75.
418 V. ROQUES, préc., note 34, p. 24. 419 Civ. 2e, 19 juin 2003, préc., note 346.
physiques normalement sous le contrôle et la supervision de l'établissement »420. De la sorte, quel que soit l’endroit où il se trouve, l’utilisateur « qui amorce une session d'accès distant avec les réseaux informationnels de l'établissement agira dans le cadre de ses fonctions, comme s'il ou elle était sur les lieux physiques de l'établissement »421. La responsabilité de l’employeur en serait donc encore renforcée.
L’employeur pourra également tenter de faire valoir qu’il n’avait aucun pouvoir d’action sur le document litigieux422. Toutefois, il pourra s’agir d’un fardeau difficile à supporter lorsque l’entreprise dispose d’un système d’information lui permettant d’effectuer une surveillance plus ou moins constante des communications électroniques de ses salariés. Il exerce alors, en effet, un « contrôle accru » sur les contenus circulant dans son réseau423 qui lui donne la possibilité de sélectionner ou de modifier l’information des documents (par exemple, lorsqu’il supprime des pièces jointes en raison d’un contenu suspect)424, de ne pas
délivrer le message à son destinataire (par exemple, en cas de contenu inapproprié)425 ou de le conserver pendant quelque temps, pour examen426. Il pourra donc difficilement justifier son inaction ou son incapacité à agir promptement pour empêcher ou mettre fin aux activités illicites se déroulant sur son réseau.
L’employeur devra, en outre, démontrer qu’il a fait preuve d’un minimum de diligence pour pouvoir bénéficier d’une limitation de responsabilité427. Il pourra, par exemple, pour témoigner de sa bonne foi, tenter de prouver que428 :
420 M. D
UBOIS, préc., note 51, p. 6.
421 Id., p. 7. 422 V. G
AUTRAIS et P. TRUDEL, préc., note 318, p. 79-81.
423 Id., p. 82. 424 P. T
RUDEL, « La responsabilité des acteurs du commerce électronique », préc., note 313, no 85, p. 641.
425 Id., no 86, p. 641. 426 Id., no 87, p. 642.
427 Loi concernant le cadre juridique des technologies de l'information, préc., note 50, art. 22, 36 et 37. 428 P. T
− il a retiré les informations dommageables ou pris les mesures nécessaires pour faire cesser le préjudice dès qu’il en a eu connaissance429; ou
− il a prévenu les destinataires que des informations dommageables pouvaient être contenues dans les messages ou les contenus diffusés430; ou
− il a enjoint aux intéressés de s’abstenir de porter intentionnellement atteinte aux droits des tiers, notamment grâce à des politiques claires431.
De plus, la rapidité de la réaction de l’employeur sera un facteur déterminant, puisque la responsabilité du prestataire n’est pas engagée s’il prend promptement les mesures appropriées afin de corriger la situation432. L’empressement de l’employeur sera évalué à compter du moment où il prend connaissance des faits illicites et sera « fonction des circonstances, des moyens nécessaires et des efforts consentis afin de passer à l’action »433. Les actions ou omissions de l’employeur seront examinées selon les critères du droit commun de la responsabilité civile434.
3.2. L’absence de lien entre la faute du préposé et l’exécution