Immediate dismissal for massive confidential data downloadGénéré par IA

4A_341/2019

Arrêt du 15 mai 2020

Ire Cour de droit civil

Composition
Mmes les Juges fédérales
Kiss, Présidente, Hohl et May Canellas.
Greffière : Mme Godat Zimmermann.

Participants à la procédure
A.________,
représenté par Me Magali Buser,
recourant,

contre

B.________ Limited,
représentée par Me Vanessa Maraia-Rossel,
intimée.

Objet
résiliation avec effet immédiat d'un contrat de travail,

recours contre l'arrêt rendu le 3 juin 2019 par la Chambre des prud'hommes de la Cour de justice du canton de Genève (C/6541/2016-3, CAPH/99/2019).

Faits :

A.

A.a. A.________ a été engagé par B.________ Limited, succursale de Genève (à l'époque: succursale de Z.________) (ci-après: B.________ ou la société) comme géologue senior à partir du 1 er septembre 2006. Il a été promu directeur technique... le 1 er février 2010, puis désigné "directeur technique..." le 1 er avril 2015. Ce dernier poste est situé au niveau 26 de l'échelle interne de l'entreprise, qui comporte les échelons 17 à 28 pour les employés occupés à Genève. A ce dernier titre, il était subordonné à C.________, directeur technique pour l'Afrique.
Le salaire annuel brut de A.________ se montait à 369'500 fr. depuis le 1 er janvier 2014. S'y ajoutait un bonus qui a atteint 105'400 fr. en 2014, ainsi que des prestations en espèces inscrites dans un plan d'encouragement à long terme discrétionnaire ( Long Term Incentive Plan [LTIP]), qui ont pris la forme de deux versements de 77'500 fr. chacun en août 2014 et 2015 (au titre du LTIP 2013) et d'un versement de 81'066 fr. en août 2015 (au titre du LTIP 2014).

A.b. Des rumeurs de licenciement ont commencé à circuler au sein de la société durant la première partie de l'année 2015. Le 2 février 2015, le CEO de B.________ a adressé un courriel à tous les employés de la succursale genevoise en exposant que l'industrie du pétrole traversait une période difficile et que la société devait prendre des mesures strictes dans le but d'améliorer ses performances. Le 31 août 2015, il faisait savoir que les revenus nets de la société avaient été fortement impactés de sorte qu'un programme de "réalignement organisationnel" serait prochainement mis en oeuvre. Le 16 septembre 2015, lors d'une réunion générale, il annonçait officiellement que la succursale genevoise était contrainte de se séparer de septante employés. En date du 22 septembre 2015, il portait à la connaissance des collaborateurs concernés la mise en place d'un programme de départ volontaire. A.________ comptait parmi ceux-ci.
Dans le cadre de ce programme, l'employé s'est vu proposer le paiement de la somme totale de 578'359 fr. représentant neuf mois de salaire, deux mois de bonus et une indemnité à titre de LTIP (s'ajoutant au LTIP du premier semestre 2015). Cette offre venait à échéance le 5 octobre 2015.

A.c. Le 3 septembre 2015, A.________ a effectué une présentation concernant le "..." devant deux membres du comité exécutif et le directeur technique pour l'Afrique. Ce dernier lui a ensuite demandé de compléter cette analyse, notamment afin de produire des chiffres pour évaluer la valeur des sites. Des ambiguïtés subsistaient quant aux données qui n'avaient pas été triées et aux chiffres de production venant de différents départements. Il y avait une urgence à compléter cette présentation, ce qui avait été souligné à plusieurs occasions après le 3 septembre 2015.

A.d. A la suite de la dénonciation - au début septembre 2015 - d'un employé de la société par l'un de ses collègues qui le suspectait d'avoir téléchargé des données de l'entreprise alors qu'il avait démissionné, B.________ a mis en place une surveillance systématique et renforcée de ses travailleurs. Entre le 17 et le 18 septembre 2015, elle a installé un système quotidien d'alerte permettant de détecter tout téléchargement de données depuis les serveurs de la société vers des périphériques de stockage externe de plus de 1 GB par jour et par utilisateur. Cette mesure lui a permis, le 25 septembre 2015, de détecter une activité suspecte d'un collaborateur les jours précédents, ce qui a débouché sur l'audition, la suspension, puis le licenciement de l'intéressé. Cette découverte a incité la société à mener une enquête interne sur les activités de téléchargement ayant eu lieu depuis le début du mois de septembre.
Le 30 septembre 2015, le département informatique a dressé une liste de dix employés ayant téléchargé le plus grande nombre de fichiers sur des périphériques de stockage externes depuis le début du mois, ainsi qu'une autre liste de vingt personnes ayant téléchargé le plus gros volume de données durant la même période. Le nom de A.________ figurait en tête de ces deux listes, pour avoir téléchargé un total de 91'982 fichiers (représentant 182,8 GB de don nées), dont 91'257 (179 GB) entre les 6 et 7 septembre 2015, 319 (1 GB) le 9 septembre 2015 et 405 fichiers (2 GB) le 28 septembre 2015); 37'182 étaient des fichiers personnels et 54'800 des fichiers professionnels (représentant 85 GB). Il était relevé que l'employé était un utilisateur régulier de périphériques amovibles, mais pour de petits volumes de données. Par comparaison, il avait téléchargé entre 0 et 226 fichiers entre janvier et août 2015, représentant quelques dixièmes ou centièmes de GB.
La société avait émis des directives concernant le téléchargement, soit notamment celle sur la sécurité des informations de la société du 22 octobre 2014, celle sur l'utilisation des ordinateurs, de la messagerie électronique et des téléphones du 20 mai 2015 et celle, non datée, sur l'utilisation des périphériques de stockage externes. Sous le titre "activités prohibées", la directive du 20 mai 2015 indique que "les téléchargements massifs de données ou les téléchargements de données sensibles (nouveaux projets, exploration, contrats, etc.) à l'aide de périphériques de stockage externes sont interdits à moins qu'ils ne soient autorisés par le chef de département concerné pour des raisons professionnelles particulières, en utilisant des périphériques de stockage externes appartenant à la société et dûment enregistrés"; elle prévoit encore que toute violation peut entraîner une mesure disciplinaire pouvant aller jusqu'au licenciement. La dernière directive citée précise que toute activité (copie, téléchargement) sur des périphériques USB est enregistrée et que toute anomalie peut justifier une enquête.
Le 1 er octobre 2015, A.________ a été convoqué par la société afin d'être entendu au sujet d'un téléchargement important qu'il avait effectué sur un disque externe. Il a admis ce téléchargement, expliquant avoir procédé à un back-up complet de son disque M (disque sur lequel les employés étaient autorisés à stocker des données personnelles) parce qu'il avait beaucoup de photos personnelles et précisant qu'il utilisait le disque M de son ordinateur comme back-up. Il a en outre indiqué qu'il ne procédait pas à ces sauvegardes régulièrement, mais qu'il essayait de le faire une fois par année. A la question de savoir si l'information téléchargée incluait uniquement des données personnelles, il a répondu par la négative, indiquant qu'il avait pris l'entier du disque M qui incluait des fichiers très anciens, mais que la plus grande partie concernait des photos; il trouvait en effet plus facile de tout télécharger et d'effacer ensuite ce dont il n'avait plus besoin. A la question de savoir s'il confirmait que l'information téléchargée incluait des informations de l'entreprise/confidentielles/sensibles qui ne devraient pas être copiées sur un disque personnel, il a donné la réponse suivante: " Je peux vous donner un exemple, j'ai des CV, des recommandations pour des promotions, des échanges, des choses que je ne mettrais pas sur un disque partagé. Vous ne mettez pas les évaluations des personnes et des choses comme ça sur le disque partagé. Je n'ai pas de secrets d'entreprise sur le disque M. Les documents Excel, présentations, documents, etc., ne se trouvent pas sur mon disque M. Il n'y a pas non plus de documents "aaa". Je n'ai pas de données sismiques, listes de sources ou de données similaires sur ce disque. " Interpellé sur la présence - parmi les fichiers téléchargés - de fichiers "aaa", il a précisé que, s'il y en avait, il s'agissait de documents très anciens et qu'au surplus, il en était l'auteur. Par ailleurs, il ne pensait pas que les données copiées aient une valeur en dehors de la société. Finalement, il avait téléchargé ces données sur un disque externe lui appartenant, qui n'était pas crypté et il n'avait pas sollicité d'autorisation pour ce faire à son supérieur. Il a été demandé à l'employé s'il savait si une partie des informations copiées était soumise à des accords de confidentialité signés avec des tiers; il a répondu qu'aucun document soumis à un accord de confidentialité n'avait jamais été copié sur le disque M, ajoutant: " Par exemple, les documents techniques, « bbb » sont gardés sur un disque partagé. Tous les e-mails «bbb» se trouvent sur mon système d'archivage des courriels ". L'employé a précisé que le disque dur externe n'était jamais sorti de son bureau. Il connaissait la politique d'utilisation d'ordinateurs, e-mails et téléphones, ainsi que le code de conduite. Après lecture de certains passages de ces directives, il a admis avoir violé ces prescriptions, justifiant sa réponse de la manière suivante: " parce que j'ai procédé à une copie en masse. Je passe beaucoup de temps sur des présentations, particulièrement le week-end et j'ai toujours travaillé sur les disques partagés lorsque j'étais chez B.________ (jamais à partir du disque M); plus spécifiquement, à partir du dossier présentation sur le disque R [ soit un disque partagé du département...]. Ce dossier consiste pratiquement totalement en des fichiers Powerpoint avec les fichiers Excel qui y sont liés, que l'on utilise pour faire des copier/coller dans les présentations. Lorsque je veux travailler depuis la maison, je copie les dossiers nécessaires sur le stick mémoire et les restitue après le week-end ".
Par courrier remis en mains propres le jour de son audition, soit le 1er octobre 2015, l'employeuse a suspendu l'employé de ses fonctions avec effet immédiat. Aussitôt après, A.________ s'est rendu avec D.________ ( Senior internal Auditor) à son bureau et lui a remis le support externe sur lequel il avait procédé aux téléchargements reprochés ainsi que deux clés USB.
Depuis le 2 octobre 2015, l'employé a été en incapacité totale de travail pour cause de maladie. Il a adressé à l'employeuse une copie des certificats médicaux attestant de son état à tout le moins jusqu'au 1 er mars 2016.
Après avoir poursuivi les investigations au sujet des données téléchargées, la société a entendu une seconde fois l'employé le 6 octobre 2015. Interrogé sur la raison qui l'avait poussé à procéder à un back-up complet de son disque M, il a expliqué qu'il souhaitait principalement effectuer une copie de ses photos et fichiers personnels. Il avait quelques photos à son domicile et voulait procéder à une vérification, photo par photo, afin d'être certain de tout avoir. Il était plus facile de tout copier en une fois. Il n'avait pas l'intention de le ramener à la maison avant de l'avoir nettoyé. A la lecture de la liste des fichiers qu'il avait téléchargés, il a déclaré: "j 'avais fait un back-up de mon disque M mais également du dossier «présentation» de « R:/... ». Je n'ai pas caché cela lors du premier entretien. Les dossiers récents proviennent certainement de ce dossier «présentation». Il s'agit essentiellement de présen tations-clé avec lesquelles je travaille." Questionné sur la raison du téléchargement du fichier "présentation", il a expliqué qu'il avait travaillé récemment (au cours des trois, quatre derniers mois) sur une rétrospective sur cinq ans des performances de production au... et sur la situation qui prévaudrait aujourd'hui s'ils ne faisaient rien, ce que cela impliquait pour la société et quelles étaient les options s'ils se projetaient sur les cinq prochaines années et au-delà, dont une partie avait déjà été présentée. Selon les déclarations de l'employé, " le dos sier de présentation (comprenait) tous les documents dont (il) avai (t) besoin pour (s) on analyse et (s) es présentations. Ces dossiers pren (aient) beaucoup de place sur le disque et par le passé (il avait) parfois travaillé depuis la maison en prenant des fichiers individuels et (il) réalisai (t) alors qu'il (lui) manquait un fichier pour compléter (s) a présentation. (Il) n'avai (t) pas l'intention de quitter l'entreprise avec le disque dans cet état. Comme (il) l' (avait) dit, (il) l' (aurait) nettoyé avant. (Il) avai (t) l'intention de prendre deux semaines de vacances, ce qu' (il) n'a (vait) jamais fait de sorte qu' (il) n'a (vait) jamais pris le disque."

A.e. Au cours d'un entretien qui s'est déroulé le 9 octobre 2015, deux responsables des ressources humaines ont informé A.________ que la société était contrainte de procéder à son licenciement avec effet immédiat. Ils lui ont indiqué que cette décision faisait suite aux résultats de l'enquête menée à son endroit. L'employé a refusé de prendre ou de contresigner la lettre de licenciement qu'ils ont tenté de lui remettre, de sorte que celle-ci lui a été envoyée par recommandé. Ce courrier, réceptionné le 13 octobre 2015, mentionnait que l'employé était licencié avec effet immédiat en raison de l'activité récente de téléchargement, laquelle constituait une sérieuse violation de plusieurs directives de la société; cette action aurait pu entraîner des dommages pour la société, ainsi qu'un risque de responsabilité vis-à-vis de tiers; ce comportement était inacceptable pour une personne occupant un poste tel que le sien, de sorte qu'il était inconcevable pour la société de poursuivre les relations de travail.
Un rapport final d'audit non daté a été rédigé à la suite de l'enquête interne et remis au comité exécutif de la société. Ce rapport conclut qu'il n'existait pas de justification professionnelle valable au téléchargement massif effectué par l'employé; ce dernier n'était pas l'auteur exclusif de tous les documents copiés; les données téléchargées comprenaient des informations sensibles et précieuses qui pourraient, si elles étaient diffusées, constituer un risque pour la société en lien avec certains accords conclus avec des partenaires au...; le nombre d'informations téléchargées constituait une base de données qui en elle-même pouvait avoir de la valeur.
Par courrier du 15 octobre 2015, l'employé a contesté son licenciement avec effet immédiat, estimant qu'il était dépourvu de justes motifs et signifié tardivement. Comme il lui avait été notifié pendant une période d'incapacité de travail, il se révélerait également nul.

B.

Le 24 mars 2016, A.________ a saisi le Tribunal des prud'hommes de Genève d'une demande tendant principalement, selon le dernier état de ses conclusions, à la délivrance d'un certificat de travail détaillé en sa faveur ainsi qu'au paiement par B.________ de la somme de 4'659'720 fr.02 avec intérêts résultant de l'addition des postes suivants: 455'716 fr.67 bruts à titre de salaire pour la période du 10 octobre 2015 au 31 décembre 2016; 502'115 fr.82 nets à titre de salaire non soumis aux déductions sociales pour la période du 10 octobre 2015 au 31 décembre 2016; 43'577 fr. bruts à titre de vacances non prises en nature entre le 10 octobre 2015 et le 31 décembre 2016; 388'310 fr.46 nets à titre d'indemnité au sens de l'art. 337c al. 3 CO; 3'270'001 fr. nets à titre de dommages-intérêts.
Par jugement du 20 décembre 2017, le Tribunal des prud'hommes a condamné B.________ à modifier le certificat de travail remis à l'employé et débouté ce dernier de ses conclusions en paiement.
Statuant le 3 juin 2019, la Chambre des prud'hommes de la Cour de justice du canton de Genève a rejeté l'appel formé par A.________. Elle a considéré que le motif de résiliation immédiate du contrat de travail invoqué par la société était réel et valide. La réaction de l'employeuse n'avait pas été tardive. Finalement, une résiliation avec effet immédiat pour de justes motifs pouvait être notifiée en tout temps, même durant une période de protection contre les congés.

C.

A.________ interjette un recours en matière civile. Il conclut principalement à l'annulation de l'arrêt attaqué et au renvoi de l'affaire à la Cour de justice pour nouvelle décision. Subsidiairement, en sus de conclusions préalables tendant à la production par la partie adverse de diverses pièces, il reprend les conclusions en paiement de sa demande, exception faite de celle tendant au paiement d'une somme à titre de réparation morale.
B.________ propose le rejet du recours dans la mesure de sa recevabilité.
Le recourant a déposé une réplique spontanée qui n'a pas suscité d'observations complémentaires de l'intimée.
Pour sa part, la cour cantonale se réfère aux considérants de son arrêt.

Considérant en droit :

1.

Les conditions de recevabilité du recours en matière civile sont réalisées sur le principe, notamment celles afférentes à la valeur litigieuse minimale de 15'000 fr. (art. 74 al. 1 let. a LTF) et au délai de recours (art. 100 al. 1 LTF). Les conclusions préalables tendant à ce que soit ordonnée la production par la partie adverse de différentes pièces se révèlent d'emblée irrecevables. En effet, il s'agit de conclusions nouvelles (art. 99 al. 2 LTF). Au demeurant, elles se heurtent à l'interdiction de présenter des moyens de preuve nouveaux (art. 99 al. 1 LTF), à l'instar du droit de produire différentes pièces que le recourant prétend se réserver.

2.

2.1. Le recours en matière civile peut être exercé pour violation du droit fédéral (art. 95 let. a LTF), y compris le droit constitutionnel (ATF 136 I 241 consid. 2.1 p. 247; 136 II 304 consid. 2.4 p. 313). Le Tribunal fédéral applique le droit d'office (art. 106 al. 1 LTF). Compte tenu de l'exigence de motivation contenue à l'art. 42 al. 1 et 2 LTF, sous peine d'irrecevabilité (art. 108 al. 1 let. b LTF), le Tribunal fédéral n'examine en principe que les griefs invoqués, sauf en cas d'erreurs juridiques manifestes. Il n'est pas tenu de traiter, comme le ferait une autorité de première instance, toutes les questions juridiques qui se posent, lorsque celles-ci ne sont plus discutées devant lui (ATF 140 III 86 consid. 2 p. 88 s., 115 consid. 2 p. 116; 137 III 580 consid. 1.3). Par exception à la règle selon laquelle il applique le droit d'office, il n'examine la violation d'un droit constitutionnel que si le grief a été invoqué et motivé de façon détaillée (art. 106 al. 2 LTF; ATF 139 I 22 consid. 2.3; 137 III 580 consid. 1.3; 135 III 397 consid. 1.4 in fine).

2.2. Le Tribunal fédéral statue sur la base des faits établis par l'autorité précédente (art. 105 al. 1 LTF). Il ne peut rectifier ou compléter les constatations de l'autorité précédente que si elles sont manifestement inexactes ou découlent d'une violation du droit au sens de l'art. 95 LTF (art. 105 al. 2 LTF). "Manifestement inexactes" signifie ici "arbitraires" (ATF 141 IV 249 consid. 1.3.1 p. 253; 140 III 115 consid. 2 p. 117; 135 III 397 consid. 1.5). Encore faut-il que la correction du vice soit susceptible d'influer sur le sort de la cause (art. 97 al. 1 LTF). La critique de l'état de fait retenu est soumise au principe strict de l'allégation énoncé par l'art. 106 al. 2 LTF (ATF 140 III 264 consid. 2.3 p. 266 et les références).
La partie qui entend attaquer les faits constatés par l'autorité précédente doit expliquer clairement et de manière circonstanciée en quoi ces conditions seraient réalisées (ATF 140 III 16 consid. 1.3.1 p. 18 et les références). Si elle souhaite obtenir un complètement de l'état de fait, elle doit aussi démontrer, par des renvois précis aux pièces du dossier, qu'elle a présenté aux autorités précédentes en conformité avec les règles de procédure les faits juridiquement pertinents à cet égard et les moyens de preuve adéquats (ATF 140 III 86 consid. 2 p. 90). Si la critique ne satisfait pas à ces exigences, les allégations relatives à un état de fait qui s'écarterait de celui de la décision attaquée ne pourront pas être prises en considération (ATF 140 III 16 consid. 1.3.1 p. 18). Aucun fait nouveau ni preuve nouvelle ne peut être présenté à moins de résulter de la décision de l'autorité précédente (art. 99 al. 1 LTF).
Le recourant perd de vue ces principes lorsqu'il reprend, sur près d'une dizaine de pages, les faits retenus par la cour cantonale en prétendant les admettre ou les contester avec différents commentaires, comme s'il s'agissait des allégués d'un mémoire de demande. Il n'en sera pas tenu compte.

3.

Les griefs développés dans le recours concernent tout d'abord la procédure.

3.1. Le recourant fait valoir que la cour cantonale a violé l'art. 317 CPC en refusant la production des pièces 132 et 133. A lire le recours, la première consisterait en un procès-verbal d'audition de E.________ par l'intimée et la seconde en une "réponse reçue suite à cette audition". La Chambre des prud'hommes a jugé que ces pièces, dont on ne sait guère plus, étaient irrecevables en appel, puisqu'elles étaient anciennes (faux nova) et auraient pu être produites en première instance en faisant preuve de la diligence requise, de sorte que la condition de l'art. 317 al. 1 let. b CPC faisait défaut. Elle a relevé que le recourant n'exposait pas avoir tenté de les obtenir sans succès de la part de E.________ au cours de la procédure de première instance. Le recourant concède qu'il s'agissait là de pièces anciennes, mais s'insurge contre le reproche qui lui est adressé, expliquant avoir réclamé ces pièces à l'intimée depuis le dépôt de sa demande en paiement et ne pas avoir pu les quérir auprès de E.________, dont il avait sollicité l'audition en qualité de témoin, sous peine d'entacher la crédibilité de son témoignage.
Selon l'art. 317 al. 1 CPC, un moyen de preuve nouveau n'est pris en compte au stade de l'appel que s'il est produit sans retard (let. a) et qu'il ne pouvait l'être devant la première instance bien que la partie qui s'en prévaut ait fait preuve de la diligence requise (let. b). Pour les novas improprement dits, il appartient au plaideur qui entend les invoquer devant l'instance d'appel de démontrer qu'il a fait preuve de la diligence requise, ce qui implique notamment d'exposer précisément les raisons pour lesquelles le moyen de preuve n'a pas été porté plus tôt à la procédure ( consid. 4.1 non publié de l'ATF 143 III 348; arrêt 5A_ 763/2018 du 1er juillet 2019 consid. 2.1.3.3). Dans le cas présent, le recourant n'affirme pas avoir développé une semblable démonstration en appel, ce qui laisse l'argumentation de la cour cantonale intacte. Les explications qu'il fournit dans son recours n'y changent rien. Le grief doit dès lors être rejeté.

3.2. Le recourant soutient également que c'est en violation des art. 8 CC et 316 CPC que la cour cantonale a refusé de requérir la production de certaines pièces par la partie adverse, à savoir les procès-verbaux d'audition des employés E.________, F.________, G.________ et H.________, les résultats et conclusions des enquêtes internes menées à leur encontre, le coefficient de calcul du LTIP et du bonus pour l'année 2016, la présentation du 3 septembre 2015 sur laquelle l'employé travaillait au moment de son licenciement, ainsi que les pièces 37 et 38 - soit les listes d'employés ayant effectué des téléchargements importants en septembre 2015, établies par l'intimée - non caviardées, avec la date des téléchargements et les résultats donnés pour chaque enquête.
La cour cantonale a écarté les réquisitions de preuves du recourant soit parce que les pièces invoquées portaient sur des faits non pertinents pour l'issue du litige, soit, par appréciation anticipée des preuves, parce que le dossier contenait suffisamment d'éléments pour pouvoir apprécier les divers interrogatoires et témoignages recueillis au cours des enquêtes. Il n'y a donc nulle violation de l'art. 316 CPC ou de l'art. 8 CC, cette disposition ne prescrivant pas quelles mesures probatoires doivent être ordonnées, ni ne dictant au juge comment forger sa conviction (ATF 128 III 22 consid. 2d p. 25; 127 III 519 consid. 2a p. 522). Le seul angle sous lequel le recourant pourrait attaquer ce raisonnement est celui de l'arbitraire (ATF 138 III 374 consid. 4.3.1 et 4.3.2 p. 376 s.; arrêt 5A_388/2018 du 3 avril 2019 consid. 4.1), moyen qu'il n'évoque pas. Les critiques qu'il formule en sont fort éloignées. Là aussi, le grief doit être écarté.

4.

Il est constant que le recourant a travaillé pour l'intimée au bénéfice d'un contrat de travail de durée indéterminée et qu'il a été licencié avec effet immédiat le 9 octobre 2015 pour justes motifs.

4.1. L'art. 337 CO autorise l'employeur comme le travailleur à résilier immédiatement le contrat en tout temps pour de justes motifs (al. 1). Sont notamment considérés comme de justes motifs toutes les circonstances qui, selon les règles de la bonne foi, ne permettent pas d'exiger de celui qui a donné le congé la continuation des rapports de travail (al. 2).
Selon la jurisprudence, la résiliation immédiate pour justes motifs est une mesure exceptionnelle qui doit être admise de manière restrictive (ATF 137 III 303 consid. 2.1.1 p. 304). Seul un manquement particulièrement grave peut justifier une telle mesure (ATF 142 III 579 consid. 4.2). Par manquement, on entend généralement la violation d'une obligation découlant du contrat de travail, mais d'autres incidents peuvent aussi justifier une telle mesure (ATF 137 III 303 consid. 2.1.1; 130 III 28 consid. 4.1; 129 III 380 consid. 2.2). Le manquement doit être objectivement propre à détruire le rapport de confiance essentiel au contrat de travail ou, du moins, à l'atteindre si profondément que la continuation des rapports de travail ne peut raisonnablement pas être exigée; de surcroît, il doit avoir effectivement abouti à un tel résultat (ATF 142 III 579 consid. 4.2 et les arrêts cités). Le juge apprécie librement s'il existe de justes motifs (art. 337 al. 3 CO). A cette fin, il prend en considération tous les éléments du cas particulier, notamment la position du travailleur, la nature et la durée des rapports contractuels, la nature et l'importance des manque ments (ATF 130 III 28 consid. 4.1 p. 32; 127 III 351 consid. 4a p. 354).
Déterminer le motif du congé est une question de fait (ATF 136 III 513 consid. 2.3 p. 515 et les arrêts cités). Savoir si la résiliation repose sur de justes motifs au sens de l'art. 337 CO relève du droit (arrêt 4A_419/2015 du 19 février 2016 consid. 2.1.1).
S'il existe un juste motif, la résiliation avec effet immédiat doit être donnée sans tarder sous peine de déchéance. Si elle tarde à agir, la partie concernée donne à penser qu'elle a renoncé à la résiliation immédiate, respectivement qu'elle peut s'accommoder de la continuation des rapports de travail jusqu'à l'échéance ordinaire du contrat (ATF 138 I 113 consid. 6.3.1; 130 III 28 consid. 4.4 p. 34; 123 III 86 consid. 2a p. 87). Les circonstances du cas concret déterminent le laps de temps dans lequel on peut raisonnablement attendre de la partie qu'elle prenne la décision de résilier le contrat immédiatement. De manière générale, la jurisprudence considère qu'un délai de réflexion de deux à trois jours ouvrables est suffisant pour réfléchir et prendre des renseignements juridiques, étant précisé que les week-ends et les jours fériés ne sont pas pris en considération (ATF 138 I 113 consid. 6.3.2 p. 116). Un délai supplémentaire est toléré s'il se justifie par les exigences pratiques de la vie quotidienne et économique; on peut ainsi admettre une prolongation de quelques jours lorsque la décision doit être prise par un organe polycéphale au sein d'une personne morale, ou lorsqu'il faut entendre le représentant de l'employé (ATF 138 I 113 consid. 6.3.2 p. 116; 130 III 28 consid. 4.4 p. 34; consid. 4.1 non publié de l'ATF 143 III 290 et les références). Il faut par ailleurs distinguer selon que l'état de fait est clair ou qu'il appelle des éclaircissements, respectivement selon que des manquements viennent lentement au jour (ATF 138 I 113 consid. 6.3.3 et les références). S'il s'agit de déterminer l'ampleur des manquements, le délai de réflexion ne court pas avant que cela ait été fait. Si le reproche est d'emblée clair et qu'il s'agit uniquement d'en vérifier le bien-fondé, l'employeur - ou l'employé - peut déjà songer pendant cette phase à ce qu'il entreprendra s'il est avéré. On peut donc exiger de lui qu'il résilie le contrat de manière immédiate sitôt que l'état de fait est établi, sans qu'il lui soit encore concédé un délai de réflexion (cf. arrêts 4C.188/2006 du 25 septembre 2006 consid. 2, 4C.345/2001 du 16 mai 2002 consid. 3.2 et 4C.187/2004 du 5 juillet 2004 consid. 4.1). Si les violations sont multiples ou durables, le délai ne commence pas à courir tant que leur cumul ou, si gradation il y a, l'une d'entre elles n'a pas atteint la gravité objective nécessaire pour être qualifiée de juste motif (cf. ATF 97 II 142 consid. 3c p. 149).

4.2. Les griefs du recourant soulèvent quatre questions. La première est de savoir si la cour cantonale a constaté de manière arbitraire la raison pour laquelle l'employeuse a congédié l'employé avec effet immédiat. La seconde consiste à déterminer si ce motif est avéré. La troisième concerne le point de savoir si ce motif était de nature à justifier une résiliation immédiate du contrat de travail. La dernière vise à déceler si la résiliation est intervenue tardivement.

4.2.1. Selon l'arrêt attaqué, le motif du licenciement réside dans le téléchargement, par l'employé, sur un support externe privé d'un volume très important de données confidentielles (dont faisaient d'ailleurs également partie les données sensibles), sans autorisation préalable et sans justification professionnelle valable, en violation des directives internes de la société.
Le recourant reproche à la cour cantonale d'avoir versé dans l'arbitraire. Selon lui, le motif du licenciement n'était pas clair au départ et aurait évolué jusqu'au 6 octobre 2016, date du mémoire de réponse amendé dans lequel il aurait enfin été clarifié. Et surtout, ce ne serait pas ce motif qui aurait déterminé le licenciement immédiat, mais bien l'e-mail du 7 octobre 2015 et l'accusation de vol de données proférée à cette occasion.
La lettre de licenciement mentionne, selon l'arrêt attaqué qui lie le Tribunal fédéral sur ce point, que l'employeuse résilie le contrat avec effet immédiat en raison de l'activité récente de téléchargement de l'employé, laquelle constitue une sérieuse violation de plusieurs directives de la société. Dans le mémoire invoqué par le recourant, l'intimée fait état d'un motif résolument identique. La cour cantonale a estimé que c'était bien cette raison qui avait mû l'employeuse, et non une éventuelle incompatibilité d'humeur entre l'employé et les dénommés I.________ et J.________, notamment à cause de problèmes liés au recrutement, à la gestion du personnel, aux salaires de ses subordonnés, ainsi qu'à l'existence de discriminations à l'égard d'employés détachés, que l'employé aurait prétendument mis en exergue dans le cadre d'une présentation remontant au 11 août 2014. Cette constatation de fait ne souffre d'aucun arbitraire.

4.2.2. Autre est la question de savoir si les faits invoqués par l'employeuse pour motiver sa décision sont avérés.
La cour cantonale a retenu, sans que le recourant n'y voie aucun arbitraire, qu'il y avait bien eu téléchargement par l'employé d'un volume très important de données confidentielles. Elle a considéré que ce téléchargement était intervenu en violation de la directive du 20 mai 2015 de la société, laquelle prohibait tant les "téléchargements massifs de données" que les "téléchargements de données sensibles", à moins que des conditions spécifiques ne soient réalisées. Les juges genevois ont retenu que les données confidentielles téléchargées par le recourant contenaient également des données sensibles au sens de la directive précitée et que le volume de données en cause - à savoir 85 GB de données professionnelles représentant 54'800 fichiers - entrait indubitablement dans la notion de "téléchargement massif", et cela même si diverses versions de certains fichiers avaient été comptabilisées.
Dans son recours, l'employé fustige l'usage dans les directives de l'intimée de ces deux notions, dont le sens serait obscur. En pure perte. Elles peuvent certes se traduire par des incertitudes dans certains cas d'espèce, mais pas dans celui du recourant, comme la cour cantonale l'a relevé à juste titre. 54'800 fichiers représentent sans nul doute un téléchargement massif. Certes, l'autorité cantonale n'a pas tenu compte des versions successives (ou doublons) de certains fichiers, mais le recourant ne tente pas davantage de les distinguer, ce qui est lourd de sens. Quant au fait que certaines des données aient été sensibles, en plus d'être confidentielles, telle est la conclusion qui ressort du rapport final d'audit mené par la société. En tout état de cause, le recourant méconnaît que la directive en cause prohibe deux situations alternatives bien distinctes, lorsqu'il affirme benoitement être autorisé à télécharger autant de données confidentielles que souhaité, du moment qu'elles n'étaient pas sensibles de surcroît. Quant à savoir si l'employé E.________ a, lui aussi, procé dé à un téléchargement massif de données professionnelles, il s'agit là d'une circonstance qui ne saurait rien changer à ce qui précède.
En ce qui concerne les motifs justificatifs énoncés dans la directive querellée, le recourant reconnaît qu'il n'avait pas demandé à son supé rieur hiérarchique l'autorisation de procéder au téléchargement en cause. Il estime toutefois avoir été affranchi de cette obligation, puisque l'intéressé lui avait "donné carte blanche pour préparer sa présentation comme il l'entendait". La cour cantonale n'y a pas vu le blanc-seing dépeint par le recourant et cette appréciation se révèle exempte d'arbitraire.
La directive susmentionnée requiert au surplus une autorisation accordée " pour des raisons professionnelles particulières". L'employé justifie ses actes de cette manière, exposant dans son recours qu'il procédait à une compilation des données de la société rétroactivement et prospectivement sur cinq ans "afin de trouver des issues" pour celle-ci "comme l'avait demandé Monsieur K.________ lors de son élocution (sic) aux employés". Certes, les explications du recourant portent beau. Cela étant, elles arrivent comme marée en carême. En effet, elles ne correspondent pas à celles qu'il avait données à l'occasion du premier entretien avec l'employeuse, le 1 er octobre 2015, lors duquel il a orienté ses réponses sur les données contenues dans le disque M (disque sur lequel les employés étaient autorisés à stocker des données personnelles), sans jamais mentionner qu'il avait également téléchargé des fichiers depuis le disque R qui ne contenait que des données professionnelles. Toute l'explication tenait alors, à l'en croire, dans la préservation de ses photos personnelles. Il est assez marquant de constater que, à la question de savoir si l'information téléchargée comportait uniquement des données personnelles, il a répondu par la négative, indiquant qu'il avait pris l'entier du disque M qui incluait des fichiers très anciens, mais que la plus grande partie concernait des photos; il trouvait en effet plus facile de tout télécharger et d'effacer ensuite ce dont il n'avait plus besoin. Il paraît en effet incompréhensible qu'il ait pu oublier qu'il avait téléchargé également 54'800 fichiers professionnels, ce qui était tout sauf insignifiant; il n'avance d'ailleurs rien de tel. Certes, lorsque - durant la seconde entrevue du 6 octobre 2015 - il a été confronté à la liste détaillée de ses téléchargements et a reconnu avoir copié des fichiers professionnels en plus des données personnelles qu'il avait mentionnées précédemment, il s'en est justifié de la manière suivante: il avait travaillé récemment (au cours des trois, quatre derniers mois) sur une rétrospective sur cinq ans des performances de production au... et sur la situation qui prévaudrait aujourd'hui s'ils ne faisaient rien, ce que cela impliquait pour la société et quelles étaient les options s'ils se projetaient sur les cinq prochaines années et au-delà. Il n'a toutefois pas levé le mystère nimbant le but qu'il poursuivait, puisqu'on ne distingue en rien les raisons qui le poussaient à stocker ces données d'une envergure considérable sur un support externe. Les explications qu'il a livrées lors de cet entretien demeurent obscures. A l'entendre en effet, " le dossier de présentation (comprenait) tous les documents dont (il) avai (t) besoin pour (s) on analyse et (s) es présentations. Ces dossiers pren (aient) beaucoup de place sur le disque et par le passé (il avait) parfois travaillé depuis la maison en prenant des fichiers individuels et (il) réalisai (t) alors qu'il (lui) manquait un fichier pour compléter (s) a présentation. (Il) n'avai (t) pas l'intention de quitter l'entreprise avec le disque dans cet état. Comme (il) l' (avait) dit, (il) l' (aurait) nettoyé avant. (Il) avai (t) l'intention de prendre deux semaines de vacances, ce qu' (il) n'a (vait) jamais fait de sorte qu' (il) n'a (vait) jamais pris le disque." C'est finalement lors de son audition en première instance qu'il a dévoilé ce qui s'apparente à un scénario fort peu convaincant. La cour cantonale ne s'y est pas trompée. Le recourant a en effet affirmé, non sans aplomb: " qu'au vu de l'urgence, il avait voulu prendre une, voire deux semaines de vacances afin de travailler sur la présentation. Il avait alors téléchargé le répertoire « présentation » qui se trouvait sur le disque R. Il n'avait finalement pas pris de vacances, car il avait travaillé depuis son bureau, de sorte que son disque externe personnel n'était jamais sorti des locaux. Il préférait garder ses vacances et travailler tard le soir au bureau. Il voulait prendre des vacances pour pouvoir s'atteler à cette présentation en étant isolé. Il n'avait cependant pas encore demandé à C.________ de pouvoir prendre des vacances (...). "
Le recourant proteste de sa bonne foi, en soulignant qu'il a lui-même rétrocédé à l'intimée le support litigieux, lequel était demeuré cloîtré dans son bureau, à l'issue de la seconde audition. Ce geste n'offre toutefois aucune garantie, comme la cour cantonale l'a relevé, ce qu'il est advenu du support en question entre le moment de sa création et celui de sa restitution n'étant pas traçable.

4.2.3. Le recourant soutient dans un pénultième grief que le motif invoqué par l'employeuse n'était pas de nature à fonder un licenciement avec effet immédiat. D'après lui, il eût fallu un téléchargement de données sensibles, et non simplement de données confidentielles. Il soutient également avoir toujours été un excellent employé, doté d'un sens éthique très élevé.
La cour cantonale a considéré que l'employé avait violé de manière grave ses obligations professionnelles, compte tenu de son expérience et de sa position au sein de l'entreprise, de sorte que l'intimée pouvait se prévaloir de justes motifs pour résilier le contrat de travail avec effet immédiat. Indépendamment de la directive déjà évoquée, le simple fait, pour une personne occupant une position élevée au sein d'une entreprise, de télécharger sur un support externe privé une grande quantité de données confidentielles pouvant potentiellement porter préjudice à l'entreprise si elles parvenaient en mains de tiers, sans justification professionnelle réelle, dans le contexte d'une annonce de restructuration de la société ayant donné lieu à des rumeurs, avérées, de licenciements, était déjà suffisamment grave pour détruire le rapport de confiance entre l'employeur et cet employé. En outre, abstraction faite du volume exact des fichiers professionnels confidentiels téléchargés et de la présence de données sensibles parmi lesdits fichiers, l'employé perdait de vue le fait que, dans sa position, son comportement au cours des entrevues des 1 eret 6 octobre 2015 avait eu pour effet de rompre de manière irrémédiable le rapport de confiance avec son employeur, au regard des réponses partielles, incohérentes, peu crédibles et contradictoires qu'il avait données.
En faisant fond sur ce qui distinguerait les données confidentielles des données sensibles, le recourant fait l'impasse sur les imprécisions et contradictions qui ont émaillé les explications qu'il a fournies à l'intimée. Pour paraphraser la cour cantonale, cette dernière était en droit d'attendre du recourant, qui occupait une position hiérarchiquement élevée, qu'il fasse d'emblée toute la lumière sur un télécharge ment hautement problématique par son ampleur et par le contexte particulier de restructuration dans lequel il s'était inscrit. C'est tout le contraire qui s'est produit: le recourant a donné l'impression de se jouer de l'intimée, en l'aiguillant initialement sur les photos stockées dans le dossier M, d'avoir attendu d'être confronté à l'évidence pour reconnaître le téléchargement du dossier "présentation" figurant sur le disque partagé R et d'avoir échoué à livrer d'emblée une explication plausible quant aux motifs qui l'avaient animé, ce qui posait question. Que l'employé se targue d'être doté d'un sens éthique élevé ne le prémunissait pas de commettre des erreurs d'appréciation lourdes de conséquences. Il n'y a pas à en disconvenir. L'employé a brisé le rapport de confiance qui le liait à l'employeuse à un point tel que l'on ne pouvait plus attendre de celle-ci qu'elle maintînt les relations de travail.

4.2.4. En dernier lieu, le recourant est d'avis que, à supposer le motif de licenciement fondé, celui-ci aurait été invoqué tardivement. A compter de l'annonce du CEO du 31 août 2015, l'employeuse aurait dû surveiller de manière rapprochée ses employés. Le 6 septembre 2015, le recourant aurait subi un échec en tentant un téléchargement et aurait appelé le Help Desk pour en déterminer les raisons, ce qui aurait dû alerter la société. Alors qu'une surveillance systématique des travailleurs avait été installée à la mi-septembre, il aurait été interrogé le 1 er octobre seulement et licencié le 9 octobre 2015. Près d'un mois se serait donc écoulé entre le moment du téléchargement et le licenciement avec effet immédiat "alors que l'intimée avait la capacité technique de remarquer le téléchargement, qu'elle dit avoir eu des craintes depuis fin août 2015 déjà et que de nombreux autres employés ont eu des activités de téléchargement suspectes".
La cour cantonale a relevé qu'aucun élément du dossier ne permettait de retenir que l'intimée aurait eu connaissance des téléchargements effectués par l'employé avant le 29 ou le 30 septembre 2015. Faute d'activité suspecte avant un incident survenu au début du mois de septembre 2015, il ne pouvait être reproché à l'intimée d'avoir manqué de diligence en omettant de mettre en place plus rapidement une surveillance systématique et renforcée de ses travailleurs. Les 17 ou 18 septembre 2015, l'intimée avait installé un système quotidien d'alerte permettant de détecter tout téléchargement de plus de 1 GB par jour et par utilisateur. Ce système d'alerte avait permis, le 25 septembre 2015, de détecter une activité suspecte d'un employé dans les jours précédents. Cette découverte avait incité la société à mener une enquête de manière rétroactive sur les activités de télé chargement ayant eu lieu depuis le début du mois de septembre. C'était dans ces circonstances que l'activité du recourant avait été décelée. L'employé avait été entendu le lendemain du courriel du 30 septembre 2015 comportant le résultat des investigations de L.________, soit le jeudi 1 er octobre 2015, puis suspendu le même jour. L'intimée avait ensuite poursuivi les investigations relatives aux données téléchargées par l'employé et vérifié ses déclarations durant les deux jours ouvrables suivants, avant de le réentendre, le mardi 6 octobre 2015. Le lendemain de cette seconde audition, les membres du comité exécutif s'étaient concertés sur le sort à réserver aux rapports de travail de l'employé. Ils avaient résolu de le licencier. L'employé avait alors été convoqué à un entretien le 9 octobre 2015, lors duquel la décision de mettre un terme à son contrat avec effet immédiat lui avait été signifiée. Huit jours ouvrables s'étaient donc écoulés entre la découverte du téléchargement litigieux et le licenciement, ce qui apparaissait raisonnable pour mener une enquête ayant fait intervenir de nombreux services internes à l'entreprise, examiner ses résultats, prendre une décision à laquelle les membres d'un comité exécutif devaient être associés et la communiquer aux ressources humaines en vue de sa signification à la personne concernée. L'employeur avait agi avec la célérité requise.
Cette argumentation est imparable. Si le recourant considère que l'intimée aurait dû déceler les téléchargements litigieux plus tôt, c'est au travers d'une relecture rétrospective des événements qui ne convainc guère. A juste titre n'affirme-t-il pas que le laps de temps qui s'est écoulé entre la découverte effective des téléchargements dont il s'est fait l'auteur et le congé était excessif, compte tenu de la nécessité de l'entendre, de vérifier ses déclarations, de saisir le comité exécutif pour qu'il décide du sort des relations de travail et de le communiquer à l'employé.
Le grief de violation de l'art. 337 CO se révèle ainsi mal fondé.

5.

Sur le vu de ce qui précède, le recours doit être rejeté dans la mesure où il est recevable.
Le recourant prendra à sa charge les frais judiciaires - qui ne seront pas fixés selon le tarif réduit (art. 66 al. 1 LTF) - et versera des dépens à l'intimée (art. 68 al. 1 et 2 LTF).

Par ces motifs, le Tribunal fédéral prononce :

1.

Le recours est rejeté dans la mesure où il est recevable.

2.

Les frais judiciaires, arrêtés à 16'000 fr., sont mis à la charge du recourant.

3.

Le recourant versera à l'intimée une indemnité de 18'000 fr. à titre de dépens.

4.

Le présent arrêt est communiqué aux mandataires des parties et à la Chambre des prud'hommes de la Cour de justice du canton de Genève.

Lausanne, le 15 mai 2020

Au nom de la Ire Cour de droit civil
du Tribunal fédéral suisse

La Présidente : Kiss

La Greffière : Godat Zimmermann