Le règlement général sur la protection des données a principalement été appréhendé comme un texte imposant des obligations organisationnelles aux employeurs : information des salariés, mise à jour des registres de traitement, sécurisation des données. Cette approche administrative tend à évoluer.
Par Me Victor Althuser, avocat au Barreau de Grenoble.
Le règlement général sur la protection des données (RGPD) est désormais devenu un véritable outil juridique susceptible d’être mobilisé dans le cadre des contentieux prud’homaux.
Depuis un arrêt rendu par la chambre sociale de la Cour de cassation le 18 juin 2025 (n° 23-19.022), une nouvelle problématique se dessine pour les employeurs : les salariés, y compris après la rupture de leur contrat de travail, peuvent solliciter la communication des données personnelles les concernant et notamment de leurs échanges électroniques professionnels. Concrètement, un salarié licencié peut désormais demander à son ancien employeur la communication de l’ensemble de ses courriels professionnels dans lesquels il apparaît, qu’il soit expéditeur, destinataire ou simplement mentionné.
L’enjeu pratique est majeur pour les entreprises. Une telle demande peut représenter une charge importante en matière d’identification, d’extraction et de traitement des données. Elle implique souvent l’intervention des services informatiques et soulève également des difficultés liées à la confidentialité des informations contenues dans ces échanges. Les données ainsi obtenues peuvent être utilisées par le salarié dans le cadre d’une procédure prud’homale afin d’étayer une demande relative à l’exécution ou à la rupture de son contrat de travail.
La consécration jurisprudentielle des principes issus du droit de l’Union européenne
Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, communément dénommé RGPD, constitue aujourd’hui le texte de référence en matière de protection des données personnelles. Ses dispositions ont vocation à s’appliquer à l’ensemble des traitements de données à caractère personnel, y compris dans le cadre des relations de travail.
L’exécution du contrat de travail implique nécessairement la collecte et le traitement d’un grand nombre d’informations relatives au salarié : identité, coordonnées, rémunération, évaluations professionnelles, données administratives mais également données issues des outils numériques mis à disposition par l’entreprise. À ce titre, l’employeur agit en qualité de responsable de traitement et doit garantir au salarié l’exercice des droits prévus par le RGPD.
L’article 4 du règlement définit les données à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Cette définition particulièrement large englobe toutes les informations permettant d’identifier directement ou indirectement une personne physique. Ainsi, une adresse électronique professionnelle, un échange de mails, un historique de connexion ou encore une information contenue dans une correspondance professionnelle peuvent constituer des données personnelles dès lors qu’ils permettent d’identifier le salarié concerné. Le RGPD définit également la notion de traitement comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel ». Cette définition recouvre donc l’ensemble du cycle de vie des données : collecte, conservation, consultation, transmission et suppression.
Dans ce cadre, l’article 15 du RGPD consacre le droit d’accès de toute personne concernée aux données personnelles détenues par le responsable du traitement. Ce droit permet au salarié d’obtenir confirmation que ses données sont effectivement traitées et, lorsque tel est le cas, d’obtenir leur communication.
C’est sur ce fondement que la chambre sociale de la Cour de cassation est venue préciser, dans son arrêt du 18 juin 2025, la portée de ce droit dans les relations de travail. La Haute juridiction a considéré que les courriels émis ou reçus par un salarié au moyen de sa messagerie électronique professionnelle constituent des données à caractère personnel au sens de l’article 4 du RGPD.
Cette qualification entraîne une conséquence importante : l’employeur doit, en principe, permettre au salarié d’accéder à ces informations. La communication peut ainsi porter sur les métadonnées des messages (date, heure, expéditeur, destinataires) ; le contenu des courriels ; plus largement, les éléments permettant d’identifier le salarié dans les échanges conservés.
Cette solution confirme que la rupture du contrat de travail ne met pas fin aux droits du salarié sur ses données personnelles. Pour autant, cette obligation ne signifie pas que l’entreprise doit automatiquement transmettre l’intégralité d’une boîte mail professionnelle.
Employeurs : les bons réflexes face aux demandes d’accès des salariés
Si le droit d’accès reconnu au salarié est largement consacré, il n’est toutefois pas absolu. L’article 15, paragraphe 4, précise notamment que le droit d’obtenir une copie des données ne doit pas porter atteinte aux droits et libertés d’autrui. Cela signifie qu’une demande d’accès doit faire l’objet d’un examen concret et individualisé par l’employeur.
L’entreprise peut ainsi limiter la communication lorsque les documents sollicités contiennent notamment des données personnelles concernant d’autres salariés ; des informations confidentielles relatives à l’activité de l’entreprise ; des éléments relevant du secret des affaires ; des informations stratégiques ou commerciales ; des échanges couverts par une obligation de confidentialité.
La difficulté réside dans la conciliation entre le droit d’accès du salarié et la protection des droits des tiers : il ne s’agit pas de priver le salarié de son droit d’accès, mais d’éviter que l’exercice de ce droit ne conduise à une divulgation excessive d’informations étrangères à sa situation personnelle. De la même manière, l’entreprise n’a pas l’obligation de communiquer des données qu’elle ne conserve plus. La politique de conservation des données devient ainsi un enjeu majeur. Une politique d’archivage claire, respectant les durées de conservation nécessaires, permet de limiter le volume des données susceptibles d’être communiquées.
Une réponse motivée : la première défense de l’employeur
Face à une demande d’accès formulée par un salarié ou un ancien salarié, l’employeur ne doit pas répondre par une transmission automatique des informations sollicitées. L’employeur doit déterminer précisément le périmètre de la demande et identifier les éventuelles limites applicables. Son obligation principale consiste à apporter une réponse motivée dans le mois suivant la réception de la demande (article 12 du RGPD). Cette réponse doit préciser les données qui peuvent être communiquées ; les données dont la communication est limitée ; les motifs juridiques justifiant une restriction éventuelle.
Ainsi, un refus total sera difficilement défendable s’il n’est pas précisément justifié. En revanche, un refus ou une communication partielle accompagnée d’explications circonstanciées et motivées peut parfaitement être admis.
À retenir
L’arrêt rendu par la Cour de cassation le 18 juin 2025 ne crée pas un droit nouveau : le droit d’accès aux données personnelles existe depuis l’entrée en vigueur du RGPD. Toutefois, cette décision confirme que ce droit peut désormais devenir un véritable instrument au service de la stratégie contentieuse des salariés. Pour les employeurs, l’enjeu n’est donc plus seulement de respecter une obligation réglementaire, mais d’anticiper l’utilisation potentielle de leurs propres données dans un litige prud’homal.
