Par une décision en date du 18 juin 2025, la Cour de cassation a apporté d’importantes précisions concernant l’application du règlement (UE) 2016/679, dit « règlement général sur la protection des données » (RGPD), et le droit d’accès des salariés à leurs données personnelles.
L’étendue de l’accès aux données personnelles
Dans cette affaire, un salarié a fait l’objet d’un licenciement pour faute grave après mise à pied conservatoire. Il a par suite demandé à son employeur de lui remettre son dossier personnel dont des courriels émis ou reçus par lui dans le cadre de l’exécution de son contrat de travail. Ne lui ayant remis que les documents contractuels, à l’exclusion notamment de ses mails professionnels, le salarié a estimé que cela portait atteinte à son droit d’accès aux données personnelles.
En effet, l’article 4 du RGPD définit les données à caractère personnel comme :
« Toute information se rapportant à une personne physique identifiée ou identifiable (…) ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification (…); »
L’article 15 précise quant à lui que : « la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ».
Le salarié a donc, dans le cadre de la procédure de contestation de son licenciement, demandé la condamnation de son employeur au versement de dommages-intérêts pour non-respect du droit d’accès aux données personnelles.
Se posait alors la question de savoir si les mails professionnels peuvent être considérés comme des données à caractère personnel au sens du RGPD ?
La Cour de cassation répond par l’affirmative et confirme la condamnation de l’employeur au versement de dommages-intérêts à hauteur de (seulement) 500 €.
Elle considère qu’il résulte de la combinaison des articles 4 et 15 du RGPD que :
- Les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel
- Le salarié a donc le droit d’y accéder, même après avoir quitté l’entreprise, l’employeur devant lui fournir tant les métadonnées (horodatage, destinataires) que leur contenu
Un droit d’accès néanmoins encadré
La Cour de cassation prend soin de préciser que le salarié a le droit d’accéder à ses mails professionnels « sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui ». Dès lors, l’employeur peut faire obstacle à cette communication s’il est en mesure de justifier d’une atteinte disproportionnée aux droits et libertés d’autrui.
Dans un guide publié en janvier 2022, la CNIL donne quelques précisions sur ce point et indique par exemple que, si l’employeur estime que l’accès ou la communication de courriels, pourtant connus du demandeur, peut représenter un risque pour les droits des tiers (au regard du secret des affaires, du respect du droit à la vie privée, du secret des correspondances, etc.), il lui appartient :
- dans un premier temps, d’essayer de supprimer, anonymiser ou pseudonymiser les données concernant les tiers ou portant atteinte à un secret pour pouvoir faire droit à la demande ;
- Et ce n’est que si ces mesures s’avèrent insuffisantes, qu’il pourra refuser d’y faire droit, en motivant et justifiant sa décision auprès du salarié concerné.
En conclusion, cette décision clarifie l’interprétation du RGPD en affirmant que les courriels professionnels relèvent des données personnelles du salarié. Une telle décision va donc permettre aux salariés, qui ne seraient plus présents dans l’entreprise et/ou qui auraient fait l’objet d’une mesure d’éloignement et de privation d’accès aux outils professionnels pendant le déroulement de la procédure disciplinaire, d’obtenir des éléments de preuve nécessaires à la préparation d’un éventuel contentieux.
Cass. soc., 18 juin 2025, n° 23-19022
