Comment s’exerce, pour le salarié, son droit d’accès à ses données personnelles ? 

Il nous faut débuter notre développement par un bref rappel de l’exercice de ce droit, pour un salarié, d’accéder à ses données personnelles. 

Ainsi, le Règlement général sur la protection des données (ci-après décidé le RGPD) permet à tout individu de recevoir la confirmation, par le responsable du traitement, que ses propres données, à caractère personnel, sont effectivement traitées ou pas. Et, dans l’affirmative, celui-ci doit avoir accès auxdites données (cf. article 15, paragraphe 1er, du RGPD). En ce sens, le responsable susmentionné doit lui communiquer la copie des données faisant l’objet d’un traitement, excepté le cas où ceci porterait atteinte aux droits et libertés d’autrui, au sens des dispositions de l’article 15, paragraphes 2 et 3 du RGPD). 

Ce droit s’applique en vérité à différents domaines, et notamment à celui de la relation contractuelle de travail. Ici, le salarié est en mesure de demander à l’employeur la communication de son dossier professionnelle, même lorsque celui-ci quitte l’entreprise. 

Dans quelle mesure les mails envoyés et reçus par un salarié entrent-ils dans le champ d’application de ce droit ? Il ne s’agit pas ici d’une question inédite en ce que la Cnil avait déjà considéré, dès 2022, que ces emails constituent de telles données, lorsque l’identification de la personne qui les a envoyés et reçus est permise. 

 

Quels sont les faits de l’espèce ? 

Dans notre cas d’espèce ici jugé et rapporté par la Chambre sociale de la Cour de cassation, en date du 18 juin 2025 (cf. n-23-19.022), il s’agissait du licenciement d’un salarié qui avait fait l’objet d’un licenciement disciplinaire suite à des propos et agissements de nature sexiste vis-à-vis de certaines de ses collaboratrices. 

Il ressort des faits de l’espèce que le salarié évincé avait fait la demande à son employeur de lui communiquer l’intégralité des mails qu’il a reçus et envoyés à l’occasion lorsque son contrat de travail était alors exécuté. L’employeur lui avait remis des documents de diverses nature mais n’avait pas fait droit à cette demande spécifique concernant les mails professionnels émis et reçus de lors de l’exécution de la relation de travail. 

Celui-ci a justifié cette non communication des mails en cause en considérant tout d’abord que cette catégorie d’e-mails échappaient au champ d’application du RGPD et de l’obligation découlant de son article 15. Qu’en outre il a considéré lui avoir communiqué suffisamment de données et qu’il revenait aux juges de contrôler si de telles données avaient été effectivement communiquées. 


Quelle a été la solution de la Chambre sociale de la Cour de cassation ? 

En l’espèce, la Cour de cassation s’oppose aux considérations de l’employeur qui rejetait cette catégorie de courriels du champ d’application du RGPD. Selon elle, donc, ces courriels constituent de telles données au sens de l’article 4 du Règlement. En effet ces courriels comportent indubitablement des éléments qui permettent l’identification de l’individu ne serait-ce que par son adresse électronique, outre ses nom et prénom. Cette catégorie de messagerie, qui est professionnelle, n’empêche aucunement l’application dudit Règlement. 

Par ailleurs, il est rappelé là portée de ce droit. La Cour, ici, évoque le droit pour le salarié d’accéder à toutes les données qui l’intéressent que ce soit le contenu de ces données que les métadonnées concernées. Il est cependant possible qu’une telle communication porte atteinte aux droits et libertés d’autrui : il ne saurait donc pas s’agir d’une obligation absolue qui doit être respectée sans limite par l’employeur. Ce dernier est donc autorisé à refuser la communication des données en invoquant, par exemple, le respect du secret des affaires. 

Enfin, concernant l’exercice de ce droit, la Chambre sociale de la Cour de cassation dans notre cas d’espèce a décidé de suivre ce qu’avait décidé la Cnil précédemment. Ce doit intéresse donc les données personnelles que les e-mails contiennent en effet ainsi que les métadonnées susmentionnées, mais ce droit ne saurait porter sur les documents concernés eux-mêmes. Ceci signifie, en d’autres termes, qu’il ne pèse aucune obligation sur l’employeur quant à la communication d’une copie complète, exhaustive des courriels du salarié. 

Il est par exemple possible pour l’employeur de s’acquitter de son obligation par la communication d’un tableau au sein duquel sont effectivement retrouvées les données personnelles extraites des courriels, et les métadonnées correspondantes. 

 

Quelles sont finalement les obligations qui pèsent sur l’employeur en pareille hypothèse ? 

La décision ici commentée de la Chambre sociale de la Cour de cassation intervient à l’effet d’approuver la règle selon laquelle il n’est pas possible pour un employeur de ne pas accéder à une telle demande, de la part d’un salarié. Ceci signifie qu’ils doivent instaurer des procédures spéciales afin de répondre à de telles demandes pour respecter le délai fixé par le RGPD, à savoir : un délai d’un mois (au sens de son article 12, paragraphe 3). 

Par ailleurs, il reviendra à l’employeur d’arbitrer les droits en présence et qui sont parfois antagonistes, concurrents. Ainsi, au gré des demandes qui lui seront formulées, l’employeur doit dorénavant mettre en balance ce droit de communication par rapport à une possible atteinte portée, par exemple, au secret des affaires. Il devra, pour ce faire, analyser, examiner attentivement le contenu des courriels demandés par le salarié. 

Si l’employeur ne satisfait pas cette demande, qu’il refuse de manière infondée de communiquer lesdits courriels, au salarié qui en fait la demande, celui-ci s’expose au versement de dommages et intérêts à son égard. C’est d’ailleurs ce que les juges du second degré avaient décidé en l’espèce, comme le souligne la Cour de cassation.

 

Références

https://www.courdecassation.fr/decision/6852514ea7fdae5a8046f32f

https://www.august-debouzy.com/fr/blog/2209-droit-dacces-aux-courriels-la-position-de-la-cour-de-cassation-ne-change-pas-la-donne

https://www.economie.gouv.fr/entreprises/reglement-general-protection-donnees-rgpd#:~:text=Le%20règlement%20général%20de%20protection,application%20le%2025%20mai%202018.