L'arrêt à ne pas manquer | Enquête interne et RGPD : le Conseil d’État renforce les droits des salariés
Publié le :
27/01/2026
27
janvier
janv.
01
2026
RGPD : quels sont les droits des salariés impliqués dans une enquête interne ouverte par leur employeur à la suite de signalements les concernant ou dont ils sont les auteurs ? Le Conseil d’Etat répond à cette question dans un arrêt rendu le 1er décembre 2025.
CE., 1er décembre 2025, n°498023
Droit d’opposition au traitement des données personnelles par l’employeur dans le cadre d’une enquête interne
En application de l’article 21 du RGPD, la personne concernée par un traitement de ses données à caractère personnel « a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant ». Ce droit d’opposition est ouvert dès lors que le traitement de données est fondé sur (i) la nécessité d’exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement (article 6, 1, e)) ou (ii) les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers (article 6,1, f)). L’exercice de ce droit fait alors obstacle au traitement des données concernées, à moins que le responsable de traitement ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.Dans l’affaire ayant donné lieu à l’arrêt du Conseil d’Etat du 1er décembre 2025, la Société avait, à la suite de différents signalements, diligenté une enquête interne impliquant 3 salariés ; ces derniers avaient alors fait valoir leur droit d’opposition au traitement de leurs données à caractère personnel, sur le fondement de l’article 21 précité. La Société avait refusé de faire droit à cette demande en considérant qu’elle était tenue de diligenter une enquête afin de protéger la santé et la sécurité des salariés, et que, par conséquent, le traitement de données à caractère personnel était « nécessaire au respect d'une obligation légale », au sens de l’article 6, 1, c) du RGPD. Elle en déduisait que le salarié ne bénéficiait pas, sur ce fondement, du droit de s’opposer au traitement de ses données à caractère personnel.
A tort selon la CNIL qui estime que si le traitement des données à caractère personnel litigieux était « nécessaire aux fins des intérêts légitimes poursuivis » par la Société (article 6, 1, f)) il n’était pas « nécessaire au respect d'une obligation légale » (article 6, 1, c)) ; la Société ne pouvait donc pas exclure tout droit d’opposition des salariés.
Le Conseil d’Etat valide la position de la CNIL en retenant que le traitement des données à caractère personnel éventuellement mis en œuvre dans le cadre d’une enquête interne diligentée par l’employeur « ne saurait être regardé comme constituant une obligation légale au sens du c) de l’article 6 du RGPD ». La Société aurait donc dû examiner la demande d’opposition formée par les salariés et motiver son refus éventuel.
Enquête interne et droit d’accès aux données personnelles
Aux termes de l’article 15 du RGPD, la personne concernée par un traitement de ses données à caractère personnel dispose également d’un droit d’accès auxdites données.En l’espèce, les salariés impliqués dans l’enquête reprochaient à leur employeur de ne pas avoir répondu à leur demande d’accès aux données à caractère personnel ayant fait l’objet d’un traitement dans le cadre de cette enquête. Confirmant la position de la CNIL, le Conseil d’Etat pose comme principe que « la circonstance que des données personnelles relatives à un salarié fassent l’objet d’un traitement par son employeur dans le cadre d’une enquête interne ne fait pas obstacle, par principe, à l’exercice de son droit d’accès à ces données par le salarié à moins que l’employeur démontre le caractère manifestement infondé ou excessif de la demande ou que les modalités d’exercice de ce droit porte[raie]nt atteinte aux droits et libertés d’autrui ». La Société, qui ne pouvait ici se prévaloir du caractère manifestement excessif ou infondé de la demande formulée par les salariés, aurait dû y faire droit, en procédant, si nécessaire, à l’occultation des informations susceptibles de porter atteinte aux droits et libertés d’autrui.