L'arrêt à ne pas manquer | Droit d’accès aux données personnelles prévu par le RGPD
Faits et termes du litige
Un employeur licencie un salarié pour faute grave à la suite d’une enquête interne diligentée à la suite de plaintes relatives à des faits constitutifs de harcèlement moral et sexuel. Afin d'obtenir la communication d’une copie des courriels qu’il avait envoyés et reçus grâce à sa messagerie électronique professionnelle, courriels qu'il jugeait nécessaires pour défendre ses droits, le salarié forme, auprès de son employeur, une demande de droit d’accès à ses données à caractère personnel, droit prévu par le RGPD. L’employeur lui communique divers documents (bulletins de paie, documents de fin de contrat, avis d’arrêt de travail, etc.). Il ne lui communique cependant pas les courriels et ne donne aucune justification sur ce point. Le salarié saisit alors le Conseil de prud’hommes. Il demande notamment des dommages-intérêts pour non-respect de son droit d’accès aux données à caractère personnel.
Apport de l’arrêt
La Cour d’appel fait droit à cette demande après avoir relevé que le salarié avait demandé la communication de ses courriels professionnels et juge que cette abstention de l’employeur est fautive et cause un préjudice au salarié.
Par un arrêt du 18 juin 2025, la Cour de cassation confirme cette décision. La chambre sociale juge, d’une part que les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens du RGPD, d'autre part que le salarié a le droit d'accéder à ces courriels, l'employeur devant lui fournir tant les métadonnées (horodatage, destinataires ) que leur contenu, à moins que les éléments dont la communication est demandée soient de nature à porter atteinte aux droits et libertés d'autrui. Elle confirme donc que la Cour d’appel a pu en déduire que cette abstention était fautive et justifiait l’octroi de dommages-intérêts.
Portée pratique
Ainsi, l’employeur refusant de communiquer les courriels professionnels du salarié sollicités par ce dernier dans le cadre d’une demande de droit d’accès, s'expose aux prud’hommes à être condamné à lui régler des dommages-intérêts lié au non-respect du droit d'accès, nonobstant son éventuelle condamnation à verser d’autres sommes relatives à la conclusion, l’exécution et la rupture du contrat de travail.
On notera toutefois trois limites sur la portée de cette décision. Tout d’abord, l’arrêt ne concerne que les courriels envoyés ou reçus grâce à la messagerie électronique professionnelle du salarié demandeur ; l’arrêt n’envisage pas la communication d’autres courriels contenant ses données à caractère personnel, échangés par des salariés de l’entreprise grâce à leur propre messagerie électronique professionnelle. En outre, l’attendu de principe exclut expressément la communication d’éléments de nature à porter atteinte aux droits et libertés d'autrui, comme le prévoit le RGPD. Cela signifie que l’employeur doit déterminer, courriel par courriel, si les éléments contenus dans ces courriels sont susceptibles ou non de porter atteinte aux droits et libertés des tiers (autres salariés, clients, prestataires, etc.). Enfin, dans cette espèce, le salarié avait précisément indiqué, dans sa demande de droit d’accès, qu’il voulait la communication de ses courriels professionnels. Cette décision de la chambre sociale aurait-elle été identique si le salarié ne l’avait pas précisé expressément ?
Cass. soc., 18 juin 2025, n°23-19022