Pratique désormais courante, certains salariés sollicitent, au moment de leur départ de l’entreprise et bien souvent lorsqu’un contentieux est latent, la communication de leurs données personnelles, et notamment la copie de tous les courriers électroniques émis ou reçus par eux au cours de la relation de travail ou pendant une période déterminée.
L’affaire commentée (Cass. soc. 18 juin 2025, n°23-19.022)
C’est la demande qui avait été formulée par un salarié auprès de l’employeur après la notification de son licenciement.
La Direction s’était contentée de lui transmettre ses documents contractuels (de fin de contrat, bulletins de paie, prévoyance, documents relatifs à une place de parking, une voiture, documents contractuels, avis d’arrêt de travail, suivi individuel de santé, R.I.B, documents relatifs au licenciement) sans lien avec la demande initiale, se dispensant de lui communiquer les courriers électroniques demandés et surtout de lui fournir une explication.
Considérant cette abstention fautive et causant un préjudice audit salarié, la Cour d’appel de Paris a condamné l’employeur au paiement de dommages-et-intérêts pour non-respect du droit d’accès aux données personnelles prévu par le règlement européen 2026/679 du 27 avril 2016 plus connu sous l’acronyme RGPD « Règlement Général relatif à la Protection des Données ».
Si sa condamnation restait symbolique financièrement (500 €), l’employeur a néanmoins formé un pourvoi en cassation.
Ce dernier considérait en effet que les courriers électroniques professionnels ne constituaient pas des données à caractère personnel et que le droit d’accès garanti par le Règlement Général relatif à la Protection des Données (RGPD) ne visait que les données contenues dans les documents et non les documents eux-mêmes.
La solution
* Le principe
Dans l’arrêt rendu le 18 juin 2025 (n°23-19.022)[1], la chambre sociale de la Cour de cassation a jugé que les courriers émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle étaient des données à caractère personnel au sens du RGPD, le salarié disposant du droit d’accéder à ces courriels et l’employeur se devant de les lui fournir, sauf à s’exposer au paiement de dommages-et-intérêts en réparation du préjudice subi.
Pour poser ce principe, la Cour s’est fondée sur l’article 4 du RGPD, lequel définit la notion de « données à caractère personnel » et y inclut désormais les courriers émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle.
Pour rappel, constitue une donnée à caractère personnel « toute information relative à une personne physique identifiée ou identifiable ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres » (art 4§1 RGPD).
Il est à noter que dans la décision commentée, ne sont visés que les courriers électroniques émis ou reçus par le salarié et non ceux dans lesquels le salarié est simplement cité, autre demande classiquement formulée par les salariés notamment dans le cadre de discussions précontentieuses.
Par ailleurs dans l’arrêt du 18 juin 2025, la chambre sociale a apporté des précisions quant à la méthodologie à adopter par l’employeur, ce dernier devant s’astreindre à fournir au salarié tant les métadonnées (horodatage, destinataires…) que leur contenu.
Ainsi, il est désormais impossible de se contenter de communiquer une simple liste contenant la date d’envoi, l’expéditeur et le destinataire des courriels ; il convient de communiquer le contenu des courriers électroniques :
- soit sous forme de données puisque le droit d’accès correspondant porte sur des données personnelles – un tableau contenant les métadonnées et les données personnelles peut être une solution,
- soit les documents bruts (la copie des courriers électroniques).
La communication de la copie des courriers électroniques apparaît plus aisée.
* La limite
Une seule limite a été fixée par la Cour de cassation dans l’arrêt du 18 juin 2025 précité (n°23-19.022).
L’employeur peut s’opposer à la communication demandée si les éléments concernés sont « de nature à porter atteinte aux droits et libertés d’autrui ».
L’exercice du droit d’accès ne doit pas porter atteinte aux droits des tiers, l’exercice de ce droit ne pouvant en effet se faire au détriment d’autres personnes dont les données sont traitées.
Cependant, le périmètre correspondant à cette limite n’a pas été précisé aux termes de cet arrêt. Une clarification par la chambre sociale est évidemment souhaitée par les praticiens.
En attendant, il parait opportun de se référer à la position de la CNIL provenant d’une note du 5 janvier 2022, celle-ci incluant dans les droits des tiers faisant obstacle à la communication de certaines données personnelles : le respect du droit à la vie privée, le secret des affaires et le secret des correspondances (CNIL 5 janvier 2022, « Le droit d’accès des salariés à leurs données et aux courriels professionnels »).
La mise en pratique sera inévitablement source de contentieux.
Quoi qu’il en soit, il appartient à l’employeur d’apprécier l’atteinte éventuelle aux droits des tiers que représenterait une communication des courriers électroniques émis et reçus par le salarié, avant d’y procéder.
Lorsque le salarié est supposé avoir eu connaissance des informations contenues dans les courriels sollicités, l’anonymisation des données relatives aux tiers constitue une bonne pratique.
Mais lorsque la communication de courriers électroniques connus du salarié est susceptible de représenter un risque pour les droits des tiers en raison de la nature des données, il appartient à l’employeur d’essayer de supprimer, anonymiser les données concernant des tiers et / ou portant atteinte à un secret. Si ces mesures sont insuffisantes, il appartient à l’employeur de refuser de faire droit à la demande d’accès, tout en s’expliquant auprès du salarié concerné.
Cette limite ne doit pas conduire l’employeur à refuser de communiquer les éléments demandés de manière générale et systématique. Cela contraint au contraire le responsable de traitement à procéder à un tri entre les messages qui peuvent être communiqués et ceux qui ne le peuvent pas.
Afin de permettre la conciliation entre les difficultés pratiques rencontrées et le respect du droit d’accès, la CNIL recommande de procéder de la façon suivante lorsque le travail de tri s’avère important :
- l’employeur peut communiquer au salarié un tableau récapitulatif comprenant la liste des messages conservés dont ce dernier est expéditeur, destinataire, et éventuellement la liste des messages où son nom apparaît si cela lui est demandé ;
- l’employeur indique à l’intéressé que l’extraction complémentaire de ses données personnelles de l’ensemble de ces documents représente une charge importante et peut l’inviter à préciser sa demande afin d’en accélérer le traitement ;
- en fonction de la réponse du salarié, l’employeur communique les données contenues dans les courriers électroniques selon la nouvelle grille de lecture de la chambre sociale.
Ce travail doit être effectué dans le délai d’un mois à compter de la réception de la demande du salarié.
On rappelle que ce délai peut néanmoins être prolongé d’un mois pour les demandes complexes et / ou nombreuses, mais à condition d’en informer la personne concernée dans le délai d’un mois suivant la réception de la demande.
Dans l’affaire précitée, l’employeur avait ignoré la demande du salarié sur ce point ; il a été condamné à l’indemniser.
Il convient d’ailleurs de souligner cette décision est intervenue quelques mois après un autre arrêt rendu par la chambre sociale de la Cour de cassation, lequel a abordé la question des adresses IP, qui permettent d’identifier indirectement une personne physique et qui sont définies comme des données à caractère personnel (Cass. soc., 9 avril 2025, n° 23-13.159).
***
Le Département Social du cabinet Péchenard & Associés répond à toutes vos questions sur le droit de la preuve et les modalités d’accès aux messageries électroniques professionnelles ; il se tient à votre disposition pour échanger sur ces problématiques, tant au titre de son activité de conseil que dans le cadre de contentieux en cours ou à venir.
Pour toute information, contactez Julie De Oliveira (deoliveira@pechenard.com)
[1] Cet arrêt aborde également la question de la valeur probante d’une enquête interne produite par l’employeur