Par une décision en date du 18 juin 2025, la Cour de cassation a apporté d’importantes précisions concernant l’application du règlement (UE)

2016/679, dit RGPD, dans le cadre de l’exécution du contrat de travail.

L’étendue de l’accès aux données personnelles

Dans cette affaire, un salarié a fait l’objet d’un licenciement pour faute. Il a alors demandé à son employeur de lui remettre son dossier personnel dont des courriels émis ou reçu par lui dans le cadre de l’exécution de son contrat de travail. Ne lui ayant remis que les documents contractuels, à l’exclusion notamment de ses mails professionnels, le salarié a estimé que cela portait atteinte à son droit d’accès aux données personnelles.

En effet, l’article 4 du RGPD définit les données à caractère personnel comme :

« Toute information se rapportant à une personne physique identifiée ou identifiable (…) ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification (…); »

L’article 15 précise quant à lui que : « la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ».

Le salarié a donc, dans le cadre de la procédure de contestation de son licenciement, demandé la condamnation de son employeur au versement de dommages-intérêts à ce titre.

Se pose alors la question de savoir si les mails professionnels peuvent être considérés comme des données à caractère personnel au sens du RGPD ?

La Cour de cassation répond par l’affirmative et confirme la condamnation de l’employeur au versement de dommages-intérêts à hauteur de (seulement) 500 €.

Elle considère qu’il résulte de la combinaison des articles 4 et 15 du RGPD que :

• Les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel
• Le salarié a donc le droit d’y accéder, même après avoir quitté l’entreprise, l’employeur devant lui fournir tant les métadonnées (horodatage, destinataires) que leur contenu

Un droit d’accès néanmoins encadré

La Cour de cassation prend soin de préciser que cet accès ne doit pas porter atteinte aux droits et libertés d’autrui. Elle précise ainsi que le salarié à le droit d’accéder à ses mails professionnels « sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui ».

Dans un guide publié en janvier 2022, la CNIL donne quelques précisions et indique par exemple que, si l’employeur estime que l’accès ou la communication de courriels, pourtant connus du demandeur, peut représenter un risque pour les droits des tiers (par exemple du fait de la nature des données susceptibles d’être communiquées), il devra, pour pouvoir faire droit à la demande :

• Essayer de supprimer, anonymiser ou pseudonymiser les données concernant les tiers ou portant atteinte à un secret ;
• Et ce n’est que si ces mesures s’avèrent insuffisantes, qu’il pourra refuser d’y faire droit, en motivant et justifiant sa décision auprès de la personne concernée.

En conclusion, cette décision clarifie l’interprétation du RGPD en entreprise en affirmant que les courriels professionnels relèvent des données personnelles. Une telle décision va donc permettre aux salariés, qui ne seraient plus présent dans l’entreprise, d’obtenir des éléments de preuve dans le cadre d’un contentieux. (Cass. Soc. 18 juin 2025)