[Questions à...] Droit d’accès du salarié à ses emails - Questions à Clémence Colin, Avocate associée, cabinet JP Karsenty & Associés

Mots-clés : RGPD • droit d’accès aux emails • licenciement • enquête interne • forfait-jours

Dans un arrêt du 18 juin 2025, la Chambre sociale de la Cour de cassation s’est prononcée pour la première fois sur les contours du droit d’accès d’un salarié à ses courriels professionnels, sur le fondement du règlement RGPD. Elle rappelle également qu’en cas de licenciement d’un salarié en raison de la commission de faits de harcèlement sexuel ou moral ou d’agissements sexistes ou à connotation sexuelle, les juges du fond doivent apprécier la valeur probante d’une enquête interne produite par l’employeur, au regard, le cas échéant, des autres éléments de preuve versés aux débats par les parties.

Pour faire le point sur les précisions apportées par cet arrêt, Lexbase Social a interrogé Clémence Colin, Avocate associée au sein du cabinet JP Karsenty & Associés.

Lexbase Social : Pouvez-vous nous rappeler les faits dans cette affaire ?

Clémence Colin : Dans cette affaire, un salarié avait été engagé en CDI en 2001 en qualité de directeur du développement. Il occupait en dernier lieu les fonctions de directeur associé, catégorie cadre, et bénéficiait d’une convention de forfait-jours, sur la base d’un accord collectif d’entreprise.

Il lui était reproché d'être l'auteur de comportements déplacés, de nature sexiste ou à connotation sexuelle, dont des salariées s’étaient plaintes. Une enquête avait été menée conjointement par la direction des ressources humaines et le comité d’hygiène, de sécurité et des conditions de travail (CHSCT). Le salarié a été convoqué par lettre du 13 mars 2018 à un entretien préalable, fixé au 22 mars 2018, avec mise à pied conservatoire, puis licencié pour faute le 30 mars 2018, avec dispense d’exécution du préavis. Il avait donc une ancienneté de 17 années complètes.

Dans la lettre de licenciement, l’employeur s’est fondé sur le rapport d’enquête interne, mettant en évidence différents comptes-rendus de salariés. Cependant, seuls 5 comptes-rendus étaient produits sur 14 entretiens, dont certains étaient partiellement tronqués. La société ne produisait pas non plus de courriels de refus permettant de prouver que les auteurs avaient refusé que leurs comptes-rendus soient produits pour conserver l’anonymat, et n’expliquait pas en quoi elle n’aurait pu anonymiser ces éléments. Des témoins critiquaient en outre le déroulé de l’enquête.

Le salarié a saisi le conseil des prud’hommes pour contester son licenciement ainsi que la convention de forfait-jours encadrant sa durée du travail. Il convient de relever que, depuis quelques années, la remise en cause des conventions de forfait-jours tend à se généraliser, alors même que ces litiges trouvent leur origine principale dans la contestation du licenciement.

Lexbase Social : Quelle a été la position adoptée par les juges du fond ?

Clémence Colin : Par un jugement rendu le 12 novembre 2019, le conseil de prud'hommes de Paris a jugé le licenciement fondé sur une cause réelle et sérieuse. Les juges ont considéré que le salarié n'avait produit aucun élément de nature à remettre en cause la matérialité des faits qui lui étaient reprochés.

S’agissant de la convention de forfait-jours, les juges du fond se sont accordés à la juger inopposable et une condamnation a été prononcée au titre des heures supplémentaires, bien que limitée, car le salarié n’apportait aucun élément concernant deux des trois années couvertes par sa demande.

Le salarié a interjeté appel et formulé un certain nombre de demandes auprès de la cour d’appel.

Au total, le salarié sollicitait 400 000 euros, comprenant notamment 123 000 euros au titre de l’indemnité pour licenciement sans cause réelle et sérieuse, correspondant à 14 mois de salaire, et 159 000 euros au titre de l’invalidité du forfait-jours. Il faisait également valoir que la société n’avait pas respecté « le droit d’accès à ses données personnelles », réclamant à ce titre 10 000 euros de dommages et intérêts. Cette prétention revêt donc financièrement un caractère accessoire dans le litige.

L'arrêt rendu par la cour d'appel de Paris le 25 mai 2023 (CA Paris, 6-5, 25 mai 2023, n° 22/04484 N° Lexbase : A14589ZZ) a infirmé le jugement du conseil de prud’hommes, sauf en ce qu’il a débouté le salarié de ses demandes d’heures supplémentaires pour les années 2015 et 2016, de repos compensateur et de dommages et intérêts pour manquement à l’obligation de sécurité, la convention de forfait-jours ayant été jugée nulle. La cour d’appel a jugé le licenciement sans cause réelle et sérieuse et a condamné la société à payer au salarié à ce titre 90 000 euros, correspondant à 10 mois de salaire. La cour a également condamné la société au paiement de diverses sommes, et notamment à 500 euros à titre de dommages et intérêts pour non-respect du droit d’accès aux données personnelles.

Lexbase Social : Quels sont les différents volets abordés par la cour d’appel ?

L’arrêt de la cour d’appel aborde de nombreux aspects, touchant à des problématiques particulièrement actuelles du droit du travail.

Prescription. La cour rappelle que le point de départ de la prescription de 2 mois pour sanctionner un fait fautif court à compter de la connaissance exacte par l’employeur de la réalité, de la nature et de l’ampleur des faits reprochés au salarié. Ce point de départ peut ainsi être reporté à l’issue d’une enquête interne. Elle rappelle également que, dans ce cadre, « l’employeur » s’entend non seulement du titulaire du pouvoir disciplinaire, mais également du supérieur hiérarchique du salarié, même non titulaire de ce pouvoir.

Preuve. La cour rappelle ensuite que la preuve est libre en matière prud'homale, et que si l’employeur doit fonder le licenciement sur des faits précis, objectifs imputables au salarié, et matériellement vérifiables, l’administration de la preuve du caractère réel et sérieux des motifs du licenciement n’incombe pas spécialement à l’une ou l’autre des parties. Étant précisé que si un doute subsiste, il profite au salarié. En l’occurrence, il semble que la cour aurait admis des témoignages anonymisés, c’est-à-dire rendus anonymes a posteriori pour protéger leurs auteurs, mais dont l'identité est connue de l'employeur, dont la Cour de cassation a entretemps admis la recevabilité (Cass. soc., 19 mars 2025, n° 23-19.154 N° Lexbase : A04510BC).

La cour d'appel, après une analyse approfondie des nombreuses pièces produites de part et d’autre, a jugé que l'enquête interne ne présentait pas un caractère probant suffisant. Il en résultait un doute, doute qui profite toujours au salarié et qui a conduit la cour d’appel à juger le licenciement sans cause réelle et sérieuse.

Cet arrêt s’inscrit dans le prolongement de la jurisprudence de la Cour de cassation relative à la valeur probante des enquêtes internes en matière de harcèlement, jurisprudence qui se précise progressivement au fil des affaires jugées.

Les signalements de faits de harcèlement se sont fortement accrus ces dernières années, pour diverses raisons, conduisant les employeurs à vérifier la matérialité des faits dénoncés afin de prendre les mesures appropriées. La mise en œuvre d’enquêtes internes s’est largement répandue, jusqu'à ce que l'on constate qu’elles peuvent être difficiles et lourdes à mettre en œuvre. D’autant plus qu’il ne suffit pas d’avoir diligenté une enquête interne pour que l'employeur soit exonéré de sa responsabilité : encore faut-il que celle-ci soit probante. La Cour de cassation a toutefois précisé en juin 2024 (Cass. soc., 12 juin 2024, n° 23-13.975, FS-B N° Lexbase : A48605HH) que l'enquête interne n'est pas obligatoire. En matière de harcèlement, l'employeur doit en effet prendre les mesures de nature à préserver la santé et la sécurité des salariés, ce qui ne signifie pas nécessairement mettre en œuvre une enquête interne, même si celle-ci constitue un moyen efficace de vérifier la matérialité des faits dénoncés, si elle est bien menée.

En l’espèce, l'enquête avait conclu à la matérialité des faits de harcèlement dénoncés, mais sa valeur probante a finalement été remise en cause. Par ailleurs, les termes employés dans les conclusions de l'enquête et dans la lettre de licenciement, repris par la cour d’appel, concernant des agissements qui « nuisent » et « détériorent profondément » l’ambiance de travail, créant un climat d'angoisse et de danger pour les personnes qui en sont victimes ou témoins, peuvent faire penser au « harcèlement moral d'ambiance », dont les contours ont été définis récemment par la jurisprudence.

Barème Macron. S’agissant des conséquences indemnitaires du licenciement jugé sans cause réelle et sérieuse, la cour a appliqué le barème dit « Macron », pour fixer le montant des dommages et intérêts, en prenant soin de motiver le montant alloué en fonction du préjudice constaté.

Rupture vexatoire. S’est posée la question du caractère brutal et vexatoire de la rupture, qui avait été assortie d’une mise à pied conservatoire du salarié lors de la convocation à entretien préalable, dans l’attente de la décision à intervenir. La cour a considéré que le caractère indispensable d’une telle mise à l’écart n’était pas établi et que le salarié en avait subi un préjudice tenant à l’atteinte portée à sa réputation professionnelle.

Forfait-jours. La cour d'appel a procédé à un rappel exhaustif des conditions de validité du forfait-jours ainsi que des sanctions applicables. Elle a analysé la validité de l'accord collectif d'entreprise instituant le forfait-jours au sein de la société, pour en déduire qu’il ne prévoyait pas de suivi effectif et régulier de la charge de travail permettant à l'employeur de remédier en temps utile à une charge de travail éventuellement incompatible avec une durée raisonnable de travail. La cour a relevé qu’en outre, la société ne justifiait pas avoir régularisé les insuffisances de l’accord depuis la loi du 8 août 2016, et qu’elle ne produisait aucun document de nature à établir un suivi effectif et régulier de la charge de travail. En conséquence, la cour a prononcé la nullité du forfait jour, et non l'inopposabilité comme l'avait retenu le conseil de prud'hommes.

Rappelons, en effet, que la convention de forfait-jours est nulle en cas d’absence ou d’insuffisance de l'accord collectif pour garantir le droit au repos et à la santé du salarié. En revanche, lorsque c’est l'employeur qui se montre défaillant dans l’application des clauses de l’accord destinées à assurer la protection et la santé du salarié, la convention de forfait-jours est privée d'effet et donc inopposable au salarié. Cela signifie que les effets de la convention sont suspendus tant que les irrégularités subsistent, tandis qu’en cas de nullité, elle est réputée n'avoir jamais existé. Les conséquences pratiques demeurent toutefois identiques dans les deux cas, à savoir un rappel des heures supplémentaires accomplies au-delà de la durée légale de 35 heures hebdomadaires, dans la limite de la période non prescrite.

L’enjeu de la preuve en matière d’heures supplémentaires est primordial : le salarié doit établir avoir travaillé au-delà de 35 heures hebdomadaires sur la période non prescrite (ce qui représente 3 années), tandis qu’il appartient à l’employeur de fournir au juge les éléments de nature à justifier les horaires effectivement réalisés. Ce principe de partage de la charge de la preuve en matière d’heures supplémentaires a été rappelé récemment par la Cour de cassation (Cass. soc., 9 juillet 2025, n° 24-16.397, F-D N° Lexbase : B8756AW9). Dans les dossiers contentieux, les demandes afférentes aux heures supplémentaires sont très souvent bien plus élevées que celles liées à la rupture du contrat de travail et s’appuient sur des dossiers très volumineux, pouvant comprendre plus d’une centaine de pièces essentiellement constituées de courriels, rarement organisés ou numérotés.

Ce contentieux exige un travail d'analyse critique et de contrôle de cohérence minutieux des pièces versées (plannings, courriels, comptes-rendus, tableau récapitulatif dans la majeure partie des cas établi pour les besoins de la cause, etc.), afin de contester les demandes et essayer de reconstituer les horaires réellement accomplis, difficulté d’autant plus grande que le régime du forfait-jours suppose, par principe, l’absence de contrôle des horaires par l’employeur. Si l’employeur se trouve ainsi placé dans une situation probatoire plus difficile, elle n’en est pas pour autant impossible comme l’a rappelé la Cour de cassation, celui-ci pouvant soumettre au débat contradictoire tout élément de droit, de fait et de preuve, quant à l'existence ou au nombre d'heures de travail accomplies (Cass. soc., 7 février 2024, n° 22-15.842, FS-B N° Lexbase : A66172KB).

En l'espèce, le salarié soutenait que son employeur avait coupé son accès à sa messagerie électronique dès la mise à pied conservatoire, de sorte qu’il n'était pas en mesure de produire des courriels pour les années 2015, 2016 et 2018. Il demandait donc de prendre la seule année 2017 comme base de calcul pour les 3 années visées par sa demande.

La cour d'appel a rejeté cette argumentation, estimant qu’il n’était pas établi que l’employeur avait effectivement coupé l’accès du salarié à sa messagerie professionnelle, relevant, à juste titre, que le salarié avait pu produire des courriels pour l'année 2017. En conséquence, la condamnation a été limitée aux heures supplémentaires accomplies au titre de la seule année 2017. Il est à relever que la cour a procédé à une analyse approfondie des pièces produites, analysant notamment le contenu des courriels afin de déterminer s’ils traduisaient un réel travail. À l’argument, classique, de l’employeur, selon lequel aucune demande d’heures supplémentaires n’avait jamais été faite, la cour a répondu que la société ne pouvait en ignorer l’existence et y avait, implicitement, mais nécessairement consenti, dès lors que plusieurs courriels étaient pour partie adressés aux supérieurs hiérarchiques du salarié. On peut toutefois s’interroger sur la pertinence d’un tel argument, dès lors que le salarié en forfait-jours doit disposer précisément d’une grande autonomie dans l’organisation de ses journées de travail. Cette situation souligne néanmoins l’importance pour les employeurs de sensibiliser les responsables hiérarchiques au suivi effectif et régulier de la charge de travail des salariés qu’ils encadrent.

RGPD. Le volet relatif au droit d’accès aux données personnelles est relativement nouveau.

En l’espèce, le salarié avait sollicité la communication de son dossier personnel auprès de l'employeur, qui lui avait transmis, de manière cohérente, divers documents contractuels (de fin de contrat, bulletins de paie, prévoyance, documents relatifs à une place de parking, au véhicule de fonction, documents contractuels, avis d'arrêt de travail, suivi individuel de santé, RIB, documents relatifs au licenciement). Classiquement, le dossier personnel du salarié renvoie aux éléments contractuels et à son éventuel dossier disciplinaire.

Les seuls documents non communiqués, demandés par le salarié, étaient les simulations de son départ en 2017 ainsi que les courriels échangés au cours de l'exécution du contrat.

Le salarié a invoqué une violation de son droit d'accès à ses données personnelles, soutenant avoir subi un préjudice du fait de cette atteinte, dont il demandait la réparation à hauteur de 10 000 €.

Il convient de relever que cette demande du salarié, datée du 28 janvier 2019, intervenait postérieurement à la rupture du contrat de travail survenue en mars 2018, ainsi qu’à la saisine du conseil de prud'hommes le 30 août 2018. Elle a donc été formulée en cours de procédure, vraisemblablement dans le but de compléter le dossier contentieux du salarié, à l’appui en particulier de sa demande d’heures supplémentaires.

La cour d'appel a jugé, sur le fondement de l’article 15 du Règlement (UE) Général sur la Protection des Données (RGPD), que la société n’avait pas justifié avoir communiqué les courriels concernant le salarié, dont la réalité n’était pas discutée, ni leurs métadonnées ou leur contenu, et n'invoquait aucun motif pour expliquer cette abstention, telle qu’une impossibilité matérielle. Selon la Cour, « cette abstention est fautive et a causé à M. [H] qui a été privé d'un accès à des données personnelles dont il aurait pu faire usage un préjudice dont la cour estime qu'il est suffisamment réparé par l'octroi d'une somme de 500 euros ». Cela signifie, a contrario, que la solution aurait pu être différente si la société avait invoqué une impossibilité matérielle.

Lexbase Social : En quoi la solution relative au droit d’accès d’un salarié à ses emails est-elle nouvelle ?

L'arrêt de la Cour de cassation du 18 juin 2025, rendu à la suite du pourvoi formé par l’employeur, a suscité de nombreuses réactions et certaines inquiétudes.

Publié au bulletin des arrêts de la Cour de cassation et rendu en formation de section, cela révèle que pour la Cour, la réponse à apporter à la question juridique posée ne présente ni complexité particulière ni forte sensibilité, mais elle ne se dessine pas de façon évidente.

La Cour de cassation a rejeté le pourvoi, et seuls deux moyens ont fait l’objet d’une motivation.

Sur le premier moyen relatif au licenciement, la Cour a rappelé que l'appréciation de la valeur et de la portée des éléments de preuve produits par les parties relève souverainement de la cour d’appel, notamment en ce qui concerne le rapport d'enquête interne au regard des autres éléments de preuve produits. Elle en a déduit que les griefs invoqués par l’employeur n'étaient pas établis par des éléments suffisamment probants et que, par conséquent, le doute devait profiter au salarié. La Cour de cassation a considéré que la société, qui justifiait ne pas avoir communiqué l'ensemble des comptes-rendus d'entretien afin de préserver la santé et la sécurité des salariés souhaitant conserver l'anonymat, n’expliquait pas en quoi ces éléments n'auraient pu être anonymisés. Il ne pouvait donc être exclu que ces comptes-rendus soient absents des pièces produites en raison de leur caractère favorable au salarié ou parce-qu’ils infirmaient précisément tout ou partie des faits imputés à ce dernier, les conclusions de l’enquête n’étant pas à même de suppléer cette absence de production.

Le non-respect du droit d'accès aux données personnelles, sur le fondement de l'article 15 du RGPD, bien qu’il ne constitue que le quatrième moyen de cassation soulevé par le salarié, est paradoxalement celui qui a suscité le plus de réactions.

La société soutenait principalement que :

• ne peuvent pas constituer une donnée à caractère personnel les courriels émis ou reçus par un salarié dans l'exercice de ses fonctions, s’agissant de courriels à caractère professionnel ;
• le droit d'accès aux données personnelles consacré par l’article 15 du RGPD n'emporte pas un droit d'accès aux documents contenant ces données personnelles.

La Cour de cassation rappelle que, selon l'article 4 du RGPD, on entend par « donnée à caractère personnel » toute information se rapportant à une personne physique identifiée ou identifiable. Est réputée personne physique identifiable, une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique psychique, économique, culturelle ou sociale (RGPD, art. 4).

La Cour rappelle ensuite qu’en application du « droit d'accès de la personne concernée » selon le RGPD, la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel. La Cour précise également que le responsable du traitement doit fournir une copie des données à caractère personnel faisant l’objet d’un traitement, sous réserve que le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui.

Pourtant, selon l’article 15 du RGPD, doivent être fournies des informations relatives à la finalité du traitement, aux catégories de données à caractère personnel concernées, aux destinataires ou catégories de destinataires auxquelles les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales, et, quand c'est possible, à la durée de conservation des données à caractère personnel envisagée ou à défaut aux critères pour déterminer cette durée. Appliqué aux courriels, le droit d’accès ne concerne donc en principe pas le contenu, sauf si celui-ci constitue lui-même une donnée à caractère personnel, auquel cas il doit répondre aux critères définis à l’article 4 du RGPD. Or rien n’est moins certain.

La Cour de cassation va plus loin, en ce que les principes dégagés par l’arrêt sont :

• premièrement, que les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l'article 4 du RGPD ; et
• deuxièmement, que le salarié a le droit d’accéder à ces courriels, l'employeur devant lui fournir tant les métadonnées (horodatage, destinataire) que leur contenu, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d'autrui.

La cour d'appel a souverainement apprécié le montant du préjudice subi par le salarié à ce titre, limité à 500 € de dommages et intérêts, ce qui relativise considérablement la portée de la décision.

Le droit consacré du salarié à obtenir une copie de ses courriels professionnels en tant que donnée personnelle, sur le fondement du RGPD, et de leur contenu, apparaît pour le moins surprenant : jusque-là le droit d’accès ne portait que sur les données personnelles du salarié contenues dans les courriels ou documents, et non pas sur l’accès aux documents eux-mêmes.

Lexbase Social : Quels sont les effets de cette décision en pratique ?

Clémence Colin : S’agissant de la valeur probante du rapport d'enquête interne diligentée par l'employeur à la suite de la dénonciation de faits de harcèlement, des témoignages anonymes et anonymisés, et de la portée d'une attestation non corroborée par d’autres éléments, cette décision vient confirmer les règles déjà établies en la matière.

Cela confirme la nécessité d’évaluer en amont les mesures à mettre en œuvre face à une dénonciation de faits de harcèlement et, le cas échéant, les modalités de l’enquête interne. Il est en effet possible de se trouver confrontés à des faits avérés, mais à une preuve insuffisamment probante devant les juridictions. L’arrêt contribue ainsi à préciser les contours de la jurisprudence en matière de preuve, offrant aux conseils d’entreprise des repères pour sécuriser la conduite des enquêtes internes, de sorte qu'elles puissent, le cas échéant, constituer un fondement solide pour un licenciement lorsque les faits le justifient.

S’agissant du droit d’accès du salarié aux données personnelles, la Cour de cassation considère que les courriels émis ou reçus par les salariés via la messagerie électronique professionnelle constituent des données à caractère personnel. Le salarié peut dès lors accéder non seulement aux métadonnées, mais également au contenu de ces courriels.

Cette solution soulève cependant de nombreuses difficultés et enjeux en pratique. Permet-elle de réclamer la copie de l'intégralité des courriels reçus et envoyés par le salarié au cours de sa carrière ? L’enjeu est de taille dans le cadre notamment de contestations relatives aux conventions de forfait-jours ou de la preuve d’heures supplémentaires, d’autant plus si le salarié a une grande ancienneté.

L’arrêt du 18 juin est à rapprocher de l'arrêt du 3 octobre 2024 (Cass. civ. 2, 3 octobre 2024, n° 21-20.979, FS-B+R N° Lexbase : A936457X), rendu en matière de discrimination syndicale. Dans cette affaire, la Cour de cassation avait jugé que les dispositions du RGPD ne pouvaient pas faire échec à la communication des documents demandés par un salarié, dès lors que le traitement des données communiquées aux salariés à des fins probatoires respecte toutes les conditions de licéité prévues par le RGPD. Elle avait également précisé qu'il faut veiller au respect de l’exigence de proportionnalité et du principe de minimisation des données à caractère personnel.

Du point de vue du droit des données personnelles, ce n'est pas parce qu’un courriel contient des éléments à caractère personnel, ou des éléments permettant l'identification du salarié (limités, sauf preuve contraire à ses nom, prénom, adresse courriel), que le contenu du courriel constitue une donnée personnelle.

Pour que le droit d’accès s’applique au sens du RGPD, il faut en outre caractériser un traitement de données personnelles, et non se limiter à constater l’existence de données à caractère personnel.

Cela soulève également la question de la propriété des courriels : il est établi que des courriels professionnels peuvent contenir des données à caractère personnel et, de ce fait, entrer dans le champ d’application du RGPD. Néanmoins, il s’agit de courriels envoyés via la messagerie professionnelle, qui par principe revêtent un caractère professionnel à moins d’être identifiés comme personnels.

Se pose par ailleurs la question de la finalité du droit d'accès aux données personnelles, au sens du RGPD : le salarié peut-il avoir accès et utiliser ces données (courriels, métadonnées) comme éléments de preuve, par exemple dans un litige lié à la charge de travail ?

L’Avocate générale avait d’ailleurs pris soin de préciser que l’article 15 du RGPD n’a pas de vocation probatoire : le droit d’accès porte sur des données personnelles et non sur des documents dont le salarié a nécessairement eu connaissance dans le cadre de son activité. Autrement dit, le droit d'information prévu par le RGPD n'a pas vocation à pallier la carence du salarié dans la preuve.

De façon pragmatique, l’Avocate générale avait à juste titre souligné le risque qu’un salarié peu scrupuleux puisse tirer profit d’un tel droit en obtenant la copie de l’ensemble de sa correspondance commerciale ou technique échangée dans le cadre de son activité au sein de l’entreprise.

La Cour de cassation n’a cependant pas suivi l’avis de l’Avocate générale qui concluait à la cassation partielle de l’arrêt sur ce moyen.

Il ne faut pas oublier la raison d’être du droit d’accès, prévue dans le considérant 63 du RGPD : « la personne concernée devrait avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet […] afin de prendre connaissance du traitement et d’en vérifier la licéité […] », rappelée par la jurisprudence européenne.

En outre, en matière de droit des données personnelles, la CNIL a notamment souligné, dans une fiche du 5 janvier 2022 mise à jour le 31 janvier 2025, que le droit d’accès porte uniquement sur des données personnelles et non sur des documents, et que les droits des tiers (secret des affaires, propriété intellectuelle, droit à la vie privée, secret des correspondances, etc.) peuvent restreindre l'éventail des données accessibles ou communicables. Si la communication d’une copie des courriels peut apparaître comme la solution la plus aisée pour satisfaire la demande, la CNIL précise que cette solution ne saurait être obligatoire et que l’envoi d’un tableau contenant les métadonnées et les données personnelles contenues dans les différents courriels est également une solution.

Il est évident que certaines données contenues dans des courriels professionnels peuvent faire obstacle à la communication de certaines informations au demandeur. La Cour de cassation a d’ailleurs rappelé la limite tenant à la protection des droits et libertés d’autrui.

Le droit d’accès aux données personnelles ne consacre pas un droit d’accès aux documents en tant que tels, mais un droit d’accès à l'information relative à l'existence ou non d'un traitement de données à caractère personnel et, le cas échéant, à ces données dans le but de vérifier la licéité du traitement.

À noter qu’un arrêt de la cour d’appel d'Amiens, rendu le 19 juin 2025 (CA Amiens, 19 juin 2025, n° 24/01301 N° Lexbase : B2946ANG), le lendemain de l’arrêt du 18 juin, a rejeté une demande identique en jugeant que l’employeur y avait répondu et que le salarié devait justifier que sa demande était indispensable à l’exercice du droit de la preuve et proportionnée au but poursuivi. Dans le sens contraire, la cour d’appel de Rennes a admis une telle demande, dans un arrêt rendu le 27 février 2025 (CA Rennes, 27 février 2025, n° 24/02772 N° Lexbase : B3073A9P), condamnant l’employeur à communiquer à la salariée, sous astreinte, notamment l’ensemble des courriels de sa messagerie professionnelle Outlook et de sa messagerie Teams, dont elle était l’émettrice ou la destinataire principale sur 4 années.

Lexbase Social : Comment les employeurs peuvent-ils faire face à ces demandes ?

Clémence Colin : Ces demandes risquent de se multiplier, de nombreux salariés pouvant être incités à « se saisir » de cette jurisprudence.

L'employeur doit impérativement anticiper ce type de demandes, et mettre en place une procédure permettant de répondre de manière individualisée et motivée, que la réponse consiste en un accès complet, partiel ou limité aux seules données personnelles. À cet égard, les guides de la CNIL pour répondre à une demande de droit d’accès peuvent s’avérer très utiles.

C’est en effet l’abstention injustifiée de l’employeur qui a été qualifiée de fautive, ouvrant droit à indemnisation. D’ailleurs, dans la logique du RGPD, les considérations tendant à limiter le droit d’accès ne devraient pas aboutir à refuser toute communication d'informations à la personne concernée.

Cette décision peut également inciter les entreprises à revoir leur charte informatique et politiques en matière notamment de durée de conservation des courriels, notamment lors du départ d’un salarié. La question de la période concernée par une telle demande est en effet également ouverte, d’un point de vue pratique, mais également matériel.

Plusieurs éléments peuvent par ailleurs être opposés à une demande d’accès aux courriels professionnels :

• Atteinte aux droits et libertés d’autrui : protection des données personnelles des tiers contenues dans les courriels (auteur, destinataires en copie, clients ou autres données), droit au respect de la vie privée, secret des correspondances, etc.
• Atteinte au secret des affaires et/ou à l’intérêt légitime de l’entreprise, renforcée lorsque le salarié occupe un poste important au sein de l’entreprise.
• Confidentialité des données ou des projets évoqués, particulièrement si le salarié en question est membre du CSE et a accès à ce titre à des données confidentielles ;
• Impossibilité matérielle (absence de durée définie, absence de ciblage, volume colossal de courriels, ressources et moyens nécessaires pour trier les données à transmettre).

Il est en tout état de cause impératif d’identifier le risque de transmission d’informations confidentielles dans un contexte contentieux avec un salarié, pouvant notamment conduire à de la concurrence déloyale si ces informations sont utilisées dans le cadre de sa nouvelle activité, ou à une violation du secret des affaires. Ce risque, combiné à la difficulté matérielle considérable, doit être mis en perspective avec le risque judiciaire, la sanction prononcée dans l’arrêt du 18 juin restant, somme toute, symbolique et largement inférieure aux demandes du salarié tenant à la contestation de sa convention de forfait-jours.

Reste à espérer que l’arrêt du 18 juin 2025 ne marquera pas autant l’histoire du droit social que l’appel du 18 juin, mais qu’il constituera une opportunité pour les employeurs de mettre en place des procédures claires afin de répondre aux demandes de droit d’accès, les sanctions pécuniaires de la CNIL restant, par ailleurs, autrement plus dissuasives que la modeste sanction prononcée dans cet arrêt.

© Reproduction interdite, sauf autorisation écrite préalable