21/06/25 - RGPD : l’employeur doit communiquer au salarié ou ancien salarié ses données personnelles contenues dans ses e-mails professionnels sur simple demande de sa part

Par un arrêt du 18 juin 2025 (Cass. soc., 18 juin 2025, n° 23-19.022), la chambre sociale de la Cour de cassation confirme l’exigence de transparence imposée par le RGPD aux employeurs : tout salarié ou ancien salarié a le droit d’obtenir communication de ses données personnelles, y compris lorsqu’elles sont contenues dans des courriels professionnels.

En application du Règlement général sur la protection des données dit « RGPD », tout salarié ou ancien salarié dispose d’un droit d’accès aux données personnelles le concernant (règlt UE 2016/679 du 27 avril 2016, art. 15, § 1, JOUE 4 mai 2016).

Dans cette affaire, un ancien salarié avait sollicité de son employeur la communication de ses courriels professionnels. L’employeur ne justifiait pas avoir communiqué ni les métadonnées ni le contenu des courriels émis ou reçus par l’intéressé, et n’invoquait aucun motif pour expliquer cette abstention.

La Cour rappelle que les courriels professionnels contenant des informations identifiables sur un salarié constituent des données à caractère personnel au sens de l’article 4 du RGPD. Le droit d’accès implique donc la transmission :

• du contenu de ces messages,
• des métadonnées associées (horodatage, expéditeurs, destinataires…),

à moins que cette communication ne soit de nature à porter atteinte aux droits et libertés d’autrui.

La cour d’appel a pu en déduire que l’abstention de l’employeur était fautive et a souverainement apprécié le préjudice subi par l’intéressé. La Cour de cassation valide ce raisonnement.

Cet arrêt s’aligne sur la position de la CNIL, telle qu’exposée dans sa fiche « Le droit d’accès des salariés à leurs données et aux courriels professionnels ».

Il est également conforme à la jurisprudence de la CJUE, qui a rappelé que si la fourniture d’une copie d’extraits de documents est indispensable pour permettre l’exercice effectif du droit d’accès, la personne concernée doit recevoir une reproduction fidèle et intelligible de l’ensemble des données la concernant, sous réserve des droits d’autrui (CJUE, 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, pt. 45).

Exemple pratique : lorsqu’un salarié ou ancien salarié exerce son droit d’accès à des courriels, l’employeur peut :

• soit transmettre une copie des messages concernés,
• soit, à condition que cela reste fidèle, intelligible et complète, fournir un tableau récapitulatif contenant les données personnelles extraites (contenu, destinataires, dates, etc.).

Toutefois, la copie intégrale des courriels reste souvent la solution la plus simple pour satisfaire pleinement à l’obligation de transparence prévue par le RGPD.