Une décision de la Cour de cassation qui précise les droits d’accès des salariés
Le 18 juin 2025 (arrêt n°23-19022), la Cour de cassation a confirmé que les courriels émis ou reçus par un salarié via sa messagerie professionnelle constituent des données à caractère personnel au sens du RGPD.
En conséquence, l’employeur est tenu de permettre l’accès à ces données, sous certaines conditions.
Dans l’affaire jugée, un salarié licencié pour faute grave contestait son licenciement et avait demandé communication de l’ensemble des courriels qu’il avait envoyés et reçus dans le cadre de son travail.
La société avait transmis divers documents liés à la rupture du contrat, mais pas les courriels.
La Cour de cassation a rejeté le pourvoi de l’employeur et confirmé que ces données devaient être accessibles.
Quels droits pour le salarié ?
Conformément à l’article 15 du RGPD, le salarié peut obtenir de son employeur :
-
une confirmation de l’existence ou non d’un traitement de ses données,
-
l’accès aux métadonnées (horodatage, destinataires) et au contenu de ses mails professionnels,
-
une copie des données, sauf si cela porte atteinte de manière disproportionnée aux droits et libertés d’autrui (vie privée, secret des affaires, propriété intellectuelle, etc.).
La CNIL rappelle que le droit d’accès porte sur les données personnelles contenues dans les courriels, et non sur les documents en tant que tels.
Ainsi, l’employeur peut, à la place, fournir un tableau récapitulatif avec les métadonnées et les informations personnelles extraites des messages.
Quelles conséquences pour les employeurs ?
Cette décision pose plusieurs défis pratiques :
-
le tri des données peut représenter une charge importante, notamment si le volume de mails est conséquent ;
-
la protection du secret des affaires exige un arbitrage délicat : justifier le refus de communiquer certaines données, sans pour autant en révéler le contenu confidentiel.
La CNIL recommande d’accompagner le salarié dans la précision de sa demande afin de limiter la charge de traitement et d’assurer une réponse proportionnée.
Cette décision illustre la nécessité, pour les entreprises, de sécuriser leurs pratiques en matière de gestion des données personnelles des salariés, en conciliant droit d’accès et protection des tiers.
Lire l’arrêt : Cass. soc. 18 juin 2025, n°23-19022
