Par un arrêt rendu le 18 juin 2025 (n° 23-19.022), la chambre sociale de la Cour de cassation a jugé que les courriels émis ou reçus par un salarié via sa messagerie professionnelle constituent des données à caractère personnel, au sens de l’article 4 du RGPD. En conséquence, le salarié même après son départ de l’entreprise, peut demander à y accéder, y compris à leur contenu et leurs métadonnées.
1. Les faits de l’espèce
L’affaire concerne un ancien directeur associé d’un cabinet de conseil, licencié pour faute grave à la suite d’une enquête interne diligentée après des signalements de propos sexistes et comportements inappropriés.
L’intéressé a non seulement contesté son licenciement, mais a également invoqué la violation de son droit d’accès aux courriels professionnels, que l’employeur a refusé de lui communiquer.
La Cour d’appel de Paris a donné raison au salarié et condamné l’employeur à des dommages et intérêts. La Cour de cassation a approuvé cette position en jugeant que le refus d’accès aux courriels professionnels constitue une violation de l’article 15 du RGPD, faute pour l’employeur d’avoir invoqué un motif légitime de refus.
2. Les critiques des praticiens
Cette solution a donné lieu à de vives réactions et à deux principales critiques.
- Tout d’abord, le RGPD garantit un droit à l’information, pas un droit à la preuve. L’article 15 du RGPD vise, en effet, à permettre à toute personne concernée de savoir si ses données font l’objet d’un traitement, d’en vérifier la licéité, et d’accéder à ces données, mais non à des documents. A cet égard, le considérant 63 du RGPD confirme cette orientation, puisqu’il indique que le droit d’accès doit permettre de « prendre connaissance du traitement et d’en vérifier la licéité ». En ce sens, l’avocat général, dans ses conclusions, s’était opposé à la solution retenue, rappelant que le RGPD n’a pas vocation à permettre à un salarié « d’emporter l’intégralité de sa messagerie professionnelle sur toutes les années de son emploi ».
- En outre, la position de la Cour de cassation semble aller à l’encontre des instances européennes et de la CNIL. La CJUE (arrêt du 12 janvier 2023, C-154/21) comme le Comité européen à la protection des données (CEPD) rappellent que le droit d’accès vise à s’assurer de l’exactitude des données personnelles et à vérifier la conformité du traitement. La CNIL, dans sa fiche actualisée du 31 janvier 2025, confirme que l’envoi de courriels n’est qu’une modalité possible, mais non obligatoire du droit d’accès. Un tableau synthétique, listant les métadonnées pertinentes, peut suffire à satisfaire à l’obligation d’information. La Cour de cassation, en validant la demande d’accès sans réserve semble ignorer cette souplesse, au détriment des entreprises.
3. Une solution dont la portée doit être relativisée
La portée de l’arrêt doit néanmoins être relativisées pour plusieurs raisons.
- En premier lieu, en pratique, de nombreux employeurs répondent déjà aux demandes de communication par les salariés de leurs données personnelles en leur donnant accès à l’intégralité des courriers électroniques envoyés ou reçus, dès lors que les autres solutions préconisées par la CNIL sont complexes et chronophages.
- En deuxième lieu, la Cour de cassation indique que « le salarié a le droit d’accéder à ces courriels, l’employeur devant lui fournir tant les métadonnées (horodatage, dentinaires) que leur contenu,Cette lecture extensive du droit d’accès a suscité de vives réactions, tant au regard des finalités du RGPD que des équilibres en matière probatoire et de protection des intérêts de l’entreprise. ». Les entreprises pourraient donc se prévaloir de la confidentialité et de la sensibilité de certaines données (secret des affaires, propriété intellectuelle) pour s’opposer à la communication intégrale de la boîte mail de leurs collaborateurs. Dans l’espèce ayant donné lieu à l’arrêt de la Cour de cassation, l’employeur condamné n’avait fait état d’aucune motif pour s’opposer à cette communication.
- En troisième lieu, dans l’espèce ayant donné lieu à l’arrêt de la Cour de cassation, l’employeur a seulement été condamné à 500 € de dommages et intérêts. A cet égard, le salarié sollicitant des dommages et intérêts en raison du refus de l’employeur de lui communiquer sa boîte mail devra démontrer l’existence et l’étendue du préjudice subi, ce qui n’est pas toujours évident.
En conclusion, si les courriels professionnels sont considérés comme des données personnelles au sens du RGPD, l’employeur n’a, à notre sens, pas l’obligation de procéder à une communication intégrale de la messagerie professionnelle. L’employeur doit cependant examiner chaque demande attentivement aux fins d’identifier le motif légitime (éventuellement lié au respect des droits de tiers) qui pourrait être apporté.
N'hésitez pas à contacter le cabinet pour toute demande de renseignement sur ce sujet relatif au droit social.
