Mails professionnels et RGPD
Contexte de l'affaire
Un directeur est licencié pour faute à la suite de plaintes de salariées relatives à des comportements déplacés de nature sexiste ou à connotation sexuelle de sa part.
Il saisit la juridiction prud’homale pour contester son licenciement et la validité de sa convention de forfait en jours. Afin d’assurer sa défense, ce salarié sollicite auprès de son employeur la communication de l’ensemble des courriels professionnels, échangés via sa messagerie.
L’employeur s'y oppose et soutient que ces éléments reçus « dans l’exercice de ses fonctions » ne constituent pas des données à caractère personnel.
La Cour d'appel accueille favorablement la demande du salarié et reconnaît explicitement que les courriels professionnels envoyés ou reçus par un salarié constituent des données à caractère personnel au sens de l’article 4 du RGPD.
Il en résulte que lorsque le salarié exerce son droit d’accès à ses données personnelles, l’employeur est tenu de lui transmettre l’intégralité des courriels professionnels, dans la limite des droits et libertés d’autrui.
L'employeur se pourvoit en cassation.
La Cour de cassation rejette le pourvoi et confirme la position de la Cour d’appel. Comme la Cour d’appel, la Cour de cassation considère que l’abstention de l’employeur constitue une faute causant un préjudice au salarié.
Elle condamne l'employeur à verser au salarié des dommages-intérêts pour non-respect du droit d’accès à ses données personnelles.
Les questions soulevées par l’arrêt
- Quel est le statut, au sens du RGPD, des e-mails professionnels ?
- Le salarié peut-il avoir accès à ses e-mails professionnels ?
- Quelles sont les conséquences pour l’employeur ?
Les réponses apportées par la Cour
La Cour de cassation affirme que les courriels émis ou reçus par un salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l’article 4 du RGPD.
Des courriels professionnels émis et reçus par un salarié dans le cadre de l’exécution de son contrat de travail, constituent des données à caractère personnel au sens de l’article 4 du RGPD, leur communication à un ancien salarié ne peut donc être refusée sans motif légitime.
Selon la Cour, une telle demande générale ne constitue pas un abus, mais l’exercice légitime du droit d’accès.
La Cour condamne l’employeur pour avoir refusé de transmettre au salarié, postérieurement à son licenciement, ses courriels professionnels, sans justification, en violation de l’article 15 du RGPD.
Impact sur les employeurs
Cette décision rappelle aux employeurs l’importance du respect des droits d’accès des salariés à leurs données personnelles, y compris lorsqu’elles sont contenues dans leur messagerie professionnelle.
Jurisprudences antérieures
En février 2025, la Cour d’appel de Rennes avait déjà rappelé (RG 24/02772) que les messages envoyés et reçus de la messagerie professionnelle d’un salarié constituaient une « donnée personnelle ».
De même, dans un arrêt du 3 octobre 2024 (n°21-20.979), la Cour de cassation avait déjà jugé que dès lors que ces conditions étaient réunies, les dispositions du RGPD ne peuvent faire échec à la communication des documents demandées, dès lors que le traitement des données communiquées au salarié à des fins probatoires respecte les conditions de licéité du RGPD.
Conclusion
Dans cet arrêt, la Cour de cassation consacre sans ambiguïté la messagerie professionnelle comme une donnée à caractère personnel.
Par ailleurs, elle conforte sa position selon laquelle les dispositions du RGPD ne peuvent empêcher la communication de documents demandées par le salarié dès lors que le traitement de ses données communiquées à des fins probatoires respecte les conditions de licéité du RGPD.