Cour de cassation, Soc., 18 juin 2025 (n° 23-19.022) — Les courriels professionnels émis ou reçus par le salarié sont des données personnelles soumises au droit d’accès de l’article 15 du RGPD

Devant les juridictions du fond, de nombreux employeurs tentaient de transposer au droit des données personnelles la distinction classique forgée en droit social français pour le contrôle disciplinaire des outils informatiques : puisque les courriels dépourvus de la mention « personnel » sont présumés avoir un caractère professionnel permettant à l’employeur de les consulter hors la présence du salarié, ils auraient constitué de simples documents d’entreprise appartenant à la société et étrangers à la sphère protégée du RGPD.

La chambre sociale balaie cette confusion conceptuelle entre le secret de la vie privée et le champ matériel de la protection des données. Aux termes de l’article 4, point 1, du règlement (UE) 2016/679 du 27 avril 2016, tel qu’interprété par la Cour de justice de l’Union européenne depuis l’arrêt Nowak du 20 décembre 2017 (C-434/16), constitue une donnée à caractère personnel « toute information se rapportant à une personne physique identifiée ou identifiable » par son contenu, sa finalité ou son effet, sans qu’il y ait lieu de distinguer selon que cette information s’inscrit dans la vie intime ou dans l’activité professionnelle.

Or un courriel envoyé depuis l’adresse nominative du salarié ou reçu sur celle-ci révèle nécessairement son identité, ses relations de travail, ses horaires d’activité, ses prises de position, sa manière d’exécuter ses missions et l’appréciation portée sur lui par sa hiérarchie ou ses interlocuteurs. L’employeur, en sa qualité de responsable du traitement de la messagerie d’entreprise, ne saurait dès lors dénier l’applicabilité de l’article 15 du RGPD au motif que les échanges ont été accomplis pour les besoins du service.

En pratique prud’homale, l’arrêt du 18 juin 2025 modifie profondément le rapport de force documentaire lors de la rupture du contrat de travail. Lorsqu’une mise à pied conservatoire ou une dispense de préavis s’accompagne de la coupure immédiate des accès informatiques, le salarié se trouvait jusqu’alors démuni face à l’employeur pour reconstituer ses alertes antérieures, ses plannings réels d’heures supplémentaires ou ses échanges attestant de la validation hiérarchique de ses actes, sauf à engager un référé probatoire sur le fondement de l’article 145 du code de procédure civile.

Désormais, la demande de droit d’accès de l’article 15 du RGPD — à laquelle le responsable de traitement est tenu de répondre dans le délai d’un mois de l’article 12, paragraphe 3, prorogeable de deux mois en cas de demandes complexes — offre une voie précontentieuse autonome, encadrée toutefois par la faculté d’écarter les demandes manifestement infondées ou excessives (article 12, paragraphe 5) et par l’obligation des entreprises de structurer leurs politiques de durée de conservation et d’archivage des boîtes professionnelles.

Il est d’autant plus remarquable que ce renforcement de l’accès du salarié à ses propres courriels s’accompagne, dans le même arrêt n° 23-19.022, d’une souplesse confirmée quant au formalisme des enquêtes internes diligentées par l’employeur : saisie d’un licenciement prononcé pour agissements sexistes, la chambre sociale juge qu’une enquête interne n’est pas privée de valeur probante du seul fait qu’elle a été menée sans associer les représentants du personnel ou sans entendre la totalité des témoins potentiels, les juges du fond appréciant souverainement son sérieux, son impartialité et sa force démonstrative au regard de l’ensemble des pièces débattues contradictoirement.