CJUE, 5e Chambre, Arrêt du 18 juin 2026, NTH Haustechnik GmbH c. EM | CJUE C‑484/24

Avertissement liminaire: les #CONSEILS/#FAQ ci-après énoncés sont fondés sur les enseignements de la jurisprudence s'y rapportant et n'ont qu'une portée générique/pédagogique; ils ne constituent pas une consultation juridique individualisée et ne sauraient se substituer à l'avis d'un avocat saisi de votre situation particulière.

PARTIE 1 | CONSEILS AUX RESPONSABLES DE TRAITEMENTS (EMPLOYEURS, DIRIGEANTS, ENTREPRISES)

1 — Définissez et respectez scrupuleusement vos durées de conservation des données de vos salariés

Dans l’affaire NTH Haustechnik, l’employeur a conservé sur ses serveurs des données (identifiants, mots de passe, historiques de navigation) bien après la fin du contrat de travail de son ancienne salariée, sans que cela soit justifié par un objectif précis. La Cour a posé que cette conservation prolongée constitue une violation du principe de « limitation de la conservation » inscrit dans le RGPD.

Fixez des délais clairs pour chaque catégorie de données de vos salariés ou anciens salariés : données de paie, historiques informatiques, courriels professionnels, documents de gestion RH. Ces délais doivent être documentés dans votre registre de traitements et, le cas échéant, dans vos accords d’entreprise ou contrats de travail. Une fois le délai atteint, procédez à l’effacement effectif — et conservez une trace de cet effacement.

Si vous êtes un jour amené à produire des données en justice et que ces données auraient dû être effacées depuis longtemps, le juge devra prendre en compte cette violation comme un facteur aggravant dans son appréciation. Vous vous exposez de surcroît à une sanction administrative de la CNIL et à une action en indemnisation de la personne concernée.

2 — N’utilisez jamais les équipements ou numéros de l’entreprise pour accéder aux comptes personnels de vos salariés

La Cour a particulièrement relevé que la NTH a utilisé un téléphone professionnel enregistré au nom de la société — mais utilisé par la salariée — pour modifier le mot de passe de son compte eBay privé et y accéder. Ce mode opératoire constitue une ingérence directe dans la vie privée.

Établissez une règle interne claire : aucun équipement de l’entreprise (téléphone, adresse courriel, numéro de téléphone professionnel) ne doit être utilisé pour accéder à des comptes personnels de vos salariés ou anciens salariés, même si vous soupçonnez un détournement de biens. Si vous avez des raisons légitimes de mener une enquête interne, celle-ci doit être encadrée, documentée, proportionnée, et conduite dans le respect des règles légales.

Un accès obtenu de cette façon peut être qualifié d’illicite. Les preuves ainsi recueillies seront soumises à un contrôle judiciaire strict, et vous vous exposez potentiellement à une plainte pénale pour accès frauduleux à un système informatique, en sus des sanctions RGPD.

3 — Informez systématiquement vos salariés de la collecte de leurs données, dès la collecte

Le RGPD impose, à l’article 13, que toute personne dont les données sont collectées soit informée au moment même de cette collecte. La Cour a expressément inclus le respect de cette obligation d’information comme un critère que le juge doit prendre en compte lorsqu’il apprécie si des preuves peuvent être utilisées en procédure.

Remettez à chaque salarié, au plus tard au moment de la signature de son contrat, une notice d’information complète sur le traitement de ses données personnelles : quelles données sont collectées (historiques informatiques, fichiers, courriels professionnels), pourquoi, pendant combien de temps, qui y a accès, et comment exercer ses droits. Mettez à jour cette notice à chaque évolution significative de vos pratiques.

L’absence d’information préalable pèsera contre vous si vous tentez de produire des données sur votre salarié en justice. Le juge pourra considérer que cette omission aggrave le caractère problématique de la collecte et en tenir compte dans l’appréciation de l’admissibilité des preuves.

4 — Avant de lancer une enquête interne sur un salarié, vérifiez que vous disposez d’une base légale solide et d’indices concrets

Le droit applicable en matière de traitement de données dans la relation de travail (article 26 de la loi fédérale allemande sur la protection des données, équivalent aux dispositions nationales en vigueur dans chaque État membre) exige que la collecte de données sur un salarié suspecté d’une infraction repose sur des indices concrets, documentés, et que le traitement soit strictement nécessaire et proportionné.

Avant toute investigation, documentez précisément les faits suspects : quelles irrégularités avez-vous constatées, sur quelle période, sur la base de quels éléments objectifs. Délimitez ensuite le périmètre de votre enquête : ne collectez que les données strictement nécessaires pour établir ou réfuter les faits suspectés. Consultez si possible votre DPO ou un avocat spécialisé avant d’agir.

Une enquête sans base légale ou disproportionnée vous expose à voir les preuves collectées soumises à un examen judiciaire rigoureux, à une sanction administrative, et à une demande d’indemnisation de votre salarié pour violation de ses droits fondamentaux.

5 — Ne confondez pas « serveur de l’entreprise » et « droit d’accès illimité aux données »

L’une des questions centrales de l’affaire NTH Haustechnik portait précisément sur le fait que des données d’identification personnelle (mot de passe, identifiant eBay) se trouvaient sur le serveur de l’entreprise dans un « dossier familial partagé ». La Cour a rappelé que la localisation physique des données sur un équipement appartenant à l’employeur ne confère pas à celui-ci un droit illimité de les utiliser.

Distinguez clairement, dans votre politique informatique, les données professionnelles — auxquelles vous avez accès légitime — des données personnelles stockées sur vos systèmes par vos salariés (mots de passe personnels, identifiants de comptes privés, fichiers personnels). Formalisez cette distinction dans votre charte informatique et sensibilisez vos équipes. En cas de doute sur l’utilisation de données trouvées sur vos serveurs, consultez votre DPO.

Si vous utilisez des données personnelles de salariés trouvées sur vos serveurs à des fins judiciaires, sans avoir vérifié la licéité de leur collecte initiale et de leur utilisation, vous vous exposez aux mêmes risques que si vous aviez accédé frauduleusement à des systèmes externes.

6 — Anticipez la fin du contrat de travail : effacez les données dès que vous n’en avez plus besoin

Dans l’affaire NTH Haustechnik, la relation de travail avait pris fin le 31 octobre 2019 et les données litigieuses ont été utilisées bien après cette date — jusqu’à la séparation des époux en juin 2022, soit près de trois ans plus tard. La Cour a intégré cette durée dans son appréciation des circonstances.

Mettez en place une procédure systématique de clôture des comptes et de suppression des données à la fin de chaque contrat de travail : désactivation des accès informatiques, archivage ou suppression des données professionnelles, effacement des données personnelles (mots de passe, identifiants, fichiers personnels stockés sur les équipements de l’entreprise). Documentez chaque étape.

Plus vos données sont conservées longtemps après la fin du contrat, moins vous serez en mesure de justifier leur conservation, et plus vous vous exposez à une sanction et à une mise en cause de l’admissibilité de ces données en justice.

7 — Distinguez soigneusement les données professionnelles et les données personnelles sur les équipements mis à disposition de vos salariés

Dans l’affaire NTH, la confusion entre données professionnelles (historique de navigation sur l’ordinateur de société, fichiers de travail) et données personnelles (identifiants privés eBay, compte personnel en ligne) a été au cœur du litige. Cette confusion est fréquente dans les petites structures où les équipements sont utilisés à des fins mixtes.

Établissez une politique claire sur l’utilisation des équipements de l’entreprise : indiquez explicitement ce qui relève des données professionnelles (accessibles par l’employeur dans un cadre légal défini) et ce qui relève de la sphère privée (comptes personnels, identifiants privés, communications personnelles). Prévoyez des espaces ou des procédures qui permettent à vos salariés de stocker des informations privées sans qu’elles soient mélangées aux données professionnelles.

L’absence de distinction claire peut vous conduire à collecter involontairement des données privées de vos salariés — et à vous retrouver dans la situation de NTH, où la légalité de la collecte et de l’utilisation des données a été sérieusement mise en question devant la Cour de justice.

8 — Respectez le principe de minimisation des données : ne collectez que ce qui est strictement nécessaire

La Cour a rappelé dans son arrêt que le principe de « minimisation des données » — inscrit à l’article 5, paragraphe 1, sous c, du RGPD — impose que les données traitées soient adéquates, pertinentes et limitées à ce qui est nécessaire. Ce principe s’applique non seulement à la collecte initiale, mais aussi aux données produites en justice.

Avant de produire des documents contenant des données personnelles dans un litige, vérifiez si toutes les données sont bien nécessaires à la démonstration que vous souhaitez faire. Si certaines données (informations sur des tiers, données sensibles) peuvent être occultées ou anonymisées sans nuire à la valeur probatoire des documents, procédez à ces adaptations avant de les soumettre au juge.

Le juge est lui-même tenu de respecter le principe de minimisation des données. S’il constate que les preuves produites contiennent des données excessives ou sans lien avec l’objet du litige, il peut refuser de les prendre en compte dans leur intégralité ou imposer des mesures de protection supplémentaires.

9 — En cas de litige, consultez un avocat spécialisé en droit des données avant de constituer votre dossier de preuves

L’affaire NTH Haustechnik illustre le risque majeur auquel s’exposent des employeurs qui constituent eux-mêmes, sans accompagnement juridique, des dossiers de preuves impliquant des données personnelles de leurs salariés. La frontière entre collecte licite et collecte illicite est parfois ténue, et les conséquences d’une erreur peuvent aller jusqu’à l’irrecevabilité des preuves et à une mise en cause personnelle.

Dès que vous envisagez d’utiliser des données personnelles (historiques informatiques, comptes en ligne, relevés de transactions) pour engager une action en justice ou vous défendre, consultez un avocat spécialisé en droit des données personnelles et en droit du travail. Cet accompagnement vous permettra de valider la légalité de vos méthodes de collecte, de sécuriser votre dossier de preuves, et d’éviter des erreurs qui pourraient se retourner contre vous.

10 — Documentez chaque décision de collecte et de conservation : en cas de litige, la traçabilité est votre meilleure défense

Dans l’affaire NTH, la juridiction de renvoi a relevé que plusieurs questions restaient litigieuses : par quel moyen exact les identifiants ont-ils été obtenus ? Qui y a accédé ? À quel moment ? Cette incertitude factuelle a alimenté toute la complexité de l’affaire. Une bonne documentation aurait permis à l’employeur de démontrer la légalité de ses actes — ou aurait dissuadé d’agir de façon illicite.

Tenez un registre de vos traitements de données à jour et précis. Pour chaque enquête interne ou collecte de données dans un contexte sensible, documentez : la date, l’objectif, les personnes ayant accès, les données concernées, la base légale invoquée, et les mesures prises pour garantir la proportionnalité. Conservez cette documentation de manière sécurisée. En cas de litige, elle constituera votre premier élément de défense.

PARTIE 2 | CONSEILS AUX PERSONNES CONCERNEES (SALARIÉS, ANCIENS SALARIÉS...)

1 — Vérifiez quelles données votre employeur détient sur vous et demandez-en l’inventaire complet

Dans l’affaire NTH Haustechnik, la salariée ignorait que son employeur avait conservé ses identifiants personnels (mot de passe, identifiant eBay) sur les systèmes informatiques de l’entreprise, et qu’il s’en servirait des années après la fin de son contrat. Ce manque de visibilité l’a placée dans une position de vulnérabilité.

Exercez votre droit d’accès prévu par l’article 15 du RGPD : envoyez une demande écrite à votre employeur ou à votre ancien employeur pour savoir quelles données personnelles vous concernant il détient, à quelles fins elles sont traitées, depuis quand, et pendant combien de temps il prévoit de les conserver. L’employeur a un mois pour répondre. Si vous avez des doutes sur des données pouvant se trouver dans des dossiers partagés, des serveurs ou des historiques informatiques, mentionnez-le explicitement dans votre demande.

Des données vous concernant peuvent être conservées à votre insu pendant des années et être utilisées contre vous dans un litige futur, sans que vous ayez eu la possibilité d’en demander l’effacement à temps.

2 — En fin de contrat, demandez la suppression de toutes vos données personnelles stockées sur les systèmes de l’entreprise

Dès la fin de votre contrat de travail, votre employeur n’a plus de justification pour conserver la plupart des données personnelles vous concernant. La Cour a rappelé que le principe de limitation de la conservation impose l’effacement des données dès qu’elles ne sont plus nécessaires à l’objectif initial de leur collecte.

Au moment de quitter votre employeur — ou peu après —, envoyez une demande formelle d’effacement (article 17 du RGPD) portant sur toutes vos données personnelles : historiques d’accès, mots de passe enregistrés, fichiers personnels, adresses email, identifiants de comptes privés. Envoyez cette demande par écrit (courriel avec accusé de lecture, lettre recommandée) et conservez-en une copie. Si votre employeur ne répond pas ou refuse sans justification valide dans le délai d’un mois, saisissez la CNIL.

Des données telles que des identifiants de comptes en ligne peuvent rester accessibles à votre ex-employeur et être utilisées à votre insu pour accéder à vos comptes personnels — comme cela s’est produit dans l’affaire NTH.

3 — Ne stockez jamais vos mots de passe ou identifiants personnels sur les systèmes informatiques de votre employeur

Dans l’affaire NTH Haustechnik, l’accès au compte privé eBay de la salariée a été rendu possible parce que son mot de passe se trouvait, selon la version de l’employeur, dans un « dossier familial partagé » sur le serveur de l’entreprise. Que ce soit volontaire ou non, la présence de données personnelles sensibles sur les systèmes de l’entreprise crée un risque réel.

Appliquez une règle simple et rigoureuse : ne stockez jamais vos mots de passe ou identifiants personnels (comptes en ligne, réseaux sociaux, services financiers, marketplaces) sur un ordinateur professionnel, un serveur d’entreprise, ou dans un compte email professionnel. Utilisez un gestionnaire de mots de passe personnel, sur vos propres équipements et protégé par vos propres accès. Si vous utilisez votre téléphone professionnel pour des activités personnelles, prenez soin de ne pas y enregistrer de données sensibles accessibles via les systèmes de l’entreprise.

4 — Conservez la preuve de toute demande adressée à votre employeur concernant vos données

En cas de litige futur, vous devrez être en mesure de démontrer que vous avez exercé vos droits RGPD et que votre employeur a — ou non — répondu à vos demandes. Cette preuve peut jouer un rôle déterminant devant le juge.

Toute demande d’accès, d’effacement, de rectification ou de limitation adressée à votre employeur doit être envoyée sous une forme traçable — courriel avec accusé de réception, lettre recommandée avec avis de réception. Conservez une copie de votre demande et de la réponse (ou de l’absence de réponse). Si votre employeur ne répond pas dans le délai d’un mois prévu par le RGPD, notez la date et saisissez la CNIL sans attendre. Cette documentation forme un dossier solide qui peut être produit en justice si nécessaire.

5 — Si vous suspectez un accès illicite à vos comptes personnels, réagissez immédiatement et documentez les faits

Dans l’affaire NTH, la salariée a soutenu que son employeur avait utilisé le téléphone professionnel (enregistré au nom de la société) pour modifier son mot de passe eBay et accéder à son compte privé. Ce type d’accès peut laisser des traces numériques, à condition de les relever rapidement.

Si vous constatez des connexions inhabituelles à vos comptes en ligne, un changement de mot de passe que vous n’avez pas effectué, ou des activités suspectes sur vos comptes personnels, agissez immédiatement : - Capturez les preuves : faites des captures d’écran des historiques de connexion (avec date, heure, adresse IP) disponibles dans les paramètres de sécurité de votre compte. - Modifiez vos accès : changez votre mot de passe et activez la double authentification. - Déposez plainte : si vous avez des raisons de suspecter un accès par votre employeur ou son entourage, consultez un avocat et envisagez de déposer plainte pour accès frauduleux à un système de traitement automatisé de données (article 323-1 du Code pénal en France).

6 — Saisissez la CNIL si votre employeur refuse de répondre à vos demandes ou viole vos droits

La Cour a rappelé que les voies de recours administratives et judiciaires coexistent, et que la possibilité de saisir l’autorité de contrôle constitue une protection effective des droits des personnes concernées. Ces voies sont indépendantes de toute procédure judiciaire en cours.

Si votre employeur ne répond pas à vos demandes dans le délai d’un mois (prorogeable de deux mois supplémentaires pour les demandes complexes), ou s’il refuse vos demandes sans motif légitime, déposez une plainte auprès de la CNIL (en France) ou de l’autorité de contrôle compétente dans votre pays. La CNIL peut mener une enquête, demander à l’employeur de se mettre en conformité, et prononcer une amende administrative pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Elle peut également engager une action en justice en votre nom.

7 — Demandez une indemnisation si vous avez subi un préjudice lié à une violation de vos données

La Cour a expressément mentionné, dans son arrêt, le droit à réparation prévu par l’article 82 du RGPD comme l’une des voies de protection disponibles pour les personnes dont les données ont été traitées de façon illicite. Ce droit à indemnisation couvre aussi bien les préjudices matériels que les préjudices moraux.

Si vous avez subi un préjudice en raison de la violation de vos données personnelles — angoisse, atteinte à votre réputation, démarches engagées, perte de revenus liée à un licenciement faisant suite à une collecte illicite —, vous pouvez engager une action en réparation. Pour cela, il vous faudra démontrer l’existence d’une violation du RGPD, d’un préjudice (même moral) et d’un lien de causalité entre les deux. Un avocat spécialisé peut vous aider à construire ce dossier. La jurisprudence récente de la Cour de justice reconnaît le simple « sentiment de perte de contrôle sur ses données » comme un préjudice moral indemnisable.

8 — En cas de litige avec votre employeur, faites valoir l’illicéité de la collecte des preuves dès le début de la procédure

Dans l’affaire NTH Haustechnik, la question de la licéité des preuves a été au cœur de la procédure jusqu’à la Cour de justice de l’Union européenne. La Cour a posé que le juge doit procéder à un examen de proportionnalité — mais cet examen ne se déclenche pleinement que si la personne concernée fait valoir ses droits et soulève explicitement l’illicéité de la collecte.

Si vous êtes poursuivi par votre employeur et que vous pensez que les preuves produites contre vous ont été obtenues de façon illicite — accès à vos comptes privés, utilisation de vos données au-delà de leur durée de conservation, absence d’information préalable —, soulevez ce point dès les premières écritures devant le juge. Plus vous attendez, plus il peut être difficile de faire reconnaître l’illicéité. Documentez les circonstances de la collecte autant que possible et demandez à votre avocat d’inclure cet argument dans votre stratégie de défense.

9 — Vérifiez si votre contrat de travail ou votre accord d’entreprise prévoyait un délai d’effacement de vos données

L’Avocat général Spielmann a expressément visé, dans ses conclusions, l’hypothèse dans laquelle un employeur s’est engagé — par contrat individuel ou par convention collective — à effacer les données de ses salariés dans un délai déterminé, et n’a pas respecté cet engagement. Dans ce cas, la violation est doublement caractérisée : au regard du RGPD et au regard du contrat.

Relisez votre contrat de travail, votre avenant de confidentialité, et les éventuels accords d’entreprise ou conventions collectives applicables dans votre secteur. Vérifiez s’il existe des clauses relatives à la protection de vos données personnelles ou à leur effacement. Si de tels engagements ont été pris et non respectés, vous disposez d’un argument contractuel supplémentaire, en plus des droits que vous confère le RGPD. Cet argument peut être invoqué tant devant le juge civil que dans le cadre d’une plainte auprès de la CNIL.