Affaire C‑185/25 [Waldfelber] RS c. TS | Conclusions de l'Avocat Général du 18 juin 2026

Avertissement liminaire: les #CONSEILS/#FAQ ci-après énoncés sont fondés sur les enseignements de la jurisprudence s'y rapportant et n'ont qu'une portée générique/pédagogique; ils ne constituent pas une consultation juridique individualisée et ne sauraient se substituer à l'avis d'un avocat saisi de votre situation particulière.

PARTIE 1 | CONSEILS AUX RESPONSABLES DE TRAITEMENT

1 — Identifiez clairement qui est le responsable du traitement dans votre organisation : vous personnellement, ou la structure qui vous emploie ?

L’affaire C-185/25 révèle une confusion très fréquente dans les organisations : les dirigeants, managers, directeurs et responsables hiérarchiques pensent parfois qu’ils sont personnellement responsables des données qu’ils traitent dans le cadre de leurs fonctions. C’est généralement inexact. Selon l’Avocat général, lorsqu’une personne agit dans l’intérêt de l’organisation — et non dans son intérêt personnel —, en utilisant les outils et l’adresse email mis à sa disposition par l’organisation, c’est l’organisation elle-même qui est le responsable du traitement au sens du RGPD, et non l’individu.

Si vous êtes directeur, manager ou responsable au sein d’une entreprise, d’une administration ou d’une association, vérifiez que votre organisation a bien formalisé cette répartition des rôles dans ses documents internes (politique de protection des données, registre des activités de traitement). Toutes les demandes d’exercice de droits adressées à des membres du personnel doivent être immédiatement transmises au délégué à la protection des données (DPO) ou à la direction compétente. Ne répondez jamais seul, en votre nom personnel, à une demande d’accès ou de rectification.

En cas d’ambiguïté sur l’identité du responsable du traitement, la personne concernée peut se retrouver sans interlocuteur clairement désigné, ce qui constitue en soi une violation du RGPD susceptible d’engager la responsabilité de l’organisation.

2 — Encadrez strictement l’usage des outils professionnels pour les communications contenant des appréciations sur des tiers ou des collaborateurs

Dans l’affaire C-185/25, le directeur d’école a utilisé son adresse email professionnelle, l’ordinateur et le serveur de son établissement pour envoyer un courriel contenant des jugements de valeur sur un tiers. L’Avocat général souligne que ces outils professionnels marquent la frontière entre l’acte institutionnel (relevant de l’organisation) et l’acte personnel (relevant de l’individu). Dès lors que vous utilisez les outils de votre organisation, votre acte est imputé à l’organisation en tant que responsable du traitement.

Mettez en place une politique interne claire sur l’usage de la messagerie professionnelle : toute communication contenant une évaluation, une appréciation ou une opinion sur une personne identifiable (collaborateur, prestataire, candidat) doit être considérée comme un traitement de données personnelles. Formez vos équipes à cette réalité : un email professionnel portant un jugement sur quelqu’un — même rédigé rapidement — peut faire l’objet d’une demande d’accès au titre du RGPD.

Une personne évoquée dans un email professionnel peut légitimement demander à en obtenir copie. Si votre organisation n’est pas préparée à traiter cette demande, elle risque de la refuser ou de la mal gérer, ce qui est susceptible de constituer une violation du droit d’accès et d’exposer l’organisation à une demande d’indemnisation.

3 — Ne conservez pas inutilement les informations transmises oralement par des tiers sur des personnes concernées, mais documentez vos décisions

Dans l’affaire C-185/25, le directeur d’école n’avait établi aucune note ni aucun document relatifs à sa conversation avec le tiers, et n’avait pas conservé le nom de celui-ci. L’Avocat général note que cette absence de trace écrite joue un rôle dans l’appréciation de l’obligation d’information : on ne peut communiquer que ce qui est « disponible ». Toutefois, cette situation illustre aussi la tension inverse : si vous prenez une décision importante sur la base d’informations orales non documentées et non vérifiées, vous vous exposez à des contestations sur la licéité et la loyauté du traitement.

Adoptez une règle simple : si vous recueillez des informations sur une personne auprès d’un tiers et que ces informations influencent une décision vous concernant (sélection, affectation, évaluation, exclusion), documentez a minima la nature de l’information et la base sur laquelle vous avez agi — sans nécessairement identifier nominativement le tiers si cela n’est pas nécessaire. Ce faisant, vous protégez à la fois la personne concernée (transparence sur les motifs de la décision) et votre organisation (traçabilité des décisions).

Une décision basée sur des informations orales non documentées, non vérifiées et non contradictoires est particulièrement fragile sur le plan juridique — pas seulement en matière de RGPD, mais aussi en droit du travail, en droit administratif et en droit de la responsabilité civile.

4 — Formez vos équipes à traiter correctement et rapidement les demandes d’accès aux données

L’affaire C-185/25 montre qu’une demande d’accès aux données peut porter sur un simple email professionnel contenant une opinion. L’Avocat général rappelle que la violation du droit d’information prévu à l’article 15 du RGPD peut, si elle cause un préjudice, donner lieu à une demande d’indemnisation. Un refus injustifié ou une absence de réponse est donc doublement risqué : il viole le RGPD et peut ouvrir droit à réparation.

Mettez en place une procédure interne documentée pour traiter les demandes d’exercice de droits RGPD (accès, rectification, effacement, opposition). Cette procédure doit prévoir : un point d’entrée unique (DPO ou boîte email dédiée), un délai de traitement (un mois maximum, renouvelable une fois), un modèle de réponse adapté à chaque type de demande, et un mécanisme d’escalade en cas de demande complexe ou litigieuse.

Le délai d’un mois pour répondre à une demande d’accès est impératif. Un silence ou un refus non motivé expose votre organisation à une plainte auprès de la CNIL, à une sanction administrative et à une action en justice de la personne concernée.

5 — Distinguez soigneusement les données que vous traitez pour le compte de votre organisation et celles que vous traitez à titre personnel

L’Avocat général dans l’affaire C-185/25 souligne que la frontière entre l’acte institutionnel et l’acte personnel est déterminante pour qualifier le responsable du traitement. Si un directeur utilise ses outils personnels (téléphone privé, messagerie personnelle) pour traiter des données concernant des collaborateurs ou des tiers dans un contexte professionnel, la situation devient plus complexe : il peut alors être qualifié lui-même de responsable du traitement, ce qui l’expose personnellement.

Posez une règle claire dans votre organisation : les communications professionnelles contenant des données à caractère personnel doivent systématiquement transiter par les canaux professionnels. L’usage de messageries personnelles (WhatsApp, Signal, email personnel) pour des échanges professionnels impliquant des données sur des tiers est à proscrire, non seulement pour des raisons de sécurité informatique, mais aussi parce qu’il fait sortir le traitement du périmètre de responsabilité de l’organisation.

Si un incident survient (fuite de données, demande d’accès non traitée, décision contestée) et qu’il apparaît que des outils personnels ont été utilisés, la frontière entre responsabilité de l’organisation et responsabilité personnelle du salarié ou du dirigeant sera difficile à établir.

6 — Anticipez les demandes d’accès portant sur les emails internes et préparez un protocole de réponse

L’affaire C-185/25 illustre qu’un simple email professionnel contenant des appréciations sur un prestataire ou un collaborateur peut faire l’objet d’une demande d’accès formelle au titre du RGPD. Beaucoup d’organisations sont prises au dépourvu par ce type de demande, soit parce qu’elles n’ont pas prévu de procédure adaptée, soit parce qu’elles sous-estiment le champ d’application du droit d’accès.

Préparez en amont un protocole spécifique pour les demandes d’accès portant sur des emails internes. Ce protocole doit notamment prévoir : comment identifier et extraire les emails contenant des données personnelles relatives à la personne demandeuse, comment évaluer si certains passages doivent être occultés pour protéger les droits de tiers ou les intérêts légitimes de l’organisation (secret des affaires, protection de l’identité d’un informateur si cela est justifié), et comment répondre de façon claire et complète dans le délai légal.

Une organisation qui communique un email incomplet ou expurgé sans justification, ou qui refuse d’en fournir une copie sans motif valable, viole le droit d’accès de la personne concernée et s’expose à des sanctions.

7 — Mettez en place une politique claire sur le traitement des informations obtenues oralement de tiers sur vos collaborateurs ou prestataires

Dans l’affaire C-185/25, le problème central est né du fait qu’un directeur a recueilli oralement des informations sur un prestataire auprès d’un tiers, puis les a intégrées dans un email professionnel sans que le prestataire en soit informé ni qu’il ait pu les contester. L’Avocat général souligne que ces informations — une fois consignées dans un document — deviennent des données personnelles soumises au RGPD.

Établissez une règle interne claire : toute information obtenue oralement d’un tiers sur une personne identifiable, dès lors qu’elle est intégrée dans un document (email, note, rapport, compte rendu), doit être traitée comme une donnée personnelle. Cela implique : s’assurer que l’information est exacte avant de l’utiliser pour prendre une décision, informer la personne concernée si une décision la touchant est prise sur cette base, et lui permettre de contester les informations inexactes.

Une décision prise sur la base d’informations non vérifiées et non contradictoires est juridiquement fragile. Si la personne concernée prouve que les données utilisées étaient inexactes et que vous ne lui avez pas permis de les corriger, votre organisation peut être condamnée à l’indemniser.

8 — Vérifiez que vos clauses de responsabilité avec vos prestataires et sous-traitants couvrent bien les violations du droit d’accès

L’affaire C-185/25 soulève la question de la responsabilité lorsque le traitement implique plusieurs acteurs. Le RGPD distingue le responsable du traitement (qui décide des finalités et des moyens) du sous-traitant (qui traite les données pour le compte du responsable). L’Avocat général rappelle que le responsable du traitement ne peut pas s’exonérer de sa responsabilité au seul motif que c’est un agent ou un sous-traitant qui a commis la violation.

Vérifiez que vos contrats de sous-traitance (au sens RGPD) contiennent bien des clauses obligeant le sous-traitant à vous informer sans délai de toute demande d’exercice de droits qu’il reçoit directement, et à coopérer pleinement pour y répondre. L’article 28 du RGPD l’impose déjà, mais sa mise en œuvre concrète doit être assurée contractuellement et opérationnellement.

Si un sous-traitant reçoit une demande d’accès et n’y donne pas suite, c’est votre organisation — en tant que responsable du traitement — qui sera tenue pour responsable de la violation. Le recours ultérieur contre le sous-traitant sera possible, mais ne vous dispensera pas de l’obligation de réparation envers la personne concernée.

9 — En cas de demande d’accès portant sur l’identité d’un tiers informateur, réalisez une mise en balance documentée des intérêts en présence

L’affaire C-185/25 pose explicitement la question de savoir si une personne concernée peut obtenir l’identité d’un tiers dont les propos ont influencé un document la concernant. L’Avocat général indique que même si l’on retenait une interprétation large du droit d’accès permettant d’atteindre l’identité du tiers, une mise en balance des intérêts resterait nécessaire — entre le droit d’accès de la personne concernée et les droits du tiers (vie privée, liberté d’expression, confidentialité des échanges).

Si vous recevez une demande d’accès portant sur l’identité d’un tiers (informateur, source d’une évaluation, auteur d’un signalement), ne refusez pas automatiquement et ne communiquez pas non plus automatiquement cette identité. Effectuez une analyse documentée des intérêts en présence : quel est l’intérêt de la personne concernée à connaître cette identité ? Le tiers pouvait-il raisonnablement prévoir que ses propos seraient divulgués ? Existe-t-il un motif légitime de protection de son identité ? Consignez cette analyse par écrit. En cas de refus de communication, motivez-le précisément dans votre réponse.

Un refus non motivé de communiquer une information disponible viole le droit d’accès. À l’inverse, une communication non encadrée de l’identité d’un tiers peut engager votre responsabilité à l’égard de ce tiers (violation de sa vie privée, rupture d’une promesse de confidentialité).

10 — Assurez-vous que votre organisation dispose d’une base légale pour tous les traitements réalisés par vos agents dans le cadre de leurs fonctions

L’affaire C-185/25 révèle qu’un traitement a priori anodin — un email professionnel formulant une demande de substitution de prestataire — peut devenir le cœur d’un litige RGPD si sa licéité est contestée. L’Avocat général rappelle que le droit d’accès permet précisément à la personne concernée de « vérifier la licéité du traitement ». Si vous n’êtes pas en mesure de justifier la base légale sur laquelle vos agents traitent des données dans le cadre de leurs fonctions courantes, vous êtes exposé.

Passez en revue votre registre des activités de traitement et vérifiez que chaque traitement réalisé par vos agents — y compris les plus informels comme les emails contenant des évaluations de personnes — dispose d’une base légale identifiée (intérêt légitime, exécution d’un contrat, obligation légale, consentement). Pour les traitements reposant sur l’intérêt légitime, documentez l’analyse qui justifie que cet intérêt l’emporte sur les droits des personnes concernées.

Si une personne concernée demande accès à ses données et constate que le traitement n’a pas de base légale, elle peut en demander l’effacement immédiat et saisir la CNIL. L’absence de base légale est l’un des manquements les plus lourdement sanctionnés par les autorités de protection des données.

PARTIE 2 | CONSEILS AUX PERSONNES CONCERNÉES

11 — Sachez que tout email professionnel contenant une opinion sur vous est une donnée personnelle : vous avez le droit d’en obtenir copie

L’affaire C-185/25 le confirme sans ambiguïté : une opinion, une appréciation ou un jugement de valeur vous concernant, dès lors qu’il est couché dans un email ou tout autre document par une personne identifiable, constitue une donnée personnelle au sens du RGPD. Peu importe que ce jugement soit subjectif, informel ou même basé sur des rumeurs : si quelqu’un écrit quelque chose sur vous dans un cadre professionnel, vous avez le droit d’en demander copie.

Si vous soupçonnez qu’un email ou un document interne vous concernant existe — parce qu’une décision vous a défavorablement surpris, parce qu’un collègue vous en a informé, ou parce que vous avez vu passer ce document par inadvertance — exercez formellement votre droit d’accès. Adressez une demande écrite claire au responsable du traitement (l’employeur, l’administration, l’organisation concernée) en indiquant : votre identité, la nature des données que vous recherchez, et la base légale de votre demande (« droit d’accès — article 15 RGPD »). L’organisation dispose d’un mois pour vous répondre et vous fournir une copie.

Ne laissez pas passer une décision vous affectant sans chercher à en comprendre les fondements documentaires. Un email que vous n’avez pas pu consulter, et qui a servi à vous écarter d’un poste ou d’une mission, peut être obtenu et, s’il contient des informations inexactes, contesté.

12 — Adressez toujours votre demande d’accès à l’organisation, pas à la personne qui a rédigé le document vous concernant

L’affaire C-185/25 tranche une question pratique cruciale : en contexte professionnel, c’est l’organisation (employeur, administration, établissement) qui est le responsable du traitement, et non la personne physique qui a rédigé un email en son nom. Adresser votre demande directement à votre supérieur ou à l’auteur de l’email vous expose à un refus fondé sur l’incompétence de l’interlocuteur — un refus qui peut être, selon les conclusions de l’Avocat général, juridiquement justifié.

Identifiez le bon interlocuteur : soit le délégué à la protection des données (DPO) de l’organisation, dont les coordonnées doivent être accessibles (politique de confidentialité, mentions légales, affichage interne), soit la direction générale ou les ressources humaines si aucun DPO n’est désigné. Si vous ne savez pas qui contacter, adressez votre demande à l’adresse générale de l’organisation en précisant qu’elle doit être transmise au DPO ou au responsable compétent.

Si l’auteur de l’email vous dit qu’il n’est pas responsable de vos données et qu’il ne peut pas répondre à votre demande, c’est souvent exact en droit — mais cela ne vous prive pas de vos droits. Redirigez simplement votre demande vers l’organisation.

13 — Si votre demande d’accès reste sans réponse ou est refusée sans motif, saisissez la CNIL sans tarder

Le droit d’accès à vos données personnelles est un droit fondamental garanti par le RGPD. L’organisation dispose d’un mois pour y répondre (délai pouvant être porté à trois mois pour les demandes complexes, avec information préalable). Passé ce délai, le silence équivaut à un refus. L’affaire C-185/25 rappelle que la violation du droit d’information peut constituer un dommage indemnisable — à condition que vous puissiez démontrer un préjudice réel et un lien de causalité.

Conservez la preuve de votre demande (email avec accusé de réception, lettre recommandée avec accusé de réception). Si vous n’obtenez pas de réponse satisfaisante dans le délai légal, déposez une plainte auprès de la CNIL (Commission nationale de l’informatique et des libertés) via son formulaire en ligne. La CNIL dispose de pouvoirs d’investigation et peut mettre en demeure l’organisation de répondre ou prononcer des sanctions.

La plainte auprès de la CNIL est gratuite, accessible sans avocat, et constitue souvent une étape préalable utile avant toute action judiciaire. Elle crée également une pression formelle sur l’organisation qui peut conduire à une réponse rapide.

14 — Si des informations inexactes sur vous ont été utilisées pour prendre une décision vous défavorisant, demandez leur rectification immédiatement

Le RGPD ne se limite pas au droit d’accès. Il vous confère également le droit à la rectification des données inexactes vous concernant. L’affaire C-185/25 illustre bien cette dimension : les informations transmises sur RS par le tiers au directeur d’école n’avaient pas été vérifiées, et RS n’avait pas pu les contester avant que la décision de le remplacer soit prise. Ce type de situation crée un préjudice réel, potentiellement indemnisable.

Si vous avez accès à un document contenant des informations vous concernant qui sont fausses ou tronquées, exercez sans délai votre droit à la rectification (article 16 RGPD) : adressez une demande écrite à l’organisation en indiquant précisément quelles données sont inexactes et pourquoi, en joignant si possible des éléments de preuve. L’organisation est tenue de corriger les données dans un délai d’un mois. Si la décision vous affectant peut encore être révisée, la rectification peut permettre de la remettre en cause.

Le droit à la rectification est souvent plus immédiatement efficace que l’action en justice. Une organisation qui prend une décision sur la base de données inexactes et qui refuse de les corriger s’expose à des sanctions RGPD et à une action en réparation — deux risques qu’elle voudra généralement éviter.

15 — Documentez le préjudice que vous subissez du fait d’une violation de votre droit d’accès ou d’information

L’affaire C-185/25 confirme que la violation du droit d’information (article 15 RGPD) peut, si elle vous cause un dommage réel, ouvrir droit à réparation au titre de l’article 82 RGPD. Mais la jurisprudence de la Cour de justice est constante : un simple désagrément ou une contrariété sans conséquence concrète ne suffit pas. Il faut démontrer un dommage matériel ou moral effectif et un lien de causalité entre ce dommage et la violation.

Dès que vous constatez qu’une organisation n’a pas répondu à votre demande d’accès ou vous a communiqué des informations incomplètes, commencez à constituer un dossier : notez les dates de vos demandes et des réponses reçues (ou de leur absence), conservez tous les échanges écrits, et identifiez les conséquences concrètes que cette situation vous a causées — stress avéré, impact sur votre activité professionnelle, décision subie que vous auriez pu contester si vous aviez eu accès aux données. Ce dossier sera précieux si vous décidez d’engager une action en réparation.

Plus votre préjudice est documenté et concret, plus votre demande d’indemnisation sera crédible devant un tribunal. Ne vous contentez pas d’alléguer un préjudice moral vague : associez-le à des faits précis et, si possible, à des éléments chiffrables.

16 — Si vous êtes prestataire ou indépendant, vos données personnelles détenues par un client bénéficient de la même protection que celles d’un salarié

L’affaire C-185/25 met en scène un coordinateur de programme externe — ni salarié ni fonctionnaire —, et l’Avocat général ne remet à aucun moment en cause sa qualité de « personne concernée » au titre du RGPD. Le règlement protège toute personne physique identifiable, quelle que soit la nature de la relation contractuelle qui la lie à l’organisation traitant ses données.

Si vous intervenez comme auto-entrepreneur, consultant, prestataire ou freelance pour une entreprise ou une administration, et que vous soupçonnez que des données vous concernant (évaluations, appréciations, emails internes) ont été produites ou utilisées à votre égard, vos droits RGPD s’exercent de la même façon qu’un salarié : demande d’accès, rectification, opposition, réparation en cas de violation. Ne laissez pas croire qu’être « externe » vous prive de ces droits.

Votre relation contractuelle (contrat de prestation, mission d’intérim, convention de stage) est sans incidence sur votre qualité de personne concernée au sens du RGPD. Dès lors que des données vous concernant existent dans les systèmes de l’organisation, vous pouvez en demander communication.

17 — Ne cherchez pas à obtenir l’identité d’un tiers informateur uniquement par le biais du RGPD : explorez d’autres voies si nécessaire

L’affaire C-185/25 établit, selon l’Avocat général, que le RGPD ne vous garantit pas systématiquement l’accès à l’identité des personnes dont les propos ont inspiré un document vous concernant. La « source » au sens de l’article 15 RGPD est l’auteur du document, pas ses interlocuteurs préalables. Si vous souhaitez identifier une source dans un contexte de conflit professionnel ou judiciaire, d’autres voies peuvent être explorées.

En cas de litige, parlez à votre avocat des possibilités offertes par d’autres fondements que le RGPD : en droit du travail, le principe du contradictoire vous permet de connaître les motifs de toute sanction ou décision vous affectant ; en procédure civile, il est possible de demander au juge d’ordonner la communication de pièces que l’adversaire détient ; en droit pénal, si des propos faux ont été tenus dans un contexte de harcèlement ou de dénigrement, une enquête peut permettre d’identifier les auteurs.

Le RGPD est un outil puissant mais circonscrit. Il ne remplace pas l’ensemble des droits procéduraux et judiciaires qui peuvent vous permettre d’accéder à des informations dans le cadre d’un litige. Combinez les outils disponibles pour être pleinement efficace.

18 — Avant d’engager une action en réparation, évaluez soigneusement la réalité et l’ampleur de votre préjudice

L’affaire C-185/25 rappelle, par la jurisprudence constante qu’elle mobilise, que le droit à réparation fondé sur le RGPD n’est pas automatique dès lors qu’une violation est constatée. Il faut démontrer un dommage réel — matériel ou moral — et un lien de causalité direct avec la violation. Une action en justice engagée sans préjudice clairement établi est coûteuse en temps et en argent, et risque de ne pas aboutir.

Avant toute action, évaluez honnêtement votre situation : avez-vous subi une conséquence concrète de la violation du droit d’accès — une perte de mission, un préjudice de réputation, un impact psychologique documenté (certificat médical, arrêt de travail) ? Pouvez-vous établir un lien direct entre le fait de ne pas avoir eu accès à vos données et ce préjudice ? Si la violation vous a simplement contrarié sans conséquence tangible, une plainte auprès de la CNIL peut suffire, sans qu’il soit nécessaire d’aller devant les tribunaux.

La plainte CNIL et l’action en réparation sont deux démarches distinctes et complémentaires. La première est rapide, gratuite et peut résoudre le problème sans procès. La seconde est justifiée lorsque le préjudice est réel, documenté et que la voie amiable a échoué.

Comme tout droit, le droit à réparation fondé sur le RGPD est soumis à des délais de prescription. En France, le délai de prescription de droit commun pour les actions en responsabilité civile est de cinq ans à compter du jour où vous avez eu connaissance du dommage. Pour les actions devant le tribunal administratif contre une personne publique, des règles spécifiques s’appliquent. Attendre trop longtemps peut vous priver définitivement de vos droits.

Dès que vous avez connaissance d’une violation de vos droits RGPD — refus de réponse à une demande d’accès, communication de données inexactes, utilisation de vos données sans base légale —, fixez une date de référence et agissez dans des délais raisonnables. La démarche auprès de la CNIL peut être engagée rapidement, et constitue souvent un premier acte interruptif du délai de prescription. En cas de doute sur les délais applicables à votre situation, consultez un avocat sans tarder.

Le temps joue souvent contre vous: l’urgence à agir est réelle, même lorsque la voie prioritaire est la négociation amiable ou la plainte CNIL.