Données personnelles des salariés : entre droit d'accès, vie privée et proportionnalité

Par un arrêt du 18 juin 2025 (Cass. soc., n° 23-19.022), la Cour de cassation confirme que : « les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel [...] et le salarié a le droit d'accéder à ces courriels [...] tant [à] leur contenu [qu'aux] métadonnées ».

Cette décision illustre la mise en balance à opérer entre la réglementation issue du RGPD, le respect de la vie privée du salarié et les prérogatives de contrôle de l'employeur, notamment le droit à la preuve.

Le droit d'accès du salarié articulé avec le respect de sa vie privée

L'article 15 du RGPD consacre le droit d'accès, entendu comme le droit pour toute personne d'obtenir une copie des données à caractère personnel la concernant. Précisemment, l'article 15, paragraphes 3 et 4 du RGPD dispose que le responsable de traitement est tenu de fournir une copie des données à caractère personnel faisant l'objet d'un traitement, sous réserve que l'exercice de ce droit ne porte pas atteinte aux droits et libertés d'autrui. En matière de relations de travail, ce rôle de responsable de traitement est assumé par l'employeur.

Dès lors, en entreprise, le droit d'accès revêt une portée particulièrement large. Non seulement il englobe les courriels professionnels et leurs métadonnées (horodatage, destinataires), mais aussi les échanges sur messageries internes, les bulletins de paie, les évaluations et entretiens, les historiques de connexion, ainsi que toute donnée permettant d'identifier le salarié, y compris lorsqu'elle figure dans des échanges entre tiers. Il s'agit, en pratique, d'un outil probatoire central, de plus en plus utilisé dans le cadre des litiges prud'homaux.

Ce droit s'articule également avec le respect de la vie privée, dont bénéficie le salarié y compris sur son lieu de travail, en vertu de l'article 8 de la Convention européenne des droits de l'homme et de l'article 9 du Code civil français. Progressivement, la  jurisprudence a précisé les conditions dans lesquelles l'employeur peut accéder aux données électroniques. 

Depuis l'arrêt Nikon du 2 octobre 2001, les fichiers ou courriels identifiés comme « personnels » sont protégés par le secret de la vie privée. 

La Cour de cassation a, ensuite, jugé que, sauf risque ou événement particulier, ces éléments ne peuvent être ouverts qu'en présence du salarié ou celui-ci dûment appelé (Soc., 17 mai 2005). 

À l'inverse, les fichiers non identifiés comme personnels sont présumés professionnels, ce qui autorise leur consultation hors la présence du salarié (Soc., 18 octobre 2006). Cette solution a été précisée en 2012, la Cour exigeant une identification explicite comme « personnel », une simple mention telle que « mes documents » étant insuffisante. 

De ce qui précède, il résulte une présomption de professionnalité des outils informatiques, tempérée par la protection des contenus clairement identifiés comme relevant de la vie privée.

Le droit à la preuve de l'employeur : une atteinte justifiée sous condition de proportionnalité

Eu égard au droit à la preuve, la Cour de cassation rappelle constamment que le droit à la protection des données personnelles n'est pas absolu. 

En pratique, le droit au respect de la vie privée peut être mis en balance avec la nécessité pour l'employeur de faire valoir ses intérêts légitimes, notamment son droit à la preuve. Il appartient alors au juge d'apprécier la proportionnalité de l'atteinte au regard du but poursuivi.

Dans un arrêt du 8 mars 2023 (n° 21-12.492), la Haute juridiction affirme qu'il doit être mis en balance avec d'autres droits fondamentaux, en particulier le droit à la preuve. Ainsi, la Cour admet la communication de bulletins de paie d'autres salariés, sous réserve d'occultations, dès lors que cette atteinte à la vie privée est indispensable à l'exercice du droit à la preuve et proportionnée au but poursuivi, en l'occurrence la défense du principe d'égalité de traitement. 

Dans le même sens, dans l'arrêt Valéo du 16 février 2022, la Cour valide une atteinte à la vie personnelle lorsqu'elle est nécessaire à la protection de la santé et de la sécurité des travailleurs et proportionnée à cet objectif.

Dès lors, les questions relatives aux données personnelles en entreprise relèvent d'une logique constante de mise en balance. L'arrêt du 18 juin 2025 en illustre la portée en consacrant un droit d'accès du salarié particulièrement étendu, incluant le contenu des courriels émanant de sa messagerie professionnelle.

Le salarié bénéficie ainsi d'un droit d'accès particulièrement large, qui s'articule avec son droit au respect de la vie privée, tandis que l'employeur peut faire valoir ses intérêts légitimes, notamment en matière de contrôle et de preuve. Il revient donc au juge de trouver un équilibre concret entre ces intérêts en appréciant, au cas par cas, la proportionnalité des atteintes en présence. En pratique, cela conduit à privilégier une communication large des données, tout en admettant des aménagements, tels que l'anonymisation ou l'occultation, lorsque cela est nécessaire et justifié.