CJUE, 5e Chambre, Arrêt du 18 juin 2026, NTH Haustechnik GmbH c. EM | CJUE C‑484/24

       

POINTS ESSENTIELS

1. La jurisprudence nationale vaut base juridique au sens du RGPD, sous conditions strictes L’article 6, paragraphe 3, du RGPD, lu à la lumière de l’article 8, paragraphe 2, et de l’article 52 de la Charte, n’exige pas un acte législatif formel : la jurisprudence nationale peut constituer la base juridique d’un traitement de données à caractère personnel effectué par une juridiction dans le cadre de sa fonction juridictionnelle, à condition d’être claire, précise et d’application prévisible, de répondre à un objectif d’intérêt public et d’être proportionnée à celui-ci. L’absence de dispositions législatives précises sur l’utilisation de preuves contenant des données illicitement collectées n’est pas, en soi, incompatible avec le RGPD, si la jurisprudence nationale remplit ces critères.

2. L’article 17 §3 e) du RGPD n’est pas une condition de licéité autonome La liste des conditions de licéité énumérées à l’article 6, paragraphe 1, du RGPD est exhaustive et limitative. L’article 17, paragraphe 3, sous e) — exception au droit à l’effacement lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice — n’ajoute aucune condition de licéité supplémentaire à cette liste. Une juridiction nationale ne peut pas fonder sur cette seule disposition le traitement de données à caractère personnel, fût-il nécessaire au règlement d’un litige. Elle doit nécessairement se rattacher à l’une des conditions de l’article 6, paragraphe 1.

3. L’illicéité de la collecte initiale n’interdit pas automatiquement le traitement juridictionnel La méconnaissance du principe de limitation de la conservation (article 5 §1 e) du RGPD) lors de la collecte ou de la conservation initiale des données n’emporte pas, par elle-même, l’interdiction pour une juridiction de traiter ces données dans le cadre de sa fonction juridictionnelle. L’illicéité initiale constitue toutefois un facteur pertinent et aggravant qui doit être pris en compte dans le cadre de l’examen de proportionnalité imposé par le principe de minimisation (article 5 §1 c) du RGPD).

4. Les juridictions nationales sont tenues à un examen de proportionnalité approfondi Lorsqu’une juridiction traite des données à caractère personnel dans le cadre de sa fonction juridictionnelle — notamment des données issues d’une collecte ou d’une conservation initiales potentiellement illicites —, elle est tenue de vérifier que ce traitement est adéquat, pertinent et limité au nécessaire au regard de l’objectif juridictionnel poursuivi, et de mettre en balance l’ensemble des intérêts en présence : droit à la preuve et droit à un procès équitable d’un côté, droits fondamentaux à la vie privée et à la protection des données de l’autre. Elle doit examiner s’il existe des moyens de preuve moins intrusifs permettant d’atteindre l’objectif poursuivi.

5. Le non-respect des obligations d’information de l’article 13 aggrave l’appréciation Le fait que l’employeur n’ait pas satisfait à ses obligations d’information au titre de l’article 13 du RGPD lors de la collecte initiale des données est un élément que la juridiction nationale doit prendre en considération dans son examen de proportionnalité. Ce manquement ne conduit pas automatiquement à l’exclusion des preuves, mais il pèse dans la balance et peut, combiné à d’autres éléments de gravité, conduire à écarter les données litigieuses.

   

I. UNE AFFAIRE AU CARREFOUR DU DROIT DE LA PREUVE, DU DROIT DU TRAVAIL, DE LA PROCEDURE CIVILE, ET DU DROIT DE LA PROTECTION DES DONNÉES... LE TOUT DANS UN CONTEXTE FAMILIAL

NTH Haustechnik GmbH (ci-après « NTH »), entreprise allemande spécialisée dans le chauffage et la climatisation, employait EM, dont le mari était le gérant de la société. La relation de travail a pris fin le 31 octobre 2019. Jusqu’à sa séparation d’avec le gérant, intervenue le 26 juin 2022, EM a cependant continué d’avoir accès aux locaux et aux équipements informatiques de NTH. Immédiatement après cette séparation, NTH a établi qu’EM avait revendu pour son propre compte, via la plateforme eBay, des biens revendiqués par NTH pour une valeur de 13 217,09 euros à la revente, le préjudice total allégué (prix d’achat et frais de remplacement) étant évalué à 46 567,91 euros.

EM conteste les faits dans leur qualification : les biens auraient pour l’essentiel été des retours clients, des articles défectueux ou périmés, cédés à titre gratuit par NTH. La preuve des ventes a été obtenue par F, employé de NTH mais également fils du gérant et d’EM (sic & lol) en accédant au compte eBay privé d’EM au moyen de son identifiant et de son mot de passe. Les circonstances précises de l’obtention de ces données d’accès sont litigieuses : le gérant indique que F. a consulté l’historique de navigation d’un ordinateur appartenant à NTH utilisé par EM ainsi qu’un « dossier familial »stocké sur le serveur de la société ; EM, quant à elle, soutient que le gérant a usurpé son numéro de téléphone professionnel pour réinitialiser son mot de passe eBay.

La singularité de l’affaire tient à plusieurs facteurs concomitants:

- 1. Les données litigieuses — à savoir les informations relatives à des transactions de vente sur la plateforme eBay — avaient été obtenues par l’employeur, gérant de la société, au moyen d’un accès non autorisé au compte privé de l’ancienne salariée (conjointe de l’employeur), accès dont la légalité est elle-même disputée...

- 2. Cet accès litigieux avait été rendu possible grâce à des identifiants qui auraient été conservés sur les systèmes informatiques de l’entreprise au-delà de la durée nécessaire à la relation de travail, potentiellement en violation du principe de limitation de la conservation énoncé à l’article 5, paragraphe 1, sous e), du RGPD.

- 3. La juridiction de renvoi, saisie d’un litige en dommages-intérêts, était appelée à nécessairement traiter ces données dans l’exercice de sa mission juridictionnelle, posant ainsi la question du cadre de licéité applicable aux traitements effectués par les autorités judiciaires.

- 4. L’intérêt de cet arrêt réside également dans la méthode que la Cour adopte pour y répondre : refusant de suivre servilement la structuration des questions telle que posée par la juridiction de renvoi, la Cour procède à une reformulation substantielle des fondements de licéité pertinents, substituant l’article 6, paragraphe 1, sous c) -- obligation légale -- à l’article 6, paragraphe 1, sous e) --mission d’intérêt public-- pour fonder le traitement des données (présentées comme illicites par EM) opéré par une juridiction statuant sur des offres de preuve. Cette inflexion n’est pas anodine : elle requalifie la nature même de l’activité juridictionnelle de traitement de données, en insistant sur le caractère obligatoire — et non simplement facultatif ou discrétionnaire — de la mission du juge national lorsqu’il est saisi d’éléments de preuve régulièrement produits devant lui.

   

II. LA CONFIRMATION DU CHAMP D’APPLICATION DU RGPD AUX TRAITEMENTS JURIDICTIONNELS

A. La qualification du traitement juridictionnel comme traitement relevant du RGPD

L’enseignement premier et fondamental de l’arrêt C‑484/24 tient à la confirmation, avec une précision inédite, de l’applicabilité du RGPD aux traitements de données effectués par les juridictions nationales dans le cadre de leurs fonctions juridictionnelles civiles. La Cour avait amorcé cette solution dans Norra Stockholm Bygg (C‑268/21), mais en s’abstenant de répondre aux questions relatives à la licéité de la collecte. L’arrêt C‑484/24 comble ce vide en précisant que :

- Le dossier de procédure constitue un « fichier » au sens de l’article 4, point 6 du RGPD dès lors qu’il est structuré et accessible selon des critères déterminés ; - La consultation, extraction, conservation ou utilisation de documents dématérialisés transmis par les parties constituent des « traitements » au sens de l’article 4, point 2 du RGPD ; - Chaque transmission de données à un responsable de traitement distinct (en l’occurrence la juridiction) emporte un acte de collecte à la charge de ce dernier.

Cette extension a des conséquences pratiques immédiates : les juridictions civiles sont désormais des responsables de traitement soumis aux obligations du RGPD lorsqu’elles manipulent des pièces de procédure contenant des données à caractère personnel. Elles ne peuvent pas se prévaloir d’une exception d’indépendance judiciaire pour s’affranchir des principes du règlement.

 

B. La clé de voûte : la base de licéité applicable aux traitements juridictionnels

La seconde contribution majeure de l’arrêt est la requalification du fondement de licéité applicable. En optant résolument pour l’article 6, paragraphe 1, sous c) — obligation légale — plutôt que pour l’article 6, paragraphe 1, sous e) — mission d’intérêt public —, la Cour opère un choix porteur de conséquences systémiques importantes.

Le traitement juridictionnel des preuves est contraint : la juridiction n’a pas de marge de discrétion pour ignorer les éléments de preuve admissibles que lui soumettent les parties. Ce caractère imposé, qui découle de l’obligation légale de statuer sur leur admissibilité et, en cas d’admissibilité, de les prendre en compte, distingue fondamentalement les traitements juridictionnels des traitements discrétionnaires fondés sur la mission d’intérêt public.

Cette requalification emporte une implication sur les exigences de la base juridique nationale : l’article 6§3 du RGPD, applicable aux fondements c) et e), impose que la base juridique nationale définisse les finalités du traitement, réponde à un objectif d’intérêt public et soit proportionnée à cet objectif. Pour les traitements fondés sur c), ces exigences doivent être satisfaites par la loi procédurale ou, à défaut, par la jurisprudence nationale (solution novatrice de l’arrêt au point 77).

   

III. LA JURISPRUDENCE NATIONALE COMME ÉQUIVALENT FONCTIONNEL DE LA « LOI » & LE REJET DE LA DOCTRINE DE LA « CONTAMINATION » DE LA PREUVE ILLICITE

A. L’un des apports les plus opérationnels de l’arrêt réside dans la reconnaissance explicite que la notion de « droit de l’État membre » au sens de l’article 6, paragraphe 3, du RGPD peut couvrir la jurisprudence nationale. Cette solution, déjà esquissée dans Policejní prezidium (C‑57/23) dans le contexte de la conservation de données biométriques, est transposée ici au droit de la preuve civile, avec une condition de clarté, précision et prévisibilité de ladite jurisprudence.

Cette approche préserve l’autonomie procédurale des États membres tout en maintenant des garde-fous substantiels : les États ne peuvent pas se contenter d’une législation procédurale lacunaire si leur jurisprudence n’y supplée pas de manière claire et prévisible. Dans l’hypothèse où ni la loi ni la jurisprudence ne précisent les conditions d’utilisation des preuves contenant des données personnelles, le traitement serait dépourvu de base juridique conforme au RGPD.

 

B. L’arrêt prend une position ferme sur la question de savoir si l’illicéité de la collecte initiale des données « contamine » leur utilisation ultérieure en justice, en y répondant par la négative. La violation du principe de limitation de la conservation, ou plus généralement la collecte illicite de données, ne prive pas ipso facto la juridiction de la possibilité de les utiliser comme éléments de preuve.

Cette solution se justifie par la primauté reconnue au droit à un procès équitable (article 47 de la Charte) dans la mise en balance avec les droits à la vie privée et à la protection des données (articles 7 et 8 de la Charte). La Cour considère que la condamnation de la partie fautive par les mécanismes correctifs du RGPD (responsabilité civile de l’article 82, amende administrative de l’article 83) suffit à sanctionner la violation, sans qu’il soit nécessaire d’en ajouter les conséquences sur la recevabilité de la preuve en droit procédural.

Cette solution est conforme à la tendance générale du droit européen des droits de l’homme : la Cour européenne des droits de l’homme n’impose pas, en règle générale, l’exclusion de preuves illicitement obtenues au titre de l’article 6 CEDH, laissant aux États membres une marge d’appréciation en la matière (position confortée par la référence à H.W. c. France, CE:ECHR:2025:0123JUD001380521 au point 75 de l’arrêt).

   

IV. PORTÉE EN DROIT DU TRAVAIL

A. Une décision pivot pour le contentieux prud’homal impliquant la surveillance des salariés

L’affaire C‑484/24 présente une dimension spécifique au droit du travail qui en démultiplie la portée pratique. La collecte des données relatives aux ventes eBay de l’employée avait été réalisée dans le cadre d’une relation de travail (même post-contractuelle, en raison des accès maintenus par l’employée), et la procédure judiciaire était une action civile en responsabilité de l’employeur contre son ancienne salariée.

L’arrêt valide implicitement le principe selon lequel un employeur peut produire en justice des données collectées dans un contexte de travail, même si cette collecte a pu violer le RGPD ou le droit national de la protection des données des salariés (en l’espèce, l’article 26 du Bundesdatenschutzgesetz), sous réserve que la juridiction effectue une mise en balance proportionnée. L’obligation d’information préalable de l’article 13 du RGPD, dont la violation est alléguée dans l’affaire, n’est pas présentée comme un obstacle dirimant à la recevabilité des preuves.

Cette solution est susceptible de renforcer la position des employeurs dans le contentieux disciplinaire et prud’homal en leur offrant une voie d’accès à la preuve même lorsque la collecte des données sur les comportements salariaux a été réalisée de manière irrégulière, à condition que la juridiction du travail valide l’admissibilité des preuves après une mise en balance concrète des droits en présence.

 

B. Les limites : l’obligation de minimisation à la charge du juge

L’arrêt impose toutefois une contrainte forte sur les juridictions du travail : celles-ci doivent, avant de divulguer les données aux parties ou à des tiers (ce qui inclut les audiences publiques ou la communication de pièces), vérifier que les données divulguées se limitent à celles strictement nécessaires à l’objectif de la procédure. Cette obligation de minimisation judiciaire peut conduire à expurger certaines données ou à limiter leur divulgation (par exemple, les données personnelles des acheteurs eBay tiers à la procédure).

   

V. ARTICULATION DES DROITS FONDAMENTAUX EN CONFLIT

A. La hiérarchisation implicite entre droit à la preuve et droit à la protection des données

L’arrêt C‑484/24 clarifie la hiérarchie des droits fondamentaux en conflit dans le contentieux de la preuve : le droit à un procès équitable (article 47 de la Charte) n’est pas inférieur, par nature, au droit à la protection des données (article 8 de la Charte). La mise en balance doit être effectuée in concreto, mais la Cour oriente les juridictions nationales vers une présomption d’admissibilité des preuves, même illicitement obtenues, sauf atteinte caractérisée et disproportionnée aux droits fondamentaux.

Cette hiérarchisation pragmatique répond à une préoccupation d’effectivité du droit à la protection juridictionnelle : une interprétation trop restrictive du RGPD qui conduirait à exclure systématiquement les preuves entachées d’irrégularités dans la collecte viderait de son contenu le droit de la preuve dans les litiges civils et commerciaux.

 

B. L’absence de droit à invoquer la violation du RGPD commise au détriment de tiers

L’arrêt pose par ailleurs une limite à la recevabilité des moyens tirés du RGPD : une partie à une procédure judiciaire ne peut pas, en principe, se prévaloir d’une violation du RGPD commise au détriment de tiers. Cette solution, cohérente avec la conception personnaliste du droit de la protection des données, empêche que le RGPD devienne un instrument de blocage de la procédure par invocation de violations de droits de tiers non parties.