La chambre sociale de la Cour de cassation, par un arrêt du 24 juin 2026 (n° 24-22.792, FS-B, publié au Bulletin), consacre en droit du travail un principe que la Cour de justice de l'Union européenne avait posé dès 2023 : la seule violation du Règlement général sur la protection des données ne suffit pas à ouvrir droit à réparation. Le salarié qui se prévaut d'un manquement de son employeur au RGPD doit démontrer l'existence d'un préjudice matériel ou moral concret. À défaut, sa demande indemnitaire est vouée à l'échec, quand bien même l'irrégularité serait avérée.

I. Le contexte : le RGPD, nouveau terrain de contentieux prud'homal

Depuis son entrée en application en mai 2018, le Règlement général sur la protection des données (règlement UE 2016/679, dit RGPD) est progressivement devenu un argument de contentieux dans les litiges opposant salariés et employeurs. Invoqué à l'origine pour contester la licéité de preuves produites dans le cadre de procédures disciplinaires ou de licenciement, il a été de plus en plus mobilisé comme fondement autonome de demandes indemnitaires : certains salariés soutenaient que tout manquement de l'employeur aux règles de protection des données leur causait, par définition, un préjudice ouvrant droit à réparation.

C'est cette logique du « préjudice automatique » que l'arrêt du 24 juin 2026 vient expressément condamner.

II. Les faits et la position de la cour d'appel

À la suite de son licenciement, un salarié de la société Natixis avait saisi la juridiction prud'homale. Dans le cadre du contentieux, l'employeur avait produit des éléments de preuve impliquant le traitement de données personnelles du salarié, collectées auprès d'une société tierce sans le consentement de l'intéressé, en méconnaissance des dispositions du RGPD.

La cour d'appel de Paris avait tranché deux questions distinctes. Sur la recevabilité des preuves, elle avait fait application de la jurisprudence désormais établie en matière de loyauté probatoire : une preuve illicite peut être admise dans les débats dès lors que sa production est indispensable à l'exercice du droit à la preuve et proportionnée au but poursuivi. Sur ce premier point, l'arrêt n'est pas remis en cause.

Sur la demande indemnitaire en revanche, la cour d'appel avait condamné l'employeur à verser au salarié 5 000 euros de dommages-intérêts pour exécution déloyale du contrat de travail, au motif que la violation du RGPD avait « nécessairement » causé un préjudice. C'est ce raisonnement que censure la Cour de cassation.

III. La solution retenue par la Cour de cassation

Le fondement textuel : l'article 82 du RGPD

Statuant au visa de l'article 82, paragraphe 1, du RGPD, la chambre sociale rappelle que le droit à réparation est réservé à « toute personne ayant subi un dommage matériel ou moral du fait d'une violation » du règlement. La lettre même du texte impose la preuve d'un dommage effectivement subi.

L'alignement sur la jurisprudence de la CJUE

La chambre sociale cite expressément deux arrêts de la Cour de justice de l'Union européenne qui avaient déjà tracé cette ligne :

  • CJUE, 4 mai 2023, Österreichische Post, C-300/21 : la simple violation du RGPD ne confère pas, à elle seule, un droit à réparation ; le droit à réparation remplit une fonction compensatoire et non punitive ;
  • CJUE, 25 janvier 2024, MediaMarktSaturn, C-687/21 : le demandeur doit établir que la violation lui a causé un dommage matériel ou moral.

Les trois conditions cumulatives

Il résulte de ces textes et de cette jurisprudence que l'indemnisation sur le fondement de l'article 82 du RGPD suppose la réunion de trois conditions cumulatives : une violation du règlement, un dommage matériel ou moral réel, et un lien de causalité entre la violation et ce dommage. En l'absence de l'un de ces éléments, et notamment en l'absence de préjudice démontré, la demande indemnitaire doit être rejetée.

IV. Portée pratique de l'arrêt

Pour les employeurs : la fin d'une source de condamnation réflexe

L'arrêt met un terme aux condamnations fondées sur la seule constatation d'une irrégularité RGPD. Le salarié qui entend obtenir réparation devra désormais caractériser un dommage concret : atteinte à sa vie privée documentée, perte de maîtrise sur ses données, diffusion non autorisée à des tiers, anxiété ou préjudice moral établis par des éléments tangibles. L'irrégularité formelle, aussi réelle soit-elle, ne suffit plus.

La distinction impérative entre responsabilité civile et pouvoir de sanction administratif

Il importe de souligner que cet arrêt n'affecte pas les pouvoirs de la Commission nationale de l'informatique et des libertés (CNIL). Celle-ci peut engager des procédures de mise en demeure et prononcer des sanctions administratives à l'encontre d'un employeur en méconnaissance du RGPD, indépendamment de tout préjudice subi par un salarié à titre individuel. La conformité au RGPD demeure donc une obligation pleine et entière pour tout employeur, quelles que soient les conséquences contentieuses individuelles.

Une décision à replacer dans un mouvement de fond

Cet arrêt s'inscrit dans une tendance plus large de la chambre sociale, qui a progressivement écarté la notion de préjudice in re ipsa dans plusieurs domaines : obligation de formation (Cass. soc., 17 juin 2026, n° 25-10.517, F-B), remise tardive de documents, dépassement ponctuel de durées maximales de travail. La chambre sociale unifie ainsi sa position : la responsabilité civile exige toujours la preuve d'un dommage réel, quel que soit le fondement du manquement invoqué.

Conclusion

L'arrêt du 24 juin 2026 clarifie et sécurise le traitement des demandes indemnitaires fondées sur le RGPD devant les juridictions prud'homales. En exigeant la démonstration d'un préjudice effectif, la Cour de cassation rétablit les conditions ordinaires de la responsabilité civile et met fin à une dérive contentieuse qui tendait à faire du seul manquement formel au RGPD une source automatique d'indemnisation.

Pour les praticiens du droit social, la conséquence est claire : en demande, il conviendra désormais d'articuler avec soin la caractérisation du préjudice concret subi par le salarié ; en défense, l'absence de préjudice démontré constituera un moyen de fond pleinement opérant.

Référence : Cass. soc., 24 juin 2026, n° 24-22.792, FS-B. Texte visé : Article 82, §1, du règlement (UE) 2016/679 du 27 avril 2016 (RGPD). Lien Légifrance : https://www.legifrance.gouv.fr/juri/id/JURITEXT000054339891

Elsa BONETTO-SABRI Avocat spécialiste en droit du travail Barreau d'Avignon Cabinet TOTEM Avocats Associés - Avignon / Toulon www.totem-avocats.fr