UNE JURISPRUDENCE DES "COURRIELS", VOS E-MAILS ONT DES DROITS !

À propos de l’arrêt de la Cour de cassation, chambre sociale,18 juin 2025, Pourvoi nº 23-19.022
https://www.courdecassation.fr/deci...

Cet arrêt ouvre-t-il un droit général à l’accès à toute la boite mail professionnelle du salarié ?

CONTEXTE : en cas de licenciement d’un salarié en raison de la commission de faits de harcèlement sexuel ou moral ou d’agissements sexistes ou, à connotation sexuelle, il appartient aux juges du fond d’apprécier la valeur probante d’une enquête interne produite par l’employeur, au regard le cas échéant des autres éléments de preuve produits par les parties.

Si l’on se réfère au RGPD…

Il résulte de l’article 4 et de l’article 15, § 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), d’une part, que :
les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens premier de ces textes.

Le salarié a, de plus, un droit d’accéder à ces courriels, l’employeur devant lui fournir tant les métadonnées (horodatage, destinataires...) de leur contenu, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui.

Saisine et rappel des fait et de la procédure en l’espèce…

Selon l’arrêt attaqué (Paris, 25 mai 2023), un salarié a été engagé en qualité de directeur du développement, le 12 juin 2001. En dernier lieu, il occupait les fonctions de directeur associé.
Convoqué à un entretien préalable, avec mise à pied à titre conservatoire, il a été licencié pour faute par lettre du 30 mars 2018. Le 30 août 2018, le salarié a saisi la juridiction prud’homale de diverses demandes.

À la suite de plaintes de salariées portant sur des comportements déplacés de nature sexiste ou à connotation sexuelle à leur encontre, une enquête a été menée, conjointement, par la D.R.H. et le comité d’hygiène et de sécurité et des conditions de travail (CHSCT).

Contestant son licenciement ainsi que la convention de forfait en jours régissant sa durée de travail, le salarié a saisi la juridiction prud’homale : par jugement du 12 novembre 2019, le conseil de prud’hommes de Paris a dit le licenciement du salarié fondé sur une cause réelle et sérieuse et l’a débouté de ses demandes tirées de ce chef.

Statuant sur appel du salarié par arrêt du 25 mai 2023, la cour d’appel de Paris a infirmé le jugement en toutes ses dispositions sauf en ce qu’il a débouté le salarié de ses demandes d’heures supplémentaires pour les années 2015 et 2016, de repos compensateur et de dommages-intérêts pour manquement à l’obligation de sécurité.

Elle a aussi condamné la société à payer au salarié diverses sommes à titre d’indemnité pour licenciement sans cause réelle et sérieuse, de dommages-intérêts en raison des circonstances vexatoires de la rupture, de dommages-intérêts pour violation des dispositions relatives au repos du salarié, de dommages-intérêts pour non-respect du droit d’accès aux données personnelles, à titre de rappel pour heures supplémentaires, outre les congés payés afférents et au titre des frais irrépétibles d’appel.

Elle a ordonné à la société de rembourser à Pôle emploi les indemnités de chômage qui ont été versées au salarié du jour du licenciement au jour de l’arrêt dans la limité de trois mois d’indemnités et l’a condamnée aux dépens d’appel.

L’employeur a formé un pourvoi...

Au-delà de l’identification des différents points de droit suivants :

• liberté de la preuve en matière prud’homale et droit au respect de la vie privée : appréciation de la preuve résultant d’un rapport d’enquête diligenté par l’employeur à la suite de la relation de propos et agissements sexistes et à caractère sexuel, dont certains comptes-rendus ont été « caviardés », des témoignages anonymisés et d’autres non produits dans le souci de préserver l’anonymat des salariés n’ayant pas souhaité que leur témoignage soit divulgué,
• obligation de l’employeur d’assurer la sécurité des salariés sur leur lieu de travail et appréciation des attestations relatant des faits susceptibles de caractériser des agissements sexistes ou de harcèlement sexuel, ...

... cet arrêt est intéressant en ce qu’il pose une question inédite sur le droit d’accès des salariés à leurs données personnelles contenues dans des courriels à caractère professionnel : ces courriels sont-ils considérés comme comportant des données à caractère personnel au sens de l’article 15 du règlement (UE) 2016/679 (RGPD) ?

La Cour de cassation…

En l’espèce, pour allouer au salarié des dommages et intérêts pour non-respect du droit, la Cour a rejeté le pourvoi et condamné la société aux dépens et, notamment, la somme de 3000 euros.

Si l’on se réfère essentiellement au quatrième moyen, on constate que l’employeur fait grief à l’arrêt de le condamner à payer au salarié des dommages-intérêts pour non-respect du droit d’accès aux données personnelles.

Or, selon l’article 15 du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, (RGPD), « la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès aux dites données à caractère personnel  ».

La Cour de cassation considère que la cour d’appel a violé ces dispositions en ne prenant pas en considération des courriels à caractère professionnel.

En effet, « en se fondant sur la seule absence de transmission des courriels demandés au salarié pour considérer que la société avait manqué à son obligation de communication des données personnelles concernant le salarié sans rechercher si la société, dont elle a relevé que celle-ci avait transmis à ce dernier ’’un bon nombre d’éléments’’, n’avait néanmoins pas communiqué les données personnelles contenues dans ces courriels, la cour d’appel a privé sa décision de base légale au regard des dispositions de l’article 15 du règlement (UE) n° 2016/679. »

« Selon l’article 15, § 3 et 4, du RGPD relatif au ’Droit d’accès de la personne concernée’, la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès aux dites données à caractère personnel.

Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement, sous réserve que le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui.

Il en résulte, d’une part, que les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l’article 4 du RGPD et, d’autre part, que le salarié a le droit d’accéder à ces courriels, l’employeur devant lui fournir tant les métadonnées (horodatage, destinataires) que leur contenu, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui. »

Dans les faits, « la cour d’appel (...) a constaté, procédant à la recherche prétendument omise, que la société s’était bornée à lui transmettre divers documents (de fin de contrat, bulletins de paie, prévoyance, documents relatifs à une place de parking, une voiture, documents contractuels, avis d’arrêt de travail, suivi individuel de santé, R.I.B, documents relatifs au licenciement), mais ne justifiait pas avoir communiqué ni les métadonnées ni le contenu des courriels émis ou reçus par lui, et n’invoquait aucun motif pour expliquer cette abstention. »

La cour d’appel a pu en déduire que cette abstention était fautive et a constaté qu’elle avait causé à l’intéressé un préjudice dont elle a souverainement apprécié le montant.

Moyen juridique non fondé !

La Cour de cassation rappelle un principe clair :

Selon l’avis préalable, « sachant que le salarié réclamait la communication de l’ensemble des mails échangés à l’occasion de l’exécution du contrat de travail et n’a obtenu que la copie de ses documents contractuels et de ses documents de santé et financiers, il convient de s’interroger sur la portée de l’article 15 du Règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données ou RGPD, qui dispose que :

• « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes : [...]

[...]

• Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement.

[...]

• Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »

L’identification de la personne qui les reçoit ou les envoie, ils contiennent bien une donnée à caractère personnel et entrent donc dans le champ d’application du RGPD (l’article 15 susvisé).

Mais une seconde observation s’impose, que souligne le guide établi par la CNIL pour l’application en droit interne des dispositions du RGPD : le droit d’accès porte uniquement sur des données personnelles et non sur des documents.

«  L’organisme ou le responsable du traitement doit donner un « effet utile » à la demande et donc ne pas la rejeter au seul motif qu’elle viserait des documents et non des données, comme c’est le cas en l’espèce . »

Toutefois, la finalité du RGPD n’est pas "d’obtenir la copie de la correspondance électronique professionnelle émise ou reçue par le salarié dans le cadre de son activité dont il a, par définition, eu connaissance en totalité, et qui ne contient, comme seules données personnelles, que son identification. »

L’avocate appelle également à la vigilance quant à l’utilisation que pourrait faire, un salarié mal intentionné, de la récupération de l’ensemble de ces données professionnelles, sous couvert de recours au RGPD et qu’il pourrait ensuite exploiter à des fins commerciales ou techniques.

Jurisprudence connexe (ou associée)

Le doyen Jean-Guy Huglo précise, à propos de l’ouverture du droit à la preuve dans le contentieux de l’obtention de la preuve au moyen de mesures d’instructions ordonnées sur le fondement de l’article 145 du Code de procédure civile en matière de discrimination :

« Dans un des arrêts du 8 mars 2023, la chambre sociale a affirmé que le droit à la protection des données à caractère personnel n’est pas un droit absolu et doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité, en particulier le droit à un recours effectif et à accéder à un tribunal impartial - Cass. soc., 8 mars 2023, n° 21-12.492.

Mais, la Cour de cassation ne s’est jamais prononcée sur l’interprétation des dispositions de l’article 15 du RGPD dans le cas d’un courriel à caractère professionnel.

Au plan judiciaire, la " Cour de justice de l’Union européenne a pour sa part notamment jugé que le droit d’accès permet à la personne concernée de prendre connaissance de ces données et de vérifier que ces dernières sont exactes et traitées de manière conforme à cette directive, afin (...) d’exercer les droits qui lui sont conférés par les articles 12, sous b) et c), 14, 22 et 23 de celle-ci" (cf. HUGLO).

La CJUE rappelle également que ce droit d’accès est nécessaire pour permettre à la personne concernée d’exercer, le cas échéant, son droit à la rectification, son droit à l’effacement (" droit à l’oubli ") et son droit à la limitation du traitement, qui lui sont reconnus, respectivement, par les articles 16, 17 et 18 du RGPD, son droit d’opposition au traitement de ses données à caractère personnel, prévu à l’article 21 du RGPD, ainsi que son droit de recours en cas de dommage subi, prévu aux articles 79 et 82 du RGPD. »

La CNIL adopte la même position que la CJUE et le Comité Européen de la protection des données quant à la finalité de ce droit : " l’exercice du droit d’accès permet à une personne de savoir si des données qui la concernent sont traitées puis d’en obtenir, si elle le souhaite, la communication dans un format compréhensible. Cette démarche permet notamment de contrôler l’exactitude des données et, au besoin, de les faire rectifier ou effacer ".

° ÉCLAIRAGES :

Cette décision constitue (selon les termes mêmes de la Haute Juridiction) une jurisprudence de principe récente sur l’articulation du droit d’accès RGPD avec le droit social, notamment dans un litige prud’homal ou lors d’un licenciement (preuve, charge de la preuve).

L’arrêt de juin  2025 ne crée pas un “droit au pillage” systématique de toute boîte mail professionnelle après rupture de contrat, mais reste encadré  :

• Le droit d’accès existe, mais sa mise en œuvre peut être limitée par les droits et libertés d’autrui,
• Un refus fondé sur l’article  12 RGPD peut être justifié si la demande est manifestement infondée ou excessive (abus du droit).

Bien qu’il n’y ait pas de nouvelle décision proprement dite postérieure à l’arrêt du 18  juin  2025, il s’avère nécessaire de préciser la portée et les limites de cet arrêt :

• la Cour de cassation n’a pas ouvert un droit général et absolu permettant au salarié (ou ex-salarié) de repartir avec « toute » sa boîte mail professionnelle, mais a simplement consacré un droit d’accès encadré fondé sur l’article  15 du RGPD.
• Ce droit doit être exercé dans un cadre conforme au RGPD.

Secteur Juridique National UNSA

juridique@unsa.org

Crédit rawpixel.com sur Freepik