JURISPRUDENCE "DONNÉES PERSONNELLES" DE LA COUR DE CASSATION

À propos de Cassation sociale 18 juin 2025,

DÉCISION : la Cour confirme la condamnation de l’employeur payer au salarié des dommages-intérêts pour non-respect du droit d’accès aux données personnelles, jugeant que les correspondances professionnelles entre bien dans la définition des données personnelles.

FAITS : un salarié victime de discrimination assigne son employeur en justice pour obtenir réparation.
L’affaire va en cassation suite au pourvoi formé par l’employeur, qui critique en quatre moyens l’arrêt de la Cour d’appel, notamment sur la recevabilité des preuves.

Dans le quatrième moyen, l’employeur reproche à la Cour de qualifier de fautif l’absence de communication des courriels professionnels reçues et envoyés sur l’ensemble de la carrière du salarié.

DROIT :

L’article 4 « les définitions » du RGPD donne une définition large des données personnelles :
« 1. données à caractère personnel », toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »).

Est réputée être une « personne physique identifiable », une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Cette définition ne contient pas de champs d’exclusion. Dès lors, si des données traitées peuvent identifier une personne concernée, Celle-ci peut exercer les droits prévus à l’article 15 « Droit d’accès de la personne concernée » du RGPD :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel  »
[…]
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.
4. Le droit d’obtenir une copie visée au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui.

- La question qui se posait à la Cour était de savoir si la présence de données personnelles sur des documents et du matériels professionnels suffit à justifier les demandes de divulgations et de communications de ces documents ?

La CNIL précise que le droit d’accès concerne « les données » et non les documents et supports matériels ou logiciels.

Cependant, fournir l’entièreté des échanges courriels, alors que tous ne contiennent pas des éléments de données personnels peut créer une problématique.

La Cour a toutefois choisi de préserver les droits d’accès des travailleurs à leurs données personnelles. En effet, il fallait consacrer encore une fois la liberté de la preuve en matière prud’homale, sans possibilité pour l’employeur d’invoquer l’existence d’un trop grand nombre de données ou sanctionner le salarié d’une double peine : un salarié qui n’a pas eu le temps de récupérer ses courriels ou bien qui se retrouve privé d’accès à son adresse électronique suite à une mise à pied conservatoire...

Cette jurisprudence s’inscrit dans une interprétation plus libérale de la preuve, (voir aussi, la décision de la chambre sociale du 19 mars 2025 qui reconnait le témoignage anonyme comme preuve admissible, au nom de l’égalité des armes et du droit à un procès équitable).

DROITS EN ACTIONS : Pour le représentant du personnel

Le droit de la preuve s’en trouve facilité, puisque l’accès à ces données est un droit reconnu de manière général ; le salarié n’a pas besoin de motiver sa demande par un motif légitime. Il ne sera plus forcément indispensable de n’utiliser qu’un référé ou d’attendre une mesure d’instruction du juge pour obtenir l’accès aux échanges courriels, de plus un accès aux métadonnées (horodatage, destinataires etc.).

Mais, les temps de la CNIL ne sont pas déjà ceux du référé. À suivre…

Il faudra aussi rester vigilant pour les prochains arrêts de la Cour de cassation. Les juges de la Haute juridiction n’ont pas suivi l’avis de l’avocate générale, les conséquences de cet arrêt pourraient à l’avenir être atténuées par l’assemblée plénière ou la chambre réunie...

SOURCES :
https://www.courdecassation.fr/deci...
https://www.cnil.fr/fr/reglement-eu...
https://www.courdecassation.fr/deci...
https://www.courdecassation.fr/geta...