L’accès aux données personnelles, une nouvelle arme pour les salariés en conflit avec leur employeur

Quand le RGPD s’invite aux Prud’hommes. Pour préparer leur défense, un nombre croissant de salariés demandent à accéder à leurs mails ou à leurs comptes-rendus d’entretiens d’évaluation.

L’article 15 est probablement le plus connu du RGPD. Il établit le droit d’accès de toute personne concernée par un traitement informatisé aux données la concernant. Depuis le 25 mai 2018, date d’entrée en vigueur du Règlement européen sur la protection des données, ce droit d’accès est majoritairement exercé par les particuliers qui cherchent à savoir ce qu’un e-commerçant, une banque en ligne ou un géant du numérique sait d’eux, afin de préserver leur vie privée.

Récemment, ce droit d’accès tend à déborder dans la sphère professionnelle. Dans le cadre d’une procédure disciplinaire ou de licenciement, un nombre croissant de salariés en conflit avec leur employeur invoque le RGPD pour accéder à leurs données personnelles. Ils souhaitent récupérer un maximum d’informations pour négocier en position de force ou étoffer leur dossier en cas de recours aux Prud’hommes.

Instrumentalisation du droit d’accès

Les demandes portent principalement sur les mails échangés, mais peuvent également s’étendre à l’historique des conversations sur des messageries instantanées comme Teams et Slack, ou aux comptes-rendus d’entretiens professionnels. Certaines requêtes concernent des logs de connexion ou des rapports de télépéage pour prouver un dépassement des horaires de travail.

Ces demandes sont devenues quasi systématiques dans un contexte de contentieux potentiel, observe Clémentine Beaussier, avocate associée au cabinet Squair. « Elles sont activées par le salarié, généralement sur les conseils de son avocat, pour obtenir des preuves qui, espère-t-il, joueront en sa faveur. » Cette pratique tend à instrumentaliser le droit d’accès, en le détournant de son objectif initial.

Les entreprises doivent faire face à cet afflux de demandes d’accès en respectant les obligations prévues par le RGPD, notamment un délai de réponse d’un mois, avec une prolongation possible de deux mois si la demande est complexe. Cela peut se produire lorsque le salarié réclame l’intégralité de plusieurs milliers de mails échangés sur plusieurs années. Face à de telles demandes, « l’employeur peut demander au salarié de préciser sa demande, notamment les périodes, les noms des expéditeurs ou des destinataires », souligne Beaussier.

Des garde-fous juridiques pour l’employeur

Une fois les précisions fournies, l’employeur doit déterminer ce qui peut être transmis. Des garde-fous juridiques existent, comme le droit des tiers lorsque les mails concernent d’autres personnes, la confidentialité de la correspondance, le secret des affaires ou le respect de la propriété intellectuelle.

Bien que des logiciels de data discovery existent pour automatiser l’extraction de données personnelles, ce travail reste principalement manuel. « La revue se fait le plus souvent mail par mail, ligne par ligne, » indique Stéphanie Poussou, avocate of counsel au cabinet Capstan Avocats. Il s’agit également d’anonymiser certaines parties d’un mail pour respecter le droit des tiers.

Pour gérer cette tâche, Poussou recommande d’établir un processus clairement défini en interne, impliquant les services IT et juridique, ainsi que la DRH. Des actions préventives peuvent également être mises en place. Les managers peuvent être invités à formaliser leurs griefs davantage à l’oral qu’à l’écrit.

Il est conseillé de documenter toutes les actions dans un registre, par exemple un fichier Excel avec la date de la demande et les échanges. Cela permettra de démontrer à la CNIL, en cas de contrôle, que l’entreprise a pris en compte la demande et a agi en conséquence.

Une jurisprudence évolutive

Les entreprises doivent également rester vigilantes face à une jurisprudence en constante évolution. Un arrêt de la chambre sociale de la Cour de cassation, daté du 18 juin 2025, a établi que les courriels professionnels émis et reçus par un salarié constituent des données à caractère personnel au sens du RGPD, et que leur communication ne peut être refusée sans motif légitime.

Peu après, la Cour d’appel de Paris a adopté une position plus équilibrée dans sa décision du 18 décembre 2025, confirmant que le droit d’accès permet d’obtenir une copie des données personnelles, et non l’intégralité de la messagerie.

Enfin, le projet de Digital Omnibus de « simplification » du RGPD, présenté en novembre 2025, vise à offrir un nouveau cadre aux responsables de traitement face aux abus potentiels dans les demandes de droit d’accès. Ce projet envisage que le responsable pourrait refuser de traiter toute demande de droit d’accès utilisée à des fins autres que la protection de données, soulevant des questions sur la manière de prouver un détournement d’utilisation du droit d’accès.

Un équilibre doit être trouvé entre les demandes excessives et les droits de l’employeur et des tiers à protéger.

Source : Journal du Net