L'accès aux données personnelles, une nouvelle arme pour les salariés en conflit avec leur employeur
L’article 15 est probablement le plus connu du RGPD. Il établit le droit d'accès de toute personne concernée par un traitement informatisé aux données le concernant. Depuis le 25 mai 2018 et l'entrée en vigueur du Règlement européen sur la protection des données, ce droit d’accès est majoritairement exercé par les particuliers qui veulent savoir ce qu’un e-commerçant, une banque en ligne ou un géant du numérique savent d’eux et ainsi préserver leur vie privée.
Ces derniers temps, ce droit d’accès tend à déborder dans la sphère professionnelle. Dans le cadre d’une procédure disciplinaire ou de licenciement, un nombre croissant de salariés en délicatesse avec leur employeur invoque le RGPD pour accéder à leurs données personnelles. Ils souhaitent récupérer un maximum d'informations pour négocier en position de force ou étoffer leur dossier en cas de recours aux Prud'hommes.
Instrumentalisation du droit d’accès
Quand on parle données personnelles, le périmètre est large. Il s’agit de toute donnée permettant d’identifier une personne, y compris par recoupement d’informations. Les demandes portent principalement sur les mails échangés mais peuvent s’étendre à l’historique des conversations sur les messageries instantanées de type Teams et Slack ou aux comptes-rendus d’entretiens professionnels. Des requêtes plus atypiques concernent des logs de connexion ou des rapports de télépéage pour démontrer un dépassement des horaires de travail au-delà de la durée légale.
Dans un contexte de contentieux potentiel, ces demandes sont devenues quasiment systématiques, observe Clémentine Beaussier, avocate associée au cabinet Squair. "Elles sont activées par le salarié, généralement sur les conseils de son avocat, pour obtenir des preuves qui, espère-t-il, joueront en sa faveur." Pour la juriste, cette pratique devenue courante tend à instrumentaliser le droit d’accès, en le détournant de son objectif premier.
Pour autant, les entreprises doivent faire face à cet afflux de demandes d’accès en respectant les obligations prévues par le RGPD. Soit un délai de réponse d’un mois, avec une prolongation possible de deux mois si la demande est complexe. C’est le cas quand un salarié réclame l’intégralité des quelque 70 000 mails échangés en 25 ans de vie professionnelle. Face à ces exigences extrêmement génériques, "l’employeur peut demander au salarié de préciser sa demande, notamment les périodes, les noms des expéditeurs ou des destinataires", poursuit Clémentine Beaussier.
Des garde-fous juridiques pour l’employeur
Quand le salarié fournit ces précisions, l’employeur doit déterminer ce qui peut être transmis ou non. Il existe, en effet, des garde-fous juridiques que l’employeur peut opposer pour préserver ses intérêts, comme le droit des tiers lorsque les mails concernent d’autres personnes que le salarié, la confidentialité de la correspondance, le secret des affaires ou le respect de la propriété intellectuelle.
S’il existe des logiciels de data discovery permettant d’automatiser l’extraction de données personnelles, ce travail reste, dans la pratique, avant tout manuel. "La revue se fait le plus souvent mail par mail, ligne par ligne, observe Stéphanie Poussou, avocate of counsel au cabinet Capstan Avocats. Il s’agit, par ailleurs, d’anonymiser certaines parties d’un mail concernant d’autres collaborateurs afin de respecter le droit des tiers."
Face à l’ampleur de la tâche, Stéphanie Poussou conseille d’établir un processus clairement défini en interne : Qui reçoit la demande et la traite ? Comment on accède aux données ? Le délégué à la protection des données (DPO), quand il y en a un, est bien sûr dans la boucle mais aussi les services IT et juridique, en plus de la DRH. Des actions préventives peuvent aussi être conduites en amont. Les managers de proximité peuvent être invités à formaliser leurs griefs davantage à l’oral qu’à l’écrit.
"Il faut documenter tout ce qui est fait dans un registre, par exemple un fichier Excel avec la date de la demande et les échanges, préconise Clémentine Beaussier. Cela permettra ainsi de démontrer à la Cnil, en cas de contrôle, que l’entreprise s’est bien saisie de la demande et a fait le nécessaire. Une première demande provoque généralement un peu de panique, mais il peut être utile de" capitaliser "sur cette première expérience pour mettre en place et documenter un processus."
Une entreprise peut également affiner sa politique de conservation et de suppression des données personnelles, afin de ne pas conserver inutilement des données et limiter ainsi les données à transmettre. "Par exemple, il peut être prévu que 30 jours après la sortie des effectifs, l’entreprise supprime la boîte mail du salarié, sous réserve qu’il en soit bien averti en amont, via la charte IT ou la politique de confidentialité", complète Clémentine Beaussier.
Une jurisprudence évolutive
L’entreprise doit aussi assurer une veille juridique car la jurisprudence fluctue sur le sujet. L’arrêt du 18 juin 2025 de la chambre sociale de la Cour de cassation a jeté le trouble en étant particulièrement favorable aux employés. Il considère que les courriels professionnels émis et reçus par un salarié constituent des données à caractère personnel au sens du RGPD et que leur communication ne peut être refusée sans motif légitime. "
"La Cour de cassation assimile le mail à une donnée personnelle, alors qu’en principe il ne faut pas confondre la donnée avec le support qui la contient", rappelle Stéphanie Poussou. Un avis qui s’oppose aux positions répétées de la Cnil et des institutions européennes.
Peu de temps après, la Cour d’appel de Paris a adopté une position plus équilibrée dans sa décision du 18 décembre 2025. "Ici l’employeur avait refusé de faire droit à la demande de son ancien salarié d’accéder à l’intégralité de ses mails, explique Clémentine Beaussie. La Cour a confirmé la posture de l’employeur en précisant que le droit d’accès permet d’obtenir une copie des données personnelles et non l’intégralité de la messagerie."
Dans sa version de novembre 2025, le projet de Digital Omnibus de "simplification" du RGPD montre la volonté du législateur européen d’offrir un nouveau bouclier au responsable de traitement face à d’éventuels abus dans les demandes de droit d’accès. "Il envisage que le responsable pourrait refuser de traiter toute demande de droit d’accès utilisé à des fins autres que la protection de leurs données, analyse Clémentine Beaussie. Cette proposition est intéressante mais interroge sur la manière de prouver le détournement d’utilisation du droit d’accès et les risques de refus abusifs des responsables de traitement."
Pour l’avocate, il ne faudrait donc pas passer d’un extrême à l’autre avec des responsables de traitement autorisés à refuser toute demande. "Il y a un équilibre à trouver ici entre les demandes de droit d’accès excessives et les droits et intérêts de l’employeur et des tiers à sauvegarder", conclut-elle.