1. Droit d’accès RGPD(1) : un nouvel enjeu dans les contentieux employeur-salarié
L’article 15 du RGPD consacre un droit d’accès à ses données personnelles. La demande en résultant n’a en pratique pas à être motivée par l’intéressé et doit être satisfaite gratuitement.
L’article 4 du RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable.
L’identification peut être directe (par un nom notamment) ou résulter du croisement de plusieurs données : une localisation, une adresse IP, un numéro de téléphone. La CNIL (Commission nationale de l’informatique et des libertés) comme les juges retiennent, en pratique, une acception large de ces données personnelles.
Dans le contexte de l’entreprise, le droit d’accès aux données personnelles a deux versants : un droit à l’information d’abord, le salarié peut ainsi faire confirmer que ses données font ou non l’objet d’un traitement ; un droit de copie ensuite, qui est l’enjeu réel.
Dans une perspective contentieuse, l’objectif du salarié ou de l’ancien salarié est alors de collecter le maximum d’éléments possibles afin d’évaluer l’opportunité d’une procédure et, le cas échéant, de disposer de preuves au soutien de demandes relatives, par exemple, à un harcèlement moral, à des rappels de salaires au titre d’heures supplémentaires, ou encore à une méconnaissance de l’obligation de santé et de sécurité.
Face à ce constat, la vigilance de l’employeur s’impose.
Tout d’abord, et en application de la réglementation RGPD, l’employeur doit veiller à remettre à la personne intéressée toutes les données personnelles demandées. Pour autant, il n’est pas question de lui en remettre plus que nécessaire, ni de porter atteinte aux droits des tiers.
Par ailleurs, s’il est possible pour l’entreprise de s’opposer en tout ou partie aux demandes de communication, encore faut-il que ce refus soit motivé et justifié. Ainsi, il n’est pas possible pour l’employeur de rejeter la demande d’accès du salarié au seul motif qu’un contentieux est en cours ou envisagé.
[1] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) : Le règlement général sur la protection des données – RGPD | CNIL
2. Un salarié demande l’accès à ses données personnelles : que doit transmettre l’employeur ?
La distinction entre « données » et « documents »
Pour savoir quelles informations doivent être remises au salarié qui fait valoir son droit d’accès, il convient de revenir à la lettre de l’article 15 du RGPD, lequel consacre un droit d’accès aux données, et non pas un droit d’accès aux documents.
Bien que cette nuance puisse paraître théorique à première vue, elle est en réalité décisive en pratique.
La conséquence directe de cette distinction est que l’employeur est strictement tenu de communiquer les seules données personnelles du salarié. Autrement dit, il n’est nullement dans l’obligation de fournir ou de laisser au salarié l’accès aux documents de l’entreprise.
L’obligation de communiquer les documents ne s’impose que si la remise d’extraits, voire de pièces entières, conditionne l’exercice effectif du droit du salarié. L’employeur doit alors procéder à une restitution fidèle et compréhensible de ses données (CJUE 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, aff. n° C-487/21).
L’accès à la boîte e-mail
La demande d’accès à la boîte e-mail professionnelle est l’illustration la plus fréquente du droit d’accès aux données personnelles.
La Cour de cassation a ainsi jugé que les courriels professionnels émis ou reçus par le salarié via sa messagerie professionnelle constituent des données à caractère personnel au sens du RGPD (Cass. soc., 18 juin 2025, n° 23-19.022). Par cette décision, les juges ont surtout précisé que les données à caractère personnel comprenaient à la fois le contenu des courriels professionnels, mais aussi les métadonnées associées (horodatages, destinataires, existence de pièce jointe, etc).
Ainsi, lorsqu’un salarié émet une demande d’accès à sa boîte e-mail, l’employeur est en principe tenu de lui communiquer l’ensemble de ces informations.
Afin de satisfaire à ses obligations, l’employeur peut remettre un tableau réunissant les métadonnées et les données extraites des messages du demandeur, ou lui remettre une copie des courriels eux-mêmes.
En pratique, les courriels professionnels peuvent faire l’objet de suppressions, anonymisations ou censures partielles lorsque cela est nécessaire pour assurer par exemple le respect des droits des tiers ou protéger certains intérêts.
En sus des courriels professionnels, le salarié peut également obtenir communication de ses courriels personnels éventuellement présents sur sa messagerie professionnelle. Les courriels personnels bénéficiant d’une protection particulière et renforcée, l’employeur ne peut y accéder pour les caviarder. Il doit les fournir au salarié en l’état.
Les limites et les refus possibles pour protéger l’entreprise
Le droit d’accès aux données personnelles n’est pas illimité puisque l’article 15.4 du RGPD interdit qu’il porte atteinte aux droits et libertés d’autrui.
Ainsi, un arbitrage doit être fait avec le droit des tiers, et une conciliation doit s’opérer avec d’autres intérêts de l’entreprise tels que le secret des affaires ou encore la propriété intellectuelle.
Concrètement, l’employeur doit donc faire un tri entre les données qui doivent être remises à l’intéressé, et celles qui doivent être protégées.
La CNIL pose ainsi une méthodologie en plusieurs étapes, notamment afin qu’il ne soit pas porté atteinte aux droits des tiers lors d’une demande d’accès à une boîte e-mail professionnelle.
Si le salarié est expéditeur ou destinataire, la communication est présumée respectueuse des droits des tiers.
En revanche, lorsque le salarié n’est pas destinataire ou expéditeur d’un courriel, mais qu’il y est seulement mentionné, il revient à l’employeur d’analyser ledit courriel et de déterminer si sa communication ne porterait pas atteinte aux droits des tiers.
Dans l’affirmative, il lui revient d’adopter toutes les mesures pour y remédier. En pratique, cela passe par une suppression de certaines informations, ou encore une anonymisation.
Ce n’est que lorsque ces mesures correctrices ne peuvent être mises en œuvre, et exceptionnellement, que l’employeur peut refuser la communication des données, par une décision motivée.
Le Conseil d’État l’a confirmé dans un cas d’espèce sensible. Les juges administratifs ont ainsi considéré qu’une enquête interne en cours n’écarte pas, en soi, le droit d’accès du salarié qu’elle vise. Il appartenait à l’employeur d’occulter les informations sensibles, non de refuser en bloc (CE, 1er décembre 2025, n° 498023, Sté TotalEnergies SE).
Un refus hâtif ou non motivé peut se payer cher. En effet, la CNIL peut prononcer une amende plafonnée à 20 millions d’euros ou, pour une entreprise, à 4 % de son chiffre d’affaires mondial, le plus élevé des deux montants l’emportant.
3. Comment répondre à une demande d’accès RGPD d’un salarié ?
La demande d’accès aux données personnelles doit émaner du salarié concerné ou de son mandataire. Elle doit être adressée à l’employeur ou directement au responsable de traitement de l’entreprise.
Dans ce cadre :
- Vérifier l’identité sans excès – La demande de pièces justificatives d’identité serait abusive et non pertinente. En pratique, la simple communication de l’identifiant professionnel du salarié ou de l’ancien salarié doit suffire.
- Répondre gratuitement – Des frais raisonnables ne se conçoivent qu’à titre exceptionnel, pour une copie supplémentaire, par exemple.
- Tenir le délai – Une réponse doit être apportée dans les meilleurs délais, et au maximum dans un délai d’un mois à compter de la réception de la demande. Une prolongation de deux mois du délai est possible, uniquement si la demande est complexe ou si les données à traiter sont nombreuses.
- Choisir le bon format – Une demande électronique appelle une réponse électronique d’usage courant, transmise de façon sécurisée.
- Motiver tout refus – En cas de refus, il est primordial d’en exposer les motifs ainsi que les voies et délais de recours ouverts. Les droits de tierces personnes, le secret des affaires, la propriété intellectuelle ou la suppression des données dans le respect des durées de conservation prévues, peuvent le cas échéant être invoqués selon les circonstances.
Notre conseil : Anticipez. Un process formalisé et un interlocuteur unique vous permettront de répondre dans les délais, tout en préservant les droits des tiers et les intérêts de l’entreprise.
L’équipe de Majorelle Avocats reste à votre disposition pour vous accompagner dans la mise en œuvre d’un process clair de traitement de ces demandes et, le cas échéant, pour y répondre.