RGPD et messagerie professionnelle : que peut exiger un salarié ?

Dans un arrêt du 18 juin 2025 (n°23-19.022), la chambre sociale de la Cour de cassation rappelle qu’un salarié peut accéder à ses données personnelles, y compris les courriels envoyés ou reçus via sa messagerie professionnelle.

Le contexte : un salarié demande à son employeur la communication de l’ensemble des échanges de courriels qu’il a envoyés ou reçus via sa messagerie professionnelle, sur le fondement de l’article 15 du RGPD.

L’employeur refuse partiellement, produisant seulement 5 comptes rendus sur 14 entretiens réalisés dans le cadre d’une enquête interne.

Il justifie cette absence par la volonté de certains témoins de conserver l’anonymat.

Les courriels professionnels sont des données personnelles

La Cour de cassation qualifie les mails professionnels d’un salarié de données personnelles au sens de l’article 4 du RGPD.

Le salarié peut donc demander à en obtenir une copie, sur le fondement de l’article 15 du RGPD.

Atténuation du droit d’accès

L’employeur peut refuser la transmission :

• si l’anonymisation ou la pseudonymisation ne permet pas d’éviter une atteinte aux droits des tiers,
• s’il peut justifier d’un risque sérieux d’atteinte à la vie privée ou au secret des correspondances d’autres salariés.

Le droit d’accès du salarié à ses données n’est pas absolu.
Il peut ainsi être limité lorsque l’exercice de ce droit porte atteinte aux droits et libertés d’autrui, notamment à la vie privée ou au secret des correspondances d’autres salariés.

Le refus par l’employeur pour ces raisons peut être contesté dans la mesure où le salarié avait déjà connaissance des correspondances s’il en était l’émetteur ou le receveur.

La Cour de cassation a souligné que l’anonymisation ou la pseudonymisation des données peut permettre de protéger les droits des tiers, mais ce n’est pas une excuse automatique pour ne pas communiquer certains documents.

Elle a relevé que :

• Seuls 5 comptes rendus sur 14 entretiens étaient produits par l’employeur ;
• L’argument selon lequel certains témoins auraient souhaité rester anonymes n’était pas suffisant ;
• L’entreprise n’expliquait pas en quoi une anonymisation des propos aurait été impossible ;
• En l’absence de justificatif, il ne pouvait être exclu que les éléments non versés étaient favorables au salarié ou infirmaient les griefs.

Point non encore tranché

La CNIL considère également comme données personnelles les courriels dans lesquels le salarié est simplement mentionné (et non uniquement les courriels dont il est l’expéditeur ou le destinataire).

La Cour de cassation ne s’est pas encore prononcée sur ce point. Des clarifications sont à attendre.

Solution opposée rendue dès le lendemain

Le 19 juin 2025, la cour d’appel d’Amiens adopte une position contraire :
Elle rejette la demande d’un salarié, exigeant que ce dernier :

• Précise sa demande,
• Justifie que sa demande est indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi,
• Vérifie que les éléments qu’il demande ne sont pas de nature à porter atteinte à la vie personnelle d’autrui.

Rappel : Position de la CNIL sur la méthode

La CNIL recommande aux employeurs :

• de produire un tableau listant les mails envoyés et reçus,
• d’inviter le salarié à préciser sa recherche si elle est trop large,
• d’expliquer le temps nécessaire au traitement de la demande.

Attention : en tout état de cause, au regard de la décision de la Cour de cassation, si le salarié ne précise pas sa demande l’employeur est tenu de lui transmettre les données.

Conclusion

À ce jour, l’employeur est tenu de répondre à une demande d’accès formulée par un salarié, même imprécise, sauf atteinte manifeste aux droits des tiers.

La position jurisprudentielle reste toutefois mouvante, et des divergences persistent ce qui ne facilitent pas les décisions des entreprises.