L’accès aux données de la messagerie professionnelle

Cour de cassation, civile, Chambre sociale, 18 juin 2025, n° 23-19.022, Publié au bulletin

« Les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l’article 4 du Règlement Général sur la Protection des Données (RGPD). Ainsi, le salarié a le droit d’accéder à ces courriels, l’employeur devant lui fournir tant les métadonnées (horodatage, destinataires…) que leur contenu, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui. »

Un salarié a saisi la juridiction prud’hommale aux fins de contester la rupture de son contrat de travail. Afin de démontrer l’absence de cause réelle et sérieuse de son licenciement pour faute, il avait sollicité que son employeur produise notamment les courriels émis et reçus sur sa messagerie professionnelle, et dont il n’avait plus accès à compter de sa sortie des effectifs.

L’employeur s’étant refusé de produire de tels éléments, celui-ci a été condamné par la Cour d’appel à payer au salarié des dommages-intérêts pour non-respect du droit d’accès aux données personnelles.

Saisi d’un pourvoi, la Cour de cassation a été amenée à se prononcer sur la présente problématique : Les courriels émis et reçus sur la messagerie professionnelle du salarié licencié constitue-t-ils des données à caractère personnel que l’employeur doit produire à la demande du salarié ?

La chambre sociale a répondu par la positive à cette interrogation en considérant que les courriels de la messagerie professionnelle du salarié doivent être accessibles.

I.    La qualification juridique des courriels de la messagerie professionnelle comme données personnelles dont la communication incombe à l’employeur

Cette décision s’inscrit dans l’application du Règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

L’article 4 de ce règlement définit la notion de données à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

L’article 15 §§ 3 et 4 dudit Règlement confère à la personne concernée par ces données personnelles un droit d’accès à ces données. Cet accès se traduit par la communication de la part du responsable de traitement, d’une copie des données à la personne concernée qui en fait la demande, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui.

Dans la présente affaire, la Haute juridiction a fait application des dispositions précitées en qualifiant les messages émis et reçus de la messagerie électronique du salarié comme données personnelles au sens du RGPD. Elle consacre ainsi une obligation pour l’employeur de communiquer tant les métadonnées (horodatage, destinataires…) que leur contenu au salarié qui en fait la demande.

L’employeur avait pourtant opposé que le caractère professionnel des courriels faisait obstacle à l’application du RGPD. Ce moyen n’a pas prospéré, les courriels présents sur la messagerie professionnelle contiennent des éléments d’identification du salarié.

L’employeur qui méconnait cette obligation de communication des courriels professionnels peut être condamné à indemniser le salarié qui en a fait la demande. La Cour de cassation a ainsi confirmé l’arrêt de la Cour d’appel ayant suivi ce raisonnement et condamné l’employeur à verser au salarié des dommages-intérêts.

II.    La portée de l’arrêt du 25 juin 2025

Cette décision du 18 juin 2025 constitue un arrêt de principe : il s’agit de la première fois que la chambre sociale de la Cour de cassation fait application du Règlement Général sur la Protection des Données sur les courriels de la messagerie professionnelle.

Dans un arrêt récent, la Cour d’appel de Rennes avait déjà considéré que les courriels de la messagerie professionnelle du salarié constituaient des données personnelles, en posant la limite que la communication ne devait porter que sur les données à caractère personnel contenues dans les courriels (27 février 2025, Cour d’appel de Rennes, RG n° 24/02772).

La Cour de cassation apporte une solution encore plus favorable au salarié en faisant peser sur l’employeur une obligation de transmettre, l’intégralité du contenu des courriels mais également les métadonnées.

Cet arrêt surprenant va également à l’encontre de la position du Conseil d’Etat, qui considère que la communication ne doit porter que sur des informations et non sur des documents (Conseil d’État, 10ème SSJS, 15/10/2015, 381223, Inédit au recueil Lebon).

Dans un précédent arrêt, la deuxième chambre civile de la Cour de cassation avait rappelé qu’il appartient au juge de veiller au principe de minimisation des données à caractère personnel et en faisant injonction aux parties de n’utiliser ces données, contenues dans les documents dont la communication est ordonnée, qu’aux seules fins de l’action en discrimination (Cass. 2ème civ., 3 octobre 2024, n° 21-20.979, Publié au bulletin).

Il est à supposer que les solutions de la deuxième chambre civile et de la chambre sociale ne sont pas nécessairement en opposition et peuvent être conciliées.

La sanction de l’employeur à ne pas répondre à la demande de communication pourra être celle d’une amende (contravention de 5ème classe – 1.500 euros) et de dommages et intérêts en fonction du préjudice subi. A noter qu’une injonction à produire ces messages ne semblerait pas possible (Cons. prud’h. Paris, 23 avril 2024, n° 21-10466).

III.    Les potentielles limites que l’employeur peut opposer au salarié sollicitant la communication des courriels de sa messagerie professionnelle

La Cour de cassation rappelle toutefois que cette obligation de communication des données personnelles pèse sur l’employeur « sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui ».

Dans l’espèce, l’employeur n’avait donné aucune explication à son refus d’accéder à la demande de son ancien salarié.

Dans ces circonstances, bien que le caractère professionnel des courriels soit indifférent à l’application du RGPD, l’employeur pourrait invoquer le droit de la propriété intellectuelle, droit à la vie privée ou encore le respect du secret des affaires. Dans cette dernière situation, il devrait justifier de l’application de l’article L.151-1 du Code de commerce, ou encore qu’il s’exposerait à des sanctions pénales en violation du secret professionnel (protégé par l’article 226-13 du Code pénal).

In fine, l’employeur pourrait opposer son impossibilité de transmettre les courriels de la messagerie professionnelle du salarié lorsque ce dernier en sollicite la communication tardivement, dès lors que la messagerie en question a été détruite (CA Paris, pôle 6 ch. 2, 12 mai 2022, n° 21/02419).

Il pourrait justifier de cette destruction en invoquant les stipulations de son règlement intérieur LA prévoyant notamment au-delà d’un certain délai.