La chambre sociale de la Cour de cassation s’est prononcée, le 18 juin 2025 (n° 23-19.022), sur une question inédite : un salarié peut-il, sur le fondement du RGPD, exiger de son employeur la communication des courriels qu’il a envoyés ou reçus via sa messagerie professionnelle ?
Les faits à l’origine du litige
Un cadre, licencié pour faute grave suite à des comportements déplacés de nature sexiste ou à connotation sexuelle à l’égard de ses collaboratrices, avait pris l’attache de son employeur pour récupérer son dossier personnel. Si l’employeur a répondu à cette demande, l’ancien salarié lui reprochait de s’être borné à lui communiquer ses seuls documents contractuels et concluait à une violation de son droit d’accès à ses données personnelles.
La Cour d’Appel de PARIS, dans un arrêt en date du 25 mai 2023 (n°22/04484), a condamné l’employeur à verser au requérant la somme de 500 € pour non respect du droit d’accès aux données personnelles aux motifs que, bien que l’employeur ait transmis certains documents, il ne justifie pas avoir communiqué les mails demandés, pas plus que leur métadonnées ou leur contenu, et n’invoque aucun motif pour expliquer cette abstention.
De là, l’employeur a formé un pourvoi. Le quatrième moyen pose la question inédite de savoir si les courriers électroniques émis ou reçus par un salarié dans le cadre de l’exercice de ses fonctions sont considérés comme comportant des données à caractère personnel au sens de l’article 15 du RGPD (Règlement général sur la protection des données) ?
Les arguments de l’employeur
1/ D’une part, l’employeur reprochait à la Cour d’Appel d’avoir retenu une violation du droit d’accès aux données personnelles alors que, selon lui, « ne peuvent toutefois pas constituer une donnée à caractère personnel les courriels émis ou reçus par un salarié dans l’exercice de ses fonctions ». Or, la Cour de cassation rappelle que la notion de « donnée personnelle » est large et s’entend, selon l’article 4 du RGPD, de « toute information se rapportant à une personne physique identifiée ou identifiable (…) tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. » Ainsi, les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle contiennent des données à caractère personnel (identification du destinataire/expéditeur, adresse mail, numéro de téléphone, adresse…).
Cette solution n’est pas nouvelle puisque la CNIL, dans une fiche « Le droit d’accès des salariés à leurs données et aux courriels professionnels » en date du 5 janvier 2022, a rappelé que « les principes relatifs à la protection des données s’appliquent à toutes les données personnelles collectées par un organisme, même dans un contexte professionnel : c’est pourquoi un salarié peut exercer son droit d’accès auprès de son employeur. »
2/ D’autre part, l’employeur reprochait à la Cour d’Appel de faire une interprétation erroné du droit d’accès aux données personnelles en visant les documents et non les données en elles-mêmes. Or, la Cour d’Appel avait bel et bien constaté que l’employeur n’avait pas communiqué, outre les courriels, leurs métadonnées ou leur contenu.
L’arrêt de la Cour de cassation
Dans son arrêt du 18 juin 2025, la Cour de cassation a rejeté le pourvoi de l’employeur aux motifs que, « d’une part, les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l’article 4 du RGPD et, d’autre part, que le salarié a le droit d’accéder à ces courriels, l’employeur devant lui fournir tant les métadonnées (horodatage, destinataires) que leur contenu, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui ».
Autrement dit,
- les courriels envoyés ou reçus via la messagerie professionnelle du salarié contiennent bien des données à caractère personnel au sens de l’article 4 du RGPD (identité de l’émetteur, adresse email, destinataires, etc.) ;
- le salarié dispose d’un droit d’accès à ces données, ce qui implique que l’employeur doit lui fournir non seulement les métadonnées (horodatage, adresses de destinataires), mais aussi le contenu des messages ;
⚠️cette communication n’est toutefois pas absolue : elle doit être refusée ou limitée si elle porte atteinte aux droits et libertés d’autrui.
Ainsi, la Cour de cassation valide l’analyse de la Cour d’appel de PARIS qui, après avoir vérifié puis constaté que l’employeur s’était limité à remettre à l’ancien salarié divers documents, a relevé que celui-ci n’avait ni transmis les métadonnées ni le contenu des courriels professionnels, et n’avait fourni aucune justification à cette omission. La cour d’appel a donc, à bon droit, considéré que cette abstention – fautive – avait causé un préjudice au salarié.
Une portée à nuancer
Si la formulation générale retenue laisse à penser une consécration d’un droit pour les salariés d’obtenir communication de l’intégralité de leurs courriels professionnels sans exception autre que celle tenant aux droits et liberté d’autrui, il convient de demeurer vigilant.
En effet, et ainsi que l’a rappelé Madame PRIEUR, Conseillère référendaire, la question posée à la Cour de cassation était de savoir si « les courriers électroniques émis ou reçus par un salarié dans le cadre de l’exercice de ses fonctions [étaient] considérés comme comportant des données à caractère personnel (…) » et non si de tels courriels étaient eux-mêmes qualifiables de données à caractère personnel. D’ailleurs, la CNIL avait rappelé, dans sa fiche thématique que « le droit d’accès porte sur des données personnelles et non sur des documents ».
En réalité, aucune disposition du RGPD ne rend obligatoire la communication des courriels dans leur intégralité. Si, ainsi que l’a rappelé la CNIL, la communication d’une copie des courriels peut apparaître comme la solution la plus aisée, l’envoi d’un tableau contenant les métadonnées et les données personnelles contenues dans les différents courriels est également une solution.
De même, la Cour de cassation ne consacre pas nécessairement un droit pour les salariés d’obtenir communication de l’intégralité de leur boîte mail professionnelle mais constate, dans les faits de l’espèce, que l’employeur s’est abstenu de fournir tant les métadonnées que le contenu des courriels sans motifs valables.
Le Cabinet DEMONT est compétent en droit du travail ; n’hésitez pas à prendre rendez-vous.