RGPD et messagerie professionnelle : jusqu’où va le droit d’accès du salarié ?

La question de l’accès des salariés à leurs données personnelles, en particulier les courriels échangés via leur messagerie professionnelle, continue d’alimenter le contentieux, ce droit étant utilisé (détourné ?) par certains salariés pour se ménager des éléments de preuve pour des contentieux futurs ou existants. Ces derniers mois, plusieurs juridictions du fond ont adopté une approche pragmatique, refusant de faire du RGPD un instrument probatoire dans les litiges prud’homaux, malgré une décision contestable rendue par la chambre sociale de la Cour de cassation en juin dernier.

Rappel du contexte : une décision contestable de la Cour de cassation

Dans un arrêt du 18 juin 2025 (Cass. soc., 18 juin 2025, n° 23-19.022), la Cour de cassation a jugé – de façon contestable – que les courriels envoyés ou reçus par un salarié via sa messagerie professionnelle constituent des données à caractère personnel au sens de l’article 4 du RGPD.

Une lecture stricte de cet arrêt conduirait à reconnaître au salarié le droit d’obtenir la communication non seulement des métadonnées (horodatage, destinataires), mais aussi du contenu des courriels, sauf si cette communication devait porter atteinte aux droits et libertés d’autrui.

Cette position se heurte toutefois à l’objet et à la finalité même du droit d’accès tel qu’il résulte du RGPD, lequel vise à permettre à l’individu de contrôler l’exactitude de ses données personnelles, et non à lui permettre de se préconstituer des preuves dans le cadre d’un contentieux.

Les juridictions prud’homales s’opposent à l’instrumentalisation du RGPD

Plusieurs conseils de prud’hommes saisis de demandes de communication de pièces ont récemment démontré leur volonté de ne pas céder à ces dérives.

Ainsi, le Conseil de prud’hommes (CPH) de Lille (CPH Lille, 27 juin 2025, n° 2025-00016009) a rejeté une demande de communication sous astreinte d’entretiens annuels, lettres de mission et correspondances professionnelles (courriels, agendas). Dans cette décision, les juges :

• rappellent qu’en vertu de l’article 146 du Code de procédure civile, le Bureau de conciliation et d’orientation (BCO) ne saurait se substituer à la carence d’une partie dans la constitution de son dossier ;
• soulignent que l’article 15 du RGPD ne permet pas à un salarié de se préconstituer des preuves contre son employeur, mais uniquement de vérifier le traitement de ses données personnelles.

Le CPH de Cambrai (CPH Cambrai, 10 juillet 2025, n° 2025-00024924) a également refusé d’ordonner la communication intégrale de tous les courriels échangés depuis l’adresse professionnelle du salarié.

Le CPH de Villefranche-sur-Saône (CPH de Villefranche-sur-Saône, 15 décembre 2025, n° 2025-46520) a lui aussi rejeté une demande portant sur la communication du registre unique du personnel et diverses données personnelles (messagerie professionnelle, calendrier, logs informatiques). Dans leur décision, les juges :

• rappellent tout d’abord qu’en matière de preuve, il appartient à chaque partie de rapporter la preuve des faits qu’elle allègue ;
• rappellent ensuite que les mesures d’instruction ne peuvent avoir pour objet de suppléer la carence d’une partie dans l’administration de la preuve ;
• constatent enfin que les demandes apparaissent manifestement surdimensionnées et disproportionnées au regard de l’objet du litige.

Ces décisions marquent une orientation claire : le RGPD ne peut être détourné de son objet pour obtenir, par anticipation, des pièces potentiellement utiles à un futur contentieux.

La Cour d’appel d’Amiens exige précision et justification

Un salarié avait sollicité un accès très large à ses données personnelles (mails, documents RH, dossiers médicaux, historique de carrière). Après un retard initial, l’employeur a transmis un dossier volumineux de 385 pages.

Estimant la communication incomplète (notamment absence de communication de son agenda), le salarié a sollicité des dommages-intérêts pour non-respect du RGPD.

La Cour d’appel d’Amiens (19 juin 2025, n° 24/01301) a rejeté sa demande, considérant que :

• le salarié n’avait pas identifié précisément les documents manquants,
• il ne démontrait pas que les données demandées étaient indispensables et proportionnées à l’exercice du droit à la preuve,
• et surtout, il ne rapportait pas la preuve d’un préjudice lié à cette communication partielle.

Vers un équilibre entre droit d’accès et droit à la preuve

Ces décisions traduisent une volonté des juges du fond de poser des garde-fous face à la tentation de transformer le droit d’accès RGPD en arme procédurale.

Le salarié demeure titulaire d’un droit d’accès à ses données personnelles, que l’employeur doit respecter dans un cadre précis.

Mais ce droit :

• ne saurait être détourné à des fins probatoires,
• doit s’exercer de manière proportionnée,
• et ne peut justifier des demandes générales et indifférenciées portant sur l’ensemble des échanges ou dossiers de l’entreprise.