Contexte
Le 31 janvier 2025, la CNIL actualisait sa fiche « Droit d’accès des salariés à leurs données et courriels professionnels ». Elle y rappelait que les salariés peuvent demander la communication des métadonnées et données personnelles contenues dans les courriels, en suivant une méthode graduée : tableau récapitulatif, invitation à préciser la demande, puis fourniture ciblée.
Les précisions de la cour
Dans un arrêt du 18 juin 2025 (n°23-19.022), la Cour de cassation vient confirmer sans ambiguïté que les courriels professionnels envoyés ou reçus par un salarié constituent bien des données à caractère personnelles au sens du RGPD.
En conséquence, tout salarié peut demander à son employeur l’accès intégral à ces courriels, c’est-à-dire leur contenu et les métadonnées associées. Seule limite à ce droit : la nécessité de ne pas porter atteinte aux droits des tiers.
La Cour s’aligne ainsi sur la position de la CNIL, tout en allant plus loin sur un point central : elle sanctionne expressément le fait de ne pas transmettre l’intégralité des courriels demandés, lorsqu’aucun motif légitime n’est avancé.
Elle rappelle ainsi que la réponse de l’employeur ne peut être partielle, incomplète ou évasive, sauf à démontrer une atteinte aux droits d’autrui.
Même si la Cour ne précise pas les modalités concrètes (tableau, copie intégrale, etc.), sa position clarifie les obligations : l’employeur doit être en mesure de remettre l’ensemble des données, sous peine de sanctions.
Ce faisant, la Haute juridiction met fin à une incertitude jurisprudentielle et renforce l’effectivité du droit d’accès, qui devient quasi automatique dans son exercice.
Concrètement, que pouvez-vous faire ?
Vous êtes salarié ou ex-salarié et vous souhaitez accéder à vos courriels professionnels
Vous pouvez adresser une demande écrite simple (email ou courrier) à votre employeur, en sollicitant la communication :
➢ De l’ensemble des messages que vous avez envoyés, reçus ou dans lesquels vous êtes mentionné(e);
➢ Des métadonnées associées : dates d’envoi, destinataires, objets, etc.
Si votre employeur ne répond pas ou refuse sans justification valable :
- Vous avez la possibilité de déposer une plainte auprès de la CNIL ;
- Vous pouvez saisir le conseil de prud’hommes ;
- Et vous pouvez obtenir, comme dans l’affaire jugée, des dommages-intérêts pour non-respect de vos droits.
Et du côté des employeurs, quelles obligations concrètes ?
À la suite de cette décision, voici les actions clés à mettre en œuvre pour éviter tout risque contentieux :
- Mettre en place une procédure interne pour traiter les demandes d’accès dans le délai d’un mois prévu par le RGPD ;
- Former les équipes RH et les managers à la gestion des demandes de droit d’accès ;
- Analyser les emails demandés pour évaluer s’ils contiennent des éléments sensibles pouvant limiter le droit d’accès (secret des affaires, vie privée de tiers, propriété intellectuelle) ;
- Justifier clairement tout refus ;
- Tracer et documenter les décisions prises, pour pouvoir démontrer la bonne foi en cas de contentieux ;
- Actualiser la charte informatique, en précisant les conditions d’accès aux données personnelles, y compris les courriels professionnels.
Notre Cabinet est à votre service pour tout renseignement complémentaire sur le droit d’accès, et ses modalités d’exercice.
