RGPD : les mails professionnels comportent-ils des données personnelles ?

La question intéresse particulièrement le domaine probatoire, puisque les salariés en contentieux avec leur employeur invoquent régulièrement le RGPD pour demander la communication de leurs données personnelles (dossier administratif ou RH),  mais aussi le contenu de leur messagerie professionnelle. 

Les faits et la procédure 

Le salarié à l'origine de la procédure devant le CPH, licencié pour motif disciplinaire suite à la dénonciation de faits de harcèlement sexuel et d'agissements sexistes, avait invoqué le RGPD pour se faire communiquer le contenu de sa messagerie professionnelle, ce que l'employeur avait refusé. 

En appel, les juges avaient relevé que l'employeur ne justifiait pas d'avoir communiqué ni les métadonnées ni le contenu des courriels émis ou reçus par le salarié, et n'invoquait aucun motif pour expliquer cette abstention. Ils avaient donc considéré cette abstention fautive. 

Bon à savoir : le RGPD, c'est quoi ?

Appliqué depuis mai 2018, le RGPD est un règlement européen qui encadre le traitement des données dans toute l'Union européenne. 

Dans son article 4, il définit les données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable. Cette identification peut être directe (le nom, le prénom, une photo) ou indirecte (un identifiant, un numéro d'identification, des données de localisation). 

Dans le cadre de la relation de travail, le RGPD s'applique à toute une série de données, les bulletins de paie, le dossier administratif, les données de géolocalisation ou encore les données tirées de la vidéosurveillance. 

Sur ce point, la Cour de cassation confirme la position de la cour d'appel et rejette le pourvoi. 

Une acception large de la notion de données personnelles  

À première vue, les courriels professionnels n'entrent pas dans le champ d'application du RGPD. C'était d'ailleurs la position des juges du fond jusqu'ici, comme dans cet arrêt rendu par le Conseil de prud'hommes de Paris le 23 mai 2024 : "le droit d'accès prévu par l'article 15 du RGPD a pour finalité de permettre à la personne qui l'exerce, de contrôler la conformité du traitement de ses données à caractère personnel avec les prescriptions du règlement et d'exercer, le cas échéant, les droits que le texte lui reconnaît dans un but de protection : droit de rectification, droit à l'effacement, droit de saisir une autorité de contrôle. (…) Le droit d'accès n'a en revanche pas pour finalité de permettre l'accès à des informations dans un but probatoire et ne constitue pas une mesure probatoire".

Dans l'arrêt qui nous occupe, a contrario, la Cour de cassation semble reconnaître à la messagerie professionnelle le caractère de données personnelles au sens du RGPD.

Cette interprétation assez extensive du domaine de protection des données personnelles n'est pourtant pas si surprenante si on se réfère au guide édité en janvier 2022 par la CNIL pour l'application du RGPD, et notamment sur la partie concernant les données personnelles du salarié : "lorsqu’une personne concernée souhaite exercer son droit d’accès à des courriels, l’employeur doit fournir tant les métadonnées (horodatage, destinataires…) que le contenu des courriels. Dans cette situation, la communication d’une copie des courriels apparaît comme la solution la plus aisée pour que l’organisme puisse satisfaire la demande mais n’est pas obligatoire."

La solution retenue par la Cour est une bonne nouvelle pour les salariés dont l'employeur coupe systématiquement l'accès à la messagerie professionnelle, parfois bien en amont de la rupture du contrat (maladie, préavis), afin d'empêcher qu'ils ne récupèrent des éléments de preuve utiles. 

Un droit d'accès limité par le respect de la vie personnelle des tiers

On retiendra toutefois que la Cour tempère sa décision en indiquant que l'exercice du droit d'accès aux données personnelles ne doit pas porter atteinte aux droits des tiers. Comme en matière de contentieux en discrimination, le droit à la preuve ne doit pas porter une atteinte disproportionnée au droit au respect de la vie personnelle (s'agissant de la production de bulletins de paie de salariés d'une même entreprise pour évaluer l'inégalité de traitement). 

Les juges devront veiller à ce que le droit d'accès d'un salarié ne porte pas préjudice au droit au respect de la vie personnelle d'un autre, en anonymisant les données collectées comme dans le cas des contentieux en discrimination.  

On attend maintenant de la Cour qu'elle affine cette nouvelle jurisprudence qui ne manquera pas d'alimenter le contentieux en droit du travail. 

L'arrêt de la Cour de cassation : Cass.soc.18.06.25, n°23-19.022.