Vendredi soir, la Directrice commerciale d’un magasin d’ameublement quitte une PME après huit ans de collaboration à la suite d’une rupture négociée. Son ordinateur, son téléphone portable et son badge ont été restitués, ses principaux accès informatiques désactivés et les documents de fin de contrat remis. Sa « Dircom » étant partie en bons termes et toutes les formalités requises ayant été accomplies, M. Henri Samesouri, le dirigeant de l’entreprise, part en week-end serein.
Le lundi matin, un mail de son ancienne salariée apparaît dans sa boîte de réception. Le ton est courtois mais sans détours :
« Conformément aux dispositions du Règlement général sur la protection des données et de la loi ‘Informatique et Libertés’, j’entends exercer mes droits d’accès, de correction et mon droit à l’effacement et à la limitation des données personnelles me concernant, conformément aux articles 15 à 18 du RGPD. Je vous serais reconnaissante de me faire parvenir sous un mois une copie intégrale de ma messagerie et de procéder, dans ce même délai, à la suppression des informations me concernant qui figurent sur le site www.geant-ameublement-lyonnais.com, sur vos réseaux sociaux ou tout autre support de communication de l’entreprise. Je vous prie enfin de veiller à ce qu’aucune conservation ou utilisation injustifiée de mes données ne soit maintenue et vous prie de m’informer des mesures prises en ce sens. »
Rien d’inquiétant en apparence. M. Samesouri a bien entendu parler du « RGPD », mais, débordé, il ne croyait pas être tenu d’en faire plus pour satisfaire les obligations de l’entreprise vis-à-vis de sa salariée.
Est-il tenu de remettre une copie de l’intégralité de la messagerie ? Si oui, comment faire ? Doit-il tout remettre ? Et quant aux demandes de rectification et de suppression de données, de quoi s’agit-il ? En attendant, il tape un mail au service informatique externalisé pour couper l’accès de l’ex-salariée à sa messagerie professionnelle (il avait oublié de le faire vendredi) et ajouter une redirection et un message informant la clientèle de son remplacement. Quant au reste, il se demande quelles décisions prendre.
Comment réagir à la demande d’exercice du droit d’accès ? De l’importance de se presser lentement.
Rechercher le nom d’un salarié ayant de l’ancienneté dans tous les fichiers et échanges de l’entreprise ne risque-t-il pas de prendre un temps fou et de générer des coûts ? Ne devrait-il pas d’abord demander à l’ex-salariée de préciser ses demandes ? Faut-il en parallèle supprimer tout son « dossier RH » et ses mails archivés ? Comment protéger les données des autres salariés, clients ou partenaires visés dans les échanges ou les informations commerciales et stratégiques figurant dans les documents en pièces jointes ? Il a besoin d’y voir clair avant de prendre les mesures nécessaires et de répondre.
Problématique et enjeux juridiques et pratiques du droit d’accès
Ces questions ont pris une importance accrue depuis que la Cour de cassation a admis, le 18 juin 2025, que les mails émis ou reçus par le salarié via une messagerie professionnelle constituent des données personnelles au sens de l’article 4 du RGPD et qu’il peut, sous certaines réserves, accéder tant à leurs métadonnées (dates, heures, expéditeur, destinataires) qu’à leur contenu même[1].
Le droit d’accès aux données concernant le salarié sortant n’est donc plus une question de pure forme. En effet, l’accès aux données personnelles permet l’exercice des autres droits tels que la rectification des données inexactes ou l’effacement de celles qui sont injustifiées. La question alimente des débats délicats sur le terrain du droit de la preuve et du bien-fondé de telles demandes dans le contexte fréquent de précontentieux prud’homaux entre le salarié et l’employeur.
I) Les droits d’un salarié partant sur ses données personnelles au sein de l’entreprise
Qu’est-ce que le salarié peut réellement demander dans le cadre de son droit d’accès (art. 15 RGPD) ?
Précisons d’abord que l’employeur est un responsable du traitement et, en tant que tel, est débiteur d’un certain nombre d’obligations vis-à-vis des salariés de son entreprise, y compris après leur départ.
L’article 15 du RGPD relatif au droit d’accès permet à toute personne d’obtenir d’un tel responsable la confirmation que ses données sont ou ne sont pas traitées, et lorsqu’elles le sont, l’accès à ces données et divers renseignements relatifs à ces données tels que les objectifs poursuivis par leur utilisation, les catégories de données traitées, les organismes obtenant communication de ces données, leur durée de conservation lorsque c’est possible, etc.
A ce titre, l’employeur est tenu de fournir au salarié, s’il en fait la demande, une copie des données le concernant faisant l’objet d’un « traitement » au sens du RGPD.
Quelles sont les conditions et les modalités d’exercice du « droit d’accès » ?
Sous quelle forme la demande de droit d’accès peut-elle être adressée ? N’importe quelle demande écrite convient, le RGPD n’imposant aucun formalisme. Il n’est même pas nécessaire de viser les textes. Il suffit que la demande exprime que l’intéressé souhaite accéder à ses données ou exercer ses droits.
La première copie des données est en principe gratuite. (Mais l’employeur pourrait demander de verser une somme au titre des frais administratifs pour toute copie supplémentaire).
Elle doit être faite de façon simple et lisible, dans un format compréhensible, cette information devant permettre à l’intéressé d’en contrôler l’exactitude et de demander leur correction ou leur effacement s’il y a lieu.
Lorsque la demande est adressée par voie électronique, « les informations sont communiquées sous une forme électronique d’usage courant, à moins que la personne ne demande qu’il en soit autrement. »
D’après les textes (art. 12 et 15 RGPD) et la jurisprudence en vigueur, l’employeur ne peut exiger que le demandeur fournisse un motif légitime ou justifie l’usage qu’il entend faire des informations par la suite, même si celles-ci peuvent lui servir dans le cadre d’un éventuel contentieux prud’homal, étant rappelé que le responsable du traitement est tenu de « faciliter l’exercice des droits » par la personne.
En tous les cas, le responsable du traitement est tenu de communiquer les informations et copie des données requises dans le délai d’un mois, celui-ci pouvant être prorogé de deux mois supplémentaires en cas de « complexité » de la demande ou de pluralité de demandes.
Quelles sont les données concernées ? Le cas particulier de la « messagerie professionnelle »
Longtemps, l’employeur a pu croire que la messagerie professionnelle des salariés et son contenu lui « appartenait » et échappait à l’empire des dispositions du RGPD, eu égard au contrôle exercé sur les moyens informatiques mis à leur disposition et à la présomption de caractère professionnel des mails échangés par ce biais. Cependant, le droit d’accès et surtout la définition du caractère personnel des données ne dépend ni de la propriété d’un serveur ou d’un compte de messagerie ni d’un article du règlement intérieur ou du contrat de travail, mais de la seule présence de données « se rapportant à une personne physique identifiable ou identifiée » (article 4 du RGPD).
Or, la Chambre sociale de la Cour de cassation a franchi une étape importante à ce sujet dans son arrêt précité du 18 juin 2025 en retenant que :
- les courriels émis ou reçus par le salarié au moyen de sa messagerie professionnelle sont des données personnelles ;
- le droit d’accès aux données peut porter tant sur les métadonnées (date, heure, expéditeur, destinataire) mais aussi sur le contenu des messages ;
- la communication peut toutefois être limitée si elle porte atteinte « aux droits et libertés d’autrui ».
Un droit d’accès étendu, pas illimité. Les données personnelles et rien que les données personnelles.
Le droit d’accès implique la remise d’une reproduction fidèle et intelligible de toutes les données personnelles traitées mais l’exercice d’un tel droit ne permet pas l’accès à toutes les données désirées par le salarié, mais seulement aux données le concernant, à l’exclusion de toutes les autres et de celles relatives aux tiers.
En outre, plusieurs décisions rendues par la Cour d’appel de Paris entre novembre et décembre 2025 paraissent adopter une lecture plus restrictive du droit d’accès que l’arrêt de la Cour de cassation de juin 2025 ne le laisse penser, en particulier lorsque la demande tend à la communication globale de la messagerie professionnelle et du contenu de dossiers professionnels à des fins probatoires dans le cadre d’un précontentieux prud’homal. Dans l’un des arrêts de la Cour (13 novembre 2025[2]) a ainsi souligné que « la finalité du RGPD n’est pas d’obtenir la copie de la correspondance électronique professionnelle émise ou reçue par le salarié dans le cadre de son activité, ou d’autres documents ou éléments se rapportant à son activité professionnelle tels que les comptes rendus d’évaluation, les entretiens annuels, les relevés de connexion ainsi que les documents relatifs aux formations, dont le salarié a, par définition, eu connaissance en totalité (…) » et qui ne sont pas de plein droit des données personnelles, semblant prendre ainsi le contrepied de la position de la Cour de cassation.
Samesmouri attendait du droit et de la jurisprudence une réponse claire afin de traiter la demande de son ancienne salariée. Mieux vaudrait se tourner vers d’autres sources comme la position de la CNIL (voir ci-dessous).
Le débat sur l’étendue et les limites du droit d’accès par l’ancien salarié dans un contexte de recherche de preuves n’est pas achevé. Mais une chose est sûre, l’article 15 du RGPD n’a pas vocation à encadrer la mise en œuvre d’une procédure générale de communication de pièces au salarié après l’expiration de son contrat de travail. Le salarié peut-il se fonder sur l’article 15 du RGPD pour obtenir toutes les preuves qu’il désire dans la perspective d’un éventuel procès prud’homal ? À priori, les dispositions de l’article 145 du Code de procédure civile (mesures d’instruction ordonnées par le juge « avant tout procès ») qui imposent un motif légitime et un contrôle de proportionnalité de la mesure et un équilibre entre droit de la preuve et droits de la défense et droits des tiers, semblent restreindre cette possibilité. Mais la pratique montre que les salariés utilisent ce levier du droit d’accès. Or, une position contraire aux obligations prévues à l’article 145 du CPC ou qui étendrait excessivement l’empire de l’article 15 du RGPD ouvrirait la voie à un détournement des finalités protectrices du RGPD.
De ce fait, de nombreuses décisions des juges du fond semblent se ranger du côté de l’interprétation restrictive du droit d’accès dégagée par la Cour d’appel de Paris. Demeure toutefois une incertitude…
La fiche de la CNIL consacrée au droit d’accès des salariés[3] adopte quant à elle une conception nuancée et pragmatique de la question : les données personnelles contenues dans les courriels d’une messagerie professionnelle entrent dans le champ du droit d’accès, mais le droit d’accès porte sur des données personnelles et non sur des documents.
Ainsi, s’il est plus pratique pour l’employeur de communiquer les documents plutôt que les données personnelles qu’il contient, rien ne l’empêche de le faire (sous réserve des droits éventuels des tiers), mais rien ne l’oblige à communiquer les documents plutôt que ces données.
Il n’est pas tenu à fournir la copie de documents ou d’extraits de documents ou de bases de données, à moins que cela ne soit la seule façon de permettre à l’intéressé de s’assurer du contenu des données le concernant et d’exercer ses droits (de rectification, d’effacement ou de limitation des traitements de données), encore une fois sous réserve des droits et libertés des tiers, étant rappelé que la notion d’informations visée à l’article 15-3° du RGPD se rapporte exclusivement aux données personnelles dont une copie doit être fournie, et non à d’autres informations telles que les métadonnées (CJUE, 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C-487/21).
II) Comment répondre en pratique à une demande d’exercice du droit d’accès et d’autres droits basés sur le RGPD ?
L’essentiel, comme on l’a vu, est de fournir une reproduction fidèle et intelligible de toutes les données personnelles du salarié traitées par l’entreprise, mais rien que de ces données.
Respect du droit et libertés des tiers et restriction des atteintes à la confidentialité ou secret d’affaires
Compte tenu de la définition limitée des données personnelles et de la réserve des droits et libertés des tiers (art. 15-4° du RGPD) et de la confidentialité de certains documents ou du secret des affaires éventuels de l’entreprise (lequel fait lui-même l’objet d’une protection légale spécifique), en pratique, un tri des données s’impose avant de communiquer une copie du contenu de la messagerie d’un salarié et des documents ou dossiers RH le concernant, au besoin en procédant à l’occultation, l’anonymisation ou la pseudonymisation de certaines données ou caviardant certains messages ou le contenu de pièces jointes aux échanges professionnels.
Obligation de traiter la demande dans les délais, sous réserve de demande éventuelle de précisions
Mais il ne saurait être question pour l’entreprise de refuser en bloc une telle demande ou d’exiger le paiement de « frais administratifs », même si elle peut s’avérer en pratique chronophage et coûteuse.
Le volume, les coûts ou la difficulté technique des opérations ne suffisent pas, à eux seuls, à caractériser une demande excessive justifiant un refus du responsable du traitement.
Il faut retenir le délai d’un mois, ou de trois au maximum (en cas de prorogation) pour répondre à la demande. Ce délai peut être mis à profit pour solliciter le cas échéant des précisions au salarié lorsque sa demande d’exercice des droits manque de clarté ou est formulée en termes généraux ou très larges. Le « considérant 63 » du RGPD envisage une telle possibilité. L’employeur ne peut toutefois demander au salarié de faire un inventaire exhaustif des données dont la copie est sollicitée.
Il lui faudra en outre éviter d’écrire que la demande d’explications suspend le délai légal, l’article 12 du RGPD ne prévoyant pas de mécanisme ou d’hypothèses de suspension automatique.
Même si la demande est mal formulée ou imprécise, il faut l’interpréter de sorte à lui donner un sens, traiter cette demande au titre du droit d’accès et y répondre à temps.
En revanche, l’article 12-5°, permet de refuser d’agir ou de réclamer des frais raisonnables lorsque la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif. La preuve de ce caractère excessif ou répété incombera à l’employeur.
Permettre l’exercice des droits autres que le droit d’accès
Il ne faut pas oublier que le droit d’accès vise à permettre l’exercice des autres droits du salarié fondés sur le RGPD, à savoir principalement, dans le cadre d’une relation post-contractuelle avec un salarié :
- Rectification : l’ancien salarié doit pouvoir identifier les données qu’il estimerait inexactes ;
- Effacement : il n’est pas absolu ; il peut être écarté lorsque la conservation demeure nécessaire au respect d’une obligation légale ou à la constatation, l’exercice ou la défense de droits en justice (cela visera par exemple les pièces RH et comptables et les pièces nécessaires dans le cadre d’un éventuel dossier prud’homal, soit un très grand nombre de documents potentiels) ;
- Limitation du traitement : ce droit devrait conduire l’employer à ne conserver que les données et les traitements et finalités nécessaires après l’expiration du contrat et à restreindre l’accès aux seules personnes ayant strictement à en connaître.
Quelques recommandations supplémentaires pour l’employeur gérant une fin de contrat d’un salarié :
- avertir le salarié de la date de fermeture de sa messagerie afin qu’il puisse trier ses messages personnels (la CNIL recommande une telle anticipation) ;
- désactiver les accès aux données devenus inutiles (obligation de sécurité, proportionnalité) ;
- privilégier la désactivation de la messagerie et l’envoi d’un message automatique informant du départ du salarié et donnant une nouvelle adresse de contact professionnel dans l’entreprise ;
- n’envisager une redirection de la messagerie professionnelle du salarié sortant que pour une durée limitée et avec une finalité identifiée ;
- ne pas ouvrir ou copier les messages signalés comme personnels, lesquels demeurent protégés par le secret des correspondances (la CNIL rappelle que les messages professionnels sont présumés tels, sauf identification explicite comme « Personnel » ou « Privé » dans leur objet).
Conclusion
Le salarié dispose d’un droit d’accès étendu aux données le concernant, y compris à celles contenues dans sa messagerie professionnelle. Mais ce droit n’est ni général ni absolu et il ne consiste pas en un droit à la communication de documents de toute nature à des fins probatoires mais seulement de données personnelles, assorti de limites.
Toute demande d’exercice des droits suppose un véritable travail d’identification, de tri et, le cas échéant, d’occultation ou d’anonymisation des données avant leur communication.
Tout manquement au droit d’accès peut donner lieu à une saisine de la CNIL, à une action indemnitaire et aux sanctions prévues par le RGPD ainsi qu’à d’éventuelles conséquences dans des litiges à intervenir.
Il convient donc aux entreprises de s’occuper de ces sujets en anticipant au maximum les types de demandes pouvant être adressées par une procédure interne prédéfinie, en prenant certaines mesures avant le départ effectif d’un salarié en préavis et en répondant aux éventuelles demandes d’exercice des droits dans les délais légaux une fois la relation arrivée à son terme.
[1] Cass. Soc., 18 juin 2025, n°23-19.022
[2] Cour d’appel de Paris, Pôle 6 chambre 2, 13 novembre 2025, n° 25/03115.
[3] https://www.cnil.fr/fr/le-droit-dacces-des-salaries-leurs-donnees-et-aux-courriels-professionnels
