Accès du salarié à tous ses e-mails professionnels grâce au RGPD?

Est ce- que les salariés peuvent exiger de leur employeur la communication de tous leurs emails envoyés et reçus dans le cadre de leur travail? Cette question est très importante dans la pratique et mérite qu’on regarde de près comment les juges français la voient.

Vous avez un doute sur vos droits liés aux e-mails professionnels et au RGPD ? Notre cabinet d’avocats vous conseille et vous accompagne.

L’affirmation d’un droit d’accès total aux courriels professionnels et leurs contenus 

La reconnaissance des courriels comme données à caractère personnel par les juges

L’arrêt rendu par la chambre sociale de la Cour de cassation le 18 juin 2025 (n° 23-19.022) vient consacrer une solution surprenante : les courriels échangés par un salarié via sa messagerie professionnelle constituent des données à caractère personnel au sens de l’article 4 du RGPD. Et par voie de conséquence, le salarié peut les demander dans leur intégralité.

Un salarié a besoin de tous ses courriels comme preuves dans un litige

Les faits ayant mené à cette décision sont les suivants : un salarié est licencié pour faute après une enquête interne de son entreprise visant à déterminer la véracité des faits de harcèlement, d’agissements sexistes ou à connotation sexuelle qui lui étaient reprochés. 

Le salarié avait été mis à pied dès sa convocation à entretien préalable et n’avait pas récupéré d’emails de sa boite professionnelle. N’ayant plus accès à l’entreprise et donc à ses emails, il met en demeure l’employeur de lui communiquer ses e-mails professionnels. Il veut ainsi préparer la contestation de son licenciement avec des preuves qu’il trouvera dans ces emails. 

L’employeur s’y oppose, considérant que ces courriels, échangés dans un cadre professionnel, ne sont pas personnels et ne relevaient pas du droit d’accès prévu par l’article 15 du RGPD (qui permet à une personne d’accéder à ses données personnelles). 

Les juges assimilent tout le contenu des courriels à des données personnelles

La cour d’appel, puis la Cour de cassation considèrent que tous les emails, y compris professionnels, sont des données personnelles. Par sa décision, la Cour de cassation assimile les courriels professionnels à des données personnelles au sens du RGPD. Elle le justifie en disant qu’ils permettent d’identifier directement ou indirectement la personne concernée.

Par conséquent, selon elle, puisque les courriels professionnels sont des données personnelles, alors le salarié dispose d’un droit d’accès à ses données personnelles (article 15 RGPD). 

Les règles légales sur les données personnelles sont en contradiction

La décision de la Cour de cassation n’est pas logique pour deux raisons :

1. Cette assimilation va à l’encontre des lignes directrices de la CNIL et de la lettre du RGPD qui considèrent les courriels professionnels comme un outil de travail pouvant contenir des données personnelles.
2. En obligeant l’employeur à communiquer le document et non plus simplement extraire les données personnelles contenues dans le document, il y a un véritable danger en matière de cybersécurité car les contenus des emails sont propagés.

L’étendue du droit d’accès : contenus, métadonnées, limites tenant aux droits d’autrui

Accès à tous les emails et leurs métadonnées

La portée de ce droit d’accès est double : le salarié qui en fait la demande est désormais en droit d’obtenir :

• non seulement les documents contenant des données personnelles,
• mais aussi les métadonnées associées (horodotage, destinataires, pièces jointes…). Ce raisonnement va une fois de plus, à l’encontre du cadre posé par la Cour de Justice de l’Union Européenne et de l’article 15 du RGPD qui considèrent que les métadonnées sont exclues des informations devant être communiquée à une personne exerçant son droit d’accès. 

Initialement, le droit d’accès permet d’accéder à ses données personnelles pour pouvoir en vérifier l’exactitude et au besoin les rectifier.

Limites au droit d’accès admis par les juges

Toutefois il faut relativiser et souligner que ce droit d’accès n’est pas absolu. En effet la Cour dans sa décision reprend en partie l’article 15 du RGPD sur le droit d’accès et pose une limite : celle des droits et libertés d’autrui. 

Cette limitation impose toutefois des obligations ainsi que des coûts supplémentaires pour l’employeur qui va devoir être vigilant à la préservation du droit des tiers et sélectionner les éléments qu’il communique au salarié exerçant son droit d’accès. Cette procédure est coûteuse et peut prendre beaucoup de temps notamment lorsque la demande porte sur un grand nombre de document. 

Les enjeux pratiques et risques pour les employeurs : obligation de communication, encadrement des refus

L’employeur doit désormais être attentif à ces points suivants

1. La réponse à une demande de droit d’accès est très encadrée : le respect de cette procédure constitue une charge supplémentaire pour l’employeur. En effet, celui ci devra mettre en place une procédure interne pour répondre à la demande de communication des emails dans leur intégralité dans les délais impartis (1 mois en principe) et fournir les documents demandés, en veillant à ne pas entraver les droits et libertés d’autrui (en occultant les parties sensibles par exemple).
2. L’employeur s’expose à de lourdes sanctions financières s’il ne respecte pas cette obligation de communication très large. Dans le cas soumis aux juges, l’employeur avait refusé de donner tous les emails et leurs métadonnées au salarié et avait été condamné à payer des dommages et intérêts spécifiques. Dans le cas où l’employeur accepte la demande de droit d’accès mais qu’il est négligent dans sa réponse, il s’expose aux mêmes sanctions que s’il avait exprimé un refus total et ce, tant en droit du travail qu’en droit des données personnelles. En droit du travail, le salarié pourra faire constater que l’employeur entrave son droit de se défendre (notamment dans le cadre d’un licenciement). En droit des données personnelles, la CNIL peut être saisie et sanctionner par une amende le non-respect du droit d’accès. 

Les zones d’ombre

Cette procédure interne amène l’employeur à s’interroger sur plusieurs aspects : qui va recevoir la demande de droit d’accès ? Quels moyens vont être utilisés pour extraire les données personnelles sollicitées ? Cela afin d’anticiper au mieux les éventuels litiges liés à cette thématique. 

Si l’employeur est face à une demande de droit d’accès de la part d’un salarié ou ancien salarié, et qu’il ne souhaite pas y répondre favorablement, il devra obligatoirement et précisément expliquer les raisons de son refus. 

Les limites du droit d’accès du salarié à tous ses emails 

Les autres bases juridiques justifiant l’accès (droit à la preuve, bonne foi contractuelle, droits fondamentaux)

Un salarié dispose d’autres fondements que le droit d’accès pour se voir communiquer ses courriels professionnels, bien qu’en pratique, c’est le droit d’accès qui est majoritairement invoqué. 

Il est possible pour un salarié d’invoquer le droit à la preuve. La jurisprudence admet que le droit à la preuve peut justifier l’obtention et la production d’éléments y compris confidentiel lorsque cela est proportionné à l’objectif poursuivi. 

Le salarié a aussi la possibilité d’invoquer la bonne foi dans le cadre de l’exécution de son contrat de travail mais aussi après le terme de ce contrat. Cela pourrait par exemple être invoqué afin que le salarié puisse vérifier l’exactitude des motifs invoqués par l’employeur. 

Enfin, le droit français accorde une forte protection aux droits fondamentaux, notamment en droit du travail. Le salarié pourrait donc invoquer ce fondement pour accéder à ses courriels professionnels. 

Les risques d’abus et le nécessaire arbitrage : secret des affaires, confidentialité des correspondants

Cette ouverture n’est pas sans risque. Le salarié pourrait détourner le droit d’accès pour obtenir massivement des emails et les utiliser comme arme procédurale dans un litige prud’homal. À l’inverse, un employeur trop restrictif pourrait se voir reprocher d’entraver l’exercice d’un droit fondamental.

A cela s’ajoute le fait que la CNIL s’oppose en droit des données personnelles à ce qu’une demande de droit d’accès fasse l’objet d’une motivation par son demandeur. 

L’équilibre doit donc être recherché autour de deux impératifs :

• protéger les tiers (correspondants, partenaires, collègues),
• préserver les intérêts légitimes de l’entreprise (confidentialité, secret des affaires).

Les perspectives pratiques : recommandations pour les employeurs et pour les salariés

Pour sécuriser les pratiques, plusieurs recommandations peuvent être formulées :

• Pour l’employeur : prévoir un processus documenté de gestion des demandes d’accès, former les services RH et juridiques, et mettre en place des outils de filtrage ou d’anonymisation.
• Pour le salarié : cibler précisément sa demande, éviter la recherche généralisée, et articuler le droit d’accès avec le droit à la preuve pour renforcer sa crédibilité.

Françoise Berton, avocat en droit allemand

Tous droits de propriété intellectuelle réservés