RGPD et droit d’accès des salariés : quand la demande devient-elle abusive ?

Courriels, rapports d’enquête, logs de connexion, messagerie instantanée, etc : les salariés invoquent de plus en plus le RGPD pour obtenir ces documents de leur employeur. Antoine Jouhet, vice-président d’AvoSial et avocat directeur associé chez Fidal, décrypte les positions jurisprudentielles et alerte sur la nécessité de poser des limites à ce droit d’accès pour informer les employeurs des risques.

Le droit d’accès au RGPD, un levier devenu courant dans les litiges prud’homaux

L’article 15 du RGPD permet à chaque personne de savoir quelles données personnelles sont collectées et pour quelles finalités et d’en obtenir une copie. Dans les litiges entre employeurs et salariés, ce droit est de plus en plus utilisé à  fins particulières : constituer des preuves ou obtenir un règlement amiable favorable.

Des salariés demandent dès l’audience de conciliation et d’orientation, sous astreinte, la communication de courriels, d’échanges instantanés, de logs de connexion, d’évaluations de performance ou de rapports internes. Ces demandes s’appuient souvent sur l’article 145 du Code de procédure civile, en dehors de tout procès au fond, ou sur l’article R. 1454-14 du Code du travail qui ne donne pas au bureau de conciliation et d’orientation de pouvoir d’injonction de communication de pièces sous astreinte.

Une jurisprudence française plus favorable aux salariés que celle de ses voisins

Les juridictions françaises accueillent ces demandes plus largement que celles d’autres États membres, comme la Suède, la Pologne ou l’Italie. A titre d’exemples : 

• Cour de cassation (Soc., 18 juin 2025, n° 23-19.022) : les courriels reçus ou émis via la messagerie professionnelle sont des données personnelles. L’employeur doit en fournir les métadonnées et le contenu, sauf atteinte aux droits et libertés d’autrui, et son refus non motivé est fautif.
• Conseil d’État (1er décembre 2025, n° 498023) : le refus de transmettre un rapport d’enquête interne est fautif si l’employeur ne démontre pas que la demande est manifestement infondée ou excessive. Il peut toutefois occulter les informations portant atteinte aux droits d’autrui.

Cette jurisprudence  apparait critiquable. Les courriels professionnels ne contiennent pas uniquement des données personnelles permettant d’identifier un salarié. Ils sont des correspondances qui sont présumées professionnelles et qui appartiennent en principe à l’employeur. ( Cass. Soc. 3 avril 2019, n°17-20.953, 17-20.954, 17-20.955, 17-20.956, 17-20.957) »Ils contiennent des données sensibles, qui peuvent permettre d’identifier des tiers et des secrets des affaires qu’ils convient également de protéger. 

La CNIL et la CJUE : un droit d’accès qui n’est pas absolu

La CNIL rappelle que le droit d’accès porte sur des données personnelles, pas forcément sur des documents. Une copie des courriels n’est pas obligatoire : un tableau reprenant les métadonnées et les données personnelles peut suffire.

La CJUE a jugé, dans une affaire de consommation, qu’une première demande d’accès peut être excessive. L’intention abusive peut être retenue lorsque la demande poursuit une autre finalité que de connaître le traitement et d’en vérifier la licéité.

En cas de contestation, le juge doit aussi vérifier que la communication est nécessaire au droit à la preuve et proportionnée. Il doit veiller à la minimisation des données et peut ordonner d’office l’occultation de celles qui ne sont pas indispensables.

Pourquoi une demande « d’accès à tous les courriels » pose problème

Exiger tous les courriels d’un salarié, avec les pièces jointes, n’est ni légitime ni proportionné. Y faire droit systématiquement :

• ne protégerait pas les tiers cités ou destinataires des messages ;
• ne respecterait pas la minimisation des données ;
• porterait atteinte au droit de propriété de l’employeur et exposerait des informations confidentielles ou des secrets d’affaires.

La CJUE indique aux juridictions nationales de  fixer des bornes claires et équilibrées pour les droits de chacun. À défaut, il est à craindre que les procédures ne deviennent des procédures de discovery américaines, au détriment des employeurs, qui ne sont pas protégés (en tant que personnes morales)  au titre du RGPD.

Ce qu’il faut retenir pour les employeurs

• Formaliser une politique claire en matière de gestion des données personnelles, notamment pour les salariés quittant l’entreprise.
• Répondre dans les délais à toute demande d’accès d’un salarié.
• Motiver de façon expresse et détaillée tout refus de transmettre des copies de documents.
• Distinguer les données personnelles des documents professionnels, et proposer le cas échéant un format de réponse ciblé.
• Anticiper l’occultation des données de tiers et des informations confidentielles.

Chronique publiée dans Liaisons Sociales Europe n° 255 du 16 octobre 2026.