Courriels professionnels et données personnelles : ce qui vient de changer

Courriels professionnels : une décision majeure qui redéfinit le droit d’accès du salarié

Dans un arrêt du 18 juin 2025 (pourvoi n° 23-19.022), la Cour de cassation a jugé que les courriels professionnels envoyés ou reçus par un salarié via sa messagerie professionnelle constituent des données à caractère personnel. 

Cette reconnaissance explicite s’inscrit dans la définition posée par l’article 4 du RGPD, qui inclut toute information se rapportant à une personne identifiée ou identifiable.

Cette décision concerne non seulement le contenu des messages, mais aussi les métadonnées associées : dates, horaires, adresses e-mail des correspondants. 

Le salarié peut donc, y compris après la rupture du contrat, demander à accéder à l’ensemble de ses courriels professionnels, à condition que cette communication ne porte pas atteinte aux droits et libertés d’autrui.

L’arrêt du 18 juin s’appuie aussi sur l’article 15 du RGPD, qui consacre un droit d’accès aux données personnelles traitées par le responsable du traitement, en l’occurrence, l’employeur. J

usqu’à présent, ce droit portait surtout sur les documents du dossier professionnel (contrat, évaluations, bulletins de paie…). Il couvre désormais les courriels de travail.

Ce tournant jurisprudentiel renforce la protection du salarié dans les situations contentieuses. Il lui permet, par exemple, de produire des courriels comme preuve d’un harcèlement, d’un déséquilibre de charge de travail ou d’un licenciement sans cause réelle et sérieuse. 

Le refus de communication par l’employeur peut être sanctionné à la fois sur le fond du litige et au titre d’une violation du RGPD.

A lire également :

La suite après la publicité

• DSN de substitution : Evitez les corrections forcées, sécurisez vos données sociales !
• Le principe de minimisation des données, que peut collecter l’entreprise ?
• Données de temps de travail : comment mieux les gérer en entreprise pour plus de flexibilité
  

Une nouvelle exigence pour les employeurs en matière de conformité

Pour les services RH, cette évolution implique une vigilance accrue dans la gestion des données. L’employeur doit désormais être capable de répondre à une demande d’accès dans un délai d’un mois, en filtrant les messages pouvant nuire à la vie privée d’un tiers ou relevant du secret des affaires.

La CNIL, dans ses recommandations, précise que la réponse peut prendre la forme d’un tableau synthétique si elle permet d’exercer effectivement le droit d’accès.

Mais en cas de contentieux, le juge peut exiger la transmission intégrale des courriels professionnels, comme dans l’affaire tranchée le 18 juin. 

Un refus injustifié peut entraîner une condamnation prud’homale et une amende administrative pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel.

Les RH doivent donc articuler leurs pratiques avec les obligations du RGPD : traçabilité des demandes, anonymisation des tiers, conservation encadrée des boîtes mail.

Supprimer systématiquement les messageries à la fin du contrat peut être envisagé, à condition que cela soit clairement défini dans la charte informatique de l’entreprise et qu’un export préalable soit proposé au salarié.

Ce nouveau droit crée un rapport de force différent. Il ne s’agit pas seulement d’une obligation réglementaire, mais d’un outil stratégique dans les litiges. Les entreprises doivent s’y préparer dès maintenant pour éviter tout risque juridique et réputationnel.

A lire également :

• RGPD & Recrutement : que faire des données personnelles des candidats non-retenus ?
• Gestion de crise en entreprise : le rôle clé des DRH
• Évaluation des compétences : l’IA comme moteur de fidélisation et de performance RH