Le droit d’accès des salariés : un droit quasi-fondamental mais pas un droit absolu

L’article 15 du RGPD confère à toute personne concernée un droit d’accès à ses données à caractère personnel : chaque personne peut obtenir la confirmation qu’un traitement de données existe, la communication des données elles-mêmes, ainsi qu’une série d’informations sur les finalités, les destinataires, la durée de conservation ou l’origine des données.

Ce droit connaît depuis deux ou trois ans un développement jurisprudentiel particulièrement riche dans le champ des relations de travail. Deux mouvements s’y dessinent, en apparence contradictoires : d’un côté, une interprétation extensive de la notion de donnée personnelle et du périmètre du droit d’accès ; de l’autre, une reconnaissance croissante de ses limites, jusqu’à l’admission récente d’un véritable abus de droit.

Le préalable : identifier les données et vérifier que leur traitement était licite

Avant même de s’interroger sur l’étendue de sa réponse, le responsable de traitement doit accomplir un travail préalable trop souvent sous-estimé : recenser l’ensemble des données à caractère personnel qu’il détient sur le salarié demandeur, dans tous ses systèmes informatiques comme dans ses archives non dématérialisées (et non se limiter au seul dossier RH ou aux fichiers les plus immédiatement accessibles). Cette identification exhaustive conditionne la validité de la réponse : une communication partielle, même de bonne foi, expose l’employeur au même risque qu’un refus pur et simple.

Ce recensement doit ensuite s’accompagner d’une vérification de la licéité de chaque traitement identifié : le traitement figure-t-il au registre, les personnes avaient-elles été informées, la finalité est-elle bien précise, légitime et proportionnée ?

L’affaire de l’adresse IP jugée le 9 avril 2025 par la Cour de cassation[1] l’illustre bien : une donnée valablement collectée à une fin peut devenir un traitement illicite dès lors qu’elle est réutilisée à une autre fin sans le consentement de l’intéressé. L’employeur a donc tout intérêt, avant de répondre (et il n’a que 30 jours pour le faire), à s’assurer que les traitements révélés par ce recensement reposent sur une base légale cohérente avec leur finalité déclarée — au besoin en se rapprochant de son DPO — plutôt que de découvrir cette difficulté a posteriori, sous la pression du contentieux.

L’article 15 du RGPD impose à l’employeur de communiquer, en sus des données demandées :

• les finalités du traitement;
• les catégories de données à caractère personnel concernées;
• les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales;
• lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée;
• l’existence du droit de demander au responsable du traitement la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce traitement;
• le droit d’introduire une réclamation auprès d’une autorité de contrôle;
• lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source;
• l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
• lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d’être informée des garanties appropriées, en vertu de l’article 46, en ce qui concerne ce transfert.

Toutes ces informations figurent normalement déjà dans votre Politique de confidentialité qui a dû être portée à la connaissance des salariés de l’entreprise.

La notion de donnée personnelle interprétée largement

La CJUE retient une définition volontairement souple de la donnée à caractère personnel, qui couvre un très large éventail d’informations dès lors qu’elles se rapportent à une personne identifiée ou identifiable, y compris des données professionnelles ou déjà rendues publiques.

Dans l’affaire Nowak, elle a même jugé que les copies d’examen d’un candidat et les annotations de son correcteur constituaient des données personnelles (CJUE 20/12/2017 affaire C-434-16).

Ce mouvement extensif a trouvé son prolongement le plus commenté dans le contentieux des courriels professionnels. La CNIL considère de longue date qu’un salarié peut demander à son employeur la communication des données personnelles le concernant contenues dans sa messagerie professionnelle, tant les métadonnées (horodatage, destinataires) que le contenu des messages. La chambre sociale de la Cour de cassation a franchi un pas supplémentaire en jugeant que les courriels émis ou reçus par un salarié via sa messagerie professionnelle constituent, en tant que tels, des données à caractère personnel, l’employeur devant en fournir tant les métadonnées que le contenu, sauf atteinte aux droits et libertés d’autrui (Cass. soc., 18 juin 2025, n° 23-19.022). Cette solution, obtenue dans un litige où le salarié cherchait précisément à réunir des preuves pour un contentieux prud’homal, ouvre potentiellement un accès très large aux correspondances professionnelles.

Un droit qui reste borné par les droits des tiers

L’exercice du droit d’accès ne doit pas porter une atteinte disproportionnée aux droits des tiers : secret des affaires, propriété intellectuelle, vie privée ou secret des correspondances peuvent restreindre le périmètre des données communicables, sans pour autant permettre à l’employeur de refuser toute réponse.

La CNIL a détaillé une méthodologie en deux temps pour les courriels professionnels : lorsque le salarié est expéditeur ou destinataire des messages, la communication de leur contenu est en principe présumée respectueuse des droits des tiers, l’anonymisation restant une bonne pratique plutôt qu’un préalable obligatoire ; lorsque le salarié est seulement cité dans des courriels échangés par d’autres, l’employeur doit d’abord s’assurer que l’identification des messages ne suppose pas des moyens disproportionnément intrusifs, puis apprécier au cas par cas l’atteinte que la communication ferait aux droits des tiers.

Le droit d’accès trouve une seconde limite dans la théorie des demandes manifestement infondées ou excessives. Selon les lignes directrices du Comité européen de la protection des données de 2023, la seule charge de travail que représente une demande ne suffit pas à la rendre excessive ; le responsable de traitement doit démontrer que la personne concernée détourne l’article 15 dans le seul but de lui nuire, par exemple en multipliant les demandes dans une logique de harcèlement ou en proposant de retirer sa demande contre un avantage. En cas de refus, l’employeur doit néanmoins informer le salarié, dans le délai d’un mois, du motif du refus, de son droit de réclamation auprès de la CNIL et de son droit de recours juridictionnel, un formalisme dont le non-respect expose à un risque de dénonciation à l’autorité de contrôle, voire à une condamnation pour manquement fautif, comme l’illustre l’arrêt du 18 juin 2025 précité, où l’absence de toute réponse de l’employeur a justifié sa condamnation à indemniser le salarié (500 euros).

Vers un rééquilibrage : la finalité du droit d’accès reprend le dessus

Les mois qui ont suivi l’arrêt du 18 juin 2025 ont vu se dessiner un mouvement de reflux. Dans deux arrêts rendus en novembre et décembre 2025, la cour d’appel de Paris a semblé prendre ses distances avec la lecture extensive de la Cour de cassation, en rappelant que le droit d’accès a pour finalité de permettre à la personne concernée de vérifier l’exactitude et la licéité du traitement de ses données, et non de lui offrir un moyen détourné de récupération intégrale de documents ou de messagerie à des fins probatoires.

Ce mouvement a trouvé une consécration européenne avec l’arrêt Brillen Rottler rendu par la CJUE le 19 mars 2026 (aff. C-526/24). La Cour y admet, pour la première fois aussi explicitement, qu’une demande d’accès — y compris une toute première demande — peut être qualifiée d’excessive et constituer un abus de droit dès lors que son auteur cherche en réalité à obtenir, en créant artificiellement les conditions requises à cet effet, un avantage étranger à la protection des données, tel qu’une indemnisation. La Cour précise que le caractère abusif suppose la preuve d’une intention de détournement de finalité, le responsable de traitement pouvant s’appuyer sur un faisceau d’indices.

Transposée au contentieux social, cette évolution offre aux employeurs un nouveau moyen de défense face aux demandes d’accès mobilisées à des fins purement probatoires, en particulier dans un contentieux prud’homal déjà engagé ou prévisible. Il leur appartiendra toutefois d’en établir la preuve, sans pouvoir pour autant conditionner leur réponse à la justification d’un motif par le salarié, la CJUE ayant déjà jugé qu’une telle exigence méconnaîtrait l’article 15 du RGPD (CJUE, 27 mai 2024, aff. C-312/23, Addiko Bank). L’équilibre demeure donc précaire, et éminemment casuistique.

Il faut néanmoins préciser que cette nouvelle jurisprudence ne concernait ni un salarié, ni un but probatoire dans le cadre d’un prud’homme, prudence donc dans son interprétation !

Ce que cela change pour les employeurs

En pratique, ces évolutions invitent les employeurs à structurer davantage leur traitement des demandes d’accès : une politique de confidentialité et un registre des traitements à jour facilitent la réponse.

Le recours à un tableau récapitulatif des courriels (expéditeur, destinataire, mentions) peut suffire lorsque le tri intégral représente une charge disproportionnée, à condition d’en informer le demandeur et de l’inviter à préciser sa requête.

Conclusion : le droit d’accès demeure ainsi une pierre angulaire du RGPD, et les modalités de réponse à une demande d’accès d’un salarié doit s’apprécier au cas par cas…mais rapidement.

[1] Cour de cassation, civile, Chambre sociale, 9 avril 2025, 23-13.159