Le RGPD dans les conflits salariés est devenu un sujet que les équipes RH et DPO ne peuvent plus ignorer. Longtemps perçu comme un outil de protection des données personnelles des clients ou utilisateurs, le droit d’accès prévu à l’article 15 du RGPD s’invite désormais dans les procédures de rupture de contrat, les négociations de départ et les contentieux prud’homaux. La Cour de cassation a confirmé en 2025 que l’employeur ne peut pas s’y soustraire, quelle que soit la situation du salarié qui le demande.
Le RGPD comme levier dans les transactions sociales : un phénomène structurel
Une transaction sociale désigne en droit du travail tout accord amiable conclu entre un employeur et un salarié pour régler définitivement un litige — rupture conventionnelle homologuée, protocole transactionnel, ou plus rarement accord de fin de contrat en contexte contentieux. Ces situations impliquent par nature une asymétrie d’information : l’employeur détient des données sur le salarié que celui-ci ne voit pas ou ne maîtrise pas.
Le droit d’accès RGPD vient rééquilibrer cette asymétrie. En exerçant son droit prévu à l’article 15 du RGPD, un salarié peut obtenir :
- La liste des données personnelles détenues par l’employeur le concernant.
- Les e-mails professionnels dont il est l’expéditeur, le destinataire, ou dans lesquels il est mentionné.
- Les données issues des outils de contrôle ou de surveillance (badgeages, logs informatiques, outils de mesure de l’activité) dans les limites fixées par la CNIL.
- Les évaluations, comptes rendus d’entretien et notes internes le concernant directement.
Dans un contexte de conflit, ces informations peuvent modifier substantiellement le rapport de force entre les parties et influer sur les termes d’une transaction.
Ce que dit la jurisprudence : l’arrêt Cass. soc. 18 juin 2025
La Cour de cassation, chambre sociale, a rendu le 18 juin 2025 (n°23-19.022, publié au Bulletin) un arrêt qui clarifie l’étendue de l’obligation de l’employeur en matière de droit d’accès RGPD dans les conflits salariés. Dans cette affaire, un ancien salarié licencié pour faute avait demandé l’accès à l’ensemble de ses données ; l’employeur avait transmis son dossier RH mais avait omis les courriels professionnels, sans en justifier le refus.
La Cour a retenu que cette omission constituait une faute, et surtout que le fait d’exercer ce droit dans un objectif contentieux ne constitue pas en soi un abus — c’est bien cet arrêt lui-même qui pose ce principe, indépendamment de l’intention du salarié ou du contexte conflictuel de la demande. Deux enseignements clés :
- Le contexte de la demande est juridiquement neutre. Qu’un salarié soit en litige, en procédure de licenciement ou en pleine négociation de rupture conventionnelle, son droit d’accès est identique à celui d’un salarié en poste sans conflit — même lorsque la finalité est de constituer un dossier pour une action prud’homale.
- Une réponse partielle n’est pas une réponse. Communiquer une partie des données sans justifier l’exclusion des autres éléments expose l’employeur à une faute caractérisée.
Cette position rejoint les recommandations du CEPD, qui dans son rapport du 20 janvier 2025 sur la mise en œuvre du droit d’accès (issu de l’action coordonnée CEF 2024, menée auprès de 1 185 organismes dans toute l’Europe) pointe l’absence de procédures internes documentées comme l’un des principaux obstacles à une réponse conforme — un défaut d’organisation qui, en contexte RH conflictuel, expose directement l’employeur au risque illustré par l’arrêt du 18 juin 2025.
Pour aller plus loin : cet arrêt est également traité, sous un angle plus technique centré sur la qualification juridique des e-mails professionnels, dans notre article « RGPD : les e-mails professionnels sont des données personnelles ». Le présent article se concentre sur son impact dans les négociations et transactions sociales.
Pourquoi ce sujet monte en puissance dans les services RH et juridique
Plusieurs facteurs expliquent la montée en puissance du RGPD dans les conflits salariés ces dernières années :
- La généralisation du télétravail et des outils numériques a considérablement augmenté la quantité de données personnelles détenues par les employeurs sur leurs salariés : historique de messagerie, logs de connexion aux outils, données de visioconférence, journaux d’activité des applications métier.
- La jurisprudence française a progressivement élargi la portée du droit d’accès et du droit à la preuve dans les contextes professionnels. La Cour de cassation a ainsi précisé, dans un arrêt du 3 octobre 2024 (n°21-20.979, suivant l’avis de la chambre sociale du 24 avril 2024), que la communication de données de collègues (historiques de carrière, bulletins de paie) pour prouver une discrimination est licite au regard du RGPD, sous réserve que le juge en limite le périmètre au strict nécessaire (principe de minimisation).
- La montée en compétences juridiques des salariés sur leurs droits RGPD, facilitée par la communication de la CNIL et le travail des syndicats et avocats spécialisés en droit social.
- L’effet de levier dans les négociations. Une demande d’accès déposée en début de procédure force l’employeur à mobiliser ses équipes IT, juridique et DPO avant même que le fond du litige soit discuté — ce qui peut accélérer les négociations ou modifier leur équilibre.
Les obligations de l’employeur et leurs limites
Ce que l’employeur doit communiquer
En réponse à une demande d’accès valide, l’employeur doit communiquer l’ensemble des données personnelles concernant le salarié. S’agissant des emails, la jurisprudence de juin 2025 précise que sont concernés les messages dont le salarié est expéditeur ou destinataire, ainsi que ceux dans lesquels il est mentionné dans le corps du texte, y compris leurs métadonnées (horodatage, destinataires).
Les limites légitimes
L’employeur peut s’appuyer sur plusieurs dispositions pour encadrer la réponse sans la refuser :
- Caviardage des données de tiers. Les informations concernant d’autres personnes (collègues, clients) doivent être occultées avant communication. Ce caviardage est obligatoire et doit être mentionné dans la réponse — un principe que la Cour de cassation a également rappelé dans son arrêt du 3 octobre 2024 sur la communication de données de collègues en matière de discrimination.
- Demande de précision sur le périmètre. L’article 12.2 du RGPD permet de demander des précisions sur l’objet de la demande lorsqu’elle est manifestement large. Cette démarche ne suspend pas le délai de réponse mais peut en réduire la charge pratique.
- Prolongation du délai. L’article 12.3 du RGPD autorise une prolongation de deux mois supplémentaires pour les demandes complexes, sous réserve d’en informer le demandeur dans le délai d’un mois initial.
- Refus limité aux demandes manifestement abusives. L’article 12.5 RGPD permet de refuser les demandes manifestement infondées ou excessives — mais ce refus doit être documenté et justifié, et le risque de contentieux devant la CNIL ou les prud’hommes est réel.
Ce que l’employeur ne peut pas faire
- Ignorer la demande ou ne pas y répondre dans les délais.
- Refuser au seul motif que le salarié est en conflit ou que la demande vise à alimenter un contentieux.
- Répondre partiellement sans mentionner et justifier les exclusions.
Ce que les équipes DPO et RH doivent mettre en place
- Procédure de traitement des demandes en contexte RH. La procédure générale de traitement des droits doit prévoir un circuit spécifique pour les demandes formulées par des salariés en situation de conflit, avec coordination entre la RH, le juridique et le DPO dès réception — c’est précisément l’absence documentée de cette procédure que le CEPD pointe comme premier facteur de risque dans son rapport de janvier 2025.
- Inventaire des données détenues sur les salariés. Sans cartographie des données salariales (messagerie, outils de suivi d’activité, données de paie, évaluations), il est impossible de répondre de manière exhaustive dans les délais légaux. Un logiciel RGPD centralisant les demandes de droits permet de tracer chaque étape et de sécuriser les délais.
- Politique de conservation courte sur les emails. Réduire les durées de conservation des messageries réduit mécaniquement le volume à traiter le jour d’une demande d’accès.
- Anticipation dans les transactions sociales. Lors de la rédaction d’un protocole transactionnel, envisager d’inclure une clause organisant le calendrier et le périmètre de la réponse RGPD dans un cadre amiable — sans jamais exclure ou restreindre le droit lui-même, ce qui serait illicite.
- Formation des équipes RH. Les gestionnaires RH en première ligne des procédures disciplinaires ou de rupture de contrat doivent connaître le risque d’une demande d’accès RGPD et savoir qu’ils ne peuvent pas y répondre seuls.
Votre procédure de traitement des droits RGPD en contexte RH est-elle opérationnelle ? Échangeons !
FAQ — RGPD et conflits salariés : droit d’accès et transactions sociales
Un salarié peut-il exercer son droit d’accès RGPD pendant une procédure de licenciement ?
Oui, et son droit est identique à celui d’un salarié sans conflit. La Cour de cassation, dans son arrêt du 18 juin 2025 (n°23-19.022), a confirmé que le fait d’exercer un droit d’accès dans un objectif contentieux — par exemple pour préparer une action prud’homale — n’est pas en soi abusif. L’employeur doit répondre dans les délais légaux, quel que soit le contexte de la demande.
L’employeur peut-il refuser de communiquer les emails professionnels dans le cadre d’un conflit ?
Non, sauf à justifier d’une exception légale précise — comme la protection des données de tiers (dans ce cas, caviardage plutôt que refus global) ou une demande manifestement excessive au sens de l’article 12.5 RGPD. Le refus fondé uniquement sur le contexte conflictuel a été sanctionné par la Cour de cassation dans son arrêt du 18 juin 2025.
Le droit d’accès peut-il être limité ou encadré dans un accord transactionnel ?
Une clause contractuelle ne peut pas supprimer ou restreindre le droit d’accès RGPD — ce serait une clause contraire à l’ordre public. En revanche, un accord transactionnel peut organiser les modalités pratiques de la réponse : délai, périmètre précis des données demandées, format de communication. Cette organisation amiable peut alléger la charge des deux parties.
Quelles données les outils de surveillance du travail exposent-ils à une demande d’accès ?
Tous les dispositifs de contrôle de l’activité des salariés (badgeuses, logs informatiques, enregistrements téléphoniques si autorisés, outils de mesure de la productivité) génèrent des données personnelles accessibles via le droit d’accès, dans les limites posées par la CNIL sur la licéité de ces dispositifs. Si un outil de surveillance est illicite, son existence peut elle-même devenir un problème distinct du conflit initial.
Quel délai pour répondre et que se passe-t-il en cas de retard ?
Un mois à partir de la réception de la demande, prolongeable de deux mois pour les demandes complexes si le demandeur est informé dans le premier mois. Un retard expose l’employeur à une plainte auprès de la CNIL, qui peut ouvrir un contrôle, et à une faute susceptible d’être invoquée dans la procédure prud’homale en cours.
🔎 Vous avez une question plus générale sur la conformité RGPD ou la cybersécurité ? Consultez notre FAQ générale.
En résumé
Le RGPD dans les conflits salariés est un phénomène structurel qui transforme les transactions sociales. Depuis l’arrêt Cass. soc. du 18 juin 2025, l’employeur qui omet de répondre à une demande d’accès commet une faute, quel que soit le contexte, y compris contentieux. Les équipes DPO et RH doivent co-construire une procédure spécifique pour ces situations : inventaire des données salariales, délais de conservation courts, coordination précoce et gestion documentée de chaque demande.
Sources
- Travail, ressources humaines : le contrôle de l’activité des personnes employées — CNIL
- Les droits pour maîtriser vos données personnelles — CNIL
- Article 15 RGPD — Droit d’accès — CNIL
- Cass. soc., 18 juin 2025, n°23-19.022, publié au Bulletin — Légifrance
- Cass. 2e civ., 3 octobre 2024, n°21-20.979, publié au Bulletin — Légifrance
- CEF 2024 : l’EDPB recense les obstacles à la pleine mise en œuvre du droit d’accès — EDPB, 20 janvier 2025
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
