Le salarié obtient gratuitement, sans avoir à se justifier, la copie de ses données, courriels professionnels compris

Tout salarié, en poste ou parti, peut demander à son employeur la confirmation que des données le concernant sont traitées, l'accès à ces données et une première copie gratuite, sans avoir à motiver sa demande, l'employeur ne pouvant refuser d'y donner suite que s'il démontre, à titre exceptionnel, son caractère manifestement infondé ou excessif. L'employeur doit répondre dans un délai d'un mois, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer le salarié dans le premier mois. Depuis un arrêt publié du 18 juin 2025, la chambre sociale juge que les courriels émis ou reçus sur la messagerie professionnelle sont des données personnelles dont l'employeur doit communiquer les métadonnées et le contenu, sauf atteinte aux droits et libertés d'autrui. Le silence injustifié est fautif, mais n'ouvre droit à réparation que si le salarié prouve un préjudice.

Le droit d'accès s'exerce sans motif, gratuitement et dans un délai d'un mois

Le règlement général sur la protection des données reconnaît à toute personne le droit d'obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées et, dans l'affirmative, l'accès à ces données ainsi que diverses informations, dont les finalités, les destinataires et la durée de conservation (RGPD, art. 15). L'employeur, qui traite les données de ses salariés pour la paie, la gestion administrative ou la messagerie, est responsable de ces traitements et ne peut opposer le caractère professionnel du contexte.

Les modalités de réponse figurent à l'article 12. L'employeur répond dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception de la demande ; ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'informer le salarié de la prolongation et de ses motifs dans le premier mois. S'il n'entend pas donner suite, il en indique les motifs dans ce même délai d'un mois et mentionne la possibilité de saisir l'autorité de contrôle ou le juge (RGPD, art. 12). Une demande électronique appelle, sauf souhait contraire, une réponse électronique.

La première copie est gratuite, seules les copies supplémentaires pouvant donner lieu à des frais raisonnables fondés sur les coûts administratifs. La Cour de justice a précisé que ces textes ne permettent pas à l'employeur d'exiger les motifs de la demande, y compris lorsque celle-ci poursuit un but étranger à la protection des données, comme la préparation d'une action en responsabilité (CJUE, 26 octobre 2023, C-307/22). La Cour a toutefois jugé depuis que la finalité réelle de la demande peut être prise en compte, non pour conditionner l'exercice du droit, mais pour caractériser un abus : même une première demande peut être tenue pour excessive lorsque le responsable du traitement démontre qu'elle a été introduite non pour prendre connaissance du traitement et en vérifier la licéité, mais dans une intention abusive, telle que la création artificielle des conditions d'un avantage tiré du règlement (CJUE, 19 mars 2026, C-526/24, Brillen Rottler). Cette dérogation est d'interprétation stricte et la preuve en incombe à l'employeur. Des propositions de modification du règlement ont été présentées en 2025 ; s'agissant du RGPD lui-même, aucune n'était adoptée à la date de rédaction, l'omnibus consacré à l'intelligence artificielle ayant en revanche abouti au règlement (UE) 2026/1744 du 8 juillet 2026.

La copie couvre l'ensemble des données, y compris le contenu des courriels professionnels

Le droit à la copie implique la remise d'une reproduction fidèle et intelligible de l'ensemble des données traitées. Il suppose celui d'obtenir la copie d'extraits de documents, voire de documents entiers ou d'extraits de bases de données, lorsque cette fourniture est indispensable pour permettre au demandeur d'exercer effectivement ses droits (CJUE, 4 mai 2023, C-487/21, point 45). Une description générale ou un renvoi à des catégories de données ne suffit pas.

La chambre sociale en a tiré les conséquences pour la messagerie. Les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel, et l'employeur doit lui fournir tant les métadonnées (horodatage, destinataires) que leur contenu, sauf si les éléments demandés sont de nature à porter atteinte aux droits et libertés d'autrui (Cass. soc., 18 juin 2025, n° 23-19.022). Dans cette affaire, l'employeur avait transmis bulletins de paie, documents contractuels et pièces de fin de contrat, sans communiquer ni les métadonnées ni le contenu des courriels et sans invoquer aucun motif : son abstention a été jugée fautive.

La CNIL admet que la réponse prenne la forme d'une copie des courriels ou d'un tableau reprenant leurs métadonnées et les données personnelles qu'ils contiennent. Lorsque le volume est considérable, elle recommande de communiquer d'abord un tableau récapitulatif des messages dont le salarié est expéditeur, destinataire ou dans lesquels son nom apparaît, puis de l'inviter à préciser sa demande. Pour le salarié, une demande ciblée par période, interlocuteurs ou dossier accélère la réponse et réduit le risque de contestation.

Les droits des tiers et le secret des affaires imposent un tri, jamais un refus de principe

Le droit d'obtenir une copie ne porte pas atteinte aux droits et libertés d'autrui (RGPD, art. 15), ce qui recouvre notamment, selon le considérant 63 du règlement, le secret des affaires et la propriété intellectuelle. En cas de conflit, la Cour de justice impose une mise en balance et le choix, dans la mesure du possible, de modalités de communication qui préservent ces droits, sans que ces considérations puissent aboutir à refuser toute communication (CJUE, 4 mai 2023, C-487/21, points 43 et 44).

La CNIL distingue deux situations. Lorsque le salarié est expéditeur ou destinataire des messages, leur communication est présumée respectueuse des droits des tiers ; l'occultation des données de tiers est une bonne pratique, et un refus n'est envisageable qu'après échec de la suppression, de l'anonymisation ou de la pseudonymisation, par une décision motivée. Lorsque le salarié est seulement mentionné dans des échanges entre d'autres personnes, l'employeur apprécie au cas par cas l'atteinte au secret des correspondances ; il peut ainsi refuser des courriels relatifs à une enquête disciplinaire dont le contenu, même caviardé, permettrait d'identifier des personnes.

Le règlement réserve enfin les demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif : l'employeur peut alors exiger des frais raisonnables ou refuser d'y donner suite, à charge pour lui de démontrer ce caractère (RGPD, art. 12). L'inscription de la demande dans un conflit ne suffit pas à la rendre abusive, puisque l'exercice du droit d'accès ne peut être soumis à l'invocation d'un motif (CJUE, 26 octobre 2023, C-307/22) et que la CNIL tient pour non valable un refus fondé sur l'existence d'une procédure prud'homale en cours. L'employeur peut néanmoins, à titre exceptionnel, opposer le caractère excessif d'une demande dont il démontre, au vu de l'ensemble des circonstances, l'intention abusive (CJUE, 19 mars 2026, C-526/24).

Le droit d'accès complète les outils probatoires du procès prud'homal sans s'y substituer

Pour le salarié, la demande d'accès est souvent une étape précontentieuse : elle permet de réunir, avant toute saisine, courriels, évaluations ou relevés de temps utiles à une action. Elle peut aussi être formée pendant l'instance. Elle ne porte cependant que sur ses propres données et ne se confond pas avec la communication de pièces ordonnée par le juge.

Lorsque la preuve suppose des documents relatifs à d'autres salariés, par exemple les bulletins de paie de collègues pour établir une inégalité de rémunération, la voie adaptée est la mesure d'instruction ordonnée avant tout procès en présence d'un motif légitime (C. pr. civ., art. 145). Le juge recherche si la communication est nécessaire à l'exercice du droit à la preuve et proportionnée au but poursuivi, puis vérifie quelles mesures sont indispensables, au besoin en cantonnant le périmètre de la production ; la chambre sociale a ainsi approuvé la communication de bulletins de paie de huit salariés avec occultation des données autres que l'identité, la classification et la rémunération (Cass. soc., 8 mars 2023, n° 21-12.492).

L'employeur a, pour sa part, intérêt à informer clairement les salariés de ce droit. Dans un litige relatif à un licenciement fondé sur des images de vidéoprotection, la chambre sociale a approuvé la recevabilité de la preuve, le salarié ayant été informé des finalités du dispositif et de son droit d'accès aux enregistrements le concernant ; les juges du fond avaient en outre relevé qu'il ne justifiait pas avoir demandé à l'exercer (Cass. soc., 21 mai 2025, n° 22-19.925).

Le refus injustifié expose l'employeur à la CNIL et à une indemnisation lorsque le préjudice est établi

La CNIL sanctionne le non-respect du droit d'accès et de son délai. Elle a retenu un manquement aux articles 12 et 15 du règlement à l'encontre d'un groupe hôtelier qui n'avait pas répondu dans le délai à une demande d'accès, alors que le doute sur l'identité de la demandeuse avait été levé, ce manquement étant sanctionné avec d'autres par une amende globale de 600 000 euros (CNIL, délibération n° SAN-2022-017 du 3 août 2022). Le salarié dont la demande reste sans réponse peut adresser une réclamation à la CNIL.

Devant le juge prud'homal, l'abstention injustifiée peut donner lieu à des dommages-intérêts : dans l'arrêt du 18 juin 2025, les juges du fond avaient constaté que la défaillance de l'employeur avait causé au salarié un préjudice dont ils ont souverainement apprécié le montant. La réparation suppose toutefois la preuve d'un dommage, la chambre sociale ayant jugé que la simple violation du règlement n'ouvre pas, à elle seule, droit à réparation (Cass. soc., 24 juin 2026, n° 24-22.792), arrêt commenté par ailleurs sur ce site. Le salarié doit donc établir le dommage matériel ou moral que le défaut de réponse lui a concrètement causé.

Une procédure interne écrite sécurise la réponse de l'employeur comme la démarche du salarié

Côté employeur, la procédure désigne un interlocuteur unique (délégué à la protection des données ou référent RH), date la réception de chaque demande et vérifie l'identité du demandeur de manière proportionnée. Elle recense ensuite les traitements concernés (dossier individuel, paie, temps de travail, évaluations, messagerie, outils collaboratifs) et prévoit une réponse reprenant les informations de l'article 15, et pas seulement les données.

Le tri des courriels est documenté, chaque occultation ou refus partiel devant pouvoir être justifié auprès du salarié puis, le cas échéant, de la CNIL ou du juge. Si la prolongation de deux mois est nécessaire, elle est notifiée avec ses motifs avant l'expiration du premier mois. La CNIL relève que des durées de conservation définies pour la messagerie allègent la charge de réponse.

Côté salarié, la demande écrite, adressée au délégué à la protection des données lorsqu'il existe, vise l'article 15 du règlement, précise les traitements et la période utiles et sollicite expressément la copie des données, y compris des courriels et de leurs métadonnées. La preuve de sa réception, qui fait courir le délai, est conservée. À défaut de réponse, la réclamation auprès de la CNIL et l'action en justice restent ouvertes, et l'articulation avec une éventuelle requête fondée sur l'article 145 du code de procédure civile mérite d'être anticipée.

À retenir

Le salarié peut obtenir de son employeur, sans motiver sa demande et sans frais pour la première copie, l'accès à l'ensemble de ses données et une copie fidèle et intelligible, qui inclut les métadonnées et le contenu des courriels professionnels émis ou reçus. L'employeur répond dans un délai d'un mois, prolongeable de deux mois s'il en informe le salarié à temps, et ne peut limiter la communication qu'au nom des droits des tiers, du secret des affaires ou du caractère manifestement infondé ou excessif de la demande, qu'il lui appartient de démontrer, par un tri motivé plutôt que par un refus global. Le refus injustifié expose l'employeur à une sanction de la CNIL et à des dommages-intérêts si le salarié prouve son préjudice.

Notes et références

Références vérifiées sur Légifrance ; articles en vigueur.

• Règlement (UE) 2016/679 (RGPD), art. 12
• Règlement (UE) 2016/679 (RGPD), art. 15
• CJUE, 4 mai 2023, C-487/21
• CJUE, 26 octobre 2023, C-307/22
• CJUE, 19 mars 2026, C-526/24, Brillen Rottler
• Cass. soc., 18 juin 2025, n° 23-19.022
• Cass. soc., 8 mars 2023, n° 21-12.492
• Cass. soc., 21 mai 2025, n° 22-19.925
• Cass. soc., 24 juin 2026, n° 24-22.792
• C. pr. civ., art. 145
• CNIL, délibération n° SAN-2022-017 du 3 août 2022
• CNIL, Le droit d'accès des salariés à leurs données et aux courriels professionnels (mise à jour du 31 janvier 2025)

Pour aller plus loin

Ce commentaire présente la portée générale d’une décision et ne constitue pas un conseil juridique personnalisé. Pour un avis circonstancié, contactez Maître Frech.