Par un arrêt du 18 juin 2025 (n° 23-19.022, publié au Bulletin), la chambre sociale de la Cour de cassation apporte une précision majeure concernant le droit pour un salarié d’accéder, sur le fondement de l’article 15 du RGPD, à l’ensemble des courriels qu’il a émis ou reçus dans le cadre de son activité professionnelle.

La Cour énonce que ces messages, incluant leur contenu comme leurs métadonnées (horodatage, destinataires, objets), constituent des données à caractère personnel au sens de l’article 4 du RGPD, dès lors qu’ils se rapportent à une personne physique identifiée ou identifiable.

En conséquence, par ce cas d’espèce, la Haute juridiction considère que l’employeur est tenu de communiquer les courriels professionnels au salarié qui en fait la demande, sauf à démontrer que cette communication porterait atteinte aux droits et libertés d’autrui. En l’espèce, l’abstention injustifiée de l’employeur a été qualifiée de faute, ouvrant droit à indemnisation.

Cette solution s’inscrit dans la continuité de la doctrine de la CNIL, qui rappelle que le droit d’accès s’applique pleinement aux données personnelles traitées dans un contexte professionnel. Selon la fiche actualisée de l’autorité le 31 janvier 2025, la communication d’une copie intégrale des courriels est fréquemment la solution la plus aisée pour satisfaire à la demande, notamment lorsque le salarié est expéditeur ou destinataire.

Toutefois, d’autres modalités, comme la transmission d’un tableau récapitulatif structuré, peuvent être admises à condition qu’elles permettent une lecture fidèle et intelligible des données concernées. En revanche, le refus de communication au seul motif que les données sont contenues dans des messages professionnels ou que leur tri représenterait une charge de travail importante n’apparait pas être admis.

Toute restriction d’accès doit être justifiée par une atteinte caractérisée au secret des affaires, à la vie privée ou au secret des correspondances, et précédée, dans la mesure du possible, d’une anonymisation ou d’une pseudonymisation.

Cette convergence entre la jurisprudence de la Cour de cassation et la position officielle de la CNIL impose aux employeurs de se doter de procédures claires, loyales et documentées pour répondre aux demandes de droit d’accès. Il est également important de souligner que ces éléments doivent rester en cohérence avec le registre de traitement des données établi au sein de la structure de l’entreprise qui précise la durée de conservation de telles données.

Les courriels professionnels, loin d’être de simples supports de communication, doivent désormais être traités comme des objets pleinement soumis au RGPD. À défaut, les entreprises s’exposeraient à un risque accru de contentieux ou de sanctions administratives.