Préparer sa défense, oui… mais non sans limites lorsqu’il s’agit de rediriger massivement des courriels professionnels comportant des données sensibles vers une messagerie personnelle

La redirection massive de courriels professionnels sensibles vers une messagerie personnelle peut constituer une violation grave de l’obligation de confidentialité, même pour un salarié protégé du fait de son mandat de représentant du personnel

C’est la position qu’a récemment adopté le Conseil d’Etat dans un arrêt du 20 février 2026 statuant sur l’autorisation de licenciement de l’inspection du travail à l’égard d’une salariée.

Dans cette affaire, une salariée occupant le poste d’assistante sociale au sein d’une association médico-sociale, disposant du statut de salarié protégé avait redirigé, depuis sa messagerie professionnelle, des centaines de courriels vers sa messagerie personnelle et vers la messagerie personnelle de son conjoint.

Or, ces courriels contenaient des informations confidentielles relatives à des résidents pris en charge par l’Association, soit des données sensibles couvertes par le secret professionnel. Ces courriels ne pouvaient donc être transférés sans autorisation.

En réaction à cette situation, l’Association a sollicité l’autorisation de licenciement pour motif disciplinaire auprès de l’inspection du travail dont le refus sera annulé par le ministère du travail à la suite d’un recours hiérarchique.

Face à cette décision, la salariée saisit le tribunal administratif qui annula cette décision ministérielle.

Au soutien de son argumentation, la salariée avançait que cette redirection de courriels avait été effectuée afin de conserver des échanges professionnels « dans le but d’assurer le cas échéant ses droits à la défense » dans un contexte « de craintes de la salariée quant à la modification du périmètre de son poste de travail ».

Elle ajoutait que son conjoint n’avait aucun intérêt personnel à consulter ces données et qu’aucun usage détourné n’était établi.

Côté Association, celle-ci soutenait que le transfert massif de données sensibles sur sa messagerie personnelle et celle de son conjoint, tiers à l’entreprise, constituait une violation des obligations prévues dans son contrat de travail, l’article L. 411-3 du CASF, le règlement intérieur ainsi que la charte informatique de l’Association.

Il ressort de ces dispositions que le simple fait de transférer de telles données vers des messageries personnelles, dont celle d’un tiers, fait courir un risque objectif de compromission, incompatible avec ces obligations auxquelles étaient tenue la salariée.

L’Association saisissait la Cour d’appel administrative, qui rejeta sa demande estimant que la salariée n’avait pas commis de faute suffisamment grave.

Le Conseil d’Etat saisi est confronté à l’articulation de deux notions à savoir : la protection de la confidentialité des données figurant au sein de ces courriers et les droits de la défense allégués par la salariée.

Celui-ci ne partagera pas l’analyse faite par la Cour d’appel administrative et renverra l’affaire.

Dans sa démonstration, le Conseil rappelle que le secret professionnel ne peut être levé que dans la mesure strictement nécessaire à la défense des droits du salarié ce qui n’était pas le cas en l’espèce.

La redirection massive de données, leur caractère sensible concernant des personnes prises en charge par la structure médico-sociale, ainsi que la sensibilisation préalable de la salariée aux obligations de confidentialité et de secret professionnel ont été des éléments déterminants pour valider le licenciement.

Ainsi, même en l’absence d’intérêt personnel du conjoint à accéder aux données, la transmission vers une adresse personnelle et celle d’un tiers était susceptible de compromettre des données personnelles sensibles.

Par conséquent, le Conseil d’Etat a estimé que de tels faits présentaient une gravité suffisante pour justifier la mesure de licenciement à l’égard de cette salariée.

Il est donc intéressant de retenir de cette affaire que l’usage des droits de la défense demeure encadré et que les abus comme la transmission d’une centaine de courriels professionnels sensibles vers des messageries extérieures sont sanctionnés.