Droit d’accès des salariés aux courriers électroniques : la Cour d’appel de Paris siffle la fin de la récréation
L'avocat Eric Barbry réagit à une actualité récente sur le sujet des droits d'accès aux emails par les salariés... et les nombreuses incompréhensions qui en découlent.
Publié et mis à jour le 18 févr. Lecture 4 min.
Depuis plusieurs mois les entreprises et notamment leurs DRH sont terrorisés à l’idée de revoir et de devoir traiter une demande de droit d’accès d’un salarié. Dans la plupart des cas, le salarié demande tout : la mer et ses poissons, et surtout « la copie des courriers électroniques ». Or, cela fait plusieurs mois que j’explique :
qu’il ne faut pas confondre « données » et « documents » ;
que le droit d’accès (mais aussi les autres droits) portent sur des « données » et non des « documents » ;
qu’un courrier électronique en tant que tel est un « document» et non une « donnée » même s’il peut générer des « données » ;
que la Cnil elle-même rappelle cette summa divisio ;
que la Cnil elle-même rappelle que le droit d’accès ne doit pas être « instrumentalisé » ;
que si elle accepte qu’un employeur puisse communiquer le contenu des mels ce n’est qu’une « tolérance » pour se simplifier la vie ;
et que si l’entreprise utilise cette voie, elle doit s’assurer que le contenu des courriers électroniques soit purgé (caviarder, masquer, supprimer, …) des données concernant des tiers et tout autre élément propre à l’entreprise (secret des affaires, secret professionnel, engagement de confidentialité, secret des correspondances privées, propriété intellectuelle, …).
En résumé l’entreprise n’a aucune obligation de communiquer le contenu des courriers électroniques eux-mêmes. Ce qui est assez logique, pour ceux qui ont connu comme moi les « lettres » ou les « fax » il ne serait jamais venu à l’esprit de quiconque de les considérer autrement que comme des « documents ».
Le contexte particulier de la décision du 18 juin 2025
On m’objectait la plupart du temps la décision de la Cour de cassation du 18 juin 2025 comme l’alpha et l’omega du droit d’accès des salariés alors même que cette décision s’inscrivait dans un double contexte particulier : le refus total de l’entreprise de communiquer quoi que ce soit ; une procédure complexe d’enquête interne. Et me voilà sauvé par la Cour d’appel de Paris dans une arrêt du 18 décembre dernier (RG n° 25/04270) qui je l’espère fera jurisprudence.
La clarification de la Cour d'appel de Paris
Le contexte est simple (assez classique même) : Un salarié est licencié. Il demande la copie de ses courriers électroniques. L’entreprise refuse. Le salarié saisit le Conseil pour obtenir - sous bénéfice d’un article 145 - l’ensemble de ces mels. Le Conseil refuse, l’affaire est portée devant la Cour d’appel. Et voici que la Cour d’appel de Paris, sans tergiverser, pose les limites du droit d’accès d’un salarié et confirme notre compréhension. La Cour rappelle que le droit d’accès porte sur des données et non des documents :
Selon l'article 15, §§ 3 et 4, du RGPD relatif au « Droit d'accès de la personne concernée », celle-ci a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux dites données à caractère personnel. Le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement, sous réserve que le droit d'obtenir une copie ne porte pas atteinte aux droits et libertés d'autrui.
Pour autant, la finalité du [15] n'est pas d'obtenir la copie de la correspondance électronique professionnelle émise ou reçue par le salarié dans le cadre de son activité dont il a, par définition, eu connaissance en totalité, et qui ne contient, à moins qu'il fasse la preuve contraire de leur caractère personnel, comme seules données personnelles que son identification (ici l'adresse mail de M. [K] et son nom), ce qui n'est pas le cas en l'espèce.
Elle précise ce que sont les « données » dans un environnement professionnel :
Si les données personnelles concernent notamment l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'orientation sexuelle, l'appartenance syndicale, les données génétiques, les données d'identité, les données biométriques, les données de géolocalisation, profil, numéro d'identification, nom, prénom, numéro de téléphone ou de voiture, adresse postale ou courriel, et dans le cadre du présent litige, l'adresse mail professionnelle de M. [K] et son nom, les autres documents ou mails émis ou reçus par lui ou les autres pièces dont il sollicite la communication et qui figurent dans des dossiers qu'il a constitués « privé et personnel » et « espace prive et personnel », ne constituent pas des données personnelles au sens de l'article 15 du RGPD.
Elle rappelle les objectifs précis du droit d’accès :
En effet, le droit d'accès prévu par l'article 15 du [15] a pour finalité de permettre à la personne qui l'exerce de contrôler la conformité du traitement de ses données à caractère personnel avec les prescriptions du règlement, de contrôler l'exactitude des données et, au besoin, de les faire rectifier ou efface
Mais la Cour ne se contente pas de cette seule analyse. Elle vérifie et explique en quoi la communication de l’intégralité des courriers électroniques serait totalement inutile pour des démonstrations sur le temps de travail, la charge, …
Enfin, la communication de l'ensemble de la boîte mails des courriels reçus et envoyés sur ou depuis sa boîte mail n'est pas davantage utile à la preuve des heures supplémentaires alléguées, et ce d'autant plus que les horaires des échanges ou réception de mails ne sont pas de nature à apporter la preuve d'une amplitude de travail effectif, et à tout le moins non utile pour démontrer un non-respect des durées maximales de travail ou la charge de travail raisonnable. Elle n'est pas davantage utile pour la contestation du licenciement pour insuffisance professionnelle, alors que la Chambre s'est fondée sur un nombre déterminé de dossiers référencés, et non pas sur des observations ou considérations générales.
Les données à communiquer
En conséquence l’employeur est bien fondé à ne pas communiquer les courriers électroniques et autres documents au bénéfice de l’article 15 du RGPD. Il doit cependant communiquer, dans les délais légaux, toutes les données concernant un salarié qui sont en pratique les suivantes :
1) des données issues du SIRH ;
2) des données issues de l’usage d’application utilisées dans le cadre de ses fonctions :
Données d’usage de la ou des applications métiers utilisées
Données d’usage des applications bureautique
3) des donnée issues de l’usage d’outils de sécurité et de contrôle s’il y a lieu :
Temps de travail : badgeuses / saisies de temps, …
Vidéosurveillance
Géolocalisation (de véhicules par exemple)
Attention, même la communication de ces données ne doit pas nuire au droit des tiers et à celui de l’entreprise.