Accès aux mails et aux données personnelles : le RGPD, nouvelle source de conflit entre entreprises et salariés

Le 18 juin 2025, la Cour de cassation française a rendu une décision majeure concernant le RGPD (Règlement général sur la protection des données), un texte européen entré en vigueur en 2018. Elle a estimé que les courriels émis ou reçus par un salarié constituent des données personnelles. Cela signifie qu’un employé ou un ancien employé peut demander à son entreprise l’intégralité des mails de sa propre boîte professionnelle, ainsi que tous les mails de ses collègues qui permettent de l’identifier. Ce droit s’étend également à d’autres types de données comme les fiches de paie, les comptes rendus d’entretiens professionnels, l’historique des connexions à des outils comme Teams, ou encore les échanges sur des messageries instantanées comme Slack. Cette décision s’appuie sur l’article 4 du RGPD, qui définit une donnée personnelle comme toute information relative à une personne identifiable, directement ou indirectement.

Le droit d’accès est une disposition clé du RGPD qui permet à toute personne de demander à une organisation (entreprise, administration, etc.) l’accès aux données personnelles la concernant. Dans le contexte professionnel, cela inclut non seulement les mails personnels du salarié, mais aussi ceux de ses collègues qui mentionnent son nom ou des informations le concernant. Ce droit s’applique également à d’autres données sensibles comme les fiches de paie, les comptes rendus d’entretiens, les enregistrements de vidéosurveillance, ou encore les historiques de connexion à des outils collaboratifs. La Commission nationale de l’informatique et des libertés (CNIL), autorité française chargée de veiller au respect du RGPD, a publié un guide le 2 avril 2024 pour préciser les traitements de données à organiser et les durées de conservation recommandées. Les entreprises doivent donc être capables de répondre à ces demandes sous un délai d’un mois, ou trois mois si la demande est complexe.

Depuis l’entrée en vigueur du RGPD en 2018, les entreprises ont dû s’adapter à cette réglementation, ce qui a entraîné une augmentation significative du nombre de délégués à la protection des données (DPO). Selon l’Association française des correspondants à la protection des données à caractère personnel (AFCDP), leur nombre est passé de 21 000 en 2019 à 34 440 en 2024. Ces délégués ont pour mission de veiller à la conformité des traitements de données au sein de leur organisation et de répondre aux demandes des salariés dans les délais légaux. Philippe Salaün, président de l’AFCDP, souligne la complexité de cette tâche, notamment pour les données des ressources humaines (RH), qui sont souvent nombreuses, confidentielles et délicates à manipuler. Les entreprises doivent en effet recenser les mails, protéger les données des tiers en les caviardant (c’est-à-dire en masquant les informations personnelles), et transmettre les données demandées dans le délai imparti.