Manquement au RGPD : le salarié n'est indemnisé que s'il prouve un préjudice. Par Sofiane Coly, Avocat.

Par un arrêt publié du 24 juin 2026, la Cour de cassation le juge pour la première fois à propos du RGPD : la seule violation du règlement n'ouvre pas, à elle seule, droit à réparation. Le salarié qui réclame des dommages-intérêts doit démontrer un dommage matériel ou moral. Une décision rassurante…

Résumé

RGPD et indemnisation

Dans une affaire récente, un salarié d’un établissement financier a été licencié après avoir cliqué à plusieurs reprises sur des faux courriels piégés (phishing) envoyés avec son accord pour une campagne de sensibilisation.

L’employeur a traité ses données personnelles sans son consentement, ce qui constitue un manquement au Règlement général sur la protection des données (RGPD).

Le salarié a réclamé des dommages-intérêts pour ce manquement, et la cour d’appel lui a accordé 5 000 € en estimant que la violation du RGPD lui avait « nécessairement » causé un préjudice.

Cependant, la Cour de cassation a censuré cette décision, rappelant que la simple violation du RGPD ne suffit pas à ouvrir droit à réparation.

Pour obtenir des dommages-intérêts, le salarié doit prouver deux choses : d’abord, qu’il y a eu une violation du RGPD, et ensuite, que cette violation lui a causé un préjudice concret, matériel ou moral.

L’indemnisation vise à compenser un dommage réel, et non à sanctionner une faute en soi.