Messagerie professionnelle du salarié : jusqu'où l'employeur peut-il aller en 2026 ? Par Noémie Le Bouard, Avocat.

En 2026, l’accès à la messagerie professionnelle d’un salarié par son employeur est encadré par plusieurs règles juridiques majeures. Les courriels professionnels sont présumés tels s’ils ne sont pas explicitement marqués comme personnels ou privés. L’employeur peut les consulter pour des besoins liés à l’activité, mais son pouvoir de contrôle est limité par le respect de la vie privée, le secret des correspondances (droit fondamental protégé par l’article L1121-1 du Code du travail) et le principe de proportionnalité (l’accès doit être justifié et non excessif). Depuis 2025, les courriels professionnels sont considérés comme des données à caractère personnel au sens du RGPD, ce qui donne au salarié le droit d’en demander le contenu et les métadonnées. Les dispositifs de surveillance doivent être justifiés, proportionnés, portés à la connaissance des salariés et, le cas échéant, soumis à l’avis du CSE (Comité Social et Économique).

Un courriel explicitement identifié comme personnel ou privé bénéficie d’une protection renforcée. En principe, son ouverture par l’employeur doit se faire en présence du salarié ou après l’avoir dûment appelé. Une exception existe en cas de risque ou événement particulier (ex. : suspicion de fuite de données, attaque informatique), mais l’employeur doit pouvoir justifier ce risque de manière précise. Le secret des correspondances (article 226-15 du Code pénal) protège ces messages : leur ouverture irrégulière peut constituer une infraction pénale si elle est commise de mauvaise foi. Cependant, une simple consultation irrégulière ne suffit pas toujours à caractériser l’infraction, car les éléments constitutifs doivent être réunis. Sur le plan civil, une atteinte à la vie privée peut entraîner des conséquences indépendamment de toute condamnation pénale.

Un échange professionnel peut servir de preuve dans une procédure disciplinaire ou prud’homale, même s’il n’était pas destiné à être public. Par exemple, des propos insultants ou dénigrants échangés entre collègues via la messagerie professionnelle peuvent justifier une sanction, à condition que leur contenu soit en lien avec l’activité professionnelle. La Cour de cassation a confirmé en janvier 2026 qu’un message professionnel critique envers l’employeur n’est pas automatiquement fautif : la sanction doit être proportionnée et tenir compte du contexte, de la teneur des propos, du nombre de destinataires et de l’impact sur l’entreprise. La liberté d’expression du salarié (principe constitutionnel) reste protégée, sauf en cas d’abus (injures, diffamation, propos excessifs).

La suppression de l’intégralité d’une messagerie professionnelle avant un départ n’est pas automatiquement fautive si l’entreprise n’a pas fixé de règles internes claires sur la conservation des données ou si aucun préjudice n’est démontré. La cour administrative d’appel de Versailles a rappelé en 2026 que cette suppression ne constitue pas une faute en l’absence de règle de conservation préalable et de préjudice réel pour l’employeur. Cette décision s’inscrit dans une logique de proportionnalité : l’employeur ne peut sanctionner un salarié pour une action qui n’était pas explicitement interdite ou encadrée par des procédures internes. Elle souligne l’importance pour les entreprises de définir des politiques claires en matière de gestion des données professionnelles.

L’employeur ne peut pas surveiller librement l’activité d’un salarié via sa messagerie. Un accès ponctuel à un courriel professionnel (ex. : pour retrouver un dossier client) est généralement autorisé, car il relève du fonctionnement normal de l’entreprise. En revanche, un dispositif organisé de surveillance (ex. : logiciel de tracking permanent) doit respecter des règles strictes : il doit être porté à la connaissance des salariés avant sa mise en place (article L1222-4 du Code du travail), respecter le principe de proportionnalité (article L1121-1) et, dans certains cas, être soumis à l’avis du CSE. La distinction entre ces deux situations est cruciale pour éviter des recours juridiques.

Depuis 2025, les courriels professionnels sont considérés comme des données à caractère personnel au sens du RGPD, ce qui donne au salarié le droit d’en demander le contenu et les métadonnées (date, expéditeur, destinataire, etc.) via une demande d’accès (article 15 du RGPD). Ce droit permet au salarié de vérifier la licéité de l’utilisation de ses données par l’employeur. Cependant, ce droit est limité par les droits des tiers : si un courriel contient des données personnelles d’autres personnes (collègues, clients), l’employeur peut refuser de communiquer certaines informations pour protéger leur vie privée. Ce mécanisme vise à équilibrer transparence et respect de la confidentialité des autres.