Manquement au RGPD : le salarié n'est indemnisé que s'il prouve un préjudice. Par Sofiane Coly, Avocat.

Dans une affaire récente, un salarié d’un établissement financier a été licencié après avoir cliqué à plusieurs reprises sur des faux courriels piégés (phishing) envoyés avec son accord pour une campagne de sensibilisation. L’employeur a traité ses données personnelles sans son consentement, ce qui constitue un manquement au Règlement général sur la protection des données (RGPD). Le salarié a réclamé des dommages-intérêts pour ce manquement, et la cour d’appel lui a accordé 5 000 € en estimant que la violation du RGPD lui avait « nécessairement » causé un préjudice. Cependant, la Cour de cassation a censuré cette décision, rappelant que la simple violation du RGPD ne suffit pas à ouvrir droit à réparation. Pour obtenir des dommages-intérêts, le salarié doit prouver deux choses : d’abord, qu’il y a eu une violation du RGPD, et ensuite, que cette violation lui a causé un préjudice concret, matériel ou moral. L’indemnisation vise à compenser un dommage réel, et non à sanctionner une faute en soi.

La Cour de cassation s’appuie sur l’article 82 du RGPD, qui stipule que toute personne ayant subi un dommage du fait d’une violation du règlement a droit à réparation. La Cour de justice de l’Union européenne (CJUE) a précisé que la simple violation ne suffit pas : le demandeur doit démontrer concrètement le préjudice subi. Dans cette affaire, la cour d’appel avait dispensé le salarié de cette preuve en considérant que le manquement avait « nécessairement » causé un préjudice. La Cour de cassation a jugé que cette approche était incorrecte, car elle ne respecte pas l’obligation de prouver un dommage réel. Cette décision s’inscrit dans une ligne constante de la chambre sociale de la Cour de cassation, qui exige depuis 2016 que les salariés prouvant un préjudice lié à un manquement de l’employeur doivent démontrer ce préjudice, sauf exception.

Cette décision ne signifie pas qu’un manquement au RGPD est sans conséquence pour l’employeur. En effet, l’absence d’indemnisation pour le salarié ne supprime pas le risque de sanctions administratives. La CNIL (Commission nationale de l’informatique et des libertés), autorité française de protection des données, peut prononcer des amendes à l’encontre des entreprises en cas de manquement au RGPD, et ce sans qu’un préjudice individuel soit démontré. Ainsi, le contentieux prud’homal (relatif aux litiges entre employeurs et salariés) et le contrôle de la CNIL répondent à des logiques distinctes : l’un vise à réparer un préjudice individuel, l’autre à sanctionner une infraction au règlement. Les employeurs doivent donc gérer ces deux risques en parallèle.

L’affaire illustre également un point crucial pour les employeurs : la validité des preuves recueillies. Dans cette situation, les éléments ayant permis d’identifier le salarié provenaient d’un traitement de données irrégulier au regard du RGPD, car réalisé sans son consentement. Pourtant, la cour d’appel a jugé ces preuves recevables, car leur obtention et leur production étaient indispensables et proportionnées à l’objectif poursuivi. Cela signifie qu’une preuve irrégulière peut être admise par un juge si elle est strictement nécessaire et proportionnée. Cependant, cette appréciation reste à la discrétion du juge, qui vérifie au cas par cas si les conditions sont remplies. Pour les employeurs, cela souligne l’importance de justifier rigoureusement la nécessité et la proportionnalité de tout traitement de données, même en cas de manquement.