Rupture de cadres dirigeants : le RGPD devient une arme de négociation. Par Gérard Haas, Avocat.

Le RGPD (Règlement général sur la protection des données) est désormais utilisé par les salariés, notamment les cadres dirigeants, comme un outil de pression lors des ruptures de contrat. Traditionnellement, ce règlement permettait aux individus de vérifier que leurs données personnelles étaient traitées légalement. Aujourd’hui, il devient un moyen pour obtenir des informations stratégiques rapidement et à moindre coût. Par exemple, un salarié peut demander l’accès à ses messageries professionnelles (courriels, métadonnées) contenant des données sensibles de l’entreprise, comme des échanges avec des collègues ou des partenaires. Ce droit d’accès, prévu à l’article 15 du RGPD, doit être répondu sous un mois, ce qui place les directions juridiques sous pression, surtout en cas de licenciement ou de rupture conventionnelle.

Deux décisions judiciaires récentes ont renforcé l’application du droit d’accès dans un cadre contentieux. Le 27 mai 2024, la Cour de justice de l’Union européenne (CJUE) a statué dans l’affaire C-312/23 que le droit d’accès s’impose même si la demande vise à préparer un procès. Puis, le 18 juin 2025, la Cour de cassation française (n°23-19.022) a confirmé que les courriels professionnels d’un salarié constituent des données personnelles accessibles, y compris leurs métadonnées. Ces arrêts interdisent à un employeur de refuser de communiquer ces données au motif qu’elles serviraient de preuve dans un litige. L’employeur doit répondre dans le délai légal d’un mois, en occultant uniquement les données protégées (droits des tiers, secret des affaires) et en documentant chaque restriction apportée.

Pour une entreprise, une réponse tardive ou incomplète à une demande RGPD peut avoir des conséquences bien au-delà des sanctions de la CNIL (Commission nationale de l’informatique et des libertés). Une telle réponse peut affaiblir sa position devant les conseils de prud’hommes, notamment dans des litiges liés au harcèlement ou à la discrimination, en créant une présomption défavorable. Elle réduit aussi son pouvoir de négociation lors d’une rupture conventionnelle, car le salarié dispose d’un levier légal et peu coûteux pour faire pression. Enfin, si le secret des affaires n’est pas correctement invoqué et documenté, l’entreprise risque de divulguer des informations stratégiques, ce qui peut nuire à sa compétitivité. Ces risques concernent particulièrement les cadres ayant accès à des données sensibles : DRH (Directeur des ressources humaines), DAF (Directeur administratif et financier), RSSI (Responsable de la sécurité des systèmes d’information), DPO (Délégué à la protection des données), ou directeurs juridiques.

Face à ces enjeux, les entreprises doivent anticiper les demandes RGPD en structurant leur réponse comme elles le feraient pour un incident de cybersécurité. Cela implique de cartographier préalablement les systèmes où se croisent les données personnelles des cadres sensibles et celles de l’entreprise. Il est recommandé de mettre en place un circuit de traitement dédié dès qu’une rupture est envisagée, avec une discipline documentaire rigoureuse sur chaque décision d’occultation. Le respect strict du calendrier légal (un mois initial, avec possibilité de prolongation motivée) est essentiel. Une réponse complète, documentée et rendue à temps permet de neutraliser une grande partie du levier de pression du salarié et de rétablir un équilibre dans les négociations de rupture.