Violation du RGPD et conditions d'indemnisation

Un salarié licencié a saisi les prud'hommes après que son ancien employeur a utilisé des données personnelles le concernant, collectées sans son consentement auprès d'une société tierce. Cette collecte de données, effectuée en violation du Règlement Général sur la Protection des Données (RGPD), a servi de preuve dans le cadre du litige prud'homal. Le RGPD est un texte européen entré en vigueur en 2018 qui encadre strictement la collecte, le traitement et le stockage des données personnelles des individus au sein de l'Union européenne. Il impose notamment le consentement explicite des personnes concernées pour l'utilisation de leurs données, sauf exceptions légales. Dans cette affaire, la Cour d'appel a admis la recevabilité des preuves produites par l'employeur, malgré leur illégalité, car elles étaient jugées indispensables à l'exercice du droit à la preuve et proportionnées au but poursuivi.

La Cour d'appel a condamné l'employeur à verser 5 000 euros de dommages-intérêts au salarié pour exécution déloyale du contrat de travail. Cette condamnation repose sur l'idée que la violation du RGPD a nécessairement causé un préjudice au salarié. L'exécution déloyale du contrat de travail désigne une situation où une partie (ici, l'employeur) ne respecte pas ses obligations contractuelles de manière grave ou répétée, causant un préjudice à l'autre partie. Cependant, cette décision a été contestée par l'employeur, qui a formé un pourvoi en cassation. La Cour d'appel a estimé que la simple violation du RGPD suffisait à engager la responsabilité de l'employeur, sans nécessiter de preuve supplémentaire de préjudice.

La Cour de cassation, plus haute juridiction française, a cassé l'arrêt de la Cour d'appel le 24 juin 2026 (pourvoi n°24-22.792). Elle rappelle que selon l'article 82 du RGPD, une personne ne peut obtenir réparation que si elle prouve avoir subi un dommage matériel ou moral directement lié à la violation du règlement. L'article 82 du RGPD stipule que toute personne ayant subi un préjudice matériel ou moral du fait d'une violation du règlement a droit à une réparation. La Cour de cassation précise que la simple violation du RGPD ne suffit pas à elle seule pour obtenir des dommages-intérêts. Le juge doit donc examiner si le salarié a effectivement subi un préjudice concret, comme une atteinte à sa réputation, une perte financière ou un stress important, en lien direct avec la violation des données.

Pour obtenir une indemnisation après une violation du RGPD, le demandeur doit prouver l'existence d'un préjudice concret et direct. Cela signifie qu'il ne suffit pas de montrer que ses données ont été mal traitées ou que le RGPD a été violé. Le demandeur doit démontrer que cette violation lui a causé un préjudice tangible, comme une perte financière, une atteinte à sa vie privée ou un préjudice moral (par exemple, un stress ou une anxiété). La Cour de cassation insiste sur cette condition pour éviter que des demandes abusives ou infondées ne soient acceptées. Cette décision renforce la protection des employeurs, qui ne peuvent plus être condamnés automatiquement pour une simple violation du RGPD, sans preuve de préjudice réel.