The employee’s right of access to their professional email account

The employee’s right of access to their professional email account

Notre équipe Droit Social fait le point sur la récente décision de la Cour de cassation du 18 juin 2025 et ses implications pour les entreprises.

Dans une décision du 18 juin 2025, la chambre sociale de la Cour de cassation s’est prononcée sur le droit d’accès du salarié à ses courriels professionnels.

A la lumière de l’article 4 du Règlement général sur la protection des données (RGPD), elle a précisé que les courriels émis ou reçus par un salarié via sa messagerie électronique professionnelle constituent des données personnelles.

Cette position s’inscrit dans le prolongement de la jurisprudence antérieure de la Cour, laquelle avait déjà admis que des adresses IP pouvaient être qualifiées de données personnelles (Cass. soc., 25 nov. 2020, n° 17-19.523 ; Cass. Soc., 9 avr. 2025, n° 23-13.159).

1. Un droit d’accès étendu incluant métadonnées et contenu des messages

Tirant les conséquences de cette qualification, la Cour de cassation consacre le droit du salarié d’accéder non seulement aux métadonnées (horodatage, destinataires), mais également au contenu des courriels professionnels.

La Cour s’aligne ainsi sur les recommandations de la Commission nationale de l’informatique et des libertés (CNIL), laquelle rappelle que l’accès doit porter sur l’ensemble des données personnelles contenues dans les courriels, quelle que soit leur nature à condition que le salarié soit l’expéditeur ou le destinataire de ces derniers et dans les limites exposées ci-après.

2. Les motifs pouvant être opposés au droit d’accès 

L’arrêt rendu interroge sur les limites que l’employeur pourrait opposer à une telle demande.

En effet, la protection du secret des affaires, la confidentialité des correspondances ou encore la sécurité des données de l’entreprise pourraient être invoquées pour justifier un refus de communiquer les courriels issus de la messagerie professionnelle.

Toutefois, à ce jour, « sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui », la jurisprudence n’a pas encore clarifié la portée exacte de ces exceptions.

3. Les modalités de communication 

En outre, il demeure la question des modalités pratiques de communication.

Si la CNIL admet que l’employeur puisse fournir une copie des courriels ou bien restituer les données sous forme de tableau récapitulatif, aucune forme stricte n’est imposée.

A cet égard, la reconstitution de données issues d’une messagerie complète peut s’avérer particulièrement lourde pour les services concernés.

4. La réponse à une demande d’accès ou de communication des courriels professionnels  

La réponse à une demande de droit d’accès nécessite une analyse différenciée selon la position du salarié au regard des courriels concernés.

Le salarié est expéditeur ou destinataire des messages

Dans cette hypothèse, une présomption d’absence d’atteinte aux droits des tiers peut être admise.

Toutefois, en cas de risque particulier (secret industriel, sécurité nationale etc.), l’employeur devra :

• Supprimer, anonymiser ou pseudonymiser les données concernant des tiers ou portant atteinte à un secret pour pouvoir faire droit à la demande ;
• Puis, en cas d’impossibilité, motiver un refus de faire droit à la demande.

Le salarié est simplement mentionné dans le corps du message

Dans cette hypothèse, l’employeur devra :

• S’assurer que la recherche des courriels concernés n’implique pas une atteinte disproportionnée aux droits de l’ensemble des salariés de l’organisme ;
• Puis apprécier, au cas par cas, que le contenu des courriels ne porte pas atteinte au secret de la correspondance ou à la vie privée de l’émetteur et des destinataires.

5. Les perspectives contentieuses ouvertes par cette décision 

Cette décision ouvre un champ contentieux inédit. Elle soulève en particulier la question de savoir si le droit d’accès consacré par le RGPD peut devenir une voie probatoire pour les salariés et anciens salariés, désireux d’obtenir une copie de leur messagerie professionnelle afin de se constituer des preuves.

Si l’avocat général avait émis des réserves à cet égard, considérant que le RGPD ne visait pas à permettre l’exportation intégrale d’une messagerie professionnelle, la Cour n’a pas suivi cette analyse et a privilégié une interprétation extensive du droit d’accès.

Ainsi, la question de la durée de conservation des courriels et de leurs pièces jointes devient centrale. En effet, alors que le RGPD impose une conservation des données limitée dans le temps, le droit du travail commande, dans certaines hypothèses, leur maintien afin de garantir la possibilité de répondre à d’éventuels litiges.

Les services RH devront donc repenser leurs pratiques, articuler les deux régimes et documenter avec rigueur les processus de traitement et de conservation des données.