Un employeur qui traite illégalement les données personnelles d’un salarié ne doit pas nécessairement lui verser des dommages-intérêts. Dans un arrêt du 24 juin 2026, la Cour de cassation rappelle que l’indemnisation suppose un dommage matériel ou moral causé par le manquement. Une distinction essentielle, qui ne supprime ni les obligations de l’entreprise ni le risque de sanction administrative.
Des résultats de tests informatiques, un historique de connexion, des données de badgeage : au travail, les informations personnelles ne se limitent pas au dossier conservé par les ressources humaines. Elles peuvent aussi servir à contrôler une activité, à identifier un comportement ou à constituer les pièces d’un dossier disciplinaire.
Lorsque leur traitement ne respecte pas le règlement général sur la protection des données, le salarié peut-il obtenir une indemnisation du seul fait de cette irrégularité ? Non : la violation du RGPD ne suffit pas, à elle seule, à ouvrir un droit à réparation.
Cette réponse ressort d’un arrêt de la chambre sociale de la Cour de cassation du 24 juin 2026, identifié sous le numéro de pourvoi 24-22.792. Pour obtenir des dommages-intérêts, le salarié doit établir que le manquement lui a causé un dommage matériel ou moral.
La portée de cette décision exige toutefois quelques précautions. L’absence d’indemnisation automatique ne rend pas le traitement légal. Elle ne prive pas le salarié de ses autres droits. Et elle ne signifie pas davantage qu’un préjudice devrait être particulièrement grave pour être réparé.
Une affaire de licenciement à l’origine de la décision
L’affaire concerne un salarié d’un établissement bancaire qui conteste son licenciement. Selon la présentation publiée par Service Public Entreprendre, plusieurs comportements lui sont reprochés, notamment lors de campagnes internes de sensibilisation au phishing, ces tentatives de fraude reposant sur des messages trompeurs.
Dans le contentieux, l’employeur produit des éléments ayant permis d’identifier le salarié. Leur obtention implique un traitement de données personnelles jugé contraire au RGPD.
La cour d’appel distingue alors deux questions. Elle admet les preuves dans les débats, considérant leur obtention et leur production indispensables et proportionnées à l’objectif poursuivi. Mais elle estime aussi que la violation du règlement a nécessairement causé un préjudice au salarié.
D’après les analyses concordantes de la décision, elle lui accorde 5 000 euros de dommages-intérêts pour exécution déloyale du contrat de travail.
Le raisonnement censuré : présumer le dommage
La Cour de cassation reproche aux juges d’avoir déduit le préjudice de la seule violation du RGPD. Ils devaient rechercher si le salarié établissait un dommage matériel ou moral causé par cette violation.
Comme le précise Le Monde du droit dans son compte rendu, la cassation est partielle et intervient sur le fondement de l’article 82, paragraphe 1, du règlement.
Cela ne revient pas à décider qu’un dommage ne peut jamais exister dans cette affaire. La censure porte sur la méthode : le juge ne peut pas remplacer la démonstration du préjudice par une affirmation de son caractère automatique.
La nuance est importante pour comprendre une décision de cassation. Annuler une condamnation insuffisamment justifiée ne revient pas nécessairement à clore toute possibilité de réparation après réexamen.
Trois conditions pour obtenir réparation
Le texte central est l’article 82 du RGPD, reproduit dans le chapitre consacré aux recours, à la responsabilité et aux sanctions sur le site de la CNIL.
Il reconnaît un droit à réparation à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement.
La demande indemnitaire repose donc sur trois éléments : une violation, un dommage et un lien de causalité entre les deux. Aucun ne peut être remplacé par les autres.
Une entreprise peut avoir commis un manquement sans que le salarié établisse un dommage indemnisable. À l’inverse, une difficulté réelle ne suffit pas à engager sa responsabilité au titre du RGPD si elle ne résulte pas d’une violation qui lui est imputable.
Cette distinction structure le dossier. Elle oblige à expliquer non seulement ce qui a été fait illégalement, mais aussi les conséquences de ce traitement pour la personne concernée.
La réparation n’est pas une amende privée
Les dommages-intérêts ont une fonction compensatoire : ils réparent un préjudice. Ils ne servent pas, dans ce cadre, à infliger au salarié une somme correspondant à la gravité abstraite du manquement de l’employeur.
Un traitement particulièrement contestable ne dispense donc pas de démontrer ses effets dommageables. Inversement, un dommage établi ne doit pas être écarté au seul motif que l’irrégularité paraît limitée.
Il faut séparer ce raisonnement de celui applicable aux sanctions administratives. Une autorité de contrôle examine le respect de la réglementation ; le juge saisi d’une demande de réparation examine également le dommage personnel invoqué.
Un préjudice réel ne signifie pas nécessairement un préjudice grave
L’exigence de preuve pourrait être comprise comme une restriction réservant l’indemnisation aux situations les plus lourdes. Ce serait une lecture excessive.
L’analyse publiée par LégiSocial rappelle que le dommage n’a pas à atteindre un seuil particulier de gravité. Il doit cependant être établi.
Cette distinction est décisive pour les dommages moraux. Ceux-ci ne se traduisent pas nécessairement par une perte financière, une incapacité de travail ou une consultation médicale.
Le salarié doit expliquer la réalité de ce qu’il a subi. Mais l’absence de facture ou de perte de salaire ne suffit pas à exclure toute réparation : l’article 82 vise expressément le dommage moral aussi bien que matériel.
Éviter deux raccourcis opposés
Le premier raccourci consiste à affirmer : « Mes données ont été traitées illégalement, donc une somme m’est automatiquement due. » L’arrêt écarte précisément cette logique.
Le second serait de répondre : « Vous n’avez perdu aucun argent, donc vous ne pouvez rien demander. » Cette affirmation méconnaîtrait la possibilité d’un dommage moral.
La question pertinente est plus concrète : quelles conséquences le traitement a-t-il effectivement produites, et quels éléments permettent de les établir ?
Le juge apprécie ces éléments dans leur ensemble. Une qualification juridique ne remplace pas les faits, mais les faits ne doivent pas non plus être réduits à leurs seules conséquences comptables.
Quels dommages un salarié peut-il invoquer ?
Un dommage matériel correspond à une conséquence économique démontrable. Un dommage moral peut concerner les effets personnels d’une utilisation illicite des données.
À titre d’illustration, et non comme des conséquences constatées dans l’arrêt, un salarié pourrait invoquer une inquiétude liée à une surveillance irrégulière, ou les effets d’une divulgation d’informations personnelles auprès de personnes non autorisées.
Ces situations ne garantissent aucune indemnisation. Il faut vérifier le manquement, la réalité du dommage et leur relation.
Une formule générale telle que « cette situation m’a porté préjudice » reste insuffisamment informative. Décrire les circonstances, la durée, les destinataires des informations et les conséquences vécues permet de rendre la demande plus précise.
Distinguer les effets du traitement et ceux du licenciement
Dans un conflit professionnel, plusieurs difficultés peuvent se superposer : perte d’emploi, désaccord disciplinaire, tensions avec la hiérarchie et traitement contesté de données.
Le salarié doit éviter de les confondre. Un préjudice lié à la rupture du contrat n’est pas nécessairement un préjudice causé par la violation du RGPD.
Si une conséquence est attribuée au traitement, le dossier doit expliquer pourquoi. La simple proximité chronologique entre deux événements ne résout pas toujours la question.
Cette clarification est utile aussi pour ne pas demander plusieurs fois la réparation d’un même dommage sous des intitulés différents.
Comment documenter le préjudice sans surexposer sa vie privée ?
La première étape consiste à établir une chronologie. Quelles données ont été utilisées ? Quand le salarié l’a-t-il appris ? À qui ont-elles été communiquées ? Quelles conséquences sont apparues ensuite ?
Les courriers, les réponses de l’entreprise et les documents accessibles peuvent aider à préciser la situation. Selon le dommage invoqué, des justificatifs ou des témoignages pertinents peuvent compléter le dossier.
Il ne s’agit pas de produire le maximum de pièces, mais de relier chaque document à un fait utile. Un dossier volumineux peut rester peu convaincant si personne ne comprend ce qu’il démontre.
Les éléments sensibles doivent être sélectionnés avec prudence. Chercher réparation d’un traitement excessif ne devrait pas conduire à diffuser inutilement de nouvelles informations personnelles.
Ne pas créer une nouvelle irrégularité pour prouver la première
Conserver les documents auxquels vous avez légitimement accès n’autorise pas à consulter les dossiers de collègues ou à extraire sans précaution des fichiers confidentiels.
Avant une collecte contestable, un avis professionnel peut aider à déterminer quelles pièces sont nécessaires et comment les obtenir.
La protection des droits des autres personnes reste une contrainte, y compris dans un litige. Elle ne disparaît pas parce que le salarié estime avoir lui-même subi un manquement.
Une preuve contraire au RGPD est-elle forcément écartée ?
L’affaire souligne une autre distinction : la conformité du traitement et la recevabilité d’une preuve ne sont pas la même question.
Les éléments litigieux ont été jugés illicites, mais admis dans les débats au regard de leur caractère indispensable et proportionné. Cette appréciation ne transforme pas rétroactivement leur collecte en traitement conforme.
L’analyse de l’avocat Sofiane Coly publiée sur le Village de la justice insiste sur ce point : une preuve irrégulière n’est ni automatiquement exclue ni automatiquement admise.
Pour le salarié, soulever une violation du RGPD ne suffit donc pas à garantir le rejet de la pièce. Pour l’employeur, invoquer son besoin de se défendre ne suffit pas davantage à la rendre recevable.
L’utilité ne se confond pas avec le caractère indispensable
Une pièce peut être utile sans être indispensable. De même, une recherche poursuivant un objectif légitime peut porter une atteinte excessive aux droits de la personne.
La discussion doit porter sur les circonstances : ce qu’il fallait établir, les autres moyens disponibles et l’étendue des informations utilisées.
Cette appréciation appartient au juge. Elle ne peut pas être remplacée par une règle générale selon laquelle toute preuve informatique serait autorisée dès qu’un licenciement est contesté.
L’absence de consentement ne rend pas tout traitement illégal
Les résumés de l’affaire évoquent un traitement réalisé sans consentement préalable du salarié. Il serait néanmoins erroné d’en tirer une obligation générale de recueillir son accord pour chaque opération RH.
Le RGPD prévoit plusieurs bases légales. Certaines opérations nécessaires à la relation de travail ou aux obligations légales de l’employeur peuvent reposer sur une autre base que le consentement.
La question ne se réduit donc pas à rechercher une signature. Il faut vérifier le fondement du traitement, sa finalité, les données utilisées et les obligations qui l’accompagnent.
Information et consentement sont également différents. Informer une personne ne signifie pas recueillir son accord ; ne pas lui demander son accord ne dispense pas, pour autant, de l’informer lorsque les règles l’exigent.
Une charte informatique ne règle pas toutes les questions
Un document remis à l’embauche peut décrire les usages autorisés et certains contrôles. Il ne justifie pas automatiquement toutes les opérations ultérieures.
L’entreprise doit examiner le traitement effectivement réalisé, notamment lorsque de nouveaux outils sont introduits ou que les informations servent à une autre fin.
Une clause très générale ne doit pas être interprétée comme une autorisation illimitée. La conformité dépend des pratiques, pas seulement de l’existence d’un document signé.
L’employeur reste exposé à des sanctions
Le refus d’une indemnisation ne signifie pas que l’employeur respecte le règlement. Il signifie que les conditions de la réparation demandée ne sont pas établies.
Le RGPD prévoit séparément des recours et des sanctions administratives. Une réclamation auprès de la CNIL ne suppose pas que le salarié ait déjà démontré un dommage ouvrant droit à des dommages-intérêts.
L’autorité peut examiner le traitement contesté. Une sanction n’est toutefois pas automatique : elle dépend de la situation et de la procédure applicable.
Cette autonomie des voies de recours empêche de résumer la décision à une disparition du risque pour l’entreprise.
La CNIL ne verse pas l’amende au salarié
Une éventuelle amende administrative ne constitue pas l’indemnisation personnelle du salarié. Les deux mécanismes répondent à des objectifs différents.
Une plainte peut donc être pertinente pour faire examiner une pratique, sans produire directement le paiement recherché.
À l’inverse, une demande de dommages-intérêts doit être construite autour du préjudice. Il faut déterminer l’objectif avant de choisir la démarche : obtenir des informations, faire cesser un traitement ou demander réparation.
Les droits du salarié subsistent sans dommage indemnisable
Le droit d’accès, notamment, ne dépend pas de la démonstration préalable d’un préjudice. La CNIL rappelle que les salariés peuvent demander des informations et une copie des données qui les concernent.
Ce droit peut aider à comprendre ce que l’entreprise détient et utilise. Il ne donne pas pour autant accès sans limite à tous ses documents ni aux informations personnelles de tiers.
De même, demander une rectification ou contester un traitement ne revient pas nécessairement à demander une somme d’argent. Les droits applicables doivent être examinés selon leur objet et leurs conditions.
Il faut donc éviter une lecture uniquement indemnitaire du RGPD. La protection des données conserve une utilité avant tout contentieux, pendant la relation de travail et après son terme.
Ce que les entreprises doivent vérifier dans leurs pratiques
La décision invite à distinguer la défense d’un contentieux et la conformité quotidienne. Gagner sur une demande indemnitaire ne dispense pas de corriger un traitement irrégulier.
Les recommandations de la CNIL sur les données des collaborateurs offrent des repères : ne collecter que les informations utiles, limiter les accès aux personnes habilitées et garantir la confidentialité.
La transparence compte également. Les salariés doivent comprendre les finalités des dispositifs qui les concernent. Le recours à un prestataire ne suffit pas à régler les questions de collecte, de transmission et d’utilisation.
Ces vérifications concernent les outils ordinaires aussi bien que les dispositifs sophistiqués. Un simple tableau partagé peut contenir des données dont l’accès doit être limité.
Préparer les contrôles avant le conflit
L’entreprise devrait examiner les modalités d’un contrôle avant de chercher des preuves contre une personne. Qui peut consulter les informations ? Pour quelle finalité ? Pendant combien de temps ?
Ces questions évitent de découvrir les fragilités du dispositif au moment du procès.
La prévention ne consiste pas seulement à anticiper une indemnisation. Elle vise à traiter correctement les données et à maintenir des règles compréhensibles pour les équipes.
Pour le salarié, préciser la demande avant d’engager le recours
Si vous soupçonnez un traitement irrégulier, commencez par distinguer ce que vous savez de ce que vous supposez. Une inquiétude peut justifier des questions, mais elle ne démontre pas encore un manquement.
Une demande écrite à l’entreprise ou à son délégué à la protection des données, lorsqu’il existe, peut préciser les faits. Conservez les échanges.
Si vous recherchez une indemnisation, identifiez le dommage et son lien avec le traitement. En présence d’un licenciement contesté, faites également examiner les questions propres à la rupture.
Les procédures et leurs délais ne doivent pas être confondus. Une démarche administrative ne permet pas de supposer que tous les délais judiciaires sont préservés.
À retenir
Un manquement au RGPD n’entraîne pas automatiquement des dommages-intérêts pour le salarié.
- L’indemnisation suppose une violation, un dommage matériel ou moral et un lien de causalité.
- Le dommage doit être établi, sans exigence générale d’un seuil particulier de gravité.
- L’arrêt du 24 juin 2026 censure la présomption automatique de préjudice.
- Une preuve illicite peut être admise sous conditions ; elle ne devient pas pour autant conforme.
- L’absence d’indemnisation n’exclut ni les autres droits du salarié ni un contrôle de la CNIL.
L’arrêt du 24 juin 2026 ne retire pas aux salariés la protection du RGPD. Il rappelle que constater une faute et indemniser un dommage sont deux opérations distinctes.
Pour le salarié, cela impose de documenter les conséquences personnelles du traitement, au-delà de son irrégularité. Pour l’employeur, cela ne crée aucun droit à négliger ses obligations.
La ligne est claire : une violation n’assure pas une indemnisation, mais l’absence de réparation ne légalise jamais le manquement. Entre ces deux propositions se joue l’examen concret de chaque dossier.
Leave a Reply