Le droit d’accès d’un salarié à ses données personnelles ne s’arrête pas à son dossier de ressources humaines. Les courriels professionnels, les métadonnées de messagerie, les informations issues d’un outil de visioconférence, le suivi du temps de travail ou les comptes rendus d’entretiens peuvent aussi entrer dans le débat. La décision du Conseil d’État du 27 juillet 2026, n° 510839, rendue dans une affaire mettant en cause une demande adressée à un employeur, rappelle l’importance des modalités concrètes de cet accès et du contrôle exercé sur l’instruction d’une plainte par la CNIL. Elle ne transforme pas pour autant le RGPD en droit général d’obtenir tous les documents de l’entreprise. Le salarié doit identifier les traitements et les données qui le concernent ; l’employeur doit rechercher ces données, répondre dans le délai légal et expliquer précisément les occultations ou refus nécessaires. La difficulté est particulièrement sensible lorsqu’une rupture du contrat, une sanction, une accusation de concurrence déloyale ou un contentieux prud’homal se profile. La demande doit alors être assez précise pour être utile, mais assez mesurée pour respecter la vie privée des collègues, le secret des correspondances et le secret des affaires.
I. Quelles données un salarié peut-il demander à son employeur ?
A. Messagerie professionnelle, métadonnées et outils de travail : les données communicables
Le point de départ est l’article 15 du règlement (UE) 2016/679, le RGPD. Il donne à la personne concernée le droit d’obtenir la confirmation qu’un traitement de données personnelles existe, l’accès aux données qui la concernent et plusieurs informations sur ce traitement. Le texte européen peut être consulté dans sa version française sur l’article 15 du RGPD. L’exercice de ce droit ne dépend pas de la qualité de consommateur ou de patient : un salarié, un ancien salarié, un dirigeant assimilé ou un candidat peut l’exercer auprès de l’organisme qui traite ses données, sous réserve de la qualification exacte du responsable de traitement.
La CNIL rappelle que « le droit d’accès porte sur des données personnelles et non pas sur des documents ». Cette distinction est essentielle. Une personne ne peut pas utiliser une demande RGPD comme une procédure de communication intégrale de tous les dossiers internes de la société. En revanche, l’employeur peut remettre un document, un export ou une copie de courriel lorsque ce support est la manière la plus intelligible de communiquer les données personnelles recherchées. Le contenu du document n’est donc pas automatiquement exclu parce qu’il se trouve dans un fichier ou une boîte aux lettres professionnelle.
La fiche CNIL consacrée aux salariés et aux courriels professionnels indique qu’un salarié peut demander à son employeur les données personnelles qu’il détient sur lui, y compris celles contenues dans les courriels. Elle précise également que la communication peut prendre la forme d’une copie des messages ou d’un tableau comportant les métadonnées et les données personnelles. Le choix du format doit permettre une compréhension réelle de la réponse : un fichier incomplet, illisible ou réduit à des identifiants techniques ne répond pas nécessairement à la demande.
La Cour de cassation a apporté une précision majeure dans son arrêt du 18 juin 2025, pourvoi n° 23-19.022. Dans la décision publiée sur son site officiel, elle rappelle que « les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle » relèvent de la notion de données à caractère personnel. La même décision retient que l’employeur doit, en principe, examiner les métadonnées et le contenu, sous la réserve des droits et libertés d’autrui. La référence complète est disponible dans le pourvoi n° 23-19.022 de la Cour de cassation.
Cette solution ne signifie pas que chaque message doit être transmis sans tri. Elle impose d’abord de déterminer le lien entre le message et la personne qui exerce son droit. Un courriel envoyé par le salarié, reçu par lui, le concernant directement ou contenant une évaluation, une instruction, une appréciation ou une donnée de carrière peut comporter des données personnelles. Les dates d’envoi et de réception, l’adresse des destinataires, les copies, le sujet, l’identifiant du compte, les pièces jointes et les traces de traitement peuvent aussi être pertinents. La société doit néanmoins distinguer ce qui se rapporte au salarié de ce qui concerne exclusivement un tiers ou la stratégie interne de l’entreprise.
La demande peut viser une période déterminée : recrutement, évaluation, arrêt de travail, procédure disciplinaire, changement d’affectation, retrait d’une mission ou période précédant la rupture. Une période trop large n’est pas automatiquement irrecevable, mais elle augmente le temps de recherche et le risque de confusion. Une formulation par événements et par outils est plus efficace qu’une demande limitée à « tous les documents me concernant ». Elle permet d’identifier les traitements réellement utilisés : Microsoft 365, Google Workspace, Slack, Teams, Zoom, logiciel de gestion des temps, badge, outil d’entretien annuel ou solution de recrutement.
Le Conseil d’État a justement été saisi d’une situation où une salariée demandait à son employeur les données la concernant dans plusieurs environnements numériques. La décision du 27 juillet 2026, n° 510839, mentionne une messagerie professionnelle, une application de téléconférence, une application enregistrant le temps de travail et une application utilisée pour les entretiens professionnels. Le Conseil d’État n’a pas ordonné lui-même un export général : il a jugé que la CNIL avait suffisamment instruit la plainte après avoir rappelé à l’employeur ses obligations et constaté que le différend portait principalement sur les modalités pratiques de l’accès. La décision complète figure sur Légifrance, Conseil d’État, 27 juillet 2026, n° 510839.
La portée pratique de cette décision est double. D’une part, l’entreprise ne peut pas traiter une demande portant sur plusieurs outils comme une question abstraite sans vérifier les traitements concernés. D’autre part, le salarié doit comprendre que la discussion porte souvent sur le périmètre, le format, la période et les occultations plutôt que sur l’existence de son droit. Une réponse partielle peut être légitime si elle décrit les recherches réalisées et motive chaque exclusion. Elle devient fragile si elle se limite à affirmer que la messagerie est professionnelle, que les données appartiennent à la société ou que les courriels ne sont pas des documents communicables.
Les outils de visioconférence méritent une analyse distincte. Une réunion enregistrée peut contenir la voix, l’image, le nom, le rôle, les interventions et les heures de connexion du salarié. Un simple journal de présence peut associer son identifiant à une date, une durée et une réunion. Un outil de chat peut conserver des messages, réactions, mentions et fichiers. Le droit d’accès ne donne pas nécessairement droit à l’enregistrement intégral lorsque celui-ci exposerait de manière excessive les autres participants ; une transcription expurgée, les séquences où le salarié apparaît ou un relevé intelligible peuvent parfois suffire. Le responsable de traitement doit cependant vérifier la solution la moins attentatoire qui permette de communiquer les données.
Pour le suivi du temps de travail, les données peuvent comprendre les pointages, corrections, refus, validations, horaires déclarés, adresses IP ou identifiants de terminal lorsqu’ils sont rattachés au salarié. Elles peuvent être conservées dans plusieurs bases : application de temps, badge d’accès, logiciel de paie, planning du manager et outil de télétravail. Le salarié n’obtient pas mécaniquement l’intégralité de la base de données de l’entreprise. Il peut en revanche demander les enregistrements qui le concernent, les informations de traitement et, lorsqu’une décision a été prise sur cette base, les éléments ayant servi à cette décision.
Pour les entretiens professionnels et les évaluations, la demande peut viser les comptes rendus, appréciations, objectifs, scores, historiques de modification, commentaires et données relatives aux décisions de promotion ou d’affectation. L’employeur peut masquer l’identité d’un collègue lorsque cette identité n’est pas nécessaire à la compréhension de la donnée. Il ne peut pas effacer indistinctement toute appréciation au motif qu’elle a été rédigée par un supérieur ou qu’elle relève de la gestion interne. La question porte sur l’information personnelle concernant le salarié, sa source, sa finalité et la protection des personnes qui ont contribué au traitement.
La fiche officielle de Service-Public sur les obligations RGPD des entreprises rappelle que le responsable du traitement doit communiquer les finalités, les catégories de données, les destinataires, la durée de conservation, la source des données et l’existence éventuelle d’un transfert hors de l’Union européenne. Ces éléments sont utiles lorsque l’entreprise répond à une demande issue d’un conflit : ils permettent de comprendre pourquoi une donnée existe, dans quel système elle est conservée et pourquoi certaines pièces ont été écartées.
B. Vie privée, données des tiers et secret des affaires : les limites
Le droit d’accès n’est pas un droit de curiosité sur l’entreprise et il ne permet pas d’utiliser le RGPD pour obtenir des informations personnelles sur les collègues. La CNIL indique que la communication doit respecter les droits d’autrui, notamment la vie privée, le secret des correspondances, la propriété intellectuelle et le secret des affaires. La bonne méthode consiste à rechercher les données du demandeur, à identifier les éléments relatifs aux tiers et à choisir entre transmission, anonymisation, pseudonymisation, occultation ou refus motivé. Un refus général, non expliqué, présente un risque supérieur à une communication partielle et sécurisée.
L’article L. 1121-1 du Code du travail pose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions ». La suite du texte exige que toute restriction soit justifiée par la tâche et proportionnée au but recherché. Cette règle s’applique aux dispositifs de contrôle comme à l’organisation d’une réponse RGPD. Une entreprise ne peut pas invoquer la protection de ses intérêts de manière automatique pour refuser des données qui concernent directement le salarié. Elle doit montrer le risque concret et expliquer pourquoi une occultation ou une transmission limitée ne permettrait pas de le réduire. Le texte est accessible sur Légifrance, article L. 1121-1 du Code du travail.
Les messages identifiés comme personnels obéissent à une logique particulière. La CNIL rappelle qu’un message envoyé ou reçu depuis une messagerie professionnelle est présumé professionnel, sauf indication claire comme « Personnel », « Privé » ou un dossier de même nature. Un message identifié comme personnel demeure protégé par le secret des correspondances. Cette protection concerne l’accès de l’employeur au contenu ; elle ne permet pas non plus au salarié de présenter au public, à un concurrent ou à un tiers les échanges privés d’une autre personne. En cas de demande RGPD, le tri doit donc tenir compte à la fois de la personne qui demande les données et des personnes dont les informations apparaissent dans les messages.
Les données d’un client, d’un fournisseur, d’un collègue ou d’un candidat peuvent apparaître dans un courriel qui concerne aussi le salarié. La présence du nom du salarié dans le message ne justifie pas toujours la communication de l’intégralité des coordonnées, opinions ou informations confidentielles du tiers. Une copie peut être remise après masquage des éléments non nécessaires. Le demandeur doit recevoir une information suffisamment intelligible pour comprendre la donnée qui le concerne, sans recevoir une base clients ou une conversation privée qui excéderait cet objectif.
Le secret des affaires appelle la même analyse. Une pièce peut contenir à la fois une appréciation personnelle sur le salarié et des informations stratégiques sur les marges, les prix, un projet d’acquisition ou une négociation en cours. Le secret des affaires ne fait pas disparaître les données personnelles ; il impose une mise en balance et, lorsque c’est possible, une séparation matérielle. La réponse doit préciser que la partie occultée protège une information déterminée et identifier la justification juridique ou factuelle du refus. Le salarié qui conteste peut alors discuter utilement la proportionnalité de l’occultation.
La décision de la Cour de cassation du 16 décembre 2020, pourvoi n° 17-22.302, illustre la nécessité de circonscrire les recherches sur les supports professionnels. Le litige portait notamment sur une mesure ordonnée pour rechercher et copier des courriels, documents et correspondances dans une messagerie professionnelle et sur des supports identifiés comme personnels. La référence est disponible sur Légifrance, Cour de cassation, chambre sociale, 16 décembre 2020, n° 17-22.302. Dans ce type de situation, l’existence d’un outil professionnel ne supprime pas les exigences de motif légitime, de nécessité et de proportionnalité.
Le principe de minimisation est également décisif. La Cour de cassation a rappelé, dans son arrêt du 9 mars 2022, pourvoi n° 20-18.166, que « l’expert-comptable ne peut pas exiger la production de documents n’existant pas ». Cette décision concernait une expertise du comité social et économique, et non une demande RGPD individuelle, mais elle rappelle une limite pratique importante : l’entreprise n’a pas à fabriquer un document nouveau si elle ne traite pas les informations sous cette forme. Elle doit communiquer les données existantes et nécessaires dans un format compréhensible ; elle n’a pas à reconstruire une base parfaite qui ne correspond à aucun traitement réel. L’arrêt est consultable sur Légifrance, Cour de cassation, chambre sociale, 9 mars 2022, n° 20-18.166.
Cette limite ne doit pas être confondue avec une facilité de destruction. Si l’entreprise sait qu’un litige est possible et reçoit une demande précise, elle doit préserver les éléments utiles selon ses obligations de conservation et sa politique de sécurité. La suppression automatique d’une boîte aux lettres, l’écrasement des journaux de connexion ou la disparition d’un compte d’outil collaboratif peuvent compliquer la réponse et fragiliser la preuve. Le salarié, de son côté, ne doit pas contourner les contrôles pour copier toute la base de l’entreprise. Il doit conserver la preuve de sa demande et solliciter les données par une voie régulière.
L’article L. 1222-4 du Code du travail dispose qu’« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». Ce texte concerne l’information préalable, mais il éclaire le traitement des données de badge, de suivi d’activité, de visioconférence ou d’évaluation. Une entreprise qui demande au salarié d’accepter les résultats d’un outil doit être capable d’expliquer le dispositif, sa finalité, les catégories de données et les destinataires. Le texte est publié sur Légifrance, article L. 1222-4 du Code du travail.
Lorsqu’une donnée a servi à une décision défavorable, son intérêt augmente. Un historique de pointage peut être utilisé pour reprocher des retards ; un compte rendu d’entretien peut fonder une absence de promotion ; des messages peuvent être invoqués dans une procédure disciplinaire ou une contestation de licenciement. Le droit d’accès ne tranche pas automatiquement la validité de la décision, mais il permet de vérifier les informations utilisées, leur exactitude, leur origine et leur contexte. Une réponse incomplète peut alors avoir des conséquences dans un contentieux distinct, surtout si l’employeur refuse de préciser les systèmes consultés.
II. Comment répondre à une demande RGPD et agir en cas de refus ?
A. Quel délai, quelles pièces et quelle réponse l’entreprise doit-elle préparer ?
La demande doit être adressée au responsable du traitement ou au point de contact indiqué par l’entreprise : DPO, service des ressources humaines, direction juridique, service informatique ou adresse dédiée aux droits RGPD. Un ancien salarié peut écrire à son ancien employeur en utilisant une adresse connue et en rappelant son identité, son ancien poste et les références de son contrat. La CNIL indique qu’une pièce d’identité n’est pas systématiquement nécessaire lorsque l’employeur peut raisonnablement identifier le demandeur grâce à sa messagerie ou à son identifiant professionnel. Une copie peut être demandée seulement en cas de doute raisonnable, dans une mesure proportionnée.
Une demande bien construite comprend cinq éléments. Elle rappelle l’identité du demandeur et le fondement de l’article 15 du RGPD. Elle décrit la période ou les événements concernés. Elle liste les outils susceptibles de contenir les données : messagerie, agenda, visioconférence, gestion des temps, badge, entretien, dossier RH et ticket informatique. Elle demande la copie des données et les informations sur les finalités, destinataires, durées de conservation et sources. Elle propose enfin un format électronique sécurisé et demande que les éléments soient conservés pendant l’examen de la demande. Cette structure évite que l’entreprise réponde seulement sur la messagerie alors que la difficulté se trouve dans un logiciel d’évaluation ou un historique de connexion.
Une formulation possible est la suivante : « J’exerce mon droit d’accès aux données à caractère personnel me concernant, sur le fondement de l’article 15 du règlement (UE) 2016/679. Ma demande porte sur les données traitées entre [date] et [date] dans [outils], notamment les courriels dont je suis l’émetteur ou le destinataire, les métadonnées associées, les données de participation aux réunions, les enregistrements de temps et les éléments utilisés pour [décision]. Je demande la copie intelligible de ces données ainsi que les informations relatives aux finalités, destinataires, durées de conservation et sources. Lorsque des droits de tiers sont en cause, je vous remercie de préciser les occultations réalisées et leur motif. » Le salarié peut adapter cette formulation à son litige sans demander des documents étrangers à sa situation.
L’entreprise doit enregistrer la date de réception. La CNIL rappelle que l’employeur doit répondre dans les meilleurs délais et ne pas dépasser un mois. Lorsque la demande est complexe ou que le nombre de demandes le justifie, une prolongation de deux mois peut être utilisée, à condition d’en informer la personne dans le premier mois et d’expliquer le motif. La fiche CNIL sur l’accès au dossier professionnel rappelle ces délais ainsi que la possibilité de saisir la CNIL ou le juge en cas de défaut de réponse. Un message accusant réception sans réponse de fond ne suffit pas à lui seul à satisfaire le droit d’accès.
Le responsable du traitement doit organiser la recherche. Il peut commencer par cartographier les traitements, vérifier les comptes encore actifs ou archivés, demander aux administrateurs les exports disponibles et identifier les systèmes externalisés. Le fournisseur de messagerie ou de visioconférence agit parfois comme sous-traitant ; cela ne transfère pas automatiquement la responsabilité de répondre. L’entreprise doit coordonner les services et contrôler le périmètre de l’export. Elle doit aussi vérifier les doublons, les fichiers corrompus, les formats propriétaires et les dates de conservation, puis expliquer les limites techniques qui ont empêché une récupération.
Une réponse robuste distingue au moins quatre catégories. La première regroupe les données transmises sans occultation : informations du salarié, événements le concernant, messages dont la copie est nécessaire et métadonnées pertinentes. La deuxième comprend les données transmises après anonymisation ou pseudonymisation des tiers. La troisième rassemble les données non retrouvées, avec l’explication du système ou de la période consultée. La quatrième correspond aux refus partiels, qui doivent préciser le risque identifié : secret des correspondances, vie privée d’un tiers, secret des affaires, sécurité du système ou protection d’un droit de propriété intellectuelle. Cette présentation permet au salarié de demander un complément ciblé plutôt que de recommencer toute la démarche.
Le format de réponse doit rester lisible. Un fichier CSV de métadonnées ne permet pas toujours de comprendre le contenu d’un courriel ; un export brut de messagerie peut au contraire révéler des informations étrangères à la demande. La société peut fournir un tableau, des copies de messages, des captures contextualisées ou un espace de téléchargement sécurisé. Elle doit préciser les colonnes, les codes et les abréviations. Les éléments sensibles doivent être protégés pendant l’envoi : lien à durée limitée, chiffrement, mot de passe transmis séparément et vérification du destinataire. La confidentialité de la réponse ne justifie pas un refus de principe.
Le salarié qui reçoit une réponse partielle doit comparer la demande et le résultat. Il peut vérifier si chaque outil mentionné a été traité, si la période est respectée, si les métadonnées existent, si les fichiers sont lisibles et si les refus sont individualisés. Il peut demander une précision sur une date, un dossier, un identifiant de réunion ou une catégorie de destinataires. Une relance courte et documentée est souvent plus utile qu’une réclamation générale : elle donne à l’entreprise la possibilité de corriger un oubli et crée une trace claire de la contestation.
La demande RGPD ne suspend pas automatiquement une procédure disciplinaire ou prud’homale. Elle ne remplace pas les délais de contestation d’un licenciement, d’une sanction, d’une rupture ou d’une décision commerciale. Lorsque la communication est nécessaire pour préparer une action, le salarié doit conserver les délais de son recours et envisager en parallèle les mesures probatoires adaptées. Une demande déposée le dernier jour d’un délai contentieux ne le proroge pas. Cette articulation doit être examinée rapidement lorsque les courriels, les entretiens ou les pointages sont susceptibles de disparaître.
B. Que faire après un refus : CNIL, référé et preuve à Paris ?
En cas de silence, de réponse manifestement incomplète ou de refus non motivé, le premier réflexe consiste à réunir un dossier chronologique : demande initiale, preuve de réception, relances, réponse de l’entreprise, pièces montrant l’existence probable des données et conséquences concrètes du refus. Il faut éviter de joindre à la réclamation des documents obtenus illicitement ou des données concernant des tiers sans nécessité. La CNIL peut être saisie d’une plainte relative à l’exercice du droit d’accès. Elle examinera les démarches et les suites à donner dans le cadre de ses pouvoirs ; elle ne remplace pas le juge chargé du litige de travail ou de la réparation d’un préjudice.
La décision du Conseil d’État n° 510839 rappelle que le contrôle du juge sur une décision de la CNIL doit tenir compte de la nature individuelle du droit invoqué. Elle indique que la CNIL dispose en principe d’un large pouvoir d’appréciation, mais que ce pouvoir s’exerce sous un contrôle entier lorsque la plainte concerne un droit individuel garanti à la personne. Le Conseil d’État a néanmoins validé la clôture de la plainte dans cette affaire, parce que la CNIL avait rappelé les obligations de l’employeur et que le désaccord portait surtout sur les modalités pratiques de l’accès. Le salarié ne doit donc pas considérer une saisine de la CNIL comme une injonction automatique de transmettre chaque document ; il doit démontrer ce qui n’a pas été recherché, ce qui a été refusé et pourquoi cette omission affecte effectivement son droit.
Lorsqu’un procès est envisagé, l’article 145 du Code de procédure civile peut permettre de préserver ou d’établir une preuve avant tout procès, sous réserve de la compétence de la juridiction et des conditions de la mesure. Le texte commence par les mots : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits ». Il est consultable sur Légifrance, article 145 du Code de procédure civile. La demande doit exposer le litige possible, les faits à prouver, les données recherchées, le risque de disparition et le caractère proportionné de la mesure. Une demande qui viserait toute la messagerie de plusieurs années sans mots-clés, sans période et sans lien démontré avec le litige serait plus difficile à défendre.
La Cour de cassation vérifie concrètement la nécessité et le périmètre des mesures portant sur les supports informatiques. L’arrêt du 16 décembre 2020, n° 17-22.302, montre qu’une mesure d’instruction visant des courriels et supports identifiés comme personnels peut être discutée lorsque la cour d’appel n’examine pas suffisamment son utilité et sa proportionnalité. La procédure probatoire n’autorise donc pas une exploration sans limites. Le juge peut prévoir des mots-clés, une période, un tiers de confiance, un commissaire de justice, un tri contradictoire, une remise sous séquestre ou une interdiction d’utiliser les données pour un autre objet.
Le référé peut également être envisagé lorsqu’une absence de communication cause un risque actuel ou lorsqu’une obligation n’est pas sérieusement contestable. L’article 835 du Code de procédure civile permet au juge de prescrire des mesures pour « faire cesser un trouble manifestement illicite » et, dans certaines conditions, d’ordonner l’exécution d’une obligation de faire. Le texte complet est disponible sur Légifrance, article 835 du Code de procédure civile. La voie exacte dépend de la nature du litige, du contrat de travail, de la juridiction saisie et de l’urgence. Une demande visant une communication RGPD doit être distinguée d’une demande de production de pièces destinée à démontrer le bien-fondé d’une prétention prud’homale.
Dans une affaire de travail, l’articulation avec le conseil de prud’hommes exige une attention particulière. Le salarié peut demander la production d’éléments nécessaires à sa défense dans le cadre du litige, tandis que la demande RGPD suit son propre régime. Les deux démarches peuvent se compléter, mais elles n’ont pas le même objet : l’une tend à l’accès aux données personnelles et aux informations sur leur traitement ; l’autre tend à établir un fait ou à obtenir une pièce utile au débat judiciaire. Le demandeur doit préciser au juge pourquoi la donnée recherchée est pertinente, quelle mesure est techniquement possible et comment les droits des collègues ou des clients seront protégés.
À Paris et en Île-de-France, la juridiction compétente ne se déduit pas simplement de l’adresse du siège social. Le lieu de travail, l’établissement qui employait le salarié, le domicile dans certaines hypothèses et la nature de la demande peuvent influencer la compétence territoriale. Une société ayant son siège à La Défense, un établissement à Paris ou une équipe répartie entre plusieurs départements peut utiliser plusieurs systèmes et plusieurs responsables internes. Avant toute assignation ou requête, il faut donc vérifier la juridiction qui connaît du litige principal, la compétence du juge des référés et les modalités de dépôt. Cette vérification est d’autant plus importante lorsqu’un serveur ou un prestataire se trouve hors d’Île-de-France : le lieu technique d’hébergement ne suffit pas à déterminer le juge compétent.
La preuve de l’existence des données peut être constituée sans accéder illicitement aux outils. Un salarié peut conserver les notifications de réunion, les courriels reçus, les convocations d’entretien, les relevés de temps communiqués, les captures de l’interface qui lui est accessible et les échanges avec le DPO. Il peut relever les noms des applications, les dates et les identifiants de traitement. Il ne doit pas deviner un mot de passe, se connecter après la fin de son habilitation, transférer une base client sur sa messagerie personnelle ou télécharger des conversations de collègues. Ces comportements peuvent déclencher un contentieux distinct et affaiblir la demande initiale.
Pour l’entreprise, la prévention réduit le risque. Une procédure interne peut prévoir un point d’entrée unique, un registre des demandes, une grille de vérification de l’identité, un inventaire des outils, des délais d’escalade au DPO, un modèle de réponse et une validation des occultations. La charte informatique devrait expliquer le caractère professionnel présumé des messages, le traitement des messages clairement identifiés comme personnels, les outils contrôlés, les finalités, les durées de conservation et les personnes habilitées. La documentation doit rester accessible et cohérente avec les pratiques réelles : informer d’un outil qui n’est pas utilisé, ou oublier une application de téléconférence effectivement déployée, fragilise la transparence.
Une société qui reçoit une demande pendant une crise entre associés, une enquête interne ou une rupture commerciale doit séparer les sujets. La demande RGPD du salarié, l’audit de sécurité, la protection du secret des affaires, la conservation de la preuve et la communication d’une pièce au juge ne doivent pas être traités par un même export indiscriminé. Un comité de tri peut documenter la finalité de chaque extraction. Les accès doivent être journalisés. Les copies remises au salarié doivent être distinguées des archives internes et leur utilisation doit être limitée à l’objet annoncé. Cette discipline protège l’entreprise tout en évitant qu’un refus global soit interprété comme une volonté de dissimulation.
Les difficultés techniques ne dispensent pas d’une réponse loyale. Si un outil a été remplacé, si une boîte a été archivée, si un fournisseur ne permet plus l’export ou si une donnée a été supprimée selon une durée normale, l’employeur doit le dire, préciser les recherches accomplies et fournir les données restantes. Il ne peut pas promettre un export qui n’existe pas, mais il doit éviter les formules vagues telles que « aucun élément » lorsque plusieurs applications n’ont pas été vérifiées. Un rapport de recherche daté, une liste des systèmes consultés et l’indication des périodes couvertes donnent une réponse vérifiable.
Le même souci de précision s’impose au salarié. Une demande qui réclame « toutes les conversations, tous les fichiers, tous les avis et toutes les données » sans période ni outil peut ralentir la procédure et rendre les occultations difficiles à contrôler. Une demande complémentaire peut cibler le mois de l’entretien, les participants à une réunion, les messages envoyés à une adresse déterminée ou l’historique de correction d’un pointage. Cette méthode ne réduit pas le droit ; elle augmente la probabilité d’une réponse exploitable et d’une intervention judiciaire rapide si l’entreprise refuse encore.
En définitive, le droit d’accès RGPD est à la fois un droit de transparence et un outil de preuve. Il permet de vérifier ce que l’employeur traite sur un salarié et ce qui a pu fonder une décision. Il ne donne ni accès général au système d’information ni licence pour divulguer les données des tiers. La ligne de partage se construit par la finalité, la période, le lien avec la personne, le format de communication et la proportionnalité des occultations. C’est sur cette méthode que doit se concentrer toute réponse ou tout recours.
Conclusion
Un salarié peut demander à son employeur les données personnelles le concernant dans sa messagerie professionnelle, ses outils de visioconférence, son système de suivi du temps, ses évaluations et les autres traitements RH. La jurisprudence récente confirme que les courriels et leurs métadonnées peuvent relever du droit d’accès, tandis que la décision du Conseil d’État du 27 juillet 2026 met en lumière la nécessité d’examiner concrètement les modalités de communication et le traitement d’une plainte par la CNIL. La demande doit rester ciblée, datée et compréhensible. L’entreprise doit rechercher les systèmes pertinents, répondre dans le délai d’un mois sauf prolongation justifiée, protéger les tiers et motiver les refus partiels. En cas de silence ou de réponse incomplète, une réclamation à la CNIL, une demande probatoire ou une action devant la juridiction compétente peuvent être envisagées sans perdre les délais du litige principal. La stratégie dépend alors des données manquantes, de l’urgence, du contentieux envisagé et des risques de divulgation.
Besoin d’un avis rapide sur votre dossier
Une consultation téléphonique en 48 heures avec un avocat du cabinet peut vous aider à qualifier les données demandées, les délais et les pièces utiles.
Vous pouvez présenter votre demande RGPD, la réponse de l’employeur et le contentieux auquel elle se rattache.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.