Vous demandez à votre employeur la copie de votre dossier personnel et il répond à côté, trop tard, ou pas du tout. Un entretien annuel vous attribue des insuffisances que vous contestez. Une vieille sanction disciplinaire, infligée il y a plus de trois ans, ressurgit dans une nouvelle procédure. Chacun de ces moments suit des règles précises, partagées entre le droit du travail et la protection des données personnelles. Les connaître change l’issue d’un conflit, parce que le dossier individuel du salarié concentre les pièces qui feront la preuve devant le conseil de prud’hommes : évaluations, courriels, relevés de badge, mesures disciplinaires.
Le filet juridique repose sur deux piliers. D’un côté, le règlement général sur la protection des données ouvre à toute personne un droit d’accès, un droit de rectification et un droit à l’effacement auprès de l’organisme qui détient ses données, donc auprès de l’employeur. De l’autre, le code du travail encadre l’évaluation, l’information préalable sur les dispositifs de contrôle et la prescription des sanctions disciplinaires. Quand l’employeur méconnaît ces règles, le salarié dispose d’un parcours gradué : demande écrite, réclamation devant la CNIL, recours devant le juge, avec des décisions récentes qui montrent comment les juges tranchent, pièce par pièce.
Cet article décrit ce parcours de façon pratique. D’abord, comment imposer l’accès à son dossier personnel et que faire face à un refus ou à une réponse incomplète. Ensuite, comment rectifier une évaluation contestée et faire effacer les sanctions périmées ou les données conservées au-delà du nécessaire. Les exemples cités viennent de décisions lues en texte intégral et de positions publiées par la CNIL, avec les références qui permettent de vérifier chaque affirmation.
I. Imposer l’accès à son dossier personnel quand l’employeur retient l’information
A. Ce que l’employeur doit communiquer, sous quelle forme et dans quel délai
Le droit d’accès se définit simplement dans le règlement européen : la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel. L’employeur est le responsable du traitement pour les données de gestion du personnel. Le salarié, y compris l’ancien salarié, peut donc exiger la communication de l’ensemble des données le concernant, sur support informatique comme sur support papier.
La CNIL détaille le contenu attendu du dossier professionnel dans sa page consacrée à l’accès à son dossier professionnel : le salarié peut obtenir l’accès et la communication de l’ensemble des données le concernant, et notamment les données relatives à l’évaluation de ses compétences professionnelles, avec les entretiens annuels d’évaluation et la notation, ses demandes de formation et les évaluations associées, son dossier disciplinaire, l’utilisation de son badge de contrôle d’accès aux locaux, ainsi que ses données issues d’un dispositif de géolocalisation. La même autorité rappelle, dans sa page sur le droit d’accès au travail, que toute personne peut demander à un organisme la communication des données qu’il détient sur elle et en obtenir une copie, de sorte qu’un salarié peut demander à son employeur l’accès et la communication des données personnelles en sa possession. Les développements consacrés par la CNIL au droit d’accès des salariés à leurs données et aux courriels professionnels précisent que ce droit couvre aussi les courriels professionnels, avec leurs métadonnées et leur contenu, sous réserve des droits des tiers et des secrets protégés.
Le calendrier s’impose à l’employeur avec rigueur. Le règlement prévoit que le responsable du traitement informe la personne des mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Il ajoute qu’au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes, à condition d’informer la personne de la prolongation et de ses motifs dans le premier mois. Concrètement, une demande simple appelle une réponse complète sous un mois. Une demande massive, par exemple la copie de plusieurs années de courriels, peut justifier la prolongation, mais l’employeur doit l’annoncer et la motiver vite, sans attendre l’expiration du délai.
Un arrêt récent illustre ces exigences dans un conflit réel. Une directrice juridique, convoquée en janvier 2023 à un entretien préalable à un licenciement pour insuffisance professionnelle, avait demandé dès le 6 février 2023, par courriel, la copie en langage clair de l’ensemble des données la concernant, y compris ses courriels avec métadonnées et contenu, en visant l’article 15 du règlement et en rappelant le délai d’un mois prévu par l’article 12.3. L’employeur avait répondu deux jours plus tard qu’il procédait aux extractions, tout en invoquant la prolongation de deux mois vu le volume. La cour d’appel de Rennes, par arrêt du 27 février 2025, RG 24/02772, a ordonné la transmission sous soixante jours suivant la signification, sous astreinte provisoire de 50 euros par jour de retard pendant quatre-vingt-dix jours, en précisant les modalités : informations fournies sous une forme électronique d’usage courant, dans un format structuré et lisible, via un processus de téléchargement qui garantit la pérennité des documents et la sécurité, avec anonymisation des pièces pour protéger la vie privée des tiers, le secret des affaires et la propriété intellectuelle, et une utilisation des éléments limitée au contentieux prud’homal entre les parties, outre 2 500 euros au titre des frais irrépétibles. L’enseignement dépasse le cas : le juge ne se contente pas d’affirmer le droit, il organise la remise, protège les tiers et sanctionne le retard par l’astreinte.
Pour le salarié, la méthode suit cet exemple. Adresser une demande écrite, de préférence par courriel avec accusé de réception ou lettre recommandée, au service des ressources humaines ou au délégué à la protection des données. Décrire précisément le périmètre : dossier disciplinaire, entretiens annuels des trois dernières années, relevés de badge sur une période définie, courriels identifiés par période ou objet. Rappeler le délai d’un mois et annoncer qu’à défaut de réponse complète, une réclamation sera adressée à la CNIL. Conserver la preuve de l’envoi et de la réception. Si l’employeur invoque la prolongation, exiger qu’il la motive par écrit dans le premier mois et qu’il indique la date de remise. À la réception, vérifier que chaque catégorie demandée a été servie, que les occultations sont justifiées une par une, et que le format reste lisible et réutilisable, sans se satisfaire d’extraits choisis ou de captures inexploitables.
B. Quand l’employeur refuse, répond à moitié ou invoque les droits des tiers
Le refus prend plusieurs visages : silence après un mois, réponse partielle qui écarte les courriels ou les évaluations, occultations massives au nom du secret, ou renvoi vers une consultation sur place sans copie. La CNIL rappelle dans sa page sur l’accès à son dossier professionnel que si l’organisme ne donne pas suite, le salarié doit être informé des motifs du refus ainsi que de la possibilité d’introduire une réclamation auprès de la CNIL et de former un recours juridictionnel, et qu’en cas de défaut de réponse dans le délai d’un mois ou de trois mois selon les cas, la personne peut saisir la CNIL et le juge. Le droit d’accès est par principe gratuit et peut s’exercer sur place ou par écrit, y compris par voie électronique, avec un avis de réception daté et signé quand une demande présentée sur place ne peut être satisfaite aussitôt.
Les limites existent mais restent étroites. Le salarié accède uniquement aux données qui le concernent, sans porter atteinte aux droits des tiers : dans un rapport circonstancié qui mentionne d’autres personnes, l’identité de ces tiers doit être occultée. Le secret des affaires, la propriété intellectuelle ou le secret des correspondances peuvent fonder des restrictions ponctuelles, jamais un refus global et non motivé. Un employeur ne peut pas écarter d’un revers de main les courriels professionnels au motif qu’ils appartiendraient à l’entreprise : la CNIL admet l’accès aux courriels et à leurs métadonnées, avec les aménagements nécessaires pour les tiers. De même, il ne peut pas exiger du salarié qu’il justifie d’un intérêt particulier : le droit d’accès est un droit propre, qui ne se discute pas sur son mobile, même dans un conflit sur un licenciement.
Quand la voie amiable échoue, le salarié saisit la CNIL par une réclamation en ligne, en joignant la demande initiale, la preuve de sa réception, la réponse reçue et la liste des pièces manquantes. La réclamation décrit les faits avec dates, cite les catégories de données visées et précise le préjudice procédural : impossibilité de préparer sa défense devant le conseil de prud’hommes, retard dans la contestation d’une sanction, doute sur la loyauté d’une évaluation. En parallèle, le salarié peut porter le litige devant le juge. Le conseil de prud’hommes tient sa compétence du principe selon lequel le conseil de prud’hommes règle par voie de conciliation les différends qui peuvent s’élever à l’occasion de tout contrat de travail soumis aux dispositions du présent code entre les employeurs, ou leurs représentants, et les salariés qu’ils emploient. La demande de communication forcée sous astreinte, comme dans l’affaire rennaise, s’articule avec la contestation du licenciement ou de la sanction : le juge ordonne la remise, fixe le format, protège les tiers et assortit son injonction d’une astreinte liquidée ensuite par ses soins.
L’usage des pièces obtenues devant le juge suit une logique que l’assemblée plénière de la Cour de cassation a fixée le 22 décembre 2023. Dans son arrêt n° 673 du 22 décembre 2023, pourvoi n° 20-20.648, elle retient que l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats. Le juge doit, quand on le lui demande, vérifier si la preuve porte atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit à la preuve et les droits concurrents, la production d’éléments portant atteinte à d’autres droits n’étant justifiée que si elle est indispensable et strictement proportionnée au but poursuivi. Pour le salarié, la leçon est double : d’un côté, les données obtenues régulièrement par le droit d’accès entrent naturellement aux débats, surtout quand le juge en a encadré l’usage comme à Rennes ; de l’autre, les pièces issues d’une collecte disputée, par exemple des messages auxquels le salarié n’aurait pas dû accéder, s’exposent au contrôle de proportionnalité et peuvent être écartées si l’atteinte aux droits d’autrui dépasse ce que la défense exigeait. Mieux vaut donc passer par la demande officielle, complète et traçable, que par une extraction sauvage qui fragiliserait ensuite la preuve aux prud’hommes.
II. Rectifier une évaluation contestée et faire effacer les sanctions périmées
A. Contester une appréciation inexacte et exiger la rectification du dossier
L’entretien annuel cristallise les tensions : objectifs déclarés non atteints, faits reprochés sans date, compétences niées sans exemple, note en baisse sans explication. Le salarié n’est pas condamné à subir l’appréciation. Le règlement lui ouvre la rectification des données à caractère personnel la concernant qui sont inexactes, avec le droit d’obtenir que les données incomplètes soient complétées, y compris par une déclaration complémentaire. La rectification vise les faits inexacts, pas le simple désaccord d’appréciation : une date fausse, un projet attribué à tort, un absentéisme chiffré de travers se corrigent ; un jugement sévère sur la qualité du travail se discute autrement, par l’ajout des observations du salarié et la production de pièces contraires.
Le code du travail renforce cette position en amont de l’évaluation. Il dispose que le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard, que les résultats obtenus sont confidentiels et que les méthodes et techniques d’évaluation doivent être pertinentes au regard de la finalité poursuivie. Une grille introduite sans information préalable, des critères sans lien avec le poste, une notation confiée à une personne étrangère au travail évalué ou un traitement automatisé de notation jamais présenté au salarié fragilisent toute la procédure. Le salarié peut alors demander la communication de la méthode, de la grille, des critères et de leur pondération, puis en contester la pertinence par écrit, grille à l’appui.
La pratique de la contestation suit un ordre utile. D’abord, refuser de signer sans mention ou signer avec réserves datées, puis adresser dans les jours qui suivent des observations écrites, fait par fait : rappeler les dates, citer les messages, joindre les livrables, demander que ces observations soient annexées au compte rendu. Ensuite, exercer par écrit le droit de rectification auprès des ressources humaines pour les mentions factuellement fausses, en identifiant chaque passage, la correction demandée et la pièce qui l’établit. Si l’employeur refuse ou garde le silence, saisir la CNIL et, devant le conseil de prud’hommes, demander au juge d’ordonner la rectification ou l’annexion des observations, outre la réparation du préjudice quand une évaluation mensongère a fondé un refus d’augmentation, une mise à l’écart ou un licenciement. Les pièces du dossier personnel obtenues par le droit d’accès, badge, courriels, comptes rendus antérieurs, servent alors de contre-preuve : un salarié noté absent à des réunions auxquelles ses relevés de présence le montrent présent renverse la charge du débat.
Les dispositifs qui alimentent l’évaluation appellent la même vigilance. Aucune collecte occulte ne peut fonder une appréciation, puisque aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. Un logiciel de suivi d’activité, un enregistrement d’appels, une exploitation des journaux de connexion ou une vidéosurveillance installés sans information préalable du salarié fournissent des éléments que le juge écarte, et exposent l’employeur à une sanction de la CNIL. De plus, le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. Le salarié qui découvre qu’une évaluation repose sur de tels dispositifs peut donc attaquer sur deux fronts : l’absence d’information individuelle et l’absence de consultation des représentants du personnel, en demandant l’écart des pièces et la rectification du dossier.
B. Faire effacer les sanctions de plus de trois ans et les données gardées trop longtemps
La prescription disciplinaire se formule en une phrase que tout salarié exposé à une nouvelle procédure doit connaître : aucune sanction antérieure de plus de trois ans à l’engagement des poursuites disciplinaires ne peut être invoquée à l’appui d’une nouvelle sanction. Passé ce délai de trois ans, l’ancienne sanction ne peut plus aggraver la nouvelle, ni dans la lettre de convocation, ni dans la lettre de notification, ni dans les conclusions devant le juge. L’employeur qui la cite commet une faute distincte du débat sur la réalité des faits nouveaux : il fausse l’appréciation de la gravité et prive le salarié d’un effacement auquel la loi lui donne droit.
La protection des données prolonge cette prescription par l’exigence de limitation de la conservation. Le règlement impose que les données soient conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Une sanction prescrite, qui ne peut plus fonder aucune poursuite, n’a plus de finalité disciplinaire active : sa conservation dans le dossier opérationnel devient excessive, et le salarié peut en exiger l’effacement ou au minimum l’archivage séparé, inaccessible aux décideurs courants. La CNIL accompagne ce raisonnement par son référentiel sur les durées de conservation des données de gestion des ressources humaines, publié le 2 avril 2026, qui guide les organismes dans l’identification des durées pertinentes pour le recrutement, la paie, la gestion disciplinaire et les autres activités de gestion du personnel, avec des durées exprimées en mois selon les textes applicables. Un employeur qui conserve en accès courant des sanctions vieilles de cinq ou huit ans, ou des avertissements jamais purgés, s’expose au constat de manquement sur la durée de conservation autant que sur le fond disciplinaire.
La cour d’appel d’Orléans a sanctionné exactement ce cumul dans son arrêt du 27 mars 2025, RG 23/00670. Dans une affaire opposant une salariée à la société Brink’s Evolution, la cour a infirmé le jugement en ce qu’il avait rejeté la demande fondée sur l’invocation de sanctions prescrites, puis, statuant à nouveau, a condamné l’employeur à 5 000 euros de dommages et intérêts pour violation de l’article L. 1332-5 du code du travail et de l’article 17 du règlement général sur la protection des données. La motivation retient qu’aux termes de l’article L. 1332-5, aucune sanction antérieure de plus de trois ans ne peut être invoquée à l’appui d’une nouvelle sanction, et que des manquements anciens déjà sanctionnés ne peuvent caractériser une faute nouvelle qu’à condition de ne pas remonter à plus de trois ans avant les nouvelles poursuites. L’alliance des deux fondements mérite l’attention : le juge répare à la fois la violation disciplinaire et l’atteinte au droit à l’effacement, ce qui ouvre au salarié une demande indemnitaire propre, même quand le débat sur le licenciement suit son cours sur d’autres moyens.
Le parcours d’effacement se mène avec méthode. Recenser les sanctions de plus de trois ans encore visibles dans le dossier, relever chaque citation qui en est faite dans les actes récents de l’employeur, puis demander par écrit l’effacement ou la mise en archive à accès restreint, en visant l’article L. 1332-5 et le droit à l’effacement. Réclamer dans le même courrier la purge des données devenues inutiles : relevés de badge détaillés vieux de plusieurs années, historiques de géolocalisation exhaustifs, évaluations périmées sans lien avec le poste actuel. En cas de refus ou de silence, saisir la CNIL d’une réclamation documentée et demander au conseil de prud’hommes l’injonction d’effacer sous astreinte, avec des dommages et intérêts pour le maintien illicite. La démonstration gagne en force quand le salarié montre que la vieille sanction a pesé : convocation qui la vise, lettre de licenciement qui s’y appuie, tableau disciplinaire produit aux débats qui la liste encore. Pour un panorama des recours quand l’organisme ne répond pas, la lecture de notre analyse sur le droit d’accès RGPD quand l’organisme ne répond pas : plainte CNIL et recours au juge précise les étapes de la réclamation et du recours juridictionnel applicables à ces demandes d’effacement comme aux demandes d’accès.
Conclusion
Le dossier personnel du salarié n’appartient pas à l’employeur comme un outil libre : c’est un ensemble de données encadrées, communicables, rectifiables et partiellement effaçables. Exiger la copie complète sous un mois, vérifier chaque occultation, faire annexer ses observations à l’entretien contesté, exiger l’effacement des sanctions de plus de trois ans et la purge des historiques inutiles : ces gestes simples, accomplis par écrit et dans les délais, construisent la preuve qui comptera aux prud’hommes. Les décisions citées montrent que les juges ordonnent la remise sous astreinte, réparent l’invocation d’une sanction prescrite sur le double fondement du code du travail et du règlement européen, et contrôlent la loyauté des preuves par une balance entre le droit à la preuve et les droits concurrents. Face à un employeur qui retient les pièces ou qui exhume le passé prescrit, le salarié qui écrit vite, vise les bons textes et saisit la CNIL puis le juge sans attendre transforme un rapport de force subi en procédure maîtrisée.
Besoin d’un avis rapide sur votre dossier
Vous contestez votre dossier personnel, votre évaluation ou une sanction prescrite invoquée contre vous en matière de numérique et de données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vous indique la suite utile. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.