Votre employeur prépare votre licenciement et vous refuse votre dossier. Vous demandez la copie de vos évaluations, de vos relevés d’heures, de votre dossier disciplinaire et de vos courriels professionnels, et la direction vous oppose le silence, un dossier transmis au compte-gouttes ou un refus justifié par le secret des affaires et la vie privée des collègues. Pendant ce temps, le dossier qui servira à vous licencier, à vous priver d’une promotion ou à justifier une sanction se constitue sans vous. Ce rapport de force n’a rien d’une fatalité. Le salarié dispose d’un droit d’accès complet à ses données personnelles, y compris celles contenues dans sa messagerie professionnelle, avec une copie fidèle remise dans un délai d’un mois. Quand l’employeur refuse ou traîne, la réclamation devant la CNIL et le recours devant le juge permettent d’obtenir la communication du dossier et des courriels sous astreinte, puis d’utiliser ces pièces devant le conseil de prud’hommes et d’obtenir réparation. Cet article explique ce que vous pouvez exiger de votre employeur pièce par pièce, comment répondre à ses objections, puis la méthode qui transforme un refus en communication ordonnée par le juge.

I. Ce que votre employeur vous doit : dossier RH, temps de travail et courriels

A. Une demande ciblée qui vise le dossier, les relevés et la messagerie

Le droit d’accès appartient à tout salarié et ancien salarié, sans condition d’ancienneté ni de motif. Il couvre l’ensemble des données personnelles figurant dans les fichiers informatisés ou manuels de l’entreprise : dossier de recrutement, historique de carrière, évaluations annuelles, rémunération et primes, dossier disciplinaire, relevés de l’outil de gestion du temps de travail, relevés de connexion, agenda professionnel et courriels. Une demande adressée par lettre recommandée avec accusé de réception ou par courriel conservé avec sa preuve d’envoi suffit. Décrivez le périmètre avec précision plutôt que de réclamer vaguement tout : listez le dossier de ressources humaines depuis votre embauche, les relevés de temps sur la période litigieuse, les relevés de connexion de votre identifiant, et les courriels de votre messagerie professionnelle et de votre messagerie instantanée d’entreprise dont vous êtes l’émetteur ou le destinataire principal. Une demande précise prive l’employeur de son excuse favorite, celle du périmètre flou qui justifierait de ne rien transmettre ou de réclamer des précisions sans fin.

Le contenu de la réponse est fixé par l’article 15 du règlement général sur la protection des données : « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes ». L’employeur doit donc confirmer ce qu’il détient, puis fournir les finalités des traitements, les catégories de données, les destinataires, la durée de conservation, vos droits de rectification et d’effacement, le droit de saisir la CNIL, la source des données et l’existence d’une décision automatisée. Si votre notation, votre prime ou votre licenciement résulte pour partie d’un outil algorithmique de suivi d’activité ou de filtrage, l’employeur doit expliquer la logique suivie : le texte vise « l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée ».

Au-delà des informations, l’employeur doit remettre les données elles-mêmes : « Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement ». La Cour de justice de l’Union européenne a précisé le 4 mai 2023, dans l’affaire CRIF (C-487/21), que la copie due à la personne concernée doit restituer l’intégralité de ses données de manière fidèle et compréhensible, au besoin par des extraits de documents, des documents entiers ou des extraits de bases de données. Des extraits choisis, des codes incompréhensibles ou un tableau inexploitable ne satisfont pas à cette exigence. Pour la messagerie, l’employeur doit fournir les métadonnées, comme l’horodatage et les destinataires, ainsi que les données personnelles contenues dans les messages, et la communication d’une copie des courriels constitue souvent le moyen le plus simple de répondre, comme le rappelle la page de la CNIL consacrée au droit d’accès des salariés à leurs données et à leurs courriels professionnels.

Le délai est strict : l’employeur répond « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », avec une prolongation possible de deux mois en cas de complexité, notifiée et motivée dans le premier mois. La réponse est en principe gratuite : « Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34 ». Et la forme suit votre demande : « Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement ». Exigez donc un format structuré et lisible, avec un téléchargement pérenne, plutôt qu’une liasse de captures d’écran. Le droit français renvoie directement à ce régime : « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016 », dispose l’article 49 de la loi du 6 janvier 1978.

Adressez votre demande à la fois au service des ressources humaines et, quand il existe, au délégué à la protection des données, dont les coordonnées figurent dans la politique de confidentialité de l’entreprise ou peuvent être réclamées à l’accueil. Cette double adresse évite le renvoi de l’un vers l’autre et fait courir le délai à date certaine. Si vous avez quitté l’entreprise, précisez votre ancienne adresse électronique professionnelle, vos dates d’emploi et votre matricule : l’employeur ne peut pas exiger de vous ce qu’il détient déjà dans votre dossier. Détaillez les périodes visées, par exemple les douze derniers mois pour la messagerie et l’intégralité de la relation de travail pour le dossier de carrière, et demandez expressément la confirmation de l’existence ou non de chaque catégorie de données. Terminez en rappelant le délai d’un mois et en annonçant qu’à défaut de réponse complète vous saisirez la CNIL puis le juge, ce qui donne à votre courrier sa force sans agressivité inutile. Conservez l’original, l’accusé de réception et une copie de chaque pièce jointe dans un dossier dédié, tenu à jour à chaque échange.

B. Les quatre objections de l’employeur, et ce que les juges en disent

Première objection : votre demande serait excessive parce que vous êtes en conflit avec l’entreprise, ou parce que la messagerie représente des centaines de milliers de messages. Le règlement permet certes à l’employeur de facturer des frais raisonnables ou de refuser de donner suite à des demandes manifestement infondées ou excessives, notamment répétitives. Mais c’est à lui de le démontrer : « Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande ». Ni le volume des données, ni le contexte d’un litige prud’homal, ni l’intention de vous servir des pièces en justice ne rendent une demande excessive : exercer son droit d’accès pour préparer sa défense constitue l’usage normal du droit. Surtout, le refus ne peut jamais rester silencieux : « il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel ». Un employeur qui ne répond rien dans le mois commet déjà un manquement.

Deuxième objection, la plus fréquente : le secret des affaires, la vie privée des collègues et la propriété intellectuelle interdiraient la communication des courriels. Le règlement prévoit bien que « Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui ». Mais cette réserve autorise l’anonymisation des passages qui portent réellement atteinte aux droits d’autrui, pas un refus global de communiquer. La cour d’appel de Rennes l’a jugé le 27 février 2025 dans un litige opposant une salariée à la société Engie Green France, qui refusait la copie des courriels en invoquant de manière générale ces secrets. La cour retient que l’employeur doit démontrer concrètement en quoi les droits d’autrui seraient affectés et qu’à défaut, le refus n’est pas fondé. Elle condamne la société à communiquer le dossier de ressources humaines complet, les relevés de l’outil de temps de travail, les relevés de connexion, l’agenda et l’ensemble des courriels dont la salariée était l’émettrice ou la destinataire principale, « dans un délai de 60 jours à compter de la notification du présent arrêt », sous « une astreinte provisoire de 50 euros par jour de retard », avec anonymisation des pièces pour protéger les tiers. La CNIL adopte la même position à l’égard des salariés : quand vous avez déjà eu connaissance des messages demandés, la communication des courriels est présumée respectueuse des droits des tiers, et l’anonymisation reste une bonne pratique, pas un préalable qui autoriserait l’employeur à tout bloquer. Quand la direction invoque le secret sans préciser quoi ni pourquoi, exigez une justification écrite, point par point.

Troisième objection : prouver votre identité. L’employeur peut demander des informations complémentaires en cas de doute raisonnable, et cette vérification vous protège aussi contre une remise de votre dossier à un tiers. Mais les exigences doivent rester proportionnées : pour une demande formulée depuis votre adresse professionnelle connue ou votre adresse personnelle enregistrée au dossier, une copie de pièce d’identité suffit, et l’accumulation de justificatifs relève du parcours d’obstacles. La fiche de la CNIL destinée aux professionnels leur impose de répondre dans le mois en ne collectant que les données strictement nécessaires. Répondez une fois avec un justificatif raisonnable, rappelez que le délai d’un mois court depuis la demande initiale, et conservez l’échange : il démontrera l’entrave.

Quatrième situation : les données auraient disparu, ou votre demande arriverait trop tard. Les durées de conservation sont limitées et l’employeur ne conserve pas tout indéfiniment, ce qui impose d’agir vite, surtout quand un licenciement ou une sanction se prépare. Le tribunal judiciaire de Paris l’a illustré le 13 février 2025 en déboutant un demandeur qui réclamait des données remontant à un stage effectué en 2002 et 2003, soit seize ans avant sa demande (décision RG 21/07085). Demandez la copie dès que le conflit apparaît, avant toute purge des boîtes courriel ou des outils de suivi, et doublez si nécessaire votre demande d’une action en référé pour faire ordonner la conservation.

Un dernier point mérite votre vigilance : les destinataires de vos données. L’employeur doit vous dire à qui il a transmis vos informations, prestataire de paie, organisme de formation, assureur, administration. Les catégories vagues ne suffisent pas : la Cour de justice a jugé le 12 janvier 2023, dans l’affaire Österreichische Post (C-154/21), que l’employeur doit en principe décliner l’identité précise de chaque destinataire, et ne peut se contenter de catégories génériques qu’en cas d’impossibilité avérée ou de demande manifestement infondée ou excessive. Exigez les noms, car ils conditionnent la suite : c’est auprès de chaque destinataire que vous pourrez exercer vos droits de rectification ou d’effacement.

La demande couvre aussi les outils collaboratifs modernes, messages instantanés de l’entreprise, commentaires dans les documents partagés, enregistrements de visioconférence vous concernant et notes manuscrites du manager versées au dossier. L’employeur ne peut pas écarter ces supports au motif qu’ils seraient informels : dès lors qu’ils contiennent des données personnelles vous concernant et qu’ils sont conservés dans ses systèmes, ils entrent dans le périmètre du droit d’accès. En revanche, les notes purement personnelles du manager, qui ne seraient ni partagées ni versées à un fichier, peuvent échapper à la communication, et les correspondances couvertes par le secret des correspondances avec des tiers sans lien avec vous n’ont pas à vous être remises. Quand l’employeur invoque ces frontières, demandez-lui d’identifier précisément les documents écartés et leur motif, catégorie par catégorie, plutôt que d’accepter un refus global. Cette exigence de granularité découle directement de l’interdiction du refus général : chaque document écarté doit être justifié, et chaque justification peut être contestée.

II. Faire céder l’employeur : CNIL, juge et utilisation aux prud’hommes

A. La réclamation CNIL, alliée de votre dossier prud’homal

Le mois écoulé sans réponse complète, adressez une mise en demeure qui rappelle la date de la demande initiale, l’expiration du délai, l’obligation de motiver tout refus et d’indiquer les recours, puis fixez un dernier délai de huit à quinze jours. Joignez de nouveau la demande et ses preuves d’envoi. Cette relance fait parfois céder l’employeur qui mesurait mal le risque, et elle constitue dans tous les cas la pièce qui démontrera votre diligence devant la CNIL, le juge et les conseillers prud’hommes.

La réclamation devant la CNIL se dépose en ligne, gratuitement, avec la demande initiale, la relance, les réponses partielles et les preuves du délai dépassé. Le règlement ouvre ce droit sans détour : « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». La CNIL, autorité française de contrôle, précise la loi, « Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association », et elle doit « informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78 ». Pour un salarié, la plainte présente un avantage décisif : elle fait constater le manquement par une autorité indépendante, et ses courriers, sa mise en demeure de l’employeur et sa décision nourrissent ensuite le dossier prud’homal. Un employeur qui licencie pour insuffisance professionnelle après avoir caché les évaluations, ou qui invoque des faits disciplinaires sans produire le dossier correspondant, s’expose à voir sa loyauté mise en doute par les juges du fond.

Les pouvoirs de la CNIL rendent la plainte redoutée des directions : mise en demeure de se conformer, injonction sous astreinte, limitation du traitement, et sanctions pécuniaires. La violation des droits des personnes, dont le droit d’accès fait partie, expose l’entreprise à « d’amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », puisque le texte vise expressément « les droits dont bénéficient les personnes concernées en vertu des articles 12 à 22 ». La plainte n’exclut jamais l’action en justice : le recours juridictionnel reste ouvert « Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77 ». Menez les deux voies ensemble : la plainte fait pression et produit des constats, le juge ordonne la remise et indemnise. Quand le licenciement est imminent ou la messagerie promise à la purge, saisissez le juge sans attendre l’issue de la plainte.

Devant le conseil de prud’hommes, la chronologie de vos démarches RGPD devient une pièce maîtresse. L’action en contestation d’un licenciement se prescrit par douze mois à compter de la notification, et la demande d’accès formée dès la convocation à l’entretien préalable vous place en position de force : soit l’employeur communique et vous préparez utilement votre défense, soit il refuse et ce refus éclaire sa déloyauté. Les juges prud’homaux apprécient la loyauté respective des parties dans l’administration de la preuve, et un employeur qui licencie pour des motifs qu’il refuse de documenter fragilise sa propre cause. Joignez à votre dossier la demande initiale, la mise en demeure, le récépissé de plainte CNIL et les décisions obtenues, en les cotant comme les autres pièces. Si l’employeur produit tardivement des pièces qu’il vous avait refusées, soulignez la contradiction : il détenait les données, il a refusé de les communiquer, et il ne les verse qu’une fois contraint. Cette présentation transforme un incident de procédure en argument de fond sur le bien-fondé de la mesure contestée.

B. Le juge : communication sous astreinte, preuves et réparation

Le juge peut être saisi en référé dès qu’un risque pèse sur les données, par exemple une boîte courriel promise à la suppression au départ du salarié ou un changement de prestataire informatique avec migration destructrice. La loi l’autorise dans les termes les plus larges : « En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition ». N’attendez pas que les relevés et les messages aient disparu : le juge répare mal ce qui n’existe plus, et l’employeur qui purge ses systèmes en cours de litige s’expose en outre à voir son comportement sanctionné.

Au fond comme en référé, les juridictions ordonnent la communication et assortissent l’injonction d’une astreinte, une somme due par jour de retard qui transforme le rapport de force. Dans l’affaire Engie Green, la cour d’appel de Rennes ordonne la remise du dossier de ressources humaines, des relevés de temps, des relevés de connexion, de l’agenda et des courriels dans les deux mois de l’arrêt, sous astreinte de 50 euros par jour de retard. Dans un autre litige relatif à l’accès à un courriel détenu par une organisation, la cour d’appel de Paris ordonne le 25 juin 2024 la communication du courriel du 15 février 2022 adressé à l’administration, « sous astreinte de 100 euros par jour de retard à compter du 10ème jour suivant la signification de la présente pour une durée de trois mois renouvelable », et condamne l’organisme à verser 2 500 euros pour les frais de justice (arrêt RG 23/18268). Chaque jour de résistance alimente ainsi la créance du salarié, et l’employeur qui calculait le coût d’une extraction découvre celui du refus.

Les pièces obtenues servent ensuite devant le conseil de prud’hommes : évaluations contredisant l’insuffisance alléguée, relevés d’heures établissant des heures supplémentaires, courriels démontrant la réalité d’un harcèlement ou d’une mise à l’écart, dossier disciplinaire vide face à des griefs tardifs. Dans l’affaire rennaise, la cour a d’ailleurs limité l’usage des données transmises au contentieux prud’homal opposant les parties, ce qui montre leur vocation naturelle : éclairer le litige du travail. Versez au dossier prud’homal la demande d’accès, la mise en demeure, la plainte CNIL et ses suites, puis l’ordonnance obtenue : cette chronologie démontre une salariée diligente face à un employeur défaillant, et elle prive ce dernier de l’argument des pièces découvertes trop tard.

Le juge indemnise enfin le préjudice causé par la violation elle-même. Le règlement dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le préjudice moral n’a pas à atteindre un seuil particulier : la Cour de justice a jugé le 4 mai 2023, dans l’affaire Österreichische Post (C-300/21), qu’aucune règle nationale ne peut conditionner l’indemnisation du préjudice moral à un seuil minimal de gravité. L’angoisse de ne pas savoir ce que l’employeur conserve sur vous, le temps perdu en relances, la nécessité de saisir une autorité puis un tribunal pour exercer un droit élémentaire constituent un préjudice réparable. Chiffrez avec mesure et pièces à l’appui : relevé des démarches, temps consacré, frais engagés, conséquences sur le litige principal, par exemple une défense privée de ses preuves.

Quand l’employeur vous répond qu’il a transmis votre demande à son prestataire de paie, à son éditeur de gestion du temps ou à son hébergeur de messagerie, et que ce prestataire ne répond pas, ne vous laissez pas égarer : maintenez la pression sur l’employeur, responsable du traitement, qui doit garantir vos droits dans toute sa chaîne de sous-traitance. Le sous-traitant peut aussi engager sa propre responsabilité s’il a méconnu ses obligations ou outrepassé les instructions reçues. Pour comprendre qui répond des données personnelles quand la chaîne de sous-traitance informatique se rompt, avec les rôles respectifs de l’entreprise et de ses prestataires, ce décryptage détaille les responsabilités applicables. En pratique, assignez l’employeur et, si le prestataire détient matériellement les données, appelez-le également en la cause : le juge tranchera les responsabilités sans que vous ayez à subir leur litige interne.

L’astreinte prononcée par le juge se liquide ensuite, c’est-à-dire que son montant définitif est fixé en fonction du retard constaté, et les sommes reviennent au salarié. Dans la pratique, la seule menace d’une astreinte journalielle suffit souvent à débloquer la communication, car la direction mesure le coût calendaire de son inertie. Si l’employeur persiste, faites constater par huissier ou par tout moyen de preuve recevable l’absence de transmission à l’expiration du délai fixé par la décision, puis demandez la liquidation. Parallèlement, chiffrez le préjudice lié à la violation elle-même : démarches multipliées, temps consacré pendant et hors temps de travail, frais de courrier et de conseil, stress lié à l’incertitude sur le contenu du dossier avant une audience prud’homale. Présentez ces éléments dans un tableau daté, avec les justificatifs correspondants, pour permettre au juge de fixer une indemnisation proportionnée sans avoir à la deviner.

Conclusion

En résumé, la méthode du salarié tient en quatre temps. D’abord, une demande écrite et précise, qui vise le dossier de ressources humaines, les relevés de temps et de connexion, l’agenda et les courriels dont vous êtes l’émetteur ou le destinataire, et qui fait courir le délai d’un mois. Ensuite, à l’expiration du délai, une mise en demeure qui rappelle l’obligation de motiver tout refus et d’indiquer les recours. Puis, sans attendre, une réclamation gratuite devant la CNIL avec l’ensemble des pièces, dont les suites nourriront le dossier prud’homal. Enfin, en cas d’urgence ou de résistance persistante, le juge, qui peut préserver les données en référé, ordonner leur communication sous astreinte et réparer le préjudice sans exiger une gravité particulière. Le droit d’accès n’est pas une faveur que l’employeur accorde, c’est une obligation qu’il exécute : à vous de la lui rappeler, avec les bons textes et dans les bons délais.

Besoin d’un avis rapide sur votre dossier

Vous vous heurtez à un refus ou au silence sur vos données personnelles en matière de numérique et de données personnelles : consultation téléphonique en 48 heures avec Maître Reda KOHEN, avocat au Barreau de Paris. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.