Vous avez quitté l’entreprise depuis des mois, parfois depuis des années, et votre ancien employeur détient toujours votre dossier : évaluations, avertissements, relevés d’absences, échanges de messagerie, bulletins de paie. Pire, un recrutement qui semblait acquis s’interrompt après un appel passé à votre ancien responsable, sans que vous sachiez ce qui a été dit. Ces deux situations relèvent du même terrain juridique : la protection de vos données personnelles après la fin du contrat de travail, à la croisée du règlement général sur la protection des données et du droit du travail. La fin du contrat ne fait pas disparaître les fichiers, mais elle change les règles : ce qui était nécessaire pendant la relation de travail doit être trié, archivé ou supprimé, et ce qui est transmis à un tiers doit rester loyal, pertinent et exact. Cet article expose ce que l’ancien employeur peut conserver après votre départ, les droits que vous pouvez exercer pour obtenir l’effacement, le cadre qui s’applique quand il renseigne un futur recruteur, puis la méthode pas à pas pour contester, saisir la CNIL et le conseil de prud’hommes et demander réparation.

I. Après votre départ, votre ancien employeur ne peut pas tout conserver : ce qui doit être supprimé et ce qui peut rester en archive

A. La fin du contrat impose un tri : base active, archivage intermédiaire, suppression

Pendant la relation de travail, l’employeur traite vos données pour gérer le personnel : paie, temps de travail, évaluation, discipline. Ce traitement doit respecter les principes du règlement européen, notamment des données « licite, loyale et transparente », et il n’est permis que si au moins une condition de licéité est remplie, comme le contrat, l’obligation légale ou l’intérêt légitime notamment. Une fois le contrat rompu, la finalité de gestion courante disparaît, et la conservation doit être réexaminée.

La Commission nationale de l’informatique et des libertés pose une règle simple : « le temps de sa présence dans l’organisme » Le départ ne signifie pas pour autant la destruction immédiate de tout le dossier. La même doctrine précise qu’« sur un support d’archive », avec l’exemple des bulletins de paie conservés cinq ans après le départ. Cette logique correspond aux trois temps de vie des données décrits par la Commission : la base active, qui n’a plus lieu d’être pour la gestion courante après le départ ; l’archivage intermédiaire, pour les dossiers clos qui présentent encore un intérêt administratif comme la gestion d’un éventuel contentieux ou le respect d’une obligation légale ; puis la suppression ou l’anonymisation quand plus aucun fondement ne justifie la conservation. La Commission détaille ces durées de conservation des données et rappelle que l’archivage intermédiaire suppose une séparation de la base active, physique ou logique, avec un accès réservé à des personnes spécifiquement habilitées et des consultations ponctuelles et motivées.

Concrètement, plusieurs catégories doivent être distinguées. Les documents que la loi oblige l’employeur à conserver le restent : le double des bulletins de paie, car « L’employeur conserve un double des bulletins de paie des salariés ou les bulletins de paie remis aux salariés sous forme électronique pendant cinq ans. » Les pièces nécessaires à la défense en cas de litige prud’homal peuvent être archivées de façon restreinte pendant les délais de prescription. En revanche, les données devenues inutiles doivent être supprimées : notes d’évaluation anciennes sans lien avec un contentieux, relevés de pointage ou de badge conservés au-delà du nécessaire, courriels personnels restés dans la messagerie professionnelle, données de géolocalisation ou de vidéosurveillance dont la durée de conservation est dépassée, dossiers médicaux ou informations sur la santé qui n’auraient jamais dû figurer dans le dossier RH. Depuis le 2 avril 2026, les employeurs disposent en outre du référentiel de la CNIL sur les durées de conservation des données de gestion du personnel, qui recense les durées applicables traitement par traitement et distingue les durées impératives prévues par les textes des durées recommandées : c’est ce document, avec les textes qu’il cite, qui sert de base pour vérifier si une conservation est justifiée ou excessive.

Vérifiez aussi que l’information sur les traitements vous a bien été donnée. L’employeur doit informer chaque salarié, avant toute collecte, de l’identité du responsable du traitement, des finalités, des destinataires, des durées et de vos droits, et associer le délégué à la protection des données quand il en a désigné un. Si aucun document ne vous a jamais informé de la durée de conservation de vos évaluations ou de votre messagerie archivée, ce défaut d’information constitue un manquement autonome qui renforce une plainte devant la CNIL. Devant le juge, l’absence d’information préalable prive l’employeur de la possibilité de prétendre que vous aviez accepté ces traitements, et elle éclaire l’appréciation de la loyauté de l’exécution du contrat.

Le point de vigilance porte sur les fichiers qui survivent dans les outils : messagerie conservée « au cas où », dossier partagé jamais purgé, logiciel de gestion des ressources humaines qui duplique les profils, sauvegarde qui restaure des données effacées. Une conservation passive, sans finalité définie et sans durée, reste une conservation illicite même si personne ne consulte le fichier. De même, le fait de garder l’accès à votre messagerie professionnelle après votre départ, ou de continuer à utiliser votre nom et votre image sur le site de l’entreprise, doit être contesté : l’adresse doit être fermée ou redirigée pour une durée brève et annoncée, puis supprimée.

B. Vos droits après le départ : accès, effacement, limitation, et le délai d’un mois pour obtenir une réponse

Le départ ne vous prive d’aucun de vos droits sur vos données. Vous pouvez d’abord demander l’accès : l’employeur doit vous confirmer si des données vous concernant sont traitées et, dans ce cas, vous donner accès à ces données ainsi qu’aux informations sur les finalités, les catégories de données, les destinataires et la durée de conservation. La CNIL rappelle qu’un salarié peut obtenir sur simple demande et sans avoir à la motiver une copie des données qui le concernent, y compris l’historique de carrière, la rémunération, l’évaluation des compétences et le dossier disciplinaire. Si votre demande d’accès restée sans réponse n’aboutit pas, les recours décrits pour imposer la copie sous un mois s’appliquent de la même façon à l’ancien salarié.

Vous pouvez ensuite demander « l’effacement, dans les meilleurs délais », notamment quand les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées. C’est le fondement direct pour exiger la suppression des fichiers conservés sans finalité après votre départ. Vous pouvez aussi demander la rectification des données inexactes, la limitation du traitement pendant la vérification, et vous opposer pour des motifs tenant à votre situation particulière aux traitements fondés sur l’intérêt légitime. L’employeur doit vous répondre « dans un délai d’un mois », délai qui peut être prolongé de deux mois en cas de complexité, à condition de vous en informer. Le silence gardé au-delà de ce délai, ou un refus non motivé, ouvre la voie aux recours.

Outre l’accès et l’effacement, deux droits complètent l’arsenal de l’ancien salarié. La limitation du traitement permet de geler l’utilisation des fichiers contestés pendant la vérification : l’employeur conserve alors les données sans les exploiter ni les transmettre, le temps de trancher sur leur exactitude ou leur utilité. L’opposition pour des motifs tenant à votre situation particulière vise les traitements fondés sur l’intérêt légitime, comme la conservation d’indicateurs de performance ou d’historiques d’activité au-delà du départ : l’employeur doit alors démontrer des motifs légitimes et impérieux qui prévalent, faute de quoi il cesse le traitement. Ces deux droits se demandent dans le même courrier que l’accès et l’effacement, point par point, afin que le silence ou le refus partiel de l’employeur soit lui-même documenté pour la CNIL et le juge.

Pour agir utilement, envoyez une demande écrite et précise : identité, qualité d’ancien salarié avec dates d’emploi, liste des données ou des fichiers visés, droit exercé pour chacun, et copie d’un justificatif d’identité si l’employeur peut raisonnablement le demander. Adressez-la au service des ressources humaines et, quand il existe, au délégué à la protection des données, dont les coordonnées doivent figurer dans l’information qui vous a été donnée. L’employeur doit par ailleurs tenir un registre des activités de traitement et y avoir inscrit les fichiers de gestion du personnel : en cas de contrôle, c’est ce registre qui permet de vérifier les finalités, les durées et les destinataires déclarés. Quand l’employeur refuse de répondre ou invoque des durées vagues, demandez-lui l’extrait du registre correspondant à votre dossier et la fiche du délégué à la protection des données : l’absence de registre, ou un registre muet sur les durées, constitue un indice supplémentaire de non-conformité que la CNIL et le juge examinent avec attention. Conservez la preuve de l’envoi et de la réception, ainsi que toute réponse, car ces pièces serviront devant la CNIL et devant le juge. Présentez votre demande sous une forme qui préserve la preuve : lettre recommandée avec accusé de réception ou courriel avec accusé de lecture adressé à la fois aux ressources humaines et au délégué à la protection des données. Numérotez chaque demande, une par droit et par fichier, et joignez un justificatif d’identité en masquant les mentions inutiles. Si l’employeur exige des précisions, répondez dans le même fil écrit sans recommencer le délai à zéro de votre côté, et notez chaque échange dans un tableau de suivi avec dates et objets. En cas de réponse partielle, par exemple une copie du dossier sans les journaux de connexion ou sans les destinataires, relancez sur les points manquants avant de saisir la Commission : un dossier qui montre deux relances restées sans effet obtient une instruction plus rapide qu’une plainte déposée le lendemain de la première demande.

II. Quand votre ancien employeur renseigne votre futur recruteur : loyauté, exactitude et recours contre les références préjudiciables

A. Ce que l’ancien employeur peut dire et ce qui lui est interdit

La prise de références se situe au croisement de deux régimes. Côté nouveau recrutement, la loi limite strictement les informations que le nouvel employeur peut collecter : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Côté ancien salarié, la même exigence de pertinence s’applique pendant la relation de travail : « Les informations demandées, sous quelque forme que ce soit, à un salarié ne peuvent avoir comme finalité que d’apprécier ses aptitudes professionnelles. » Et l’exécution du contrat dans son ensemble obéit à la bonne foi, puisque « Le contrat de travail est exécuté de bonne foi. » Ces textes encadrent aussi bien le contenu du dossier conservé que les propos tenus à un tiers : un ancien employeur ne peut ni constituer sur vous un dossier sans lien avec vos aptitudes, ni diffuser à un recruteur des appréciations étrangères à vos aptitudes professionnelles.

S’y ajoutent deux verrous. D’abord la transparence des dispositifs : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Des notes, des enregistrements ou des évaluations constitués à votre insu par un dispositif occulte fragilisent toute utilisation ultérieure, y compris une référence négative qui s’appuierait sur eux. Ensuite l’exactitude, principe du règlement européen : les données doivent être exactes et, si nécessaire, tenues à jour, avec effacement ou rectification des données inexactes au regard des finalités. Transmettre à un recruteur une information fausse, périmée ou excessive, par exemple un motif de départ inexact, une sanction annulée ou prescrite, des absences maladie présentées comme des fautes, ou des difficultés personnelles sans rapport avec le poste, expose l’ancien employeur sur les deux terrains à la fois : manquement au règlement européen et exécution déloyale du contrat de travail.

Le certificat de travail mérite une attention propre, car il est souvent le vecteur des difficultés. Son contenu est encadré par la loi : « A l’expiration du contrat de travail, l’employeur délivre au salarié un certificat dont le contenu est déterminé par voie réglementaire. » En pratique, les dates d’entrée et de sortie et la nature des emplois occupés y figurent ou des emplois successivement occupés. L’ajout de mentions relatives au comportement, aux absences pour maladie, aux sanctions ou aux motifs du départ dénature ce document et peut alimenter un contentieux distinct, sur le terrain du règlement comme sur celui de l’exécution déloyale. Vérifiez également l’attestation destinée au régime d’assurance chômage, dont les mentions inexactes peuvent retarder vos droits, et exigez la rectification écrite de tout document de fin de contrat erroné avant d’engager la suite.

En pratique, une prise de références régulière suppose votre accord, porte sur des éléments objectifs et vérifiables en lien avec le poste visé, et se limite aux interlocuteurs habilités. Les documents de fin de contrat, certificat de travail, attestation destinée au régime d’assurance chômage et solde de tout compte, ont un contenu défini par la loi et ne peuvent pas servir de support à des commentaires ajoutés. Les échanges informels, appels téléphoniques entre responsables ou messages privés qui contournent ces limites, sont les plus difficiles à prouver mais aussi les plus risqués pour leur auteur, car ils laissent des traces : journaux d’appels, messages écrits, témoignages du recruteur, rupture brutale d’un processus d’embauche avancé juste après la prise de contact. Si le nouvel employeur vous oppose un refus après avoir contacté l’ancien, demandez-lui par écrit les motifs du refus et les informations qui ont été transmises : cette pièce est souvent déterminante pour la suite.

B. Agir pas à pas : prouver, mettre en demeure, saisir la CNIL et les prud’hommes, demander réparation

La méthode compte autant que le fond, car le contentieux des données après le départ se perd souvent sur la preuve et les délais. Rassemblez d’abord les pièces : demande d’accès et d’effacement adressées à l’ancien employeur avec leurs preuves d’envoi, réponses ou silence, copie de tout document conservé indûment que vous détenez, échanges avec le nouveau recruteur, chronologie montrant le lien entre la prise de références et l’échec du recrutement, attestations de témoins, captures de la présence persistante de vos nom, photo ou coordonnées sur les supports de l’ancien employeur. Faites constater ce qui peut disparaître, par exemple par un commissaire de justice pour une page web ou un annuaire encore en ligne. Chiffrez votre préjudice : perte de chance d’embauche avec le salaire envisagé, période sans emploi, frais engagés, troubles et démarches, car le juge ne répare que ce qui est démontré.

L’articulation des deux procédures mérite d’être pensée dès le départ. La plainte devant la CNIL et l’action devant le conseil de prud’hommes sont indépendantes : l’une ne suspend pas l’autre, et le juge prud’homal peut statuer sans attendre la décision de la Commission. En pratique, engagez les deux en parallèle quand le préjudice est en cours, par exemple une conservation qui persiste ou un recrutement en échec, et utilisez chaque avancée de l’une au soutien de l’autre : un courrier de la Commission ou une mise en demeure de l’autorité pèse dans le débat prud’homal, tandis qu’un jugement qui constate l’illicéité appuie une demande de mesures correctrices. Surveillez la prescription : le délai de deux ans court à compter du jour où vous avez connu les faits, de sorte qu’une conservation découverte tardivement, lors d’une demande d’accès ou d’un contrôle, fait courir un nouveau point de départ à compter de cette découverte, à condition de la dater et de la prouver.

Mettez ensuite l’ancien employeur en demeure par écrit, en visant précisément chaque manquement : conservation sans finalité au-delà de la présence dans l’entreprise, refus d’effacement, transmission de données inexactes ou excessives à un tiers. Fixez un délai de réponse en rappelant le délai d’un mois prévu par le règlement. Cette mise en demeure interrompt les débats futurs sur la bonne foi et prépare la saisine des autorités.

Le volet administratif appartient à la CNIL : « le droit d’introduire une réclamation » auprès de l’autorité de contrôle, en particulier dans l’État de sa résidence, de son lieu de travail ou du lieu de la violation. Joignez à la plainte l’ensemble des pièces et la chronologie. La Commission peut instruire, mettre en demeure l’organisme, prononcer des mesures correctrices et des sanctions, et sa décision nourrit ensuite le volet judiciaire. Le volet prud’homal relève du conseil de prud’hommes pour les demandes liées à l’exécution et à la rupture du contrat, y compris l’exécution déloyale et la réparation du préjudice salarial. Sur les délais, la règle applicable aux actions portant sur l’exécution du contrat est que « Toute action portant sur l’exécution du contrat de travail se prescrit par deux ans à compter du jour où celui qui l’exerce a connu ou aurait dû connaître les faits lui permettant d’exercer son droit. » Le point de départ se situe donc au jour où vous avez connu les faits, par exemple la découverte de la conservation ou de la teneur des références, et non systématiquement au jour du départ : datez précisément cette découverte dans vos écritures.

À Paris et en Île-de-France, ce parcours présente des particularités pratiques. Le conseil de prud’hommes de Paris traite un volume important de litiges de cadres et de secteurs à forte mobilité, où les enjeux de références et de conservation des dossiers sont fréquents ; la saisine doit être soignée sur la compétence territoriale et sur l’exposé du lien entre les faits et le préjudice. La CNIL siège à Paris, et les échanges avec ses services, y compris une plainte en ligne suivie d’un dossier complet, s’inscrivent dans des délais d’instruction qu’il faut anticiper en parallèle de l’action prud’homale plutôt qu’en l’attendant. Les pièces à préparer sont les mêmes qu’ailleurs, mais l’exigence de démonstration du préjudice y est appliquée avec rigueur : un dossier parisien qui se limite à invoquer la violation du règlement sans chiffrer ni prouver le dommage s’expose au rejet.

Car sur la réparation, le droit applicable est désormais fixé à un niveau élevé d’exigence. Le règlement ouvre un droit à réparation à toute personne qui subit un dommage matériel ou moral du fait d’une violation, avec réparation du préjudice par le responsable du traitement ou le sous-traitant. Mais la Cour de justice de l’Union européenne, le 4 mai 2023 dans l’affaire Österreichische Post (C-300/21), a posé la règle que la Cour de cassation a confirmée en droit français le 24 juin 2026 : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », en censurant une cour d’appel qui avait alloué des dommages-intérêts pour exécution déloyale en retenant que le non-respect du règlement aurait nécessairement causé un préjudice, alors que le salarié ne démontrait ni son existence ni son étendue. En contrepartie, la Cour de justice refuse que le dommage moral soit subordonné à un seuil de gravité : un préjudice même modeste, s’il est prouvé, peut être réparé. La stratégie qui en découle est claire : ne jamais plaider la violation pour elle-même, toujours rapporter la preuve d’un dommage précis et chiffré, et articuler le fondement du règlement avec l’exécution déloyale du contrat de travail, chacun étayé par ses pièces. Le droit commun de la responsabilité conforte cette articulation, puisque « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La faute, ici, se prouve par la violation caractérisée des textes sur les données et la loyauté, et le dommage par les pièces du dossier de recrutement manqué et de la période sans emploi.

En conclusion, la fin du contrat de travail ne clôt pas le dossier de vos données : elle ouvre une période où l’ancien employeur doit trier, archiver de façon restreinte ce que la loi ou un contentieux justifie, et supprimer le reste, tandis que toute information transmise à un futur recruteur doit rester loyale, pertinente et exacte. Face à une conservation abusive ou à des références préjudiciables, la voie efficace combine une demande d’accès et d’effacement écrite et documentée, une mise en demeure visant chaque manquement, une plainte devant la CNIL et une action devant le conseil de prud’hommes dans les délais, avec un préjudice prouvé et chiffré. La jurisprudence la plus récente l’impose : la violation du règlement ne suffit pas à elle seule, seul un dommage démontré ouvre droit à réparation. C’est ce dossier de preuves, constitué dès la découverte des faits, qui fait la différence entre une plainte qui aboutit et un litige perdu sur le principe. En résumé, gardez ce fil conducteur : trier ce qui est conservé, exiger par écrit l’accès et l’effacement dans le délai d’un mois, contester toute référence inexacte ou excessive, puis saisir la CNIL et les prud’hommes avec un préjudice chiffré et des pièces datées. Chaque étape écrite prépare la suivante, et c’est cette chaîne de preuves qui transforme une situation subie en dossier gagnable.