Une enquête interne pour harcèlement moral ou sexuel commence souvent par une convocation, une série d’entretiens, puis un rapport que vous ne voyez qu’en partie, ou pas du tout. Vous pouvez être la personne qui a signalé les faits, la personne mise en cause, ou un témoin dont les messages ont été extraits de la messagerie professionnelle. La question pratique est de savoir quelles données l’employeur peut rassembler, ce que vous pouvez exiger en copie, et quelle force un rapport incomplet peut avoir le jour où une sanction ou un licenciement est contesté.
Deux arrêts de la chambre sociale, tous deux publiés au Bulletin, encadrent ces deux temps. Le 18 juin 2025, la Cour de cassation a jugé que les courriels émis ou reçus grâce à la messagerie professionnelle sont des données personnelles, et que l’employeur doit en fournir les métadonnées et le contenu, sauf atteinte aux droits d’autrui. Le même arrêt rappelle que le juge apprécie la valeur probante de l’enquête au regard des autres preuves, et que le doute profite au salarié lorsque les griefs ne sont pas suffisamment établis. Le 24 juin 2026, la même chambre a jugé que la seule violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation : le préjudice matériel ou moral doit être démontré.
Cet article sépare ces règles. Il indique d’abord qui traite les données pendant l’enquête, sur quel fondement, et comment formuler une demande d’accès utile. Il explique ensuite comment un rapport tronqué ou anonymisé est reçu par le conseil de prud’hommes, y compris lorsque le travail est accompli à Paris, puis ce qu’il faut réunir pour saisir la CNIL et demander une indemnisation qui ne soit pas écartée faute de préjudice prouvé. Seul le juge qualifie.
I. Quels courriels et quelles pièces de l’enquête pouvez-vous exiger ?
L’enquête n’est pas un espace hors du droit des données. Elle produit des traitements : collecte d’entretiens, extraction de messages, conservation d’un rapport, transmission à la direction, parfois à un cabinet extérieur ou aux représentants du personnel. Avant de réclamer une copie, il faut identifier qui décide des finalités, quelles données entrent légitimement dans le dossier, et quelles limites protègent les témoins.
A. L’enquête est un traitement : qui décide, sur quel fondement, et quelles données peuvent entrer dans le dossier ?
L’employeur n’ouvre pas une enquête par simple convenance. Le code du travail lui impose de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs. Le texte vise des actions de prévention, d’information et de formation, et une organisation adaptée. Cette obligation de sécurité, prévue à l’article L. 4121-1 du code du travail, explique pourquoi une direction qui reçoit un signalement de harcèlement moral ou sexuel ne peut pas se contenter d’accuser réception et d’attendre. Elle ne transforme pas pour autant chaque extraction de messagerie en mesure automatiquement licite.
En matière de harcèlement moral, l’employeur « prend toutes dispositions nécessaires en vue de prévenir les agissements de harcèlement moral » (article L. 1152-4 du code du travail). Le harcèlement moral y est défini comme des agissements répétés qui ont pour objet ou pour effet une dégradation des conditions de travail susceptible de porter atteinte aux droits et à la dignité du salarié, d’altérer sa santé ou de compromettre son avenir professionnel, selon l’article L. 1152-1 du code du travail. Pour le harcèlement sexuel, l’article L. 1153-5 du code du travail ajoute l’obligation de mettre un terme aux faits et de les sanctionner. Le salarié qui a procédé à de tels agissements est passible d’une sanction disciplinaire, au titre des articles L. 1152-5 et L. 1153-6 du code du travail. L’enquête sert donc, lorsqu’elle est réellement diligentée, à prévenir, à faire cesser et, le cas échéant, à documenter une sanction. Elle n’est pas une fouille générale de la vie du salarié.
Cette finalité ne dispense pas de la proportionnalité. « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché », dispose l’article L. 1121-1 du code du travail. Appliqué à une enquête, ce texte conduit à distinguer ce qui est nécessaire pour établir ou écarter des faits signalés, et ce qui relève d’une curiosité sur la vie privée, les opinions, la santé ou les échanges qui n’ont aucun lien avec le signalement. Un dirigeant qui fait exporter l’intégralité d’une boîte mail sur plusieurs années, alors que le signalement porte sur quelques réunions identifiées, s’expose à ce que cette ampleur soit regardée comme excessive. La qualification dépend des faits : elle n’est pas acquise par le seul mot « enquête ».
Une seconde limite tient à l’information préalable. « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance », selon l’article L. 1222-4 du code du travail. Un entretien auquel la personne est convoquée n’est pas, en lui-même, un dispositif caché. En revanche, un enregistrement clandestin de cet entretien, un logiciel qui copie la messagerie à l’insu du titulaire, ou une extraction dont personne n’a été informé, posent une question distincte de loyauté de la preuve et d’information. Cet article ne traite pas de la surveillance permanente du poste, déjà abordée dans l’analyse de la lecture des e-mails et de la fouille de l’ordinateur. Ici, le point utile est plus étroit : les outils utilisés pour constituer le dossier d’enquête doivent avoir été portés à la connaissance des personnes concernées lorsqu’ils collectent une information personnelle par un dispositif.
Les rôles ne se confondent pas. L’employeur qui décide d’ouvrir l’enquête, d’en fixer l’objet et d’en tirer les conséquences disciplinaires détermine les finalités et les moyens essentiels du traitement. Il est, en principe, le responsable de ce traitement. Un cabinet extérieur, un enquêteur ou un prestataire informatique qui agit sur instruction documentée, pour auditionner ou héberger les comptes rendus, peut être regardé comme sous-traitant. Le règlement exige alors un contrat qui fixe l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes, et qui interdit au prestataire de traiter hors instruction. Ce contrat est prévu à l’article 28 du règlement général sur la protection des données. Si, au contraire, le prestataire définit lui-même les finalités, la qualification de sous-traitant ne va plus de soi. La lettre de mission tranche plus sûrement qu’une étiquette commerciale. Un avocat chargé d’une enquête reste soumis à son secret professionnel : cette obligation peut limiter ce qui vous sera communiqué, sans effacer le droit d’accès sur les données que l’employeur détient par ailleurs.
Certaines pièces du dossier appellent une vigilance plus forte. Un certificat médical, un arrêt, une mention de pathologie ou d’orientation sexuelle versé au rapport constitue une donnée de santé ou une autre catégorie particulière. Le règlement interdit en principe le traitement de ces données. Une exception existe lorsque le traitement est nécessaire à l’exécution d’obligations de droit du travail et qu’il est autorisé par le droit de l’Union ou le droit national, avec des garanties appropriées. C’est le régime de l’article 9 du règlement. Il ne suffit pas que le document soit utile à l’enquête pour qu’il puisse circuler dans un courriel à toute la direction, au manager mis en cause ou à l’équipe. La diffusion devrait rester limitée aux personnes qui ont besoin d’en connaître pour l’obligation de sécurité ou la défense des droits. Une transmission large serait susceptible de constituer un manquement distinct du seul fait d’avoir ouvert l’enquête.
Les personnes protégées ne sont pas seulement la personne mise en cause. « Aucune personne ayant subi ou refusé de subir des agissements répétés de harcèlement moral ou ayant, de bonne foi, relaté ou témoigné de tels agissements ne peut faire l’objet des mesures mentionnées à l’article L. 1121-2 », prévoit l’article L. 1152-2 du code du travail. L’article L. 1132-3-3 protège, de son côté, la personne qui a témoigné de bonne foi d’un délit ou d’un crime dont elle a eu connaissance dans l’exercice de ses fonctions, ou qui a relaté de tels faits. Ces textes ne créent pas un anonymat absolu opposable au juge. Ils interdisent les représailles. Ils expliquent pourquoi l’employeur peut, et parfois doit, éviter d’exposer un témoin dans une copie remise sans précaution à la personne mise en cause. Ils n’autorisent pas, en revanche, à refuser toute communication au prétexte général que « l’enquête est confidentielle ».
Le fondement du traitement doit enfin être identifiable. Une enquête diligentée pour respecter l’obligation de sécurité peut s’appuyer sur la nécessité de respecter une obligation légale. D’autres opérations, moins directement imposées par un texte, sont parfois rattachées à l’intérêt légitime de l’employeur, à condition que les droits des personnes ne prévalent pas. Le chapitre II du règlement détaille ces bases. Ce qui compte pour vous, concrètement, est moins l’étiquette choisie dans un registre que la capacité de l’employeur à expliquer pourquoi telle extraction, tel entretien ou telle conservation était nécessaire, limité et porté à votre connaissance. Si cette explication manque, la contestation ne porte pas sur le principe de toute enquête, mais sur l’opération précise qui a dépassé le but.
B. Comment demander la copie de vos courriels et des passages qui vous concernent, et que peut-on vous refuser ?
Le droit d’accès ne disparaît pas parce qu’une enquête est en cours. La chambre sociale l’a dit dans des termes qui ferment une discussion longtemps entretenue par certains employeurs. « les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l’article 4 du RGPD », et le salarié a le droit d’y accéder. L’employeur doit lui fournir tant les métadonnées que leur contenu, « sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui » (Cass. soc., 18 juin 2025, n° 23-19.022). L’arrêt est publié au Bulletin. Il ne se limite pas aux messages que le salarié aurait marqués comme personnels. Il vise les courriels émis ou reçus grâce à la messagerie que l’employeur a mise à disposition.
Dans cette affaire, le salarié avait demandé les courriels émis ou reçus dans le cadre de l’exécution du contrat. L’employeur avait transmis des documents de fin de contrat, des bulletins de paie, des pièces de prévoyance, des documents de parking et de véhicule, des pièces contractuelles, des avis d’arrêt, un suivi individuel de santé, un relevé d’identité bancaire et des documents relatifs au licenciement. Il ne justifiait pas avoir communiqué les métadonnées ni le contenu des courriels, et n’invoquait aucun motif pour expliquer cette abstention. La cour d’appel a pu en déduire que cette abstention était fautive, et elle a constaté un préjudice dont elle a souverainement apprécié le montant. La Cour de cassation a rejeté le pourvoi. Ce rejet ne signifie pas que tout refus d’accès ouvre automatiquement des dommages-intérêts d’un montant fixé. Il signifie que l’employeur ne peut pas opposer que les courriels professionnels ne seraient pas des données personnelles, et qu’un silence non motivé sur leur communication peut être jugé fautif lorsque le juge constate un préjudice.
La demande gagne à être précise, datée et conservée. Vous pouvez demander la confirmation que des données vous concernant sont traitées dans le cadre de l’enquête, puis une copie de celles qui le sont. Le chapitre III du règlement prévoit aussi, lorsque les données sont traitées, l’accès à des informations : finalités, catégories de données, destinataires, durée de conservation ou critères de durée, existence des droits de rectification, d’effacement, de limitation et d’opposition, droit de réclamation, et source des données lorsqu’elles n’ont pas été collectées auprès de vous. Pour une enquête, la source est souvent décisive : message d’un collègue, extraction de la messagerie, note d’entretien, signalement anonyme, cabinet extérieur. Demander la source, lorsque vous n’êtes pas à l’origine de la collecte, permet de comprendre ce qui a été retenu contre vous ou, si vous êtes la personne qui a signalé les faits, ce qui a été fait de votre récit.
Le responsable doit informer des mesures prises dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. La prolongation et ses motifs doivent eux-mêmes être annoncés dans le mois. Si le responsable ne donne pas suite, il informe des motifs de son inaction et de la possibilité de réclamation et de recours, au plus tard dans le même délai d’un mois. Ces modalités figurent à l’article 12 du règlement, reproduit au chapitre III publié par la CNIL. Un accusé de réception qui ne dit rien du fond, puis un silence au-delà du mois, ne vaut pas réponse. La première copie ne peut pas, en principe, donner lieu à un paiement. Des frais raisonnables ne sont envisagés que pour une copie supplémentaire, ou dans des hypothèses exceptionnelles que l’organisme doit justifier.
La forme de la copie appelle une nuance que l’arrêt du 18 juin 2025 et la fiche de la CNIL permettent de tenir ensemble. La Cour exige les métadonnées, notamment l’horodatage et les destinataires, et le contenu, sauf atteinte aux droits d’autrui. Elle n’impose pas, dans les motifs publiés, la remise exclusive du fichier d’origine. La fiche de la CNIL sur l’accès des salariés à leurs courriels, mise à jour le 31 janvier 2025, indique que le droit d’accès porte sur les données et non sur les documents en tant que tels, mais qu’une demande formulée en termes de documents doit recevoir un effet utile. Un rejet au seul motif que vous avez écrit « rapport » ou « dossier » plutôt que « données » pourrait être regardé comme formaliste. La même fiche précise que la remise des courriels eux-mêmes est souvent la solution la plus simple, sans être la seule : un tableau qui restitue les métadonnées et les données personnelles contenues dans les messages peut aussi répondre, s’il est fidèle et intelligible.
L’exception des droits d’autrui n’est pas un blanc-seing. L’article 15, paragraphe 4, du règlement dispose que le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui. La CNIL en tire une méthode, dans la fiche déjà citée. L’organisme ne doit pas refuser la demande de manière générale. Il doit permettre l’accès aux données dont la communication ne porte pas une atteinte disproportionnée aux droits des tiers. Lorsque vous êtes l’expéditeur ou le destinataire des messages, la communication des données qu’ils contiennent, voire des messages eux-mêmes, peut être présumée compatible avec les droits des tiers, parce que vous êtes supposé avoir déjà eu connaissance de ces informations. L’anonymisation des données relatives aux tiers est alors une bonne pratique, non une condition préalable. Si l’employeur estime malgré tout qu’un risque demeure, il doit d’abord tenter de supprimer, d’anonymiser ou de pseudonymiser les données des tiers ou celles qui touchent un secret, et seulement ensuite, si ces mesures ne suffisent pas, refuser en motivant.
La situation est différente si vous êtes seulement mentionné dans des courriels dont vous n’êtes ni l’expéditeur ni le destinataire, ou si vous demandez les comptes rendus d’entretiens de collègues. Le secret des correspondances, la vie privée des témoins, le secret des affaires et la protection des personnes qui ont relaté des faits de bonne foi peuvent alors justifier un tri. Un refus total, sans dire ce qui est communiqué, ce qui est masqué et pourquoi, ne correspond pas à cette méthode. Vous pouvez demander, par exemple, les passages du rapport qui vous concernent, les comptes rendus de vos propres entretiens, et les éléments qui vous sont imputés, dans une version où les noms des témoins qui ont demandé à ne pas être exposés sont remplacés par des initiales ou des fonctions, dès lors que cette anonymisation permet encore de comprendre le grief et d’y répondre. Si l’employeur affirme que même cette version est impossible, il doit expliquer pourquoi. L’arrêt du 18 juin 2025 montre, sur le terrain de la preuve judiciaire, le prix d’une explication absente : on y reviendra.
La demande elle-même peut tenir en une page. Indiquez votre identité, la période, la messagerie concernée, et l’enquête si vous en connaissez l’existence. Demandez, distinctement, les métadonnées et le contenu des courriels que vous avez émis ou reçus, les notes d’entretien vous concernant, les passages du rapport qui relatent des faits qui vous sont imputés ou que vous avez signalés, la liste des destinataires du rapport, la durée de conservation prévue, et la source des éléments que vous n’avez pas vous-même fournis. Précisez que vous acceptez une version anonymisée des témoins si l’anonymisation ne rend pas le grief incompréhensible. Envoyez le courrier par un moyen qui laisse une date de réception : remise contre émargement, lettre suivie, ou messagerie dont vous conservez l’accusé. Un ancien salarié peut, selon la fiche de la CNIL, justifier de son identité par des éléments déjà connus de l’employeur, comme son ancien identifiant, sans que la production d’une pièce d’identité soit en principe exigée lorsque le doute n’est pas raisonnable.
Si la réponse est partielle, classez ce qui a été donné et ce qui manque. Une transmission des seuls documents contractuels, comme dans l’espèce jugée en 2025, ne couvre pas les courriels. Si la réponse invoque la confidentialité de l’enquête sans tri et sans motif, conservez-la : elle pourra éclairer à la fois une réclamation et un débat prud’homal. La marche à suivre lorsqu’un organisme ignore une demande d’accès ou refuse la copie est détaillée dans l’article sur le refus de copie des données personnelles. Le présent texte s’en distingue : il porte sur le moment particulier de l’enquête, sur le rapport, et sur l’usage de ce rapport comme preuve d’un licenciement ou d’une sanction.
Deux erreurs fréquentes méritent d’être écartées. La première consiste à attendre la convocation à l’entretien préalable pour demander les pièces. Rien n’interdit de saisir le droit d’accès dès que vous apprenez l’extraction de vos messages ou l’existence du rapport. Plus la demande est proche des faits, plus il est facile de montrer ce qui a été refusé avant la sanction. La seconde consiste à réclamer, sous le nom de droit d’accès, l’intégralité des témoignages bruts, les notes personnelles de l’enquêteur et les échanges entre l’employeur et son conseil. Le droit d’accès n’est pas une communication de pièces judiciaires. Il porte sur vos données. Les échanges couverts par le secret du conseil, et les données des tiers dont la communication porterait une atteinte disproportionnée, peuvent être écartés, à condition que l’écart soit expliqué et limité à ce qui est nécessaire. Confondre ces périmètres affaiblit une demande qui, bien bornée, est beaucoup plus difficile à écarter.
II. Comment contester un rapport incomplet et obtenir réparation ?
Obtenir une copie et faire juger une sanction sont deux opérations différentes. La première s’adresse au responsable du traitement, dans le délai d’un mois. La seconde s’adresse au conseil de prud’hommes, avec les règles de preuve, de compétence et de prescription du droit du travail. Une violation du règlement peut éclairer les deux, sans dispenser de prouver le préjudice si vous demandez des dommages-intérêts sur ce seul fondement.
A. Quelle valeur un rapport tronqué ou anonymisé peut-il avoir devant le conseil de prud’hommes, y compris à Paris ?
Lorsque l’employeur licencie ou sanctionne en se fondant sur une enquête, il ne lui suffit pas de produire une conclusion d’une page. « En cas de licenciement d’un salarié en raison de la commission de faits de harcèlement sexuel ou moral ou d’agissements sexistes ou à connotation sexuelle, il appartient aux juges du fond d’apprécier la valeur probante d’une enquête interne produite par l’employeur, au regard le cas échéant des autres éléments de preuve produits par les parties » (Cass. soc., 18 juin 2025, n° 23-19.022). La preuve reste libre. L’enquête n’est ni interdite ni sacralisée. Le juge en pèse la portée, avec les autres éléments produits de part et d’autre.
Dans l’espèce, l’enquête avait été menée conjointement par l’employeur et le comité d’hygiène, de sécurité et des conditions de travail. La cour d’appel a relevé que certains faits étaient décrits de façon semblable par deux personnes, mais que d’autres comptes rendus étaient tronqués, que des faits n’étaient confirmés par aucun témoin direct, et que des passages avaient été caviardés sans que les noms manquants soient corroborés. Surtout, cinq comptes rendus seulement étaient produits sur quatorze entretiens. L’employeur affirmait que l’absence de communication tenait à la volonté de salariés de conserver l’anonymat. Il n’expliquait pas en quoi il n’aurait pas pu anonymiser ces éléments. La cour a retenu qu’il ne pouvait être exclu que les comptes rendus absents soient favorables au salarié ou infirment une partie des faits, et que les conclusions de l’enquête ne suppléaient pas cette absence. Elle a estimé que les griefs n’étaient pas établis par des éléments suffisamment probants, « et que le doute devait dès lors profiter à l’intéressé » (Cass. soc., 18 juin 2025, n° 23-19.022). La Cour de cassation a approuvé cette appréciation souveraine et rejeté le pourvoi.
Il faut lire cet arrêt sans le transformer en formule automatique. Il ne dit pas que tout rapport anonymisé est nul. Il ne dit pas que l’employeur serait obligé de livrer au débat judiciaire l’identité de chaque témoin. Il dit que le juge peut écarter la valeur probante d’un dossier incomplet lorsque l’employeur invoque l’anonymat sans justifier pourquoi une version anonymisée n’a pas été produite, et lorsque les autres éléments ne corroborent pas les griefs. Le doute profite alors au salarié. Inversement, une enquête dont les comptes rendus essentiels sont produits, dans une forme qui permet la contradiction, et dont les faits sont confirmés par d’autres preuves, peut être retenue. Le débat porte sur la suffisance de la preuve, pas sur une nullité rituelle.
Pour la personne mise en cause, la conséquence pratique est directe. Si le rapport qui vous est opposé résume des entretiens que vous ne pouvez pas discuter, demandez la version anonymisée des comptes rendus qui fondent les griefs, et conservez le refus ou le silence. Devant le juge, l’incomplétude ne se présume pas : il faut montrer ce qui a été produit, ce qui manque, et en quoi le manque empêche de vérifier si des éléments favorables ont été écartés. Les critiques concordantes de témoins sur les conditions de l’enquête, relevées dans l’arrêt de 2025, peuvent aussi compter. Un entretien mené sans que vous ayez pu vous expliquer sur les faits précis, un questionnaire orienté, ou une conclusion rédigée avant la fin des auditions, sont des faits à dater et à documenter. Ils ne remplacent pas la discussion sur le fond des griefs.
Pour la personne qui a signalé les faits, l’arrêt a une autre lecture. L’obligation de sécurité n’est pas satisfaite par l’annonce d’une enquête qui n’a pas lieu, ou dont les conclusions restent inaccessibles alors que les agissements continuent. Vous pouvez demander ce qui a été fait de votre signalement, les mesures de prévention prises, et les données vous concernant. Vous ne pouvez pas exiger, au nom du seul droit d’accès, la sanction d’un collègue ni l’identité de tous les témoins. Si l’enquête a été bâclée et que les faits se poursuivent, le contentieux pertinent est d’abord celui de l’obligation de sécurité et, le cas échéant, de la protection contre les représailles prévues à l’article L. 1152-2, plutôt qu’une demande indifférenciée de « tout le dossier ».
Avant tout procès, une demande de communication peut aussi être portée sur le fondement de l’article 145 du code de procédure civile. « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé », selon l’article 145 du code de procédure civile, dans sa version en vigueur depuis le 1er septembre 2025. La juridiction compétente est, au choix du demandeur, celle qui serait susceptible de connaître de l’affaire au fond ou, s’il y a lieu, celle dans le ressort de laquelle la mesure doit être exécutée. Ce texte ne garantit pas la remise du rapport intégral. Le juge des référés apprécie le motif légitime et proportionne la mesure. Une demande ciblée, après un refus d’accès motivé de façon insuffisante, a plus de chances d’être entendue qu’une demande exploratoire de toute la messagerie de l’entreprise.
La compétence territoriale du conseil de prud’hommes est fixée par l’article R. 1412-1 du code du travail. Le conseil compétent est celui dans le ressort duquel est situé l’établissement où est accompli le travail, ou, lorsque le travail est accompli à domicile ou hors de tout établissement, celui du domicile du salarié. Le salarié peut également saisir le conseil du lieu où l’engagement a été contracté ou celui du lieu où l’employeur est établi. Lorsque l’établissement où le travail est accompli se trouve à Paris, le conseil de prud’hommes de Paris est donc l’un des fors ouverts, sans retirer les autres options du texte. Il n’existe pas, dans ces dispositions, de délai particulier à l’Île-de-France. Les délais utiles sont ceux de la prescription et ceux de la convocation, que le greffe notifie. Il est imprudent d’attendre une date d’audience supposée : les rôles varient, et aucune durée d’attente ne se déduit de la loi.
Les pièces à préparer, à Paris comme ailleurs, sont les mêmes. Conservez le contrat, les avenants, la convocation à l’entretien d’enquête et à l’entretien préalable, la lettre de sanction ou de licenciement, les courriels par lesquels vous avez demandé l’accès, la preuve de leur réception, la réponse ou l’absence de réponse, le rapport dans l’état où il vous a été remis, et une chronologie d’une page. Si vous travaillez sur plusieurs sites, notez l’établissement où le travail est habituellement accompli : c’est ce lieu, et non le siège social affiché sur un organigramme, qui détermine le premier chef de compétence. Si l’employeur est établi hors de Paris alors que vous travaillez dans un établissement parisien, vous pouvez choisir. Ce choix ne change pas le droit applicable. Il change le greffe, les délais de déplacement et parfois la date d’audience. Il ne change pas l’exigence de prouver les griefs, ni celle de prouver votre préjudice.
La prescription ne se résume pas à un seul chiffre. « Toute action portant sur l’exécution du contrat de travail se prescrit par deux ans à compter du jour où celui qui l’exerce a connu ou aurait dû connaître les faits lui permettant d’exercer son droit. » « Toute action portant sur la rupture du contrat de travail se prescrit par douze mois à compter de la notification de la rupture. » Ces deux règles figurent à l’article L. 1471-1 du code du travail. Le même article écarte toutefois ces deux premiers alinéas pour certaines actions, notamment celles exercées en application des articles L. 1152-1 et L. 1153-1, c’est-à-dire les actions fondées sur le harcèlement moral ou sexuel. Il ne dit pas, à lui seul, quel délai de remplacement s’applique. L’article 2224 du code civil soumet les actions personnelles ou mobilières à cinq ans à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits lui permettant d’agir. Qualifier une demande comme action de harcèlement, comme contestation de la rupture, ou comme réparation d’un manquement au règlement sur les données, peut donc changer le délai. Cette qualification appartient au juge. Elle ne se présume pas dans un article général. En pratique, dater la notification de la rupture, la réception du refus d’accès et la connaissance du rapport évite de découvrir trop tard qu’un chef de demande est enfermé dans le délai de douze mois.
B. La CNIL, le juge et l’article 82 : que faut-il prouver pour être indemnisé ?
La Commission nationale de l’informatique et des libertés peut être saisie si l’accès est refusé, tronqué sans motif, ou si des données de santé ont circulé au-delà de ce qui était nécessaire. La réclamation se forme en ligne, selon les modalités décrites sur la page adresser une plainte à la CNIL. Il est utile d’y joindre la demande d’accès, la preuve de réception, la réponse, et une description factuelle du traitement : qui a extrait les messages, qui a reçu le rapport, quelles données sensibles y figurent. La CNIL peut contrôler, mettre en demeure, limiter un traitement ou sanctionner un responsable. Elle ne liquide pas votre préjudice moral et ne réintègre pas un salarié. Attendre sa décision pour saisir le conseil de prud’hommes peut faire courir la prescription de la rupture. Les deux démarches ne s’excluent pas. Elles n’ont pas le même objet ni le même calendrier.
Le règlement reconnaît aussi un recours juridictionnel effectif lorsque la personne considère que ses droits ont été violés du fait d’un traitement. Pour un litige né du contrat de travail, le conseil de prud’hommes est le juge naturel de la sanction, du licenciement et de l’exécution du contrat. Une action dirigée contre un sous-traitant qui ne serait pas l’employeur, ou une demande détachée du contrat, peut relever du tribunal judiciaire, devant les juridictions de l’État membre où le responsable ou le sous-traitant a un établissement, ou de l’État membre où la personne a sa résidence habituelle. Ces chefs de compétence sont ceux de l’article 79 du règlement. Ils ne dessaisissent pas le conseil de prud’hommes d’un litige individuel du travail. Choisir la mauvaise juridiction fait perdre du temps. Le critère simple est le suivant : si la demande tend à annuler une sanction, à contester un licenciement ou à réparer un manquement dans l’exécution du contrat, le conseil de prud’hommes est en principe compétent. Si la demande tend seulement à faire juger un responsable ou un sous-traitant qui n’est pas votre employeur, le tribunal judiciaire doit être envisagé.
L’indemnisation obéit à une règle que l’arrêt du 24 juin 2026 a rappelée avec netteté, en visant l’article 82 du règlement et la jurisprudence de la Cour de justice. « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » (Cass. soc., 24 juin 2026, n° 24-22.792). L’arrêt, publié au Bulletin, casse la condamnation qui avait alloué 5 000 euros pour exécution déloyale du contrat au motif que le non-respect du règlement aurait nécessairement causé un préjudice. La cour d’appel aurait dû apprécier si le salarié établissait que la violation constatée lui avait causé un dommage matériel ou moral. La somme de 5 000 euros n’est donc pas un barème. C’est une condamnation annulée précisément parce qu’elle reposait sur un préjudice automatique. Il serait inexact de la présenter comme une indemnité acquise, ou comme un plancher.
Le texte de l’article 82, paragraphe 1, est sans ambiguïté : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable ou du sous-traitant réparation du préjudice subi. Il est reproduit au chapitre VIII publié par la CNIL. La Cour de cassation, dans l’arrêt du 24 juin 2026, reprend les interprétations déjà fixées par la Cour de justice. Dans l’arrêt du 4 mai 2023, affaire C-300/21, la Cour de justice a dit que la simple violation ne suffit pas à conférer un droit à réparation, qu’une règle nationale ne peut pas subordonner la réparation du dommage moral à un seuil de gravité, et que le montant est fixé selon les règles internes, dans le respect des principes d’équivalence et d’effectivité. Dans l’arrêt du 25 janvier 2024, affaire C-687/21, elle a ajouté que la réparation a une fonction compensatoire et non punitive, et que la personne doit établir à la fois la violation et le dommage matériel ou moral. Ces énoncés figurent dans les motifs de l’arrêt français, qui les applique à un litige prud’homal. Ils ont été relus, pour cet article, sur le texte des arrêts de la Cour de justice.
Il en résulte une méthode de preuve, non une formule d’indemnisation. La violation peut être le refus non motivé de communiquer les métadonnées et le contenu de vos courriels, la diffusion d’un certificat médical à des personnes qui n’avaient pas à le recevoir, ou la conservation du rapport au-delà de ce qui est nécessaire à l’obligation de sécurité et à d’éventuels litiges. Le dommage, lui, doit être rattaché à cette violation. Il peut s’agir, selon les dossiers, de l’impossibilité de préparer utilement sa défense avant l’entretien préalable, d’une atteinte à la réputation interne documentée par des messages ou des témoignages, d’un trouble anxieux constaté et relié à la divulgation, ou d’une perte matérielle identifiable. Une crainte abstraite, sans élément sur ce qui s’est réellement passé, risque d’être jugée insuffisante. L’arrêt du 18 juin 2025 n’est pas en contradiction avec celui de 2026 : dans la première espèce, la cour d’appel avait constaté un préjudice et en avait souverainement apprécié le montant. Dans la seconde, elle avait dit que le préjudice était nécessaire, sans recherche. La première méthode peut résister. La seconde a été censurée.
Il faut aussi ne pas confondre les sommes. Dans l’arrêt du 18 juin 2025, la Cour condamne l’employeur à payer 3 000 euros au salarié en application de l’article 700 du code de procédure civile, et le condamne aux dépens. Cette somme indemnise des frais de procédure exposés devant la Cour de cassation. Elle n’est pas le montant des dommages-intérêts alloués pour le refus d’accès, montant que la Cour n’a pas réexaminé parce qu’il relevait de l’appréciation souveraine des juges du fond. Citer 3 000 euros comme une indemnité de droit des données serait une erreur. Citer 5 000 euros comme un tarif issu de l’arrêt du 24 juin 2026 en serait une autre, puisque cette condamnation a été cassée.
Le responsable et le sous-traitant ne répondent pas de la même manière. L’article 82, paragraphe 2, prévoit que tout responsable ayant participé au traitement est responsable du dommage causé par un traitement qui viole le règlement. Le sous-traitant n’est tenu que s’il n’a pas respecté les obligations qui lui incombent spécifiquement, ou s’il a agi en dehors des instructions licites du responsable ou contrairement à elles. Un cabinet d’enquête qui a diffusé le rapport hors de sa mission, ou un hébergeur qui a conservé les enregistrements après l’instruction de les effacer, pourrait donc être recherché sur un fondement plus étroit que l’employeur. Encore faut-il identifier le contrat, les instructions, et le fait générateur. Sans ces pièces, une assignation indistincte de « tous les intervenants » dilue la preuve.
Que réunir, concrètement, avant de chiffrer une demande ? La violation : la demande d’accès, sa date de réception, l’absence de réponse dans le mois ou le refus général de confidentialité, et, s’il existe, le registre ou la lettre de mission du prestataire. Le dommage : un récit daté des conséquences, les pièces médicales si la santé est en cause et si vous choisissez de les produire, les messages qui montrent une atteinte à la réputation, la chronologie de l’entretien préalable tenu sans les pièces demandées. Le lien : une phrase claire sur ce que le refus vous a empêché de faire, ou sur ce que la diffusion a changé. Le chiffrage reste une demande, pas un dû. Le juge apprécie. Aucun article du règlement ne fixe un montant. Annoncer un quantum comme s’il résultait du texte serait inexact.
Enfin, l’illicéité d’une preuve n’emporte pas toujours son écart des débats. L’arrêt du 24 juin 2026 rappelle qu’une cour d’appel peut juger des éléments obtenus en violation du règlement recevables, si leur obtention et leur production étaient indispensables et proportionnées au but poursuivi, tout en retenant par ailleurs la violation. Recevoir la preuve et indemniser le manquement sont donc deux questions séparées. Vous pouvez demander l’écart d’une extraction disproportionnée et, subsidiairement, la réparation du préjudice si le juge admet la pièce. Vous ne pouvez pas tenir pour acquis que toute messagerie versée aux débats sera écartée, ni que son admission efface le manquement.
Conclusion
Une enquête interne pour harcèlement est à la fois un outil de l’obligation de sécurité et un traitement de données. L’employeur peut recueillir ce qui est nécessaire, proportionné et porté à la connaissance des personnes lorsque un dispositif collecte une information personnelle. Il ne peut pas, au nom de la confidentialité, refuser les métadonnées et le contenu des courriels professionnels que vous avez émis ou reçus, ni opposer un refus général là où un masquage des tiers suffirait. L’arrêt du 18 juin 2025 fixe cette limite et rappelle qu’un rapport produit de façon incomplète, sans expliquer pourquoi une anonymisation était impossible, peut être jugé insuffisamment probant. Le doute profite alors au salarié.
La réparation ne suit pas automatiquement. L’arrêt du 24 juin 2026 interdit de tenir la violation pour nécessairement dommageable. Il faut établir le manquement et le préjudice matériel ou moral, dans une fonction compensatoire, sans seuil minimal de gravité et sans montant légal. La CNIL peut contrôler le responsable. Le conseil de prud’hommes, y compris celui de Paris lorsque le travail y est accompli, juge la sanction, la rupture et l’exécution du contrat, dans les fors de l’article R. 1412-1. Les délais de douze mois et de deux ans ne s’appliquent pas tels quels aux actions fondées sur les articles L. 1152-1 et L. 1153-1, sans qu’il soit possible de présumer, hors de votre dossier, quel délai le juge retiendra pour chaque chef.
Conservez la demande d’accès, sa preuve de réception, la réponse, le rapport dans l’état où il vous a été remis, et la chronologie. Ces pièces valent plus qu’une qualification générale. Les contrats signés, le règlement intérieur et les faits établis priment sur l’analyse qui précède. Aucune responsabilité n’est acquise par la seule ouverture d’une enquête, ni par le seul refus de communiquer un document. Seul le juge décide.