Vous venez d’être licencié et vous préparez la contestation devant le conseil de prud’hommes, vous soupçonnez que votre évaluation annuelle a été réécrite après coup, ou vous voulez simplement savoir quelles informations votre employeur conserve sur vous depuis votre embauche. Vous écrivez à l’entreprise pour obtenir la copie de votre dossier personnel et vous vous heurtez à un refus net, à une réponse partielle qui élude l’essentiel, ou à un silence pur et simple. La situation est fréquente et la réponse du droit est ferme : le salarié dispose d’un droit d’accès direct à l’ensemble des données personnelles que son employeur détient sur lui, l’entreprise doit répondre sous un mois maximum, et le juge peut ordonner la communication sous astreinte. Encore faut-il formuler la demande au bon fondement, viser les bons documents et prouver son préjudice si l’on réclame une indemnisation, car la simple violation du règlement européen n’ouvre pas à elle seule droit à réparation. Cet article décrit la méthode complète : exiger la copie sur le fondement exact, délimiter le périmètre des documents communicables, saisir la CNIL puis le juge en cas de refus, et chiffrer une demande indemnitaire qui tienne devant la juridiction.
I. Exiger la copie de son dossier : un droit direct contre l’employeur
A. Le droit d’accès du salarié et le délai de réponse d’un mois
Le fondement principal se trouve dans le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD. Son article 15 ouvre à toute personne concernée un droit d’accès personnel et direct contre le responsable du traitement, et l’employeur est le responsable du traitement des données de ses salariés. Le texte dispose que « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes ». Suivent les finalités du traitement, les catégories de données, les destinataires, la durée de conservation envisagée, les droits de rectification et d’effacement, le droit d’introduire une réclamation auprès d’une autorité de contrôle et, lorsque les données n’ont pas été collectées auprès de la personne, toute information disponible sur leur source. La demande du salarié n’a donc pas à se limiter à une pièce isolée : elle porte sur l’ensemble des données détenues et sur les informations qui les accompagnent.
Ce droit s’exerce par écrit auprès de l’employeur ou de son délégué à la protection des données, par lettre recommandée avec accusé de réception ou par courriel avec preuve de dépôt, en justifiant de son identité de manière proportionnée. La CNIL consacre une page à l’accès au dossier professionnel et rappelle que l’employeur doit faciliter l’exercice des droits des salariés, ce qui exclut les parcours dissuasifs, les renvois systématiques vers un interlocuteur indisponible ou l’exigence de pièces d’identité excédentaires. La demande doit être précise sans être restrictive : viser le dossier ressources humaines complet, les données de recrutement, l’historique de carrière, les évaluations, la rémunération, le dossier disciplinaire, les relevés de temps de travail, les journaux de connexion et la messagerie professionnelle, puis laisser au responsable le soin d’appliquer les limites légales exposées plus loin. Une demande trop étroite, cantonnée au seul contrat de travail, prive le salarié des pièces les plus utiles en cas de litige prud’homal.
Le règlement impose un délai strict. « Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande ». Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition que le responsable informe la personne du report et de ses motifs dans le premier mois. Lorsque la demande est présentée sous forme électronique, la réponse doit en principe suivre la même voie. Concrètement, l’employeur qui garde le silence au-delà d’un mois sans justifier d’une prolongation, ou qui répond par une fin de non-recevoir non motivée, se place en situation de refus, et ce refus daté fait courir les recours décrits dans la seconde partie. La remise d’une première copie des données ne peut donner lieu à facturation, et toute demande de paiement opposée à la première communication doit être contestée par écrit dès réception.
Le droit du travail renforce ce dispositif par deux règles propres à la relation salariée. D’abord, « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». Cette disposition de l’article L. 1222-4 du code du travail interdit les collectes clandestines : badgeage occulte, logiciel de surveillance installé sans information, fichier parallèle tenu par un manager sans que le salarié en ait été avisé. Ensuite, « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard », comme l’énonce l’article L. 1222-3 du même code, qui ajoute que les résultats obtenus sont confidentiels et que les méthodes doivent rester pertinentes au regard de la finalité poursuivie. Ces deux textes servent deux fois : ils fondent une demande d’information sur les dispositifs en place, et ils fragilisent les pièces issues d’une collecte dissimulée si l’employeur prétend les utiliser dans un contentieux disciplinaire ou un licenciement. Le salarié qui découvre, à l’occasion de sa demande d’accès, l’existence d’un dispositif dont il n’avait jamais été informé, doit le faire constater par écrit et conserver la réponse de l’employeur, car ce manquement d’information peut ensuite nourrir à la fois la plainte devant la CNIL et l’argumentation prud’homale sur la loyauté de la preuve.
B. Le périmètre des documents communicables et ses limites
L’étendue concrète du droit d’accès en matière salariale a été fixée avec une précision rare par la cour d’appel de Rennes dans un arrêt du 27 février 2025 rendu entre une ancienne directrice juridique et son employeur. La cour y « Condamne la société Engie Green France à communiquer à Mme [B] [K] dans un délai de 60 jours à compter de la notification du présent arrêt, les documents suivants détenus par l’entreprise » : le dossier ressources humaines comprenant toutes les données relatives au recrutement, à l’historique de carrière, à l’évaluation des compétences professionnelles, à la rémunération, au dossier disciplinaire, à l’appartenance au programme interne, aux fiches de poste et aux relevés de l’outil de contrôle du temps de travail depuis l’entrée dans le groupe, puis les relevés de connexion au moyen de son identifiant, c’est-à-dire les dates et heures de connexion au réseau interne et d’utilisation de l’ordinateur mis à disposition pour les années 2020 à 2023, puis l’agenda Outlook pour les mêmes années, puis l’ensemble des courriels de la messagerie professionnelle et de la messagerie Teams dont elle était l’émettrice ou la destinataire principale, à l’exclusion de ceux où elle figurait seulement en copie. Cette énumération donne la mesure de ce qu’un salarié peut réclamer : non seulement le dossier administratif, mais aussi les traces numériques de son activité et sa correspondance professionnelle émise et reçue.
La même décision encadre les modalités de remise et l’usage des pièces. La cour précise que les informations seront fournies sous une forme électronique d’usage courant, dans un format structuré et lisible, via un processus de téléchargement qui en assure la pérennité et dans des conditions de sécurité satisfaisantes. Elle ajoute que les pièces seront anonymisées afin de respecter le droit à la vie privée des tiers, le secret des affaires et le droit de la propriété intellectuelle, et que les éléments transmis pourront être utilisés exclusivement dans le cadre d’un éventuel contentieux prud’homal entre les parties. Enfin, elle assortit l’injonction d’une contrainte financière : « une astreinte provisoire de 50 euros par jour de retard, à l’expiration du délai de 60 jours suivant la signification de la présente décision, et pour une durée de 90 jours », dont la cour se réserve la liquidation. Trois enseignements pratiques en découlent pour toute demande : exiger un format électronique courant et exploitable plutôt qu’un lot d’impressions partielles, accepter par avance l’anonymisation des données de tiers pour priver l’employeur d’un prétexte de refus global, et assortir toute demande judiciaire d’une astreinte chiffrée et limitée dans le temps, car le juge y est manifestement réceptif.
Le périmètre comporte toutefois des limites que le salarié doit intégrer pour ne pas exposer sa demande à un rejet. Première limite, les droits et libertés d’autrui : l’accès ne permet pas d’obtenir la communication intégrale de documents qui concernent principalement des tiers, ni de contourner les règles de preuve du procès prud’homal en exigeant des pièces qui relèvent d’une mesure d’instruction. La cour d’appel de Paris, dans un arrêt du 25 juin 2024 opposant une salariée à son organisation syndicale, a ainsi jugé que l’article 15 du RGPD, qui vise les données personnelles faisant l’objet d’un traitement, n’impose pas la communication d’une correspondance privée en tant que telle, et a mis en balance le droit d’accès avec les droits d’autrui en se référant à la jurisprudence de la Cour de justice sur ce point (arrêt du 25 juin 2024, RG 23/18268). Deuxième limite, la protection des secrets légitimes : les appréciations portant sur des tiers, les données couvertes par le secret des affaires ou les documents préparatoires internes étrangers à la personne du demandeur peuvent être écartés ou occultés, comme l’a fait la cour de Rennes en ordonnant l’anonymisation. Troisième limite, la procédure : lorsque la communication sollicitée met en cause des données personnelles de tiers contenues dans des pièces litigieuses, le contrôle du juge doit intervenir avant la remise, car une communication irréversible ne pourrait plus être réparée par un contrôle postérieur. La chambre sociale de la Cour de cassation l’a affirmé le 9 avril 2025 en déclarant immédiatement recevable le pourvoi contre une décision ordonnant une communication forcée de pièces contenant des données de tiers (pourvoi n° 22-23.639). Pour le salarié, la leçon est simple : cibler ses propres données, accepter l’occultation des passages qui visent des tiers, et présenter sa demande comme l’exercice d’un droit personnel plutôt que comme une mesure d’instruction déguisée. Les lecteurs confrontés à une conservation prolongée de leurs données après la fin d’une relation contractuelle trouveront des développements voisins dans notre analyse consacrée à l’effacement des données après fermeture d’un compte client et à la prospection qui persiste, qui suit la même logique de droits, de délai et de recours.
II. Faire trancher le refus et obtenir réparation du préjudice
A. Mise en demeure, plainte CNIL et injonction du juge des référés
Face au silence ou au refus, la première étape consiste à adresser une mise en demeure qui verrouille la procédure. Ce courrier, envoyé en recommandé avec accusé de réception au responsable du traitement et en copie au délégué à la protection des données lorsque l’entreprise en a désigné un, rappelle la demande initiale et sa date, vise l’article 15 et l’article 12, paragraphe 3, du RGPD, énumère les catégories de documents réclamés en reprenant la nomenclature admise par la cour d’appel de Rennes, et impartit un délai final de quinze jours pour la remise sous format électronique courant. Il annonce les suites : plainte devant la CNIL et saisine du juge aux fins d’injonction sous astreinte. Ce formalisme n’est pas une coquetterie : il établit la date du refus, il démontre la démarche préalable que la CNIL exige avant d’instruire, et il caractérise la résistance de l’employeur que le juge prendra en compte pour assortir sa décision d’une astreinte. Joindre à ce courrier la copie de la demande initiale, les preuves de son envoi et, le cas échéant, la réponse incomplète de l’entreprise, avec surlignage des pièces manquantes.
La deuxième voie est la plainte devant la CNIL, qui s’effectue en ligne sur la page dédiée aux plaintes. L’autorité ne se substitue pas au demandeur et n’exerce pas ses droits à sa place : elle instruit sur la base d’un dossier complet comprenant la chronologie des faits, la demande adressée à l’employeur, la mise en demeure et sa réponse ou la preuve du silence, ainsi que tout élément montrant l’existence des traitements, comme une charte informatique, un extrait du règlement intérieur ou des captures d’outils internes. La CNIL peut alors rappeler l’entreprise à ses obligations, la mettre en demeure de se conformer ou prononcer une sanction administrative, y compris financière, dont la publicité renforce ensuite la position du salarié devant le juge. Il faut en revanche comprendre ce que la plainte ne donne pas : la CNIL n’ordonne pas la remise des documents au plaignant et n’alloue pas de dommages et intérêts. La sanction punit le manquement, elle n’indemnise pas la victime. C’est pourquoi la plainte et l’action judiciaire se combinent : l’une vise la cessation et la sanction, l’autre l’injonction de communiquer et la réparation.
La troisième voie, la plus directement efficace pour obtenir les pièces, est la saisine du juge. Pendant la relation de travail comme après sa rupture, le conseil de prud’hommes, qui règle par la conciliation puis le jugement les différends nés du contrat de travail, est compétent pour les différends nés du contrat de travail, et sa formation des référés peut ordonner la communication des documents lorsqu’elle n’excède pas ce cadre. C’est exactement ce qu’a fait la cour d’appel de Rennes en infirmant l’ordonnance de référé prud’homale qui avait rejeté la demande, puis en ordonnant elle-même la communication sous astreinte. La demande doit être formulée avec précision : liste des catégories de documents, période couverte, format électronique courant, anonymisation des données de tiers acceptée par avance, usage limité au contentieux prud’homal proposé, et astreinte journalière chiffrée sur une durée déterminée. Cette présentation, calquée sur le dispositif rennais, maximise les chances d’obtenir l’injonction dès le premier juge. En cas d’urgence particulière, par exemple lorsque des pièces risquent d’être détruites à l’approche d’une échéance prud’homale, le juge des référés du tribunal judiciaire, qui peut toujours prescrire les mesures conservatoires ou de remise en état qui s’imposent pour faire cesser un trouble manifestement illicite, peut également être saisi sur le fondement du trouble manifestement illicite que constitue la violation caractérisée du droit d’accès.
Pour les salariés et anciens salariés d’Île-de-France, quelques repères parisiens sont utiles. Le conseil de prud’hommes de Paris statue en référé sur les demandes de communication liées au contrat de travail des salariés des entreprises dont le siège ou l’établissement d’affectation relève de son ressort, et la cour d’appel de Paris connaît des appels de ces ordonnances, comme l’illustre l’arrêt du 25 juin 2024 cité plus haut. Les grandes entreprises franciliennes disposent presque toujours d’un délégué à la protection des données joignable par un canal dédié, et la mise en demeure adressée simultanément à la direction des ressources humaines et à ce délégué accélère fréquemment le traitement interne. Enfin, les délais de fixation en référé prud’homal à Paris permettent d’obtenir une décision en quelques semaines, ce qui rend cette voie compatible avec le calendrier d’une procédure au fond déjà engagée : les pièces obtenues en référé peuvent encore être versées aux débats avant la clôture, à condition d’anticiper et de ne pas attendre la dernière audience pour agir.
B. L’indemnisation suppose un préjudice prouvé, jamais automatique
Le dernier verrou, et le plus souvent méconnu, tient à la réparation. L’article 82, paragraphe 1, du RGPD dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Ce texte ouvre bien une action indemnitaire contre l’employeur, y compris pour un dommage purement moral comme l’anxiété née de l’ignorance de ce que l’entreprise conserve, la perte de chance dans la préparation d’un procès prud’homal ou l’atteinte au droit de contrôler ses propres données. Mais la Cour de cassation, dans un arrêt du 24 juin 2026 rendu précisément dans un litige opposant un salarié à son employeur sur un traitement de données illicite, a cassé l’arrêt d’appel qui avait accordé 5 000 euros de dommages et intérêts en retenant que la violation du RGPD avait nécessairement causé un préjudice, sans que le salarié en démontre l’existence ni l’étendue. La chambre sociale énonce que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation et qu’il lui appartenait d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral ». La cassation est partielle mais nette : elle annule la condamnation indemnitaire et renvoie l’affaire devant une cour d’appel autrement composée sur ce seul point.
Cette solution reprend l’interprétation donnée par la Cour de justice de l’Union européenne, que l’arrêt cite à double titre. D’une part, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », selon l’arrêt du 4 mai 2023 rendu dans l’affaire Österreichische Post, qui ajoute qu’aucun seuil de gravité ne peut être exigé pour le dommage moral et que les règles nationales de calcul s’appliquent dans le respect des principes d’équivalence et d’effectivité. D’autre part, le droit à réparation remplit une fonction compensatoire et non punitive : la somme allouée doit compenser intégralement le préjudice concrètement subi, et le demandeur doit établir non seulement la violation mais aussi le lien entre cette violation et son dommage, selon l’arrêt du 25 janvier 2024 rendu dans l’affaire MediaMarktSaturn (C-687/21). Pour le salarié, le message est clair : inutile de réclamer une somme symbolique en se contentant d’invoquer le refus d’accès, et inutile à l’inverse de craindre un rejet au motif que le préjudice serait trop diffus. Il faut décrire un dommage précis, le relier à la violation et le chiffrer avec des pièces.
La construction d’une demande indemnitaire solide repose donc sur trois piliers. Le premier est la preuve de la violation : demande d’accès datée, mise en demeure, silence ou refus de l’employeur, éventuellement position de la CNIL si une mise en demeure publique ou une sanction est intervenue. Le deuxième est la preuve du dommage : attestation du préjudice moral subi pendant la période de privation d’accès, démonstration de la perte de chance lorsque l’absence de pièces a affaibli la contestation d’un licenciement ou la négociation d’une rupture, frais exposés pour faire valoir ses droits, retentissement documenté sur la situation professionnelle. Le troisième est le chiffrage : évaluer le préjudice moral en fonction de la durée du refus, du caractère sensible des données et de l’obstination de l’employeur, et évaluer la perte de chance en fonction de l’enjeu du litige principal auquel les pièces faisaient défaut. À côté de l’article 82 du RGPD, le fondement de l’exécution déloyale du contrat de travail et celui de la responsabilité civile, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », restent disponibles, mais il obéit à la même exigence de preuve : dans l’affaire jugée le 24 juin 2026, c’est précisément sur ce fondement que la cour d’appel avait accordé 5 000 euros avant d’être censurée pour avoir présumé le préjudice. Une demande indemnitaire peut enfin se cumuler avec la demande d’injonction sous astreinte, les deux répondant à des objets distincts : contraindre à communiquer d’un côté, compenser le dommage déjà subi de l’autre.
En pratique, le dossier à constituer tient en cinq ensembles de pièces : l’intégralité des échanges avec l’employeur et le délégué à la protection des données, avec dates et accusés de réception ; la description précise des documents manquants et de leur utilité pour le litige en cours ou prévisible ; les éléments de préjudice moral, attestations de proches, certificats médicaux si un retentissement existe, récit circonstancié des démarches et de leur échec ; les éléments de préjudice matériel ou de perte de chance, mise en cause du licenciement, calendrier de la procédure prud’homale, chiffrage de l’enjeu ; et toute décision ou position extérieure, récépissé de plainte CNIL, mise en demeure de l’autorité, sanction publiée. Présenté ainsi, le dossier parle le langage du juge : une violation datée, un dommage décrit, un montant expliqué. C’est à ce prix que le refus d’accès, d’abord contourné par l’injonction, se trouve ensuite sanctionné par l’indemnisation.
Un employeur qui refuse l’accès au dossier personnel ne commet donc pas une simple incartade administrative. Il prive le salarié d’un droit que le règlement européen lui reconnaît directement, il manque à son obligation de répondre sous un mois, et il s’expose à une injonction de communiquer sous astreinte prononcée en référé, comme la cour d’appel de Rennes l’a ordonné poste par poste pour le dossier ressources humaines, les relevés de connexion, l’agenda et la messagerie. Mais l’indemnisation ne suit pas automatiquement : depuis l’arrêt du 24 juin 2026, le salarié qui réclame réparation doit établir la réalité et l’étendue de son dommage, moral ou matériel, et le rattacher à la violation constatée. La méthode gagnante tient en quatre gestes accomplis dans l’ordre : une demande d’accès écrite et complète, une mise en demeure qui constate le refus, une plainte CNIL documentée et une action en injonction sous astreinte, puis une demande indemnitaire chiffrée et prouvée. Menée avec cette rigueur, la procédure transforme un refus opaque en une communication ordonnée par le juge et, lorsque le préjudice est établi, en une réparation intégrale.