Votre entretien annuel mentionne des absences que vous n’avez jamais eues, votre dossier contient un avertissement fondé sur des faits contredits par vos propres pièces, ou une prime vous est refusée à cause d’un compteur d’heures faux : le dossier que votre employeur tient sur vous conditionne votre carrière, votre rémunération et, parfois, la rupture de votre contrat. Ce dossier est un traitement de données personnelles. Il obéit donc au règlement général sur la protection des données et à la loi du 6 janvier 1978, en même temps qu’au code du travail.
Deux leviers se combinent. D’un côté, vos droits de personne concernée : obtenir la copie de votre dossier, exiger la rectification de ce qui est inexact, et faire geler l’usage des données contestées pendant la vérification. De l’autre, le contentieux du travail : une sanction ou un licenciement bâti sur des éléments faux s’annule devant le conseil de prud’hommes, et le préjudice causé par des données inexactes se répare.
Cet article explique d’abord comment faire corriger votre dossier de salarié, puis ce que vous pouvez obtenir quand l’employeur refuse ou quand il utilise ce dossier contre vous.
I. Faire corriger votre dossier de salarié
A. Ce que votre employeur doit tenir exact
Le règlement impose l’exactitude comme un principe de tout traitement : les données doivent être « exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) » (article 5, paragraphe 1, point d), du règlement (UE) 2016/679). Dans un dossier de salarié, cette exigence vise les éléments factuels vérifiables : état civil et coordonnées, dates d’embauche et de sortie, relevés d’heures et d’absences, historique des postes et des rémunérations, sanctions notifiées, soldes de congés. La Commission nationale de l’informatique et des libertés donne des exemples parlants de données à corriger, comme un âge ou une adresse erronés, et préillustre ce risque par l’exemple d’une mauvaise donnée dans un formulaire conduisant à un calcul préjudiciable pour la personne concernée, par exemple un accès à une prestation ou un remboursement estimé à la baisse (Le droit de rectification : corriger vos informations).
Le droit de rectification lui-même est posé en ces termes : « La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire » (article 16 du règlement (UE) 2016/679). En droit français, « Le droit de rectification s’exerce dans les conditions prévues à l’article 16 du règlement (UE) 2016/679 du 27 avril 2016 » (article 50 de la loi n° 78-17 du 6 janvier 1978, en vigueur depuis le 1er juin 2019
Pour situer ces droits dans le texte européen, la Commission publie le chapitre 3 du règlement, consacré aux droits de la personne concernée, qui rassemble l’information, l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition.).
En pratique, distinguez deux situations. Quand un fait est matériellement faux, comme une absence comptée un jour où vous étiez présent ou un diplôme mal retranscrit, exigez sa correction pièces à l’appui : c’est le cœur du droit de rectification. Quand vous êtes en désaccord avec une appréciation de votre travail, comme un commentaire sévère de votre évaluateur, la voie utile consiste à faire verser vos observations écrites au dossier et, si une sanction s’ensuit, à contester cette sanction devant le conseil de prud’hommes plutôt qu’à réclamer la réécriture du jugement de votre supérieur. Cette distinction compte parce que le juge prud’homal confronte les pièces du dossier entre elles : dans une affaire jugée par la cour d’appel de Rennes le 5 février 2026, les griefs d’un avertissement notifié à une infirmière étaient contredits par les termes de l’entretien d’évaluation tenu le jour même de sa notification, ainsi que par le protocole de soins versé aux débats, et la cour a annulé la sanction (cour d’appel de Rennes, 7e chambre prud’homale, 5 février 2026, RG 22/02229). Votre entretien d’évaluation, même critique, peut donc devenir la preuve qui fait tomber un grief inventé.
Deux repères du code du travail structurent ce dossier. D’une part, l’entretien de parcours professionnel, organisé tous les quatre ans, « ne porte pas sur l’évaluation du travail du salarié » (article L. 6315-1 du code du travail) : votre employeur ne peut pas déguiser une évaluation en entretien de parcours, ni l’inverse. D’autre part, « Aucune sanction antérieure de plus de trois ans à l’engagement des poursuites disciplinaires ne peut être invoquée à l’appui d’une nouvelle sanction » (article L. 1332-5 du code du travail) : un vieux blâme conservé dans votre dossier ne peut pas resservir indéfiniment pour aggraver une nouvelle procédure.
B. Exiger la correction, le gel et la notification aux destinataires
Commencez par obtenir la copie de votre dossier : le droit d’accès et la copie de vos données conditionnent toute demande sérieuse, car vous ne pouvez faire corriger que ce que vous avez vu. Adressez ensuite une demande écrite au responsable du traitement, en pratique la direction des ressources humaines ou le délégué à la protection des données dont les coordonnées figurent dans la politique de confidentialité de l’entreprise. Décrivez précisément chaque donnée contestée, indiquez la correction attendue et joignez vos justificatifs : bulletins de paie, plannings, certificats médicaux, courriels, compte rendu d’entretien. La Commission recommande de conserver une copie de chaque démarche, captures d’écran ou accusé de réception du courrier, car ces preuves conditionnent la suite en cas de refus (le droit de rectification : corriger vos informations). Un modèle de lettre pour demander la rectification de ses données personnelles est proposé par le site officiel de l’administration.
L’employeur ne peut pas vous imposer des pièces d’identité excessives : « lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de la personne concernée » (article 12, paragraphe 6, du règlement (UE) 2016/679). Autrement dit, une vérification d’identité proportionnée est admise en cas de doute réel, mais pas une demande de justificatifs abusive ou disproportionnée. De même, «Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34.» (article 12, paragraphe 5, du même règlement), sauf demande manifestement infondée ou excessive dont l’employeur devrait démontrer le caractère abusif.
Le calendrier est strict : « Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes », et l’employeur doit alors vous informer de cette prolongation et de ses motifs dans le délai d’un mois (article 12, paragraphe 3, du même règlement). Pendant la vérification, ne laissez pas les données contestées continuer à produire leurs effets : demandez par écrit la limitation de leur usage pendant la vérification, car « l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel » (article 18, paragraphe 1, point a), du même règlement). Ce gel signifie que les données ne peuvent, à l’exception de leur conservation, être traitées qu’avec votre consentement ou pour la constatation, l’exercice ou la défense de droits en justice. Demandez-le par écrit dès votre première lettre, en visant précisément les usages à suspendre : prise en compte dans une procédure disciplinaire en cours, transmission à un futur employeur pour une référence, alimentation d’un entretien d’évaluation imminent.
Une fois la rectification effectuée, elle doit suivre les données là où elles ont circulé : «Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué conformément à l’article 16, à l’article 17, paragraphe 1, et à l’article 18, à moins qu», et il doit vous informer sur ces destinataires si vous le lui demandez (article 19 du même règlement). Pensez aux destinataires typiques du dossier d’un salarié : organisme de prévoyance et mutuelle, caisse de retraite complémentaire, prestataire de paie externe, cabinet de recrutement mandaté pour une référence, administration saisie d’un dossier d’aptitude. Listez-les dans votre demande et réclamez la confirmation écrite de chaque notification : sans cette traçabilité, une donnée corrigée chez l’employeur continue de vous nuire ailleurs.
II. Quand l’employeur refuse ou utilise le dossier contre vous
A. Faire annuler la sanction bâtie sur des éléments faux
Quand l’employeur refuse de corriger, il doit le dire et motiver sa position : « Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel » (article 12, paragraphe 4, du règlement (UE) 2016/679). Conservez ce refus : il ouvre la voie de la plainte devant la CNIL après un refus de l’organisme et du recours devant le juge, et son absence de motifs fragilise la position de l’employeur.
Si une sanction disciplinaire a été prononcée sur la base des données contestées, le terrain se déplace vers le droit disciplinaire. La procédure est encadrée : hors avertissement sans incidence sur votre présence, votre fonction, votre carrière ou votre rémunération, l’employeur doit vous convoquer en précisant l’objet, vous entendre avec la personne de votre choix appartenant à l’entreprise, puis respecter un délai strict, car « La sanction ne peut intervenir moins de deux jours ouvrables, ni plus d’un mois après le jour fixé pour l’entretien. Elle est motivée et notifiée à l’intéressé » (article L. 1332-2 du code du travail). Sachez aussi que la loi verrouille la procédure des deux côtés : d’abord, « Aucune sanction ne peut être prise à l’encontre du salarié sans que celui-ci soit informé, dans le même temps et par écrit, des griefs retenus contre lui » (article L. 1332-1 du code du travail), ce qui vous donne le droit d’exiger la liste écrite et complète des reproches avant de préparer votre défense ; ensuite, « Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois à compter du jour où l’employeur en a eu connaissance, à moins que ce fait ait donné lieu dans le même délai à l’exercice de poursuites pénales » (article L. 1332-4 du code du travail). Un grief sorti d’un vieux dossier, connu depuis des mois sans poursuites, est donc contestable sur ce seul fondement, indépendamment de son exactitude.
La motivation écrite est votre meilleure alliée : chaque grief allégué peut être confronté à vos pièces, comme dans l’affaire rennaise où le protocole de soins produit par la salariée contredisait formellement le caractère prétendument fautif de l’administration d’un traitement, ce qui a conduit à l’annulation de l’avertissement et, compte tenu de l’ensemble des manquements de l’employeur, au prononcé d’une résiliation judiciaire produisant les effets d’un licenciement nul avec condamnations indemnitaires (cour d’appel de Rennes, 7e chambre prud’homale, 5 février 2026, RG 22/02229).
Même une sanction modeste mérite contestation quand elle repose sur du faux, car elle reste dans votre dossier et peut aggraver la suite. La cour d’appel de Besançon a ainsi annulé un avertissement notifié le 29 février 2023 à un salarié, tout en rejetant sa demande de dommages-intérêts pour préjudice moral faute de préjudice démontré (cour d’appel de Besançon, chambre sociale, 15 juillet 2026, RG 25/00957). La leçon est double : l’annulation s’obtient quand le grief ne tient pas, mais l’indemnisation exige la preuve d’un préjudice distinct, avec son lien causal. Rassemblez donc, dès la notification, le dossier disciplinaire complet, vos observations écrites datées, les témoignages et les pièces qui contredisent chaque grief.
Pour contester utilement, envoyez à votre employeur une lettre recommandée avec accusé de réception qui reprend chaque grief un par un : rappelez le fait exact tel que vos pièces l’établissent, joignez la copie de ces pièces, et demandez expressément le retrait de la sanction du dossier ainsi que la rectification des données inexactes qui la fondent, avec notification aux destinataires déjà informés. Précisez que vous demandez la limitation de l’usage des données contestées pendant la vérification et réservez par écrit l’ensemble de vos droits, réclamation devant la Commission et recours devant le conseil de prud’hommes. Cette lettre datée fige votre position, interrompt toute ambiguïté sur ce que l’employeur savait et quand il l’a su, et constituera votre pièce maîtresse si la sanction est maintenue malgré vos preuves.
Si la procédure va jusqu’au licenciement, « Lorsque l’employeur décide de licencier un salarié, il lui notifie sa décision par lettre recommandée avec avis de réception. Cette lettre comporte l’énoncé du ou des motifs invoqués par l’employeur. Elle ne peut être expédiée moins de deux jours ouvrables après la date prévue de l’entretien préalable au licenciement auquel le salarié a été convoqué » (article L. 1232-6 du code du travail). Confrontez chaque motif de cette lettre aux données dont vous aviez démontré l’inexactitude : un motif fondé sur une donnée que l’employeur savait fausse fragilise tout le licenciement devant le conseil de prud’hommes.
Agissez dans les délais du contentieux du travail : « Toute action portant sur l’exécution du contrat de travail se prescrit par deux ans à compter du jour où celui qui l’exerce a connu ou aurait dû connaître les faits lui permettant d’exercer son droit. Toute action portant sur la rupture du contrat de travail se prescrit par douze mois à compter de la notification de la rupture » (article L. 1471-1 du code du travail). Une demande d’annulation d’avertissement ou de rectification du dossier en cours de contrat relève du premier délai, tandis que la contestation d’un licenciement motivé par des données inexactes relève du second, compté depuis la notification de la rupture. Ne laissez pas passer ces délais en attendant l’issue de votre réclamation devant la Commission : les deux voies peuvent et doivent souvent avancer en parallèle. Si vous avez quitté l’entreprise, vérifiez aussi la conservation de vos données après votre départ, car un ancien employeur ne peut ni garder indéfiniment votre dossier ni continuer à le diffuser.
B. Saisir la Commission, le juge et obtenir réparation
Quand l’employeur ne répond pas dans le délai d’un mois ou maintient son refus, la plainte devant la Commission devient l’étape suivante, avec vos preuves de démarches préalables : demande initiale, accusé de réception, réponse ou silence, pièces établissant l’inexactitude. Ce droit de réclamation est garanti par le texte européen : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle » (article 77, paragraphe 1, du règlement (UE) 2016/679). Et la voie judiciaire reste ouverte parallèlement : « Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement » (article 79, paragraphe 1, du même règlement).
Le juge peut ordonner la communication ou la correction sous astreinte. La cour d’appel de Paris l’a illustré en matière de droit d’accès : elle a jugé que le refus de transmettre à la salariée la copie du message litigieux contenant ses données portait atteinte à son droit d’accès et caractérisait un trouble manifestement illicite, puis elle a enjoint à l’organisme de communiquer le courriel litigieux sous astreinte de 100 euros par jour de retard à compter du dixième jour suivant la signification, pour une durée de trois mois renouvelable (cour d’appel de Paris, pôle 1, chambre 3, 25 juin 2024, RG 23/18268). Le même mécanisme d’injonction sous astreinte est sollicitable pour obtenir la rectification d’un dossier de salarié ou la notification de la correction aux destinataires : chiffrez votre demande d’astreinte et son point de départ, et visez précisément chaque document ou donnée à corriger pour que l’injonction soit exécutable.
La réparation du préjudice suit un régime propre : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82, paragraphe 1, du même règlement). Les juges indemnisent le préjudice moral prouvé : le tribunal judiciaire de Paris a condamné une société qui avait publié en ligne des décisions de justice comportant les nom, prénom et adresse d’un demandeur d’asile à lui verser 5 000 euros de dommages-intérêts en réparation de son préjudice moral, retenant la crainte de représailles et l’atteinte à la réputation (tribunal judiciaire de Paris, 5e chambre, 2e section, 9 octobre 2025, RG 24/03844). Transposé au dossier de salarié, ce raisonnement couvre le salaire perdu après un licenciement fondé sur des données fausses, la prime ou la promotion manquée, et le préjudice moral lié à une réputation professionnelle salie auprès d’un nouvel employeur démarché pour une référence.
Mais l’indemnisation ne se présume jamais. Le même tribunal a débouté un demandeur qui ne versait aux débats aucune pièce démontrant le caractère illicite d’une collecte ou d’une utilisation de ses données personnelles, ni une infraction au règlement lui ayant causé un préjudice certain en lien causal avec les violations alléguées (tribunal judiciaire de Paris, 5e chambre, 2e section, 13 février 2025, RG 21/07085). De même, l’annulation d’une sanction n’emporte pas automatiquement des dommages-intérêts, comme l’a rappelé la cour d’appel de Besançon. Pour obtenir réparation, établissez trois éléments : la violation précise, comme le maintien d’une donnée dont vous aviez démontré l’inexactitude ; le préjudice certain, avec des justificatifs chiffrés pour le préjudice matériel et des éléments concrets pour le préjudice moral ; et le lien causal entre les deux, par exemple la lettre de licenciement qui vise exactement la donnée contestée. La Cour de cassation rappelle au passage l’étendue du droit : toute personne peut exiger du responsable du traitement, selon les cas, la rectification, le complément, la mise à jour, le verrouillage ou l’effacement des données la concernant qui sont inexactes, incomplètes, équivoques ou périmées (Cour de cassation, 1re chambre civile, 14 février 2018, n° 17-10.499, rendu sous l’empire des anciens articles 38 et 40 de la loi du 6 janvier 1978).
Conclusion
Un dossier de salarié inexact n’est pas une fatalité : le droit européen et la loi française vous donnent les moyens d’obtenir sa correction dans le mois, d’en faire geler les usages contestés pendant la vérification, et d’en faire notifier la rectification à chaque destinataire. Quand l’employeur refuse, motivez une plainte devant la Commission avec vos preuves de démarches et saisissez le juge pour obtenir une injonction sous astreinte. Quand une sanction ou un licenciement repose sur des éléments faux, portez le dossier disciplinaire devant le conseil de prud’hommes : les griefs contredits par vos pièces s’annulent, dans les délais de deux ans pour l’exécution du contrat et de douze mois pour sa rupture. Et si des données fausses vous ont coûté une prime, un poste ou un emploi, faites réparer ce préjudice en prouvant la violation, le dommage et leur lien. La méthode tient en quatre réflexes : copier le dossier, contester chaque inexactitude par écrit avec justificatifs, geler les usages pendant l’instruction, et tracer chaque réponse pour la Commission et le juge.