Vous êtes salarié et vous avez demandé à votre employeur une copie de vos e-mails professionnels, de votre dossier de ressources humaines, de vos évaluations ou de vos relevés de temps de travail. L’employeur ne répond pas, répond après plusieurs mois ou ne transmet que quelques pièces inexploitables. Cette situation se rencontre souvent à l’occasion d’un licenciement, d’une contestation d’heures supplémentaires ou d’un désaccord sur une évaluation. La question se pose alors : comment obtenir ces données et que faire face au silence ou au refus partiel de l’entreprise.
Le droit d’accès reconnu par le règlement général sur la protection des données s’applique dans la relation de travail comme ailleurs. L’employeur, responsable du traitement des données de ses salariés, doit répondre dans un délai encadré, fournir une copie intelligible des données et ne peut opposer qu’un refus motivé. Quand il s’abstient, le salarié dispose de deux voies complémentaires : la réclamation devant la Commission nationale de l’informatique et des libertés et le recours devant le juge, qui peut ordonner la communication sous astreinte. La réparation d’un préjudice suppose en revanche la démonstration d’un dommage réel. Une cour d’appel l’a rappelé en 2025 dans une affaire opposant une directrice juridique à son ancien employeur, en ordonnant la remise de l’ensemble des courriels, de l’agenda et du dossier de ressources humaines.
I. Ce que votre employeur doit vous remettre quand vous exercez votre droit d’accès
A. Les données visées : courriels, dossier de ressources humaines, agenda et journaux de connexion
Toute personne peut obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, dans ce cas, l’accès à ces données ainsi qu’une série d’informations : les finalités du traitement, les catégories de données concernées, les destinataires auxquels elles ont été communiquées, la durée de conservation envisagée, l’existence des droits de rectification, d’effacement, de limitation et d’opposition, le droit d’introduire une réclamation auprès d’une autorité de contrôle, l’origine des données quand elles n’ont pas été collectées auprès de la personne et, en cas de décision automatisée, la logique sous-jacente ainsi que ses conséquences. Tel est le contenu de l’article 15, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016.
Pour le salarié, ce droit couvre l’ensemble des données détenues par l’entreprise à son sujet : le dossier de ressources humaines avec le contrat de travail et ses avenants, les documents de recrutement, l’historique de carrière, la rémunération, les évaluations de compétences, les entretiens annuels et professionnels, le dossier disciplinaire, les relevés de temps de travail, les notes de frais, les relevés de connexion par identifiant, l’agenda professionnel et les courriels de la messagerie professionnelle, y compris les messages échangés sur les outils collaboratifs. La cour d’appel de Rennes l’a confirmé par un arrêt du 27 février 2025 (7e chambre prud’homale, n° 24/02772) : saisie par une directrice juridique licenciée pour insuffisance professionnelle, elle a enjoint à l’ancien employeur de transmettre le dossier de ressources humaines complet depuis l’entrée dans le groupe, les relevés de connexion pour les années 2020 à 2023, l’agenda Outlook pour la même période et l’ensemble des courriels de la messagerie professionnelle et de la messagerie Teams dont la salariée était l’émettrice ou la destinataire principale.
Le droit d’accès porte sur les données, non sur les documents en tant que tels, mais l’organisme peut communiquer les documents qui les contiennent plutôt que les seules données extraites. Pour les courriels, la Cour de justice de l’Union européenne a jugé le 4 mai 2023 (affaire C-487/21) que le droit d’obtenir une copie implique la remise d’une reproduction fidèle et intelligible de l’ensemble des données, y compris, lorsque c’est indispensable à l’exercice effectif des droits, la copie d’extraits ou de documents entiers, dans le respect des droits et libertés d’autrui. Concrètement, l’employeur doit fournir les métadonnées des messages, c’est-à-dire l’horodatage et les destinataires, ainsi que leur contenu, et la copie des courriels constitue le moyen le plus direct de satisfaire la demande. Le texte européen ajoute que le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet du traitement (article 15, paragraphe 3). Lorsque la demande est présentée par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire du salarié.
Au-delà de la copie elle-même, l’employeur doit délivrer les informations qui permettent au salarié de comprendre le traitement. Il s’agit des finalités poursuivies, par exemple la gestion administrative du personnel, le suivi de l’activité ou la sécurité des systèmes d’information, des catégories de données concernées, des destinataires qui les ont reçues, comme un prestataire de paie, un organisme de contrôle ou une autre société du groupe, et de la durée de conservation envisagée ou des critères qui la déterminent. Le salarié doit aussi être informé de ses autres droits, rectification, effacement, limitation et opposition, de son droit de réclamation et, lorsque les données n’ont pas été collectées directement auprès de lui, de toute information disponible sur leur source. Quand l’entreprise recourt à une prise de décision automatisée, y compris au profilage, dans les conditions visées par le règlement, elle doit fournir des informations utiles sur la logique sous-jacente ainsi que sur l’importance et les conséquences prévues du traitement pour la personne. Ces mentions ne sont pas facultatives : une réponse qui se limite à quelques bulletins de paie, sans les finalités, les destinataires ni les durées de conservation, reste une réponse incomplète qui autorise la poursuite des recours.
B. Les règles de réponse : délai d’un mois, gratuité de principe et refus strictement motivé
Le responsable du traitement doit faciliter l’exercice du droit d’accès et répond dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande (article 12, paragraphe 3). Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne dans le délai initial et d’en indiquer les motifs. L’exercice du droit est en principe sans frais : aucun paiement n’est exigé pour fournir les informations, procéder aux communications ni prendre les mesures prévues aux articles 15 à 22 (article 12, paragraphe 5). Des frais raisonnables ou un refus ne sont envisageables que si les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, et c’est à l’employeur de démontrer ce caractère. Si l’employeur ne donne pas suite à la demande, il l’informe sans tarder, et au plus tard dans un délai d’un mois, des motifs de son inaction ainsi que de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel (article 12, paragraphe 4).
La Commission nationale de l’informatique et des libertés rappelle la règle de délai dans les mêmes termes : l’organisme doit répondre dans les meilleurs délais et dans un délai d’un mois au plus. Elle conseille de conserver les preuves de la demande, par exemple au moyen de captures d’écran des formulaires, car ces éléments serviront en cas de refus, de réponse insatisfaisante ou d’absence de réponse dans le délai d’un mois. Elle met à disposition des modèles de courrier pour formuler la demande et en précise l’objet : obtenir une copie, en langage clair, de l’ensemble des données détenues par l’organisme.
En pratique, trois comportements de l’employeur appellent la vigilance. D’abord, la demande de précisions complémentaires sur le périmètre ne peut pas devenir un obstacle définitif : dans l’affaire jugée à Rennes, l’entreprise avait invoqué plus de 214 000 courriels à traiter et réclamé des précisions sur les destinataires, les expéditeurs, les périodes et les thématiques, puis considéré la demande comme clôturée faute de réponse. La cour a écarté l’argument : la quantité de données ne suffit pas à caractériser une demande excessive, l’employeur n’a produit aucune pièce pour établir ce caractère et il avait déjà bénéficié de la prolongation de deux mois. Ensuite, la protection des tiers, du secret des affaires, de la propriété intellectuelle ou du secret des correspondances ne fonde pas un refus général : l’employeur doit démontrer concrètement en quoi ces droits seraient affectés et il peut recourir à la suppression, à l’anonymisation ou à la pseudonymisation des passages concernant des tiers. La cour relève à cet égard que, pour des courriels dont le salarié était l’émetteur ou le destinataire, la communication est présumée respectueuse des droits des tiers, l’anonymisation constituant une bonne pratique et non une condition préalable. Enfin, la vérification d’identité ne doit pas se transformer en exigence disproportionnée : le règlement autorise l’employeur à demander des informations supplémentaires seulement lorsqu’il a des doutes raisonnables sur l’identité du demandeur.
II. Quand l’employeur ne répond pas, répond tard ou répond partiellement : les deux recours du salarié
A. La réclamation devant la Commission nationale de l’informatique et des libertés
Le règlement ouvre à toute personne le droit de saisir l’autorité de contrôle : sans préjudice de tout autre recours, toute personne concernée peut introduire une réclamation auprès d’une autorité de contrôle, notamment dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée, lorsqu’elle estime que le traitement de ses données méconnaît le règlement (article 77, paragraphe 1). Pour un salarié employé en France, l’autorité compétente est la Commission nationale de l’informatique et des libertés.
La saisine de la Commission suppose une démarche préalable auprès de l’organisme : il faut d’abord avoir exercé le droit d’accès directement auprès de l’employeur, puis, en cas de refus, de réponse insatisfaisante ou d’absence de réponse à l’expiration du délai d’un mois, adresser une plainte en joignant les pièces qui permettent de comprendre la situation, c’est-à-dire les échanges de courriers avec l’organisme et la description de la qualité du demandeur. La page de la Commission consacrée aux plaintes détaille ces pièces et invite à conserver les originaux. La plainte peut être déposée en ligne sur le site de la Commission.
La Commission instruit la réclamation : elle informe son auteur de l’état d’avancement et de l’issue de la plainte, y compris de la possibilité d’un recours juridictionnel. Si des manquements sont établis, elle peut prononcer des mesures correctrices graduées, du rappel à l’ordre et de la mise en demeure jusqu’aux sanctions financières. Lorsque l’autorité compétente ne traite pas la réclamation ou n’informe pas la personne dans un délai de trois mois de l’état d’avancement ou de l’issue, le règlement ouvre un recours juridictionnel effectif contre l’autorité elle-même. Parallèlement, le salarié conserve à tout moment le droit d’agir directement devant le juge contre l’employeur.
La Commission accuse réception de la plainte et en suit l’instruction. Elle peut demander des compléments, procéder à des vérifications auprès de l’organisme et, lorsque les manquements sont établis, prononcer des mesures correctrices graduées. Le salarié doit garder à l’esprit que cette voie administrative ne lui alloue pas elle-même de dommages et intérêts : elle vise à faire cesser la violation et, le cas échéant, à sanctionner l’organisme. L’indemnisation relève du juge. C’est pourquoi les deux voies se combinent utilement : la plainte devant la Commission établit la réalité du manquement et fait pression sur l’organisme, tandis que l’action juridictionnelle permet d’obtenir l’injonction de communiquer et la réparation du préjudice. Le salarié qui a saisi la Commission n’est jamais enfermé dans cette seule voie, et celui qui saisit directement le juge n’a pas à justifier d’une plainte préalable, même si la démonstration d’une demande restée sans réponse renforce son dossier.
B. Le juge : l’injonction de communiquer sous astreinte et la réparation du préjudice démontré
Le second recours s’exerce devant les juridictions. Le règlement dispose que chaque personne concernée dispose d’un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés du fait d’un traitement non conforme (article 79, paragraphe 1). L’action peut être portée devant les juridictions de l’État membre de l’établissement du responsable du traitement ou devant celles de la résidence habituelle de la personne concernée. En droit interne, le litige qui oppose le salarié à son employeur à l’occasion du contrat de travail relève du conseil de prud’hommes : « Le conseil de prud’hommes règle par voie de conciliation les différends qui peuvent s’élever à l’occasion de tout contrat de travail soumis aux dispositions du présent code entre les employeurs, ou leurs représentants, et les salariés qu’ils emploient. Il juge les litiges lorsque la conciliation n’a pas abouti. » (article L. 1411-1 du code du travail).
En droit français, le salarié peut saisir le conseil de prud’hommes, y compris en référé, pour obtenir la communication de ses données. La cour d’appel de Rennes a infirmé l’ordonnance qui avait retenu une contestation sérieuse et a ordonné la remise du dossier de ressources humaines, des relevés de connexion, de l’agenda et des courriels. Elle a assorti l’injonction d’une astreinte de 50 euros par jour de retard, courant à l’expiration d’un délai de 60 jours après notification et pendant 90 jours, afin d’en assurer l’effectivité. La cour s’en est réservé la liquidation et a condamné l’employeur aux dépens ainsi qu’à 2 500 euros de frais irrépétibles. Elle a également cantonné l’usage des documents transmis au seul contentieux prud’homal opposant les parties, ce qui répond à la crainte d’un usage détourné des courriels internes. Les condamnations aux dépens et aux frais irrépétibles prononcées dans les deux décisions procèdent de la règle selon laquelle « Le juge condamne la partie tenue aux dépens ou qui perd son procès à payer : 1° A l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens » (article 700 du code de procédure civile). Quant au salarié qui invoque une faute de négligence de l’employeur dans la tenue de ses données, son action en responsabilité s’appuie sur le principe selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil).
La voie du référé devant le tribunal judiciaire est également praticable. Par une ordonnance du 28 mai 2026 (n° 26/00024), le juge des référés du tribunal judiciaire d’Arras, saisi par une personne dont l’identité avait été usurpée pour souscrire un crédit et qui s’était vu opposer le silence de l’établissement sur sa demande d’accès fondée sur l’article 15, a rappelé que le responsable du traitement doit fournir les informations sur les mesures prises dans le délai d’un mois et a constaté que l’établissement n’avait pas justifié de la transmission sollicitée. Il a enjoint la communication d’une copie en langage clair de l’ensemble des données, y compris les zones de commentaires internes, ainsi que toute information disponible sur leur origine. Il a assorti cette injonction d’une astreinte de 100 euros par jour de retard passé un délai de huit jours à compter de la signification. Le tribunal judiciaire avait été saisi dans « tous les cas d’urgence », cadre dans lequel « le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend » (article 834 du code de procédure civile). Le fondement de ces injonctions se trouve aussi dans l’article 835 du code de procédure civile, qui permet au juge des référés de prescrire « les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » et, « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable », d’ordonner « l’exécution de l’obligation même s’il s’agit d’une obligation de faire ».
Devant le conseil de prud’hommes, la demande de communication peut être formée à titre incident dans le cadre du litige principal, par exemple avec une contestation de licenciement ou un rappel d’heures supplémentaires, ou faire l’objet d’une procédure de référé distincte lorsque l’urgence ou l’évidence du droit le justifie. Dans l’affaire rennaise, la salariée avait d’abord saisi la formation de référé du conseil, qui avait retenu une contestation sérieuse, avant que la cour d’appel n’infirme cette analyse et n’ordonne la communication. L’enseignement est double : le référé prud’homal connaît de ces demandes, et le refus de l’employeur doit être examiné à l’aune des critères européens plutôt qu’écarté d’emblée au motif du volume ou de la confidentialité alléguée. La formation de référé statue ici en application de la règle selon laquelle « Dans le cas où l’existence de l’obligation n’est pas sérieusement contestable, la formation de référé peut accorder une provision au créancier ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. » (article R. 1455-7 du code du travail). Le tribunal judiciaire reste compétent en référé sur le fondement de l’article 835 du code de procédure civile, dans le prolongement des mesures d’urgence de l’article 834 du même code, comme l’illustre l’ordonnance d’Arras rendue hors contexte salarial.
À Paris et en Île-de-France, le salarié saisit le conseil de prud’hommes territorialement compétent, déterminé par l’article R. 1412-1 du code du travail : « Soit celui dans le ressort duquel est situé l’établissement où est accompli le travail », avec les options du lieu d’accomplissement à domicile, du lieu de conclusion de l’engagement ou du lieu d’établissement de l’employeur. Pour un salarié travaillant dans un établissement parisien, le conseil de prud’hommes de Paris est donc compétent, et la réclamation devant la Commission, dont le siège se trouve à Paris, suit la procédure en ligne applicable sur tout le territoire. La préparation du dossier gagne à rassembler dès le départ la demande initiale et son accusé de réception, la réponse partielle de l’employeur, le rappel resté sans effet et, le cas échéant, l’état des pièces manquantes ligne par ligne.
Reste la question de l’indemnisation. Le règlement prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1). La Cour de justice a précisé le 4 mai 2023 (affaire C-300/21) que la seule violation du règlement ne suffit pas à ouvrir droit à réparation, tout en écartant toute condition de seuil de gravité pour le préjudice moral. Autrement dit, aucun degré minimal de gravité n’est exigé, mais un dommage concret doit être établi et évalué selon les règles nationales de la réparation. L’ordonnance d’Arras illustre cette exigence : le demandeur sollicitait des provisions de 4 000 et 2 000 euros pour préjudice moral, mais le juge a estimé qu’aucun préjudice indemnisable n’était caractérisé en l’espèce et a rejeté ces demandes, l’obligation d’indemniser se heurtant à une contestation sérieuse. Pour le salarié, cela signifie qu’il faut documenter le préjudice : perte de chance dans le contentieux prud’homal faute de pièces, démarches répétées restées vaines, anxiété liée à l’ignorance des données détenues ou conséquences professionnelles mesurables.
Conclusion
Le salarié dont l’employeur ignore la demande d’accès n’est pas démuni. La procédure commence par une demande écrite précise, conservée avec ses preuves d’envoi, qui fait courir le délai de réponse d’un mois prévu par le règlement. À défaut de réponse complète, la réclamation devant la Commission nationale de l’informatique et des libertés constitue la première voie, avec les échanges préalables joints au dossier. Le juge, saisi notamment en référé, peut ordonner la communication des données sous astreinte, comme l’ont fait la cour d’appel de Rennes pour un dossier de ressources humaines, des courriels et un agenda professionnels, et le tribunal judiciaire d’Arras pour des données bancaires détenues après une usurpation d’identité. L’indemnisation reste subordonnée à la preuve d’un dommage réel, sans condition de gravité minimale. Préparer tôt la liste des données manquantes et conserver chaque échange reste le moyen le plus sûr de transformer un droit théorique en remise effective.