Votre manager vous annonce qu’il a lu vos courriels, ou vous découvrez, plusieurs mois après votre départ, que votre ancienne adresse professionnelle fonctionne toujours et que son contenu est exploité contre vous. La question n’est pas théorique : qui peut ouvrir quoi, pendant le contrat puis après la rupture, selon quelles formalités, et avec quelles sanctions quand l’employeur dépasse les limites. Le contentieux prud’homal et les positions publiées par la CNIL en 2022 apportent des réponses concrètes, chiffrées et immédiatement utilisables : une cour d’appel a condamné un employeur à 1 000 euros de dommages-intérêts pour avoir consulté des données personnelles sans respecter la procédure, une autre a ordonné la suppression de comptes de messagerie sous astreinte de 500 euros par jour de retard, et le Conseil d’État a validé une amende CNIL de 10 000 euros assortie d’une astreinte.
Cet article distingue deux moments qui obéissent à des règles différentes. Pendant le contrat, l’employeur dispose d’un pouvoir de contrôle encadré par le Code du travail et le RGPD : les messages non identifiés sont présumés professionnels, les messages identifiés comme personnels relèvent du secret des correspondances, et toute preuve tirée d’un accès irrégulier s’expose à l’écartement des débats. Après le départ, la logique s’inverse : le compte nominatif doit être fermé, les messages privés triés puis transférés, et l’ancien salarié dispose du droit d’accès, du droit à l’effacement et du droit d’opposition, avec la plainte CNIL et le juge des référés comme leviers. Chaque étape indique les pièces à réunir, les délais à respecter et les fondements à invoquer, pour le salarié comme pour l’employeur qui veut sécuriser ses pratiques.
I. Pendant le contrat, l’employeur peut contrôler l’outil professionnel mais pas fouiller votre vie privée
Le pouvoir de direction de l’employeur comprend la surveillance de l’activité et la protection des biens de l’entreprise, y compris son système d’information. Ce pouvoir s’arrête là où commence l’intimité de la vie privée du salarié, protégée au temps et au lieu de travail. La Cour de cassation l’a rappelé sans détour : « Le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée » (Cass. soc., 6 mars 2024, n° 22-11.016). Le Code du travail fixe la même limite en des termes généraux qui s’appliquent à tout dispositif de contrôle : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (art. L1121-1). Côté européen, le RGPD autorise les États membres à prévoir des règles propres aux relations de travail : « Les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail » (art. 88). En France, ces règles passent notamment par l’information préalable du salarié et par la distinction entre messages professionnels et messages personnels.
A. Les messages non identifiés sont présumés professionnels, les messages identifiés comme personnels sont protégés par le secret
La règle de départ est simple et elle est rappelée par la CNIL : les messages envoyés ou reçus depuis la messagerie professionnelle sont présumés professionnels, sauf identification explicite comme personnels, par exemple avec la mention « Personnel » ou « Privé » en objet ou par un classement dans un répertoire « Personnel ». Un message ainsi identifié constitue une correspondance privée dont l’employeur doit respecter le secret. Ces contenus relèvent de la pédagogie de l’autorité, utile pour comprendre la doctrine administrative, mais ils ne remplacent ni la loi ni la décision du juge.
Les juges appliquent exactement cette distinction. La cour d’appel de Paris juge « que les courriels adressés et reçus par le salarié à l’aide de l’outil informatique mis à sa disposition par l’employeur pour les besoins de son travail sont présumés avoir un caractère professionnel en sorte que l’employeur est en droit de les ouvrir hors la présence de l’intéressé et de les consulter sauf si le salarié les identifie comme personnels » (CA Paris, pôle 6, ch. 4, 13 nov. 2024, n° 20/01602). La même chambre précise le régime des supports : « Les fichiers créés par un salarié grâce à l’outil informatique mis à sa disposition par son employeur pour l’exécution de son travail, de même que les messages adressés ou reçus à l’aide de cet outil, sont présumés, sauf si le salarié les identifie comme étant personnels, avoir un caractère professionnel, de sorte que l’employeur peut y avoir accès hors la présence du salarié » (CA Paris, pôle 6, ch. 9, 28 mai 2025, n° 22/07977). En revanche, « Sauf risque ou événement particulier, l’employeur ne peut ouvrir les fichiers identifiés par le salarié comme personnels contenus sur le disque dur de l’ordinateur mis à sa disposition qu’en présence de ce dernier ou celui-ci dûment appelé ». Le réflexe pratique en découle : identifiez explicitement vos messages privés, conservez une copie de la charte informatique applicable, et vérifiez si un accord collectif ou le règlement intérieur encadre l’usage des outils.
L’ouverture d’une correspondance identifiée comme personnelle expose l’employeur à des sanctions pénales. Le Code pénal punit « d’un an d’emprisonnement et de 45 000 euros d’amende » le fait, commis de mauvaise foi, « d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique » (art. 226-15). Au civil, « Chacun a droit au respect de sa vie privée » (art. 9 du Code civil), et le juge peut ordonner toute mesure propre à faire cesser l’atteinte, y compris en référé en cas d’urgence. Dans l’affaire jugée le 28 mai 2025, la salariée avait signalé la présence de données personnelles sur le téléphone professionnel avant de le restituer ; l’employeur en avait pris connaissance et avait modifié le mot de passe du compte associé. La cour a posé l’obligation : « Dès lors que Mme [T] indiquait qu’il contenait des données personnelles, il appartenait à l’employeur de vérifier si ces données étaient identifiées et de n’en prendre connaissance qu’en présence de la salariée ou celle-ci dûment appelée ». Elle a condamné la société à 1 000 euros de dommages-intérêts pour manquement au respect de la vie privée. Ce montant, modeste en apparence, s’ajoute aux rappels de salaire et aux frais de procédure, et il établit le principe : l’accès irrégulier se paie.
B. Sans information préalable et sans proportionnalité, le contrôle est illicite et la preuve tirée de la messagerie peut être écartée
Aucun dispositif de surveillance ne peut fonctionner dans le dos du salarié. Le Code du travail dispose : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (art. L1222-4). L’employeur doit donc informer chaque salarié, avant toute mise en œuvre, des outils de contrôle des courriels, des journaux de connexion et des logiciels de supervision : note de service, charte informatique annexée au règlement intérieur, information et consultation du comité social et économique quand il existe. À défaut, les informations collectées sont illicites et le licenciement qui repose exclusivement sur elles devient fragile. Le RGPD renforce cette exigence par le principe de transparence et de licéité : le traitement doit reposer sur une base légale, le plus souvent l’intérêt légitime de l’employeur mis en balance avec les droits du salarié, et respecter la minimisation, c’est-à-dire se limiter aux données strictement nécessaires à la finalité affichée. Une surveillance généralisée et permanente des boîtes individuelles, sans finalité précise, viole ces principes.
Quand l’employeur veut produire en justice des messages issus de la messagerie, le juge prud’homal applique un second filtre, celui de la loyauté de la preuve. L’Assemblée plénière de la Cour de cassation a fixé la méthode que tous les juges civils doivent suivre : « le droit à la preuve pouvant justifier la production d’éléments portant atteinte à d’autres droits à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi » (Ass. plén., 22 déc. 2023, n° 20-20.648). La cour d’appel de Paris en a tiré les conséquences pour la messagerie : le salarié demandait l’écartement de courriels issus d’une messagerie non déclarée à la CNIL, et la cour a rappelé que le juge doit mettre en balance le droit à la preuve et les droits concurrents, pièce par pièce, en vérifiant l’information préalable et la proportionnalité. Autrement dit, un courriel professionnel régulièrement collecté, après information du salarié et pour une finalité légitime, reste recevable ; un message personnel ouvert en violation du secret, ou une extraction massive réalisée sans information préalable, s’expose à l’écartement des débats et peut retourner la procédure contre l’employeur.
Le salarié qui découvre un accès abusif doit agir vite et constituer son dossier : captures datées, attestation du prestataire informatique ou du délégué du personnel, copie de la charte et du règlement intérieur en vigueur à la date des faits, échanges écrits avec la hiérarchie, et constat de commissaire de justice quand le contenu risque d’être effacé. Il saisit ensuite le délégué à la protection des données de l’entreprise s’il est identifié, puis la CNIL par une plainte, et le conseil de prud’hommes pour contester la sanction ou demander réparation. L’employeur prudent, de son côté, documente l’information préalable, limite les habilitations d’accès, journalise les consultations et motive chaque extraction par écrit avant de l’utiliser. La charte informatique joue ici un rôle central : annexée au règlement intérieur, diffusée à chaque embauche et réactualisée à chaque changement d’outil, elle décrit les usages autorisés de la messagerie, les modalités de classement des messages personnels, les durées de conservation et les contrôles susceptibles d’être exercés. Quand un comité social et économique existe, son information et sa consultation préalables sur les moyens de contrôle sécurisent la procédure et privent le salarié du moyen tiré du défaut d’information collective. Le registre des traitements et la documentation interne complètent le dispositif : finalité de chaque extraction, base légale retenue, catégories de destinataires et durée de conservation y figurent noir sur blanc. Cette traçabilité fait la différence devant le juge : l’employeur qui produit la note d’information, la charte signée et le journal des accès démontre un contrôle loyal et proportionné, tandis que celui qui extrait des mois de correspondance sans écrit préalable s’expose à l’écartement des pièces et à des dommages-intérêts. Pour structurer ces règles dans l’entreprise, la gestion contractuelle des outils professionnels et des relations de travail permet d’adosser la charte informatique à des clauses précises sur les usages autorisés, la conservation et les contrôles.
II. Après le départ, le compte nominatif doit être fermé et l’ancien salarié peut imposer l’accès, l’effacement et la réparation
La rupture du contrat ne donne pas à l’employeur un droit de suite sur la boîte individuelle. La CNIL recommande à l’employeur d’informer le salarié de la date de fermeture de sa messagerie pour qu’il trie et transfère ses messages privés vers sa messagerie personnelle, puis de supprimer l’adresse électronique nominative une fois que l’employé a quitté l’organisme. Elle invite aussi les employeurs à définir des chartes d’utilisation en concertation avec les représentants du personnel. Ces recommandations n’ont pas la force d’une décision de sanction, mais les juges s’en inspirent et le RGPD leur donne un appui contraignant : les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (art. 5). Conserver indéfiniment une boîte nominative active, qui continue de recevoir des messages privés et des sollicitations liées à la nouvelle activité de l’ancien salarié, dépasse la finalité initiale.
A. Récupérer vos messages, exiger le tri puis la suppression du compte
L’ancien salarié dispose d’abord du droit d’accès. Le RGPD prévoit que « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données » (art. 15). La CNIL a consacré une analyse détaillée à cette hypothèse dans sa page du 5 janvier 2022 sur le droit d’accès des salariés aux courriels professionnels : l’employeur doit trier message par message, distinguer selon que le demandeur est expéditeur, destinataire ou simple personne mentionnée, et préserver les droits des tiers par suppression, anonymisation ou pseudonymisation quand c’est nécessaire. Pour les courriels identifiés comme personnels, la protection est renforcée : l’employeur ne peut pas prendre connaissance du contenu, même pour l’occulter, et doit transmettre le message en l’état au demandeur expéditeur ou destinataire. Si l’employeur soupçonne qu’un message classé « personnel » dissimule des documents confidentiels ou un acte de concurrence déloyale, il ne peut pas l’ouvrir lui-même : il doit saisir le juge, démontrer un motif légitime et laisser le magistrat apprécier l’utilité de la mesure, avec si besoin un commissaire de justice. Notre analyse du droit d’accès quand un organisme ne répond pas détaille la procédure à suivre face au silence, avec la plainte CNIL et le recours au juge.
Vient ensuite le droit à l’effacement. Le RGPD ouvre ce droit notamment quand « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière » (art. 17), ce qui vise directement la boîte conservée sans usage après le départ. L’employeur peut s’y opposer s’il démontre que la conservation reste nécessaire à la constatation, à l’exercice ou à la défense de droits en justice, ou s’il établit des motifs légitimes et impérieux qui prévalent : c’est l’argument classique de l’entreprise qui craint la fuite de secrets ou prépare un procès prud’homal. Les juges tranchent au cas par cas. Dans une affaire où trois anciens dirigeants demandaient la fermeture de leurs comptes nominatifs, la société invoquait la défense de ses droits et la protection de données stratégiques ; la cour d’appel de Montpellier a infirmé l’ordonnance de référé et ordonné de « rendre inactifs et supprimer les comptes de messagerie professionnelle » des trois intéressés « dans un délai de huit jours » à compter de la signification, « sous astreinte provisoire de 500 euros par jour de retard » pendant six mois (CA Montpellier, 2e ch. civ., 20 mars 2025, n° 24/02397). La mise en place d’une réponse automatique signalant le départ ne suffit pas quand la boîte reste active et exploitable.
En pratique, l’ancien salarié adresse une demande écrite au service des ressources humaines et au délégué à la protection des données : rappel de la date de départ, demande de communication des données personnelles contenues dans la boîte, demande de fermeture du compte nominatif et de suppression des messages privés, avec un délai de réponse d’un mois. Ce délai résulte directement du RGPD : « Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande » (art. 12, paragraphe 3). Le texte ajoute que ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à charge pour l’employeur d’en informer le demandeur. Le silence gardé au-delà de ce délai caractérise un manquement qui alimente la plainte CNIL et le recours au juge. À côté de l’accès et de l’effacement, l’ancien salarié dispose du droit d’opposition : « La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions » (art. 21, paragraphe 1). L’employeur doit alors cesser le traitement, « à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice ». La charge de la preuve pèse donc sur l’entreprise : c’est à elle d’établir, pièces à l’appui, que la conservation contestée reste nécessaire à un litige identifié et que son intérêt prime les droits de l’ancien salarié. Une conservation justifiée par un procès en cours, précisément délimitée dans son périmètre et sa durée, peut être admise ; une conservation générale et indéfinie ne passe pas ce contrôle. Il joint la preuve de son identité et conserve l’accusé de réception. Si l’employeur refuse ou garde le silence, la plainte auprès de la CNIL et l’assignation en référé pour faire ordonner la suppression sous astreinte prennent le relais. L’employeur qui veut conserver certains messages pour un litige identifié doit les extraire, les archiver séparément avec une finalité documentée et une durée limitée, puis fermer le compte : la conservation ciblée et justifiée passe le contrôle du juge, la conservation indifférenciée de l’intégralité de la boîte échoue.
B. Faire sanctionner l’employeur : plainte CNIL, juge des référés, prud’hommes et réparation du préjudice
Quatre voies se combinent quand l’employeur a lu des messages personnels, a maintenu la boîte active après le départ ou a exploité son contenu. La première est la plainte auprès de la CNIL. Le RGPD garantit que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement » (art. 77). La plainte se dépose en ligne avec l’identité du demandeur, le nom de l’organisme, le récit chronologique des faits et les pièces : demande d’accès restée sans réponse, captures de la boîte encore active, réponse automatique toujours en service, messages exploités. La CNIL peut mettre en demeure, prononcer une amende administrative et assortir ses injonctions d’une astreinte. Le Conseil d’État contrôle ces sanctions : le 30 janvier 2024, il a rejeté le recours d’une société condamnée à une amende de 10 000 euros avec injonction sous astreinte de 50 euros par jour de retard, en jugeant que « La requête de la société LHA Développement est rejetée » (CE, 10e-9e ch. réunies, 30 janv. 2024, n° 473254). La sanction est donc réelle, même pour des manquements qui paraissent techniques, et le juge administratif la confirme quand elle reste proportionnée.
La deuxième voie est le juge des référés du tribunal judiciaire, compétent pour ordonner la fermeture du compte et la suppression des messages sous astreinte, comme l’a fait la cour d’appel de Montpellier avec 500 euros par jour de retard. Le référé convient quand la boîte est toujours active, quand des messages privés continuent d’y parvenir ou quand l’employeur utilise l’adresse nominative pour nuire à la nouvelle activité de l’ancien salarié. La demande s’appuie sur le trouble manifestement illicite et sur l’urgence : chaque jour de maintien aggrave l’atteinte. La troisième voie est le conseil de prud’hommes pour le salarié encore en poste ou licencié sur la base de messages irrégulièrement collectés : contestation de la sanction disciplinaire, demande de dommages-intérêts pour atteinte à la vie privée et demande d’écartement des pièces illicites selon le test de l’Assemblée plénière. Devant cette juridiction, l’articulation entre les griefs disciplinaires et la régularité des preuves est décisive : le salarié demande au juge d’examiner en premier la licéité du mode d’obtention des courriels, puis seulement leur contenu, en rappelant l’absence d’information préalable et le caractère personnel des messages. Quand la sanction repose exclusivement sur des messages irrégulièrement obtenus, leur écartement prive le licenciement de cause et ouvre la voie à des dommages-intérêts pour licenciement sans cause réelle et sérieuse, qui se cumulent avec la réparation de l’atteinte à la vie privée. L’employeur, pour sa part, a intérêt à fonder la procédure disciplinaire sur plusieurs éléments indépendants et à ne produire que des messages professionnels régulièrement collectés, afin que l’éventuelle contestation d’une pièce isolée ne fasse pas tomber l’ensemble du dossier. La quatrième voie est pénale, avec la plainte pour atteinte au secret des correspondances sur le fondement de l’article 226-15, quand l’employeur a ouvert de mauvaise foi des messages identifiés comme personnels.
La réparation suit le régime du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (art. 82). Le préjudice moral se caractérise par l’intrusion dans l’intimité, l’anxiété liée à l’exploitation des messages et l’atteinte à la réputation professionnelle ; le préjudice matériel résulte par exemple de la perte d’une opportunité d’embauche quand l’ancienne adresse est détournée. Les 1 000 euros alloués par la cour d’appel de Paris en 2025 pour l’accès irrégulier au téléphone donnent un repère, à ajuster selon la gravité, la durée et la diffusion des informations. Les astreintes, elles, font pression sur l’exécution : 500 euros par jour pour la suppression des comptes dans l’affaire montpelliéraine, 50 euros par jour pour l’injonction CNIL validée par le Conseil d’État. Pour l’employeur, le coût d’une procédure perdue dépasse donc largement celui d’une charte bien rédigée et d’une fermeture de compte effectuée à temps.
Conclusion
Pendant le contrat, identifiez vos messages personnels et exigez l’information préalable sur tout dispositif de contrôle : sans elle, la collecte est illicite et la preuve fragile. Si votre employeur ouvre un message identifié comme personnel, faites constater les faits, saisissez le délégué à la protection des données puis la CNIL, et contestez devant les prud’hommes toute sanction fondée sur cet accès. Après votre départ, demandez par écrit l’accès à vos données, la fermeture du compte nominatif et la suppression des messages privés dans un délai d’un mois ; face au refus ou au silence, la plainte CNIL et le référé sous astreinte prennent le relais, comme l’ont validé la cour d’appel de Montpellier et le Conseil d’État début 2024. Côté employeur, informez avant de contrôler, limitez les accès, motivez chaque extraction, archivez séparément les seuls messages nécessaires à un litige identifié, puis fermez le compte : cette discipline documentée distingue l’entreprise sanctionnée de celle dont le contrôle est validé. Chaque situation mêlant contrat de travail, données personnelles et preuve, l’analyse au cas par cas reste déterminante avant d’engager une procédure.
Besoin d’un avis rapide sur votre dossier
Vous êtes confronté à un accès contesté à votre messagerie professionnelle ou à un compte maintenu après votre départ. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la procédure adaptée : contestation, droit d’accès, effacement, plainte CNIL ou action en justice. Consultation téléphonique : 80 EUR TTC. Joignez le cabinet au 06 46 60 58 22 ou écrivez via le formulaire de contact.