Vous avez quitté l’entreprise depuis plusieurs mois, parfois plus d’une année, et votre ancien employeur conserve encore votre dossier complet : messagerie professionnelle active, bulletins de paie accessibles sur un serveur partagé, évaluations annuelles, avertissements, copie de votre pièce d’identité, relevé d’identité bancaire, photographie utilisée pour l’annuaire interne. Pire, des tiers continuent de vous écrire sur votre adresse professionnelle, ou l’entreprise utilise vos anciens messages pour préparer un litige prud’homal sans vous en avoir informé. Cette situation est fréquente et elle n’est pas sans recours. Le droit de la protection des données personnelles encadre strictement ce que l’employeur peut garder après votre départ, pendant combien de temps et pour quelles raisons. Lorsqu’il dépasse ces limites, vous pouvez exiger l’effacement, saisir la Commission nationale de l’informatique et des libertés, demander au juge d’ordonner la suppression sous astreinte et solliciter la réparation de votre préjudice. Cet article explique la règle applicable, les durées admises, le sort de votre messagerie et la méthode complète pour agir en 2026.
I. Que peut garder votre ancien employeur après votre départ, et que doit-il effacer ?
Le départ du salarié ne fait pas disparaître toutes les données détenues par l’employeur, mais il change leur régime. Les traitements qui étaient justifiés par l’exécution du contrat de travail doivent être réexaminés : seules les conservations fondées sur une obligation légale, sur la défense d’un droit en justice ou sur une finalité précise et proportionnée subsistent. Le reste doit être effacé.
A. La règle : des données limitées à ce qui reste nécessaire, puis l’effacement
Le règlement général sur la protection des données pose le principe de limitation de la conservation : les données doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Autrement dit, chaque catégorie de données doit être rattachée à une finalité précise, et sa durée de vie ne peut pas dépasser ce que cette finalité exige. Le même texte impose la minimisation : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Un employeur ne peut donc pas conserver l’intégralité du dossier d’un salarié parti « au cas où », sans distinguer selon les documents.
Le traitement doit en outre reposer sur une base légale. Le règlement énumère les fondements admis, parmi lesquels l’exécution du contrat, le respect d’une obligation légale, ou l’intérêt légitime du responsable du traitement. Après la rupture du contrat, l’exécution du contrat ne justifie plus la conservation courante : l’employeur doit basculer les documents utiles vers l’archivage fondé sur une obligation légale ou un intérêt légitime précis, et effacer le reste. La Commission nationale de l’informatique et des libertés résume cette logique en des termes simples : les données relatives à un salarié sont conservées le temps de sa présence dans l’organisme. Une fois le salarié parti, seules certaines informations peuvent être archivées, par exemple 5 ans après le départ du salarié pour les bulletins de paie. La Commission a publié un référentiel des durées de conservation des données de ressources humaines qui détaille ces durées par catégorie de documents et que tout employeur doit prendre comme cadre de référence.
Concrètement, la distinction s’opère ainsi. Les bulletins de paie et les documents exigés par les organismes sociaux et fiscaux relèvent d’obligations légales et peuvent être archivés pendant les délais imposés par ces textes, à l’écart des systèmes opérationnels. Les documents de recrutement des candidats non retenus obéissent à des durées courtes, généralement deux ans après le dernier contact sauf accord du candidat. Les évaluations, les avertissements et les pièces disciplinaires ne peuvent pas être conservés indéfiniment : une fois les délais de contestation et les prescriptions applicables expirés, leur maintien dans un dossier actif devient excessif. La copie de la pièce d’identité, le relevé d’identité bancaire ou la photographie d’annuaire, utiles pendant la relation de travail, perdent leur justification après le départ et doivent être supprimés ou anonymisés, sauf besoin précis et documenté. Les zones de commentaires libres des logiciels de gestion, qui contiennent souvent des appréciations subjectives, doivent être purgées des mentions non pertinentes et excessives. L’employeur doit aussi informer le personnel de ces durées : tout salarié doit recevoir une information sur la durée de conservation des données le concernant, et aucune information ne peut être collectée par un dispositif qui n’a pas été préalablement porté à sa connaissance.
Le droit du travail renforce cette exigence de proportion. Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. De même, les informations demandées à un salarié ne peuvent avoir comme finalité que d’apprécier ses aptitudes professionnelles, ce qui exclut la collecte de données sans lien direct et nécessaire avec cette évaluation. Dès le stade du recrutement, la même logique s’applique : les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé. Et pendant la relation de travail, le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard. Un ancien employeur qui maintient un accès actif à l’ensemble de votre dossier, qui diffuse vos coordonnées personnelles à des tiers sans fondement légal ou qui exploite des données devenues inutiles s’expose donc sur deux terrains à la fois : la violation du règlement européen et la méconnaissance des garanties du code du travail.
Le droit à l’effacement constitue l’arme principale de l’ancien salarié. Le règlement prévoit que la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant, notamment lorsque les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière. Cette hypothèse correspond exactement à la conservation d’un dossier de salarié devenu sans objet après le départ. Vous pouvez également agir par la voie de l’opposition : chacun a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime, et le responsable doit alors cesser le traitement sauf s’il démontre qu’il existe des motifs légitimes et impérieux qui prévalent sur vos intérêts et vos droits. L’employeur qui invoque la nécessité de se défendre dans un litige en cours doit prouver ce motif pièce par pièce : un contentieux prud’homal peut justifier la conservation des seuls documents utiles à la défense, jamais le maintien intégral et actif de votre messagerie et de votre dossier.
B. Votre messagerie et vos accès : fermeture, redirection et copies sous contrôle
La messagerie professionnelle concentre les difficultés. Après votre départ, l’employeur doit désactiver votre compte, mettre en place une réponse automatique temporaire indiquant votre départ et redirigeant vers un successeur, puis supprimer le contenu passé un délai court. Le maintien d’une boîte active pendant des mois, consultable par votre ancien supérieur ou par un collègue sans information préalable, constitue une conservation excessive et une atteinte à votre vie privée, car les messages reçus après votre départ peuvent contenir des données personnelles vous concernant ou concernant des tiers qui vous écrivent encore à cette adresse.
La justice l’a rappelé avec fermeté dans une affaire récente. Saisie de comptes de messagerie professionnelle maintenus après le départ de trois salariés, la cour d’appel de Montpellier a infirmé l’ordonnance de référé qui avait rejeté leur demande et condamné la société à rendre inactifs et supprimer les comptes de messagerie professionnelle dans un délai de huit jours à compter de la signification de l’arrêt, sous astreinte provisoire de 500 euros par jour de retard (cour d’appel de Montpellier, 2e chambre civile, 20 mars 2025, RG 24/02397). L’employeur soutenait qu’il justifiait de motifs légitimes et impérieux, tirés de la situation économique de l’entreprise et de la nécessité de conserver les messages pour se défendre devant le conseil de prud’hommes. La cour a écarté cette argumentation en l’état et ordonné la suppression, ce qui montre que le juge du référé peut faire cesser rapidement le trouble dès lors que la conservation active n’est pas strictement justifiée. Cette décision illustre aussi le fondement procédural utile : le juge des référés peut prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite.
Les règles pratiques qui découlent de cette jurisprudence et des positions de la Commission sont claires. L’employeur doit fermer vos accès aux outils internes le jour du départ ou dans un délai très bref : sessions, badges logiques, dossiers partagés, applications, réseaux sociaux d’entreprise. Il doit désactiver l’envoi et la réception depuis votre adresse nominative, puis supprimer la boîte après une courte période tampon permettant le transfert des messages strictement professionnels vers un collègue désigné, avec information des correspondants. La fouille de vos anciens messages pour préparer un licenciement ou un litige n’est loyale que si vous en êtes informé et si elle reste proportionnée : l’accès clandestin et général à des années de correspondance, y compris à des messages identifiés comme personnels, vicie la loyauté de la preuve et peut conduire le juge prud’homal à écarter les pièces ainsi obtenues. Vous disposez par ailleurs d’un droit d’accès à vos propres données : sur simple demande et sans avoir à la motiver, un salarié peut obtenir une copie des données qui le concernent, y compris l’historique de carrière, la rémunération, les évaluations et le dossier disciplinaire. Ce droit survit au départ et permet de vérifier ce que l’entreprise détient encore sur vous avant d’exiger l’effacement du surplus.
Pour les lecteurs qui souhaitent approfondir le volet accès à la messagerie pendant la relation de travail, notre analyse dédiée au droit d’accès du salarié à ses données et à sa messagerie professionnelle détaille les pièces que l’employeur doit communiquer et les limites qu’il peut opposer.
II. Comment exiger l’effacement, faire sanctionner l’employeur et obtenir réparation ?
Une fois l’inventaire de ce qui est conservé établi, la méthode suit un ordre précis : demande écrite à l’employeur, puis plainte devant la Commission et action devant le juge, enfin demande de réparation chiffrée. Chaque étape doit être documentée, car la preuve du manquement conditionne la sanction et l’indemnisation.
A. La demande, le délai d’un mois, la plainte CNIL et le juge
La première étape consiste à écrire à votre ancien employeur, en recommandé avec accusé de réception ou par tout moyen conférant date certaine, pour exercer vos droits. Identifiez-vous précisément, listez les données et les supports visés (compte de messagerie nominatif, dossier partagé, annuaire, photographie, copie de pièce d’identité, coordonnées bancaires, évaluations périmées), invoquez le droit à l’effacement et, à titre subsidiaire, le droit d’opposition, et demandez une confirmation écrite de la suppression avec la date effective. Joignez la copie d’un justificatif d’identité si l’entreprise ne peut pas vous identifier autrement, et conservez l’ensemble des échanges. Le règlement impose au responsable du traitement de répondre vite : il fournit à la personne concernée des informations sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois pour les demandes complexes, à condition de vous en informer dans le premier mois, mais le silence gardé au-delà du délai constitue déjà un manquement.
En cas de refus, de réponse incomplète ou d’absence de réponse, vous pouvez déposer une plainte auprès de la CNIL en ligne. La plainte doit exposer les faits de manière chronologique, identifier l’organisme, joindre la demande préalable et la réponse éventuelle, et préciser les préjudices constatés : messages reçus sur une boîte censée être fermée, diffusion de vos coordonnées, maintien de votre photographie sur l’intranet, refus de copie de votre dossier. La Commission peut instruire, mettre en demeure, prononcer des injonctions avec astreinte et des amendes administratives, et publier ses décisions. Sa saisine n’exclut pas l’action judiciaire : vous pouvez agir en parallèle devant le juge civil pour obtenir la suppression et devant le conseil de prud’hommes si le litige se rattache à l’exécution ou à la rupture du contrat de travail.
L’action la plus rapide pour faire fermer une boîte ou retirer des données accessibles reste le référé. Le président du tribunal judiciaire peut ordonner la désactivation et la suppression sous astreinte, comme dans l’affaire montpelliéraine où la cour a imposé un délai de huit jours et une astreinte de 500 euros par jour de retard pendant six mois. Pour obtenir une telle mesure, il faut démontrer le trouble manifestement illicite : produisez la preuve que le compte est encore actif (message de non-remise, réponse automatique absente, témoignage d’un correspondant qui vous a écrit après votre départ, capture d’annuaire), la copie de votre demande d’effacement restée sans effet, et tout indice d’exploitation (production de vos messages dans une procédure sans information préalable, transmission de vos coordonnées à un tiers). Le juge apprécie la proportion : si l’employeur établit qu’un litige en cours exige la conservation de pièces précises, le juge peut cantonner la mesure aux données sans utilité démontrée plutôt que d’ordonner une suppression totale immédiate. D’où l’importance de viser large dans votre demande amiable, puis de cibler devant le juge les conservations manifestement injustifiées : messagerie active, photographie, pièces d’identité, données bancaires, évaluations périmées, commentaires excessifs.
Plusieurs erreurs doivent être évitées. Ne limitez pas votre demande à une formule vague de type « effacez tout », que l’employeur rejettera au motif d’obligations légales réelles sur les paies : listez chaque catégorie et demandez pour chacune soit l’effacement, soit la justification précise avec son fondement et sa durée. Ne saisissez pas la Commission sans avoir d’abord exercé vos droits auprès de l’organisme : la plainte doit démontrer cette démarche préalable. Ne confondez pas l’archivage légal des paies, qui est légitime sur un support séparé et sécurisé, avec le maintien actif de votre dossier complet dans les outils quotidiens, qui ne l’est pas. Saisissez le délégué à la protection des données de l’entreprise en copie de votre demande lorsque ses coordonnées figurent dans l’information qui vous a été remise : son intervention accélère souvent la réponse et laisse une trace supplémentaire en cas de contentieux. Enfin, n’attendez pas des années : plus le temps passe, plus l’employeur invoquera la prescription de ses propres obligations et plus la preuve du préjudice s’affaiblit.
B. La réparation : ce que le juge indemnise et comment chiffrer votre préjudice
La violation du règlement ouvre un droit à réparation : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Ce texte ne crée pourtant pas un droit automatique à indemnité pour toute irrégularité formelle. La Cour de cassation l’a rappelé en 2026 dans un litige opposant un salarié à une banque : visa de l’article 82 du règlement, rappel de la jurisprudence de la Cour de justice selon laquelle la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation (Cour de cassation, chambre sociale, 24 juin 2026, arrêt n° 571 FS-B, pourvoi n° 24-22.792), censure d’une cour d’appel qui avait alloué 5 000 euros pour exécution déloyale en retenant que le non-respect du règlement aurait nécessairement causé un préjudice, alors que le salarié ne démontrait ni son existence ni son étendue. La solution reprend l’enseignement de la Cour de justice du 4 mai 2023 (Österreichische Post, C-300/21) : le dommage doit être réel, même s’il est moral et même s’il n’atteint pas un seuil de gravité, et sa réparation doit compenser intégralement le préjudice concrètement subi. En pratique, vous devez donc prouver un préjudice précis : anxiété liée à la perte de contrôle de vos données, démarches répétées restées vaines, messages personnels exposés à d’anciens collègues, utilisation de votre identité dans des échanges postérieurs à votre départ, refus d’embauche lié à la diffusion d’appréciations périmées, temps consacré à faire valoir vos droits.
Le fondement national complète le dispositif européen. Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Sur ce fondement, le juge prud’homal sanctionne l’exécution déloyale du contrat de travail lorsque l’employeur manque à son obligation de loyauté dans la gestion des données : conservation occulte, accès disproportionné à la messagerie, diffusion de données à des tiers, refus persistant d’effacement. Les sommes allouées dépendent de la gravité et de la durée du manquement, de la sensibilité des données et de l’obstination de l’employeur après mise en demeure. Le principe est constant : celui qui réclame l’exécution d’une obligation doit la prouver. Les décisions récentes montrent que les juges exigent des justificatifs : attestations de correspondants ayant écrit sur la boîte maintenue, constats d’huissier de justice établissant l’activité du compte, copies des demandes restées sans réponse, captures d’annuaire, productions adverses révélant l’exploitation des messages. Un dossier obscur ou purement déclaratif sera rejeté, comme l’enseigne l’arrêt de 2026 ; un dossier documenté, qui relie chaque conservation abusive à une conséquence vécue, peut obtenir l’effacement, l’astreinte et des dommages et intérêts.
Le chiffrage doit rester réaliste et ventilé. Distinguez le préjudice moral (perte de contrôle, inquiétude, atteinte à la vie privée), le préjudice professionnel (candidature compromise par la diffusion d’évaluations périmées, retard dans un projet faute de récupération de vos documents personnels mêlés aux outils de l’entreprise), et les frais engagés (constat, recommandés, démarches). Ajoutez l’article 700 du code de procédure civile pour les frais de justice et, en référé, sollicitez une astreinte dissuasive par jour de retard, sur le modèle des 500 euros par jour retenus par la cour d’appel de Montpellier. Devant le conseil de prud’hommes, articulez la demande indemnitaire RGPD avec les autres demandes nées de la rupture lorsque le litige s’y prête, sans gonfler artificiellement les montants : un juge convaincu par la rigueur de la démonstration indemnise mieux qu’un demandeur qui invoque systématiquement le maximum. Pour établir le maintien abusif d’une messagerie, le constat d’huissier de justice reste la preuve la plus efficace : envoi d’un message test sur votre ancienne adresse, capture de l’absence de réponse automatique de départ, relevé des annuaires où votre nom figure encore, attestation du successeur ou d’un client qui vous a écrit après votre départ. Faites constater également la date de votre demande d’effacement et le dépassement du délai d’un mois sans réponse utile. Enfin, conservez les décisions de la Commission si votre plainte a abouti à une mise en demeure ou à une sanction : sans lier le juge civil, elles établissent fortement le manquement et facilitent l’indemnisation.
L’organisation interne de l’employeur joue un rôle décisif dans ces litiges. Tout organisme doit tenir un registre des activités de traitement qui recense les finalités, les catégories de données, les destinataires et les durées de conservation, et associer son délégué à la protection des données à la gestion des départs : fermeture des comptes, transfert encadré des dossiers professionnels, purge des commentaires excessifs. Lorsque vous demandez des comptes à votre ancien employeur, réclamez l’extrait du registre correspondant à la gestion du personnel et la fiche de durée applicable à chaque catégorie. L’absence de registre, de durées formalisées ou de procédure de départ constitue un indice sérieux de manquement que la Commission et le juge prennent en considération. De même, l’absence d’information préalable sur les dispositifs de contrôle ou de conservation prive l’employeur du droit de s’en prévaloir. Ces éléments de contexte renforcent une demande d’effacement bien ciblée et éclairent le juge sur le caractère structurel ou isolé du manquement. L’enjeu financier pour l’employeur est réel : la Commission peut prononcer des injonctions avec astreinte et des amendes administratives dont le montant maximal atteint, pour les manquements les plus graves aux principes et aux droits des personnes, 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, en application des pouvoirs correcteurs et des règles relatives aux amendes prévues par le règlement. Cette échelle de sanctions explique que les entreprises structurées traitent sérieusement les mises en demeure fondées sur des demandes précises et documentées, surtout lorsque le délégué à la protection des données est saisi en copie et que le registre des traitements est demandé.
Conclusion
Après votre départ, votre ancien employeur ne peut garder que ce que la loi ou un besoin précis et proportionné lui impose de garder, et seulement le temps nécessaire : paies archivées à part, pièces utiles à un litige en cours dûment identifiées, rien de plus en accès actif. Votre messagerie nominative doit être désactivée puis supprimée, vos accès fermés, votre photographie et vos pièces d’identité retirées des systèmes courants, vos évaluations périmées purgées. En cas de refus, la méthode tient en quatre temps : demande écrite précise invoquant l’effacement et l’opposition, plainte devant la Commission après le délai d’un mois, référé pour obtenir la suppression sous astreinte sur le fondement du trouble manifestement illicite, et action en réparation fondée sur l’article 82 du règlement et sur l’exécution déloyale du contrat, avec un préjudice prouvé et chiffré. Documentez chaque étape, visez chaque catégorie de données séparément et ne laissez pas l’inertie de l’entreprise transformer vos données professionnelles d’hier en exposition durable.
Besoin d’un avis rapide sur votre dossier
Vous êtes en conflit avec votre ancien employeur sur la conservation de vos données, votre messagerie restée active ou un refus d’effacement. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous propose une première réponse adaptée à votre situation. Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.