I. Ce que le salarié peut exiger de son employeur et dans quel délai
A. Le contenu exact du droit d’accès : dossier RH, courriels, relevés de connexion et agenda
Le fondement du droit d’accès se trouve à l’article 15 du règlement général sur la protection des données, tel que reproduit par le tribunal judiciaire d’Arras dans son ordonnance de référé du 28 mai 2026. En droit français, l’article 49 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa version en vigueur depuis le 31 juillet 2021, dispose que « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016 » et ajoute qu’« En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition ». Ce texte dispose que « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes ». Suivent huit rubriques d’informations, parmi lesquelles les finalités du traitement, les catégories de données concernées, les destinataires auxquels les données ont été ou seront communiquées, la durée de conservation envisagée, l’existence des droits de rectification, d’effacement, de limitation et d’opposition, le droit d’introduire une réclamation auprès d’une autorité de contrôle, la source des données lorsqu’elles n’ont pas été collectées auprès de la personne, et l’existence d’une prise de décision automatisée avec la logique sous-jacente et ses conséquences prévues.
Le même article ajoute, en son paragraphe 3 — passage également reproduit dans l’ordonnance précitée — que « Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement ». La Cour de justice de l’Union européenne a précisé ce que recouvre cette copie dans un arrêt du 4 mai 2023 rendu dans l’affaire dite CRIF, dont la notice officielle figure sur le site de la Cour. Selon la synthèse qu’en donne la CNIL dans son recueil de jurisprudence consacré au droit d’accès, le droit d’obtenir copie implique la remise à la personne concernée d’une reproduction fidèle et intelligible de l’ensemble de ses données. Une description purement générale des données ou un simple renvoi à des catégories ne suffit donc pas. Lorsque la fourniture d’extraits de documents, de documents entiers ou d’extraits de bases de données est indispensable pour permettre à la personne d’exercer effectivement ses droits, la copie peut prendre cette forme, sous réserve des droits et libertés d’autrui.
Concrètement, pour un salarié, cela vise d’abord le dossier de ressources humaines : données de recrutement, historique de carrière, évaluations des compétences, rémunération, dossier disciplinaire, fiches de poste et relevés de l’outil de contrôle du temps de travail. La cour d’appel de Rennes l’a confirmé par un arrêt du 27 février 2025, rendu dans un litige opposant une ancienne directrice juridique à son employeur : la cour a condamné la société à communiquer à la salariée, dans un délai de soixante jours, son dossier de ressources humaines complet depuis son entrée dans la filiale, les relevés de connexion au moyen de son identifiant pour quatre années, son agenda Outlook pour ces mêmes années, ainsi que l’ensemble des courriels de sa messagerie professionnelle et de sa messagerie Teams dont elle était l’émettrice ou la destinataire principale, à l’exclusion de ceux où elle figurait seulement en copie. La cour a assorti cette transmission d’une astreinte provisoire de cinquante euros par jour de retard, pour une durée de quatre-vingt-dix jours, et elle a exigé que les pièces soient anonymisées afin de respecter la vie privée des tiers, le secret des affaires et la propriété intellectuelle, l’usage des éléments transmis étant réservé à un éventuel contentieux prud’homal entre les parties.
Les relevés de connexion méritent une attention particulière, car beaucoup de salariés ignorent qu’ils constituent des données personnelles accessibles. La Cour de justice l’a établi le 22 juin 2023 dans l’affaire dite Pankki S : les opérations de consultation des données d’une personne ouvrent à celle-ci, en vertu de l’article 15, paragraphe 1, un droit à se voir communiquer les informations en lien avec ces opérations. Les dates des consultations permettent de confirmer qu’un traitement a eu lieu à un moment donné et de vérifier sa licéité, tandis que les finalités et les destinataires doivent également être communiqués. Un salarié peut donc demander qui a consulté son dossier, quand et pourquoi, et l’employeur ne peut pas répondre par un simple tableau de catégories.
La question des courriels professionnels concentre la plupart des refus. Les employeurs objectent souvent que les messages relèvent de tiers ou du secret des affaires. La position de la CNIL sur le droit d’accès des salariés à leurs données et à leurs courriels professionnels distingue avec pragmatisme : lorsque l’identification des courriels visés suppose des moyens particulièrement intrusifs, comme le balayage de l’ensemble des messageries de l’entreprise, le salarié doit être invité à préciser sa demande, et s’il s’y oppose, l’employeur peut invoquer le respect des droits des tiers pour la partie concernée, tout en répondant pour les données contenues dans les courriels qui n’exigent pas de tels moyens. Autrement dit, le volume ou la difficulté de la recherche n’autorise pas un refus global : l’employeur doit trier, répondre pour ce qui est communicable et motiver ce qu’il retient. La cour d’appel de Rennes a tranché dans le même sens en ordonnant la communication des courriels émis ou reçus à titre principal, avec anonymisation des tiers, plutôt qu’en validant un refus général.
Deux limites doivent être connues pour formuler une demande solide. D’une part, le paragraphe 4 de l’article 15 prévoit que le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui. Le Conseil d’État a jugé, le 24 février 2022, qu’aucune disposition du règlement n’exclut de cette catégorie les destinataires des données qui ont eux-mêmes la qualité de personne concernée à l’égard des données demandées : les noms et contenus imputables à des tiers peuvent donc être occultés, mais cette protection des tiers ne justifie jamais de ne rien communiquer du tout. D’autre part, le droit d’accès porte sur les données, non sur les documents en tant que tels : exiger « tout le dossier » sans viser les données personnelles qu’il contient expose la demande à une fin de non-recevoir partielle. La formulation la plus efficace vise expressément la copie, en langage clair, de l’ensemble des données figurant dans les fichiers informatisés ou manuels, y compris les zones de commentaires et de blocs-notes des logiciels de gestion, ainsi que les métadonnées utiles, horodatage et destinataires des messages.
Deux idées reçues doivent enfin être écartées. D’abord, le salarié n’a pas à justifier sa demande : la Cour de justice a jugé le 26 octobre 2023 que la personne concernée n’a pas à motiver sa demande d’accès, de sorte que l’employeur ne peut pas exiger que le salarié explique pourquoi il veut ses données, ni rejeter la demande au motif qu’elle servirait un contentieux prud’homal en préparation. Ensuite, la première copie est gratuite : l’obligation de fournir gratuitement une première copie s’impose même lorsque la demande est motivée par un but étranger à la simple vérification de la licéité du traitement. Seules les demandes manifestement infondées ou excessives, notamment par leur caractère répétitif, permettent à l’employeur d’exiger des frais raisonnables ou de refuser, et c’est à lui de démontrer ce caractère excessif.
B. La procédure pas à pas : demande écrite, preuve de l’envoi et délai d’un mois
La page de la CNIL dédiée au droit d’accès rappelle que toute personne peut demander à un organisme, employeur compris, de lui confirmer que des données la concernant sont traitées et d’en obtenir la copie. La CNIL met à disposition un modèle de courrier pour exercer son droit d’accès, qui constitue une base utile, à adapter à la situation du salarié en listant précisément les ensembles visés : dossier de ressources humaines, relevés de connexion, agenda, messageries professionnelle et instantanée, enregistrements éventuels.
La demande doit être écrite et sa date d’envoi doit être prouvable, car c’est elle qui fait courir le délai de réponse. L’envoi par lettre recommandée avec accusé de réception reste la référence, et le courrier électronique avec accusé de réception convient lorsque l’employeur a déjà communiqué par ce canal. La demande mentionne l’article 15 du règlement, décrit les données sollicitées avec assez de précision pour permettre leur identification, indique le mode de communication souhaité et rappelle le délai légal. Lorsque la demande est présentée par voie électronique, les informations doivent être fournies sous une forme électronique d’usage courant, sauf demande contraire : le salarié peut donc exiger un format structuré et lisible plutôt qu’une liasse de captures d’écran inexploitables.
L’article 12 du règlement, qui organise les modalités d’exercice des droits, impose à l’employeur de fournir les informations sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, mais l’employeur doit alors informer le salarié de cette prolongation et de ses motifs dans le délai initial d’un mois. Le silence gardé au-delà d’un mois sans information sur une prolongation constitue donc déjà, en soi, un manquement caractérisable, sans qu’il soit nécessaire d’attendre davantage.
L’employeur peut demander des informations supplémentaires pour confirmer l’identité du demandeur lorsqu’il a des doutes raisonnables, et le salarié a intérêt à joindre d’emblée une pièce d’identité ou à utiliser un canal déjà authentifié, afin de priver l’employeur de ce prétexte dilatoire. En revanche, aucune participation financière ne peut être exigée pour la première réponse : l’article 12 prévoit qu’« aucun paiement n’est exigé » pour les communications effectuées au titre des articles 15 à 22, sauf demande manifestement infondée ou excessive dont l’employeur doit prouver le caractère. Un salarié qui formule une première demande ciblée, même dans un contexte de conflit ouvert ou de licenciement notifié, ne peut pas se voir opposer un tel motif.
Si l’employeur ne donne pas suite à la demande, il doit en informer le salarié sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande, en indiquant les motifs de son inaction ainsi que la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Un refus non motivé, une réponse qui élude la moitié des ensembles demandés ou un renvoi pur et simple vers le contentieux prud’homal sans examen de la demande ne satisfont pas à cette exigence. Chaque manquement documenté, relance restée sans réponse, copie partielle sans explication, refus oral non confirmé par écrit, deviendra une pièce du dossier présenté à la CNIL ou au juge.
Un point de méthode souvent décisif concerne l’articulation entre le droit d’accès et le contentieux du travail. La CNIL précise que le salarié qui se voit opposer l’atteinte aux droits des tiers peut demander au juge, dans le cadre du litige prud’homal, la production des courriels litigieux, sous réserve que cette production soit nécessaire et proportionnée au but poursuivi. Les deux voies se complètent donc : le droit d’accès permet d’obtenir rapidement, hors procès, l’essentiel des données, tandis que la procédure prud’homale permet de solliciter la production forcée des pièces que l’employeur aurait légitimement filtrées. Engager la demande d’accès avant ou pendant la contestation du licenciement n’est jamais une faute et ne peut pas être reproché au salarié, puisque la Cour de justice interdit de subordonner l’accès à un motif.
II. Faire trancher le refus : réclamation CNIL, juge et réparation
A. La voie de la CNIL : réclamation, injonction et sanction
L’article 77 du règlement ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, lorsqu’elle considère que le traitement de ses données constitue une violation du règlement. Pour un salarié employé en France, l’autorité compétente est la CNIL, et la réclamation s’effectue en ligne après l’échec de la démarche directe auprès de l’employeur. La CNIL recommande d’ailleurs de saisir d’abord l’organisme : la réclamation doit donc joindre la demande initiale, la preuve de sa réception et les relances, afin d’établir que l’employeur a été mis en mesure de répondre dans le délai d’un mois.
L’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel. Si la CNIL ne traite pas la réclamation ou n’informe pas son auteur dans un délai de trois mois, l’article 78 du règlement ouvre un recours juridictionnel effectif contre l’autorité elle-même. En pratique, la CNIL privilégie une réponse graduée : rappel des obligations, mise en demeure de se conformer, puis, en cas de persistance, mesures correctrices et sanctions. L’article 58 du règlement donne en effet à chaque autorité de contrôle le pouvoir d’ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, ce qui inclut directement l’injonction de communiquer la copie réclamée, assortie si nécessaire d’une limitation ou d’une interdiction temporaire du traitement litigieux.
La page de la CNIL destinée aux professionnels sur la manière de répondre à une demande de droit d’accès éclaire ce que l’autorité attend concrètement d’un employeur : vérifier l’identité sans exiger de pièces disproportionnées, identifier tous les traitements concernés, fournir la copie dans le délai, motiver par écrit tout refus partiel et informer des voies de recours. Un salarié qui cite cette grille dans sa mise en demeure place l’employeur face à ses propres obligations de référence et facilite ensuite le travail de l’instructeur de la CNIL. Les manquements les plus souvent retenus dans ce type de dossier sont le dépassement du délai d’un mois sans information sur une prolongation, la réponse limitée au seul dossier administratif à l’exclusion des messageries et des journaux de connexion, et l’absence totale de motivation du tri opéré entre données communicables et données retenues.
La réclamation CNIL présente trois avantages tactiques pour le salarié. Elle est gratuite et ne nécessite pas d’avocat. Elle vise l’avenir, l’obtention effective des données, plutôt que la seule sanction pécuniaire de l’employeur. Elle produit un dossier officiel, échanges avec l’autorité et décision éventuelle, qui pourra être versé au débat prud’homal pour établir la déloyauté de l’employeur ou l’existence de données dissimulées. Sa limite tient à son rythme : l’instruction d’une plainte individuelle prend plusieurs mois, et la CNIL peut clore une réclamation par une réponse pédagogique sans sanction lorsque l’employeur régularise en cours de procédure. C’est pourquoi la voie administrative se combine utilement avec la voie judiciaire, qui permet d’obtenir rapidement une injonction sous astreinte.
B. La voie du juge : injonction sous astreinte, référé et réparation du préjudice
L’article 79 du règlement, tel que visé par le tribunal judiciaire d’Arras dans son ordonnance du 28 mai 2026, garantit à « chaque personne concernée » un « droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement ». L’action peut être portée devant les juridictions de l’État membre où l’employeur dispose d’un établissement ou devant celles de la résidence habituelle du salarié. En France, le salarié en conflit avec son employeur saisit naturellement le conseil de prud’hommes pour le litige du travail, et le tribunal judiciaire en référé pour l’injonction de communiquer, les deux juges pouvant connaître du manquement au règlement.
Le référé est l’arme la plus rapide. L’article 834 du code de procédure civile permet au président du tribunal judiciaire d’ordonner en référé, « dans tous les cas d’urgence », « toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend », tandis que l’article 835 du même code autorise, même en présence d’une contestation sérieuse, les mesures nécessaires pour faire cesser un trouble manifestement illicite et, lorsque l’obligation n’est pas sérieusement contestable, l’exécution de l’obligation même s’il s’agit d’une obligation de faire. Une ordonnance rendue le 28 mai 2026 par le tribunal judiciaire d’Arras, dans un litige opposant un particulier à un établissement de crédit qui détenait ses données sans contrat avéré, illustre la méthode : le juge a rappelé que le responsable du traitement doit fournir les informations sur les mesures prises dans le délai d’un mois à compter de la réception de la demande, conformément à l’article 12 du règlement, puis, constatant que l’établissement n’avait pas justifié de la transmission des informations sollicitées après une demande adressée par lettre recommandée, il a jugé que « le principe de la demande de communication n’est pas sérieusement contestable ». Il a en conséquence jugé « Dès lors, il convient de condamner la SA Floa à communiquer à M. [O] [G] une copie, en langage clair, de l’ensemble des données à caractère personnel le concernant qui figureraient dans ses fichiers informatisés ou manuels – y compris celles figurant dans les zones » blocs-notes » ou » commentaires » ainsi que toute information disponible sur l’origine de ces données », sous astreinte de cent euros par jour de retard passé un délai de huit jours. Le juge a également ordonné de justifier des mesures de limitation du traitement aux seuls besoins de l’enquête pénale en cours, sur le fondement de l’article 18 du règlement, qui ouvre la limitation lorsque l’exactitude des données est contestée ou que le traitement est illicite. La transposition au contentieux salarié est directe : copie en langage clair incluant les champs cachés des logiciels, origine des données, astreinte dissuasive à bref délai.
Cette même ordonnance enseigne une leçon de prudence sur la réparation. Le demandeur sollicitait des provisions de quatre mille et deux mille euros pour préjudices moraux liés à son inscription dans un fichier d’incidents de crédit et aux manœuvres de l’établissement. Le juge a rejeté ces demandes au motif qu’« aucun préjudice au titre duquel une indemnité serait due n’est caractérisé en l’espèce » et que l’obligation d’indemniser « se heurte à une contestation sérieuse », tout en condamnant l’établissement aux dépens et à mille euros au titre des frais irrépétibles. En référé, l’injonction de communiquer s’obtient vite parce que l’obligation n’est pas sérieusement contestable, tandis que l’indemnisation suppose un préjudice démontré qui relève du juge du fond. Le salarié doit donc calibrer ses demandes : viser en référé la communication sous astreinte et la limitation du traitement, puis chiffrer le préjudice devant le juge du fond avec des pièces, refus d’embauche lié à des données conservées, perte de chance dans le contentieux du licenciement, anxiété médicalement constatée.
L’article 82 du règlement fonde l’action au fond : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le responsable du traitement est exonéré seulement s’il prouve que le fait dommageable ne lui est nullement imputable, et lorsque plusieurs acteurs participent au traitement, chacun est tenu pour le tout afin de garantir une réparation effective. Pour le salarié, les postes de préjudice envisageables incluent le préjudice moral lié à l’opacité maintenue pendant des mois, le préjudice professionnel lorsque l’absence de copie a affaibli sa défense prud’homale, et le préjudice matériel en cas d’utilisation indue des données. La jurisprudence exige des preuves et proportionne l’indemnisation à la gravité et à la durée démontrées : une demande d’accès restée sans réponse pendant six mois malgré deux relances caractérise mieux un préjudice qu’un simple retard de quelques jours régularisé avant toute action.
À Paris et en Île-de-France, le parcours du salarié suit des guichets identifiés : le conseil de prud’hommes de Paris pour la contestation du licenciement et les demandes indemnitaires liées au contrat de travail, le tribunal judiciaire de Paris statuant en référé pour l’injonction de communiquer la copie et la limitation du traitement, et la CNIL, dont le siège parisien reçoit les réclamations en ligne, pour la voie administrative. Le salarié francilien joint à son dossier la demande d’accès et son accusé de réception, les relances, la réponse partielle de l’employeur s’il y en a une, les bulletins de paie établissant la relation de travail et, le cas échéant, la convocation à l’entretien préalable ou la notification du licenciement qui éclaire le contexte du refus. Lorsque l’employeur invoque les droits des tiers pour occulter des passages, le salarié demande au juge que l’anonymisation soit ciblée et vérifiable, sur le modèle de l’arrêt rennais, plutôt qu’un caviardage intégral qui viderait le droit d’accès de sa substance.
Les employeurs disposent, en miroir, d’une conduite à tenir qui évite l’astreinte et la sanction : accuser réception de la demande, vérifier l’identité de manière proportionnée, inventorier les traitements RH, messageries et journaux, fournir la première copie gratuitement dans le mois sous un format électronique courant, anonymiser les tiers au lieu de tout refuser, motiver par écrit chaque point écarté et informer le salarié de son droit de saisir la CNIL et le juge. Pour les salariés, la séquence gagnante tient en quatre temps : demande écrite précise avec preuve de réception, relance à l’expiration du mois, réclamation CNIL documentée, puis assignation en référé aux fins d’injonction sous astreinte, sans attendre l’issue de la procédure administrative. Ceux dont les données sont conservées après la rupture du contrat disposent d’un prolongement naturel de cette stratégie avec l’action contre l’ancien employeur qui conserve les données après le départ, tandis que les salariés soumis à des dispositifs de surveillance intrusifs, qui découvrent l’ampleur de la collecte en recevant leur copie, peuvent articuler leur contestation avec les règles applicables à la géolocalisation permanente mise en place par l’employeur.
En conclusion, le salarié dont l’employeur refuse la copie n’est pas démuni : le règlement lui donne un droit à une reproduction fidèle et intelligible de ses données, y compris ses courriels émis et reçus à titre principal, ses relevés de connexion et son agenda, sans avoir à motiver sa demande et sans bourse délier pour la première copie. L’employeur doit répondre dans le mois, motiver tout refus partiel et indiquer les voies de recours. À défaut, la réclamation devant la CNIL peut déboucher sur une injonction de communiquer, et le juge des référés ordonne la remise de la copie sous astreinte, comme l’ont fait la cour d’appel de Rennes et le tribunal judiciaire d’Arras en 2025 et 2026. La réparation du préjudice, elle, se gagne au fond, avec des preuves et une démonstration précise du lien entre le refus et le dommage subi.