Vous avez demandé à votre employeur la copie de votre dossier personnel et il refuse de vous le montrer, ne vous répond pas ou ne vous adresse que quelques pièces triées. La situation est fréquente au moment d’un entretien d’évaluation contesté, d’une sanction disciplinaire ou d’un licenciement qui se prépare : le salarié pressent que son dossier contient des pièces qui pèsent sur son avenir, et l’employeur retient l’information. Le droit applicable donne pourtant au salarié des leviers précis. D’un côté, le règlement général sur la protection des données reconnaît à toute personne concernée un droit d’accès à l’ensemble des données détenues sur elle, avec une copie, dans un délai d’un mois. De l’autre, le code du travail encadre ce que l’employeur peut collecter et évaluer, et le juge peut ordonner la communication sous astreinte. Encore faut-il formuler la demande correctement, respecter les limites tenant aux droits des tiers, puis saisir la CNIL ou le juge en cas de refus.
Cet article décrit d’abord ce que votre employeur doit vous communiquer quand vous exercez votre droit d’accès, puis les recours concrets dont vous disposez face à un refus ou à un silence, jusqu’à la réparation du préjudice subi.
I. Ce que votre employeur doit vous communiquer quand vous exercez votre droit d’accès
Votre employeur détient sur vous bien plus que votre contrat de travail : évaluations annuelles, courriels, relevés de temps de connexion, agenda, notes de frais, pièces disciplinaires, données de paie. Dès lors que ces informations se rapportent à vous comme personne identifiée ou identifiable, elles constituent des données à caractère personnel, et vous pouvez en exiger la communication.
A. Un contenu large : le dossier RH et les données informatiques qui vous concernent
Le fondement principal se trouve à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, dans ce cas, l’accès à ces données avec une série d’informations : finalités, catégories de données, destinataires, durée de conservation, droits de rectification, d’effacement et d’opposition, droit de réclamation auprès d’une autorité de contrôle, source des données et logique d’une éventuelle décision automatisée. Surtout, le texte ajoute une garantie pratique : Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. La CNIL résume ainsi la portée de ce droit dans la relation de travail : Toute personne peut demander à un organisme la communication des données qu’il détient sur elle et en obtenir une copie. L’employeur est le responsable du traitement pour les données de ses salariés, y compris lorsqu’un prestataire de paie, un éditeur de logiciel de gestion des ressources humaines ou un hébergeur intervient comme sous-traitant.
L’étendue concrète de cette obligation a été illustrée par la cour d’appel de Rennes dans un arrêt du 27 février 2025 rendu en référé prud’homal. Une directrice juridique licenciée pour insuffisance professionnelle demandait la communication de l’ensemble de ses données afin de préparer la contestation de son licenciement. La cour a ordonné à l’employeur de lui communiquer, dans un délai de soixante jours à compter de la notification de l’arrêt, son dossier de ressources humaines comprenant toutes les données relatives à son recrutement, à son historique de carrière, à l’évaluation de ses compétences professionnelles, à sa rémunération, à son dossier disciplinaire, à son appartenance à un programme interne, à ses fiches de poste et à ses relevés de contrôle du temps de travail, ainsi que ses relevés de connexion au réseau interne, son agenda professionnel et l’ensemble des courriels de sa messagerie professionnelle et de sa messagerie instantanée d’entreprise dont elle était l’émettrice ou la destinataire principale, pour les années 2020 à 2023. La cour a précisé que les informations seraient fournies sous une forme électronique d’usage courant, que les pièces seraient anonymisées pour respecter les droits des tiers, et elle a assorti la transmission d’astreinte provisoire de 50 euros par jour de retard, à l’expiration du délai de soixante jours et pour une durée de quatre-vingt-dix jours. Cet arrêt montre que le droit d’accès du salarié couvre aussi bien le dossier papier ou numérique des ressources humaines que les traces informatiques de son activité, dès lors qu’elles se rapportent à lui.
Les courriels professionnels appellent une attention particulière, car l’employeur oppose souvent le secret des correspondances ou le volume de la recherche. La CNIL admet que l’employeur doit fournir tant les métadonnées, comme l’horodatage et les destinataires, que les données personnelles contenues dans les messages, et elle indique que la communication d’une copie des courriels peut apparaître comme la solution la plus aisée pour que l’organisme puisse satisfaire la demande. Cette solution n’est toutefois pas obligatoire : un tableau reprenant les métadonnées et les données personnelles peut suffire. La Cour de justice de l’Union européenne a jugé, le 4 mai 2023 dans l’affaire C-487/21, que si la fourniture d’une copie d’extraits de documents, voire de documents entiers, est indispensable pour permettre à la personne concernée d’exercer effectivement ses droits, alors le droit d’obtenir une copie implique qu’il lui soit remis une reproduction fidèle et intelligible de l’ensemble de ces données, en tenant compte des droits et libertés d’autrui (arrêt du 4 mai 2023, C-487/21). Concrètement, le salarié qui vise des courriels dont il était l’expéditeur ou le destinataire principal obtient en général leur communication, tandis que les messages où il figure seulement en copie ou comme simple personne mentionnée font l’objet d’un examen plus strict, au regard des droits des autres salariés.
B. Des modalités protectrices, mais aussi des limites précises
Le salarié n’a pas à justifier sa demande : le droit d’accès s’exerce par une simple demande adressée à l’employeur, de préférence par écrit afin de conserver une preuve de la date d’envoi. Lorsque l’entreprise a désigné un délégué à la protection des données, la demande peut lui être adressée directement. Si l’employeur a un doute raisonnable sur l’identité du demandeur, le règlement l’autorise à réclamer les informations supplémentaires nécessaires pour la vérifier, sans pouvoir exiger systématiquement une pièce d’identité quand le contexte ne le justifie pas. La CNIL détaille ces points pratiques dans sa page consacrée à l’accès à son dossier professionnel.
Le délai de réponse constitue la protection la plus tangible. L’article 12 du règlement dispose que le responsable du traitement fournit à la personne concernée des informations sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition que le salarié soit informé de la prolongation et de ses motifs dans le délai initial d’un mois. Lorsque la demande est présentée par voie électronique, les informations sont fournies par voie électronique lorsque cela est possible. Sur le coût, le principe posé par le texte est clair : Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34. Deux exceptions seulement permettent à l’employeur de réclamer un paiement raisonnable fondé sur les coûts administratifs ou de refuser de donner suite : les demandes infondées ou excessives, notamment par leur caractère répétitif, dont le caractère excessif doit être démontré par l’employeur lui-même.
Le refus n’est donc possible que dans des cas limités, et il doit être motivé. Si le responsable du traitement ne donne pas suite à la demande, il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Autrement dit, un silence gardé au-delà d’un mois ou un refus sec, sans motif écrit et sans mention des voies de recours, constitue déjà un manquement. Les motifs légitimes tiennent pour l’essentiel aux droits d’autrui : le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui, de sorte que l’employeur doit écarter ou anonymiser les passages qui révèleraient des données de tiers, des secrets d’affaires ou des correspondances protégées, sans pour autant rejeter la demande dans son ensemble. Lorsque l’identification des messages visés supposerait des moyens particulièrement intrusifs, comme l’examen de l’ensemble des messageries de l’entreprise, l’employeur peut inviter le salarié à préciser sa demande ; si le salarié s’y refuse, le refus partiel peut être justifié pour ces seuls messages, mais l’employeur doit répondre pour le reste.
Le code du travail ajoute une couche de protection propre à la relation salariée. D’abord, Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Ensuite, les informations demandées au salarié, sous quelque forme que ce soit, ne peuvent avoir comme finalité que d’apprécier ses aptitudes professionnelles : Ces informations doivent présenter un lien direct et nécessaire avec l’évaluation de ses aptitudes. Le salarié doit en outre être expressément informé, avant leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles utilisées à son égard : Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard. Enfin, Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. La chambre sociale de la Cour de cassation veille à l’effectivité de ces règles : le 15 octobre 2025, elle a confirmé l’illicéité d’un dispositif d’entretiens individuels qui évaluait les salariés sur des critères comportementaux vagues comme l’optimisme, l’honnêteté ou le bon sens, faute de critères précis, objectifs et pertinents au regard de la finalité poursuivie (Cass. soc., 15 octobre 2025, n° 22-20.716). Pour le salarié, la conséquence est double : il peut contester les pièces issues d’un dispositif d’évaluation irrégulier, et il peut exiger de savoir quelles méthodes ont servi à l’évaluer.
Le départ de l’entreprise ne fait pas disparaître le droit d’accès. La CNIL rappelle que tout salarié ou ancien salarié a le droit d’accéder aux données de son dossier professionnel, en s’adressant au service des ressources humaines ou au délégué à la protection des données. L’ancien salarié licencié qui prépare une contestation devant le conseil de prud’hommes peut donc réclamer son dossier après la rupture, et l’employeur ne peut lui opposer son départ pour refuser. En revanche, l’employeur n’est pas tenu de conserver les données indéfiniment : le règlement impose qu’elles soient conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Les journaux de connexion, les enregistrements de vidéosurveillance et les courriels font ainsi l’objet de durées de conservation limitées, fixées par les référentiels de la CNIL et les accords internes. D’où l’importance d’agir vite : une demande d’accès formulée plusieurs années après les faits risque de se heurter à un effacement régulier des données anciennes, sans faute de l’employeur. Le salarié qui anticipe un litige a donc intérêt à exercer son droit d’accès dès les premiers signes de tension, par exemple après un avertissement contesté ou une évaluation dégradée, plutôt qu’après l’expiration des délais de conservation. Cette diligence renforce aussi la demande de réparation ultérieure, car elle établit que le salarié a tout mis en oeuvre pour obtenir ses données en temps utile.
II. Les recours quand l’employeur refuse ou garde le silence
Un refus écrit et motivé, ou un silence persistant au-delà du délai d’un mois, ouvre trois voies complémentaires : la plainte devant la CNIL, l’action devant le juge pour obtenir la communication sous astreinte, et la demande de réparation du préjudice subi. Ces voies peuvent être combinées, car elles ne poursuivent pas le même objet : la CNIL sanctionne et ordonne, le juge civil ou prud’homal tranche le litige individuel et indemnise.
A. Mettre en demeure, saisir la CNIL puis le juge pour obtenir la communication
La première étape consiste à adresser à l’employeur une mise en demeure par lettre recommandée avec accusé de réception, en rappelant la demande initiale, sa date et l’expiration du délai d’un mois. Ce courrier décrit précisément les données réclamées : dossier de ressources humaines depuis l’embauche, relevés de temps de travail, relevés de connexion, agenda professionnel, courriels dont le salarié était l’expéditeur ou le destinataire principal sur une période déterminée. Une demande ciblée et datée prive l’employeur de l’argument du caractère trop général, et elle constitue la preuve des démarches préalables que la CNIL exige avant toute plainte. Conservez une copie de chaque envoi, de chaque réponse partielle et de tout échange avec le délégué à la protection des données, car ces pièces conditionnent la suite.
La plainte devant la CNIL constitue la deuxième étape. L’article 77 du règlement ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de ses données constitue une violation du règlement (article 77 du règlement). En France, cette autorité est la CNIL, qui peut être saisie en ligne. La CNIL attend une plainte complète et précise, accompagnée des justificatifs des démarches accomplies auprès de l’organisme : copie de la demande d’accès, preuve de l’envoi, mise en demeure restée sans effet. La CNIL détaille la marche à suivre sur sa page adresser une plainte à la CNIL. Une fois saisie, l’autorité dispose de pouvoirs d’enquête et de correction étendus, définis à l’article 58 du règlement : avertir, mettre en demeure, ordonner la mise en conformité, prononcer une limitation ou une interdiction du traitement et imposer une amende administrative (article 58 du règlement). Pour comprendre ce que risque l’employeur qui persiste, le lecteur peut se reporter à l’analyse des sanctions que la CNIL peut prononcer contre une entreprise, de la mise en demeure à l’amende et à l’astreinte. La procédure devant la CNIL ne dispense toutefois pas d’agir vite devant le juge lorsque le dossier est nécessaire à un contentieux en cours, par exemple pour contester un licenciement dans les délais de prescription applicables.
L’action en justice vise à obtenir une injonction de communiquer sous astreinte. Le salarié encore en poste comme l’ancien salarié peuvent saisir le conseil de prud’hommes en référé, afin d’obtenir rapidement la communication des pièces nécessaires à la défense de leurs droits. L’arrêt de la cour d’appel de Rennes du 27 février 2025 offre le modèle de ce qu’il est possible d’obtenir : communication du dossier complet sous soixante jours, sous astreinte de cinquante euros par jour de retard pendant quatre-vingt-dix jours, avec condamnation de l’employeur aux dépens et à une somme de deux mille cinq cents euros au titre de l’article 700 du code de procédure civile, qui permet au juge de mettre à la charge de la partie perdante la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. La cour a pris soin d’encadrer l’usage des pièces : anonymisation pour protéger les tiers et utilisation limitée au contentieux prud’homal entre les parties. Parallèlement, l’article 79 du règlement garantit à toute personne concernée le droit à un recours juridictionnel effectif contre un responsable du traitement lorsque ses droits ont été violés (article 79 du règlement), ce qui fonde l’action devant le tribunal judiciaire pour les demandes indemnitaires détachées du contrat de travail.
Pour les salariés qui travaillent à Paris et en Île-de-France, quelques repères pratiques méritent d’être rappelés. Le conseil de prud’hommes compétent est en principe celui du lieu où le travail est accompli, donc le conseil de prud’hommes de Paris pour un salarié qui y exerce ses fonctions, avec une procédure de référé accessible sans représentation obligatoire. La plainte à la CNIL se fait en ligne quel que soit le lieu de travail, mais le siège de la CNIL se trouve à Paris, ce qui facilite les échanges et la transmission des justificatifs complémentaires. Les délais parisiens d’audiencement en référé prud’homal restant parfois longs, la mise en demeure préalable et la saisine concomitante de la CNIL conservent toute leur utilité pour faire pression sur un employeur silencieux. Dans tous les cas, les pièces internes de l’entreprise, comme la charte informatique ou l’accord collectif applicable, doivent être vérifiées : elles peuvent préciser les modalités de conservation des courriels et des journaux de connexion, sans jamais pouvoir supprimer le droit d’accès reconnu par le règlement.
B. Utiliser les pièces obtenues et demander réparation du préjudice
Les données obtenues servent d’abord à contester les décisions de l’employeur. Les évaluations annuelles, les avertissements et les pièces du dossier disciplinaire peuvent être discutés devant le conseil de prud’hommes : critères d’évaluation irréguliers au regard des articles L. 1222-2 et L. 1222-3 du code du travail, faits disciplinaires prescrits ou déjà sanctionnés, insuffisance professionnelle non établie. Dans l’affaire jugée à Rennes, la salariée entendait précisément utiliser son dossier pour contester un licenciement pour insuffisance professionnelle, et la cour lui a reconnu un intérêt à agir en référé pour obtenir les pièces avant le procès au fond. Le raisonnement vaut pour tout salarié : attendre le procès au fond sans disposer de son dossier, c’est accepter de plaider en aveugle face à un employeur qui, lui, détient l’ensemble des pièces.
L’utilisation des pièces soulève aussi la question de la loyauté de la preuve. Par un arrêt du 24 juin 2026, la chambre sociale de la Cour de cassation a rappelé que des preuves issues d’un traitement de données non conforme au règlement sont illicites, mais qu’elles restent recevables lorsque leur obtention et leur production sont indispensables à l’exercice du droit à la preuve et proportionnées au but poursuivi (Cass. soc., 24 juin 2026, n° 24-22.792). Cette solution, qui transpose en matière prud’homale le revirement opéré par l’Assemblée plénière le 22 décembre 2023, intéresse les deux parties : l’employeur qui produit des journaux informatiques collectés sans information préalable des salariés comme le salarié qui verse aux débats des documents obtenus à l’occasion de ses fonctions. Dans les deux cas, le juge contrôle la nécessité et la proportionnalité avant d’écarter ou d’admettre la pièce, et la partie qui invoque une preuve douteuse a intérêt à justifier qu’elle ne disposait d’aucun autre moyen d’établir les faits.
La réparation du préjudice obéit à des conditions strictes. L’article 82 du règlement dispose que Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Mais ce droit n’est pas automatique. Dans le même arrêt du 24 juin 2026, la Cour de cassation a censuré une cour d’appel qui avait alloué cinq mille euros de dommages et intérêts en retenant que la violation du règlement avait nécessairement causé un préjudice au salarié, en rappelant que la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation. Le salarié doit établir, outre la violation, l’existence d’un dommage matériel ou moral concret : anxiété liée à l’opacité du dossier, perte de chance de contester utilement un licenciement, atteinte à la réputation interne, temps consacré aux démarches. La Cour s’appuie sur la jurisprudence de la Cour de justice de l’Union européenne, qui a jugé le 4 mai 2023 que la simple violation du règlement ne suffit pas à conférer un droit à réparation (CJUE, 4 mai 2023, C-300/21), puis le 25 janvier 2024 que la réparation remplit une fonction compensatoire et que la personne concernée doit établir que la violation lui a causé un dommage (CJUE, 25 janvier 2024, C-687/21). En pratique, le salarié documente son préjudice par tous moyens : échanges avec l’employeur, certificats médicaux en cas de retentissement psychologique, chronologie des démarches restées vaines, conséquences sur la procédure de licenciement. Le juge évalue ensuite souverainement le montant, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union.
Conclusion
Le salarié auquel l’employeur refuse l’accès à son dossier personnel n’est pas démuni. Le règlement lui reconnaît un droit d’accès à l’ensemble des données détenues sur lui, avec une copie fournie dans un délai d’un mois, et le code du travail encadre étroitement ce que l’employeur peut collecter et évaluer. Face à un refus ou à un silence, la mise en demeure, la plainte devant la CNIL et l’action en référé devant le conseil de prud’hommes permettent d’obtenir la communication sous astreinte, comme l’a ordonné la cour d’appel de Rennes sous cinquante euros par jour de retard. La réparation du préjudice suppose en revanche de démontrer un dommage concret, la simple violation du règlement ne suffisant pas. Chaque situation dépendant des pièces du dossier, des accords applicables dans l’entreprise et des délais en cours, seul le juge, saisi des faits et des preuves, tranche en dernier ressort.