Vous venez de recevoir une convocation à un entretien préalable à une sanction disciplinaire, ou un avertissement est déjà tombé, et lorsque vous demandez à consulter votre dossier personnel pour préparer votre défense, l’employeur refuse, temporise ou ne communique que des pièces triées. Ce réflexe se comprend : le dossier contient les évaluations, les courriels et parfois les éléments qui fondent la sanction. Il se conteste aussi, avec méthode. Le droit d’accès aux données personnelles donne à tout salarié, et même à un ancien salarié, le droit d’obtenir la copie de l’ensemble des données qui le concernent, y compris celles de son dossier professionnel et de sa messagerie, dans un délai encadré. Ce droit s’exerce sans avoir à motiver la demande et même pendant un litige devant le conseil de prud’hommes. Lorsqu’il est ignoré, il ouvre la voie à une réclamation devant la CNIL, à une injonction judiciaire sous astreinte et à une réparation du préjudice subi. Et le contenu obtenu sert directement la contestation de la sanction : vérification de la procédure, écart des preuves collectées de manière déloyale, annulation d’une sanction injustifiée ou disproportionnée. Cet article décrit pas à pas comment exiger l’accès, ce que l’employeur doit communiquer, les seules limites qu’il peut opposer, puis comment exploiter les pièces devant le juge.
I. Exiger l’accès à son dossier personnel sur le fondement du RGPD
A. Un droit d’accès direct, sans motivation, utilisable même pendant le litige prud’homal
Le fondement se trouve à l’article 15 du règlement (UE) 2016/679 : « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ». Le texte ajoute la communication des informations qui les accompagnent : finalités du traitement, catégories de données, destinataires, durée de conservation envisagée ou critères utilisés pour la déterminer, existence des droits de rectification, d’effacement, de limitation et d’opposition, droit de réclamation auprès d’une autorité de contrôle, source des données lorsqu’elles n’ont pas été collectées auprès de la personne, et logique de la prise de décision automatisée le cas échéant. Chaque salarié peut donc interroger son employeur, responsable du traitement des données de gestion du personnel, et obtenir bien plus qu’une simple attestation : la copie de ses données et le cadre qui les entoure.
La CNIL confirme que ce droit appartient aux salariés comme aux anciens salariés, qui peuvent s’adresser au service chargé de la gestion des ressources humaines ou au délégué à la protection des données (DPO). Le départ de l’entreprise ne fait donc pas perdre le droit, ce qui compte pour un salarié licencié qui prépare un recours. La demande s’adresse par écrit, de préférence par lettre recommandée avec accusé de réception ou par courriel avec preuve de dépôt, en identifiant précisément le demandeur et le périmètre sollicité : dossier professionnel, évaluations, messagerie sur une période définie, données de badge ou de géolocalisation. La précision du périmètre n’est pas une condition de validité, mais elle prive l’employeur de l’argument commode de la demande « trop large » et accélère le traitement.
Deux précisions changent tout en pratique. D’abord, la demande n’a pas à être motivée : nul n’a à expliquer pourquoi il veut ses données, et l’existence d’un conflit en cours avec l’employeur ne retire rien au droit. Selon la CNIL, l’exercice du droit d’accès n’est pas conditionné : la personne n’a pas à motiver sa demande et peut agir en parallèle d’une procédure contentieuse, par exemple devant le conseil de prud’hommes, ou d’une procédure administrative en cours, sous réserve de ne pas porter atteinte aux droits des tiers. Un employeur ne peut donc pas opposer que « l’affaire est devant les prud’hommes » pour refuser de répondre ; le refus de communication sur ce fondement ne serait pas valable. Ensuite, le délai est strict : l’article 12 du RGPD impose une réponse « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », avec une prolongation possible de deux mois « compte tenu de la complexité et du nombre de demandes », à condition d’en informer la personne dans le premier mois. Passé ce délai sans réponse complète, le salarié peut saisir la CNIL puis le juge, comme on le verra.
La Cour de justice de l’Union européenne a renforcé l’effectivité du droit dans son arrêt du 4 mai 2023, CRIF, C-487/21, point 45, rappelé par la cour d’appel de Rennes le 27 février 2025 : le droit d’obtenir copie suppose la remise d’une reproduction fidèle et intelligible de l’ensemble des données, ce qui peut impliquer la copie d’extraits de documents, voire de documents entiers ou d’extraits de bases de données, lorsque cette communication est indispensable à l’exercice effectif des droits conférés par le règlement, sous réserve des droits et libertés d’autrui. Autrement dit, l’employeur ne satisfait pas à son obligation en adressant un tableau récapitulatif vague ou des extraits expurgés au point d’être incompréhensibles : la copie doit être fidèle et intelligible, et peut prendre la forme des courriels eux-mêmes. Les lecteurs confrontés plus largement à un organisme qui ne répond pas ou répond de façon incomplète trouveront la méthode générale des demandes de droits dans notre analyse des demandes de suppression restées sans réponse : délais, recours devant la CNIL et devant le juge, et réparation, dont les principes de délai et d’escalade s’appliquent de la même façon au droit d’accès.
B. Ce que l’employeur doit communiquer, et les seules limites qu’il peut opposer
Le périmètre du dossier professionnel est large. Selon la CNIL, le salarié peut obtenir l’accès et la communication de l’ensemble des données le concernant, sur support informatique comme sur papier : recrutement, historique de carrière, évaluation des compétences professionnelles avec les entretiens annuels et la notation, demandes de formation et leurs évaluations, dossier disciplinaire, utilisation du badge de contrôle d’accès aux locaux, données issues d’un dispositif de géolocalisation, et tout élément ayant servi à prendre une décision à son égard comme une promotion, une augmentation ou un changement d’affectation, y compris les valeurs de classement annuel parfois appelées ranking ou potentiel de carrière. Les codes, sigles et abréviations figurant dans les documents communiqués doivent être explicités, si nécessaire à l’aide d’un lexique. Pour un salarié menacé de sanction, trois ensembles sont déterminants : le dossier disciplinaire lui-même, les évaluations qui contredisent ou confirment les griefs, et les éléments chiffrés ou classements qui ont servi à la décision.
La messagerie professionnelle mérite une attention particulière, car c’est souvent là que se trouvent les instructions, les alertes et les échanges qui éclairent les faits reprochés. La position de la CNIL est que l’employeur doit fournir tant les métadonnées, horodatage et destinataires, que les données personnelles contenues dans les courriels, et que la communication d’une copie des courriels peut apparaître comme la solution la plus aisée pour satisfaire la demande. La cour d’appel de Rennes l’a confirmé dans un arrêt du 27 février 2025, RG 24/02772, rendu dans l’affaire d’une directrice juridique licenciée pour insuffisance professionnelle qui réclamait l’accès à ses courriels professionnels au visa de l’article 15 du RGPD : la cour a ordonné à la société la transmission des données personnelles demandées, en jugeant que le droit d’accès porte sur les données et que la copie des courriels les contenant constitue le moyen naturel d’y satisfaire, sous réserve des droits des tiers. Cette décision illustre exactement le scénario du salarié en conflit : demande formulée pendant la procédure de licenciement, employeur qui demande des précisions puis invoque le volume, juge qui ordonne la communication.
Car les limites que l’employeur peut opposer sont étroites et doivent être démontrées, jamais affirmées en bloc. La première limite tient aux droits des tiers : secret des correspondances, vie privée des correspondants, secret des affaires, propriété intellectuelle. Mais elle n’autorise pas un refus général ; l’employeur doit examiner les contenus au cas par cas, occulter ou pseudonymiser ce qui porte une atteinte disproportionnée aux droits d’autrui, et communiquer le reste. La CNIL admet une exception ciblée pour les courriels d’enquête disciplinaire : l’employeur peut refuser la communication lorsque le contenu, même caviardé, permettrait au demandeur d’identifier des personnes dont il ne devrait pas avoir connaissance. C’est l’hypothèse des témoignages recueillis sous engagement de confidentialité : si le caviardage ne suffit pas à empêcher l’identification, le refus ponctuel se justifie. En dehors de ce cas, l’argument du « secret » ne tient pas sans justification étayée, pièce par pièce.
La seconde limite invoquée est le caractère prétendument excessif de la demande, souvent brandi quand le volume est important. L’arrêt de Rennes écarte nettement cet argument : « La quantité de données faisant l’objet de la demande ne constitue pas une justification suffisante pour considérer qu’une demande est excessive. Autrement dit le droit d’accès ne comporte aucune réserve générale quant à la proportionnalité en ce qui concerne les efforts que le responsable du traitement doit prendre pour répondre à la demande des personnes concernées au titre de l’article 15 du RGPD. » (cour d’appel de Rennes, 27 février 2025, RG 24/02772) Dans cette affaire, l’employeur faisait valoir quelque 214 000 courriers électroniques et une volumétrie considérable de messages Teams, sans produire de pièces pour démontrer le caractère manifestement infondé ou excessif de la demande ; la cour a relevé qu’il lui appartenait de rapporter cette preuve et qu’il y avait totalement manqué. Le message est clair : le volume ne dispense pas de traiter la demande, et c’est à l’employeur de prouver l’excès manifeste, pas au salarié de prouver la mesure. La cour a assorti l’injonction de communiquer d’une mesure dissuasive : « Dit que cette transmission des données personnelles est assortie d’une astreinte provisoire de 50 euros par jour de retard, à l’expiration du délai de 60 jours suivant la signification de la présente décision, et pour une durée de 90 jours » (cour d’appel de Rennes, 27 février 2025, RG 24/02772) Un refus persistant coûte donc chaque jour, en plus du risque de sanction par la CNIL et de réparation devant le juge.
II. Utiliser le dossier obtenu pour contester la sanction et obtenir réparation
A. Procédure disciplinaire et loyauté de la preuve : les leviers du Code du travail et du RGPD
Une fois le dossier en main, la contestation de la sanction suit deux axes complémentaires : la régularité de la procédure disciplinaire et la loyauté des preuves utilisées par l’employeur. Sur la procédure, le Code du travail pose des garanties que le ministère du Travail résume ainsi : avant d’appliquer la sanction, l’employeur est tenu de respecter une procédure destinée à informer le salarié et à lui permettre d’assurer sa défense, et en cas de litige le conseil de prud’hommes vérifie la régularité de la procédure comme le bien-fondé des faits. Trois règles méritent une vérification systématique à la lumière des pièces obtenues. D’abord, l’article L1332-1 du Code du travail dispose : « Aucune sanction ne peut être prise à l’encontre du salarié sans que celui-ci soit informé, dans le même temps et par écrit, des griefs retenus contre lui. » Les griefs notifiés doivent correspondre aux faits réels : si le dossier révèle que la sanction repose sur des faits différents de ceux notifiés, ou sur des pièces que le salarié n’a jamais pu discuter, l’irrégularité est constituée.
Ensuite, l’article L1332-2 du Code du travail impose la convocation à un entretien préalable avec indication de son objet, audition au cours de laquelle l’employeur indique le motif de la sanction envisagée et recueille les explications du salarié, la sanction ne pouvant intervenir moins de deux jours ouvrables ni plus d’un mois après le jour fixé pour l’entretien. Seuls l’avertissement et les sanctions de même nature sans incidence sur la présence, la fonction, la carrière ou la rémunération échappent à l’entretien. Le dossier permet de vérifier le respect de ces délais et la réalité de l’audition. Enfin, les délais de poursuite protègent le salarié contre les griefs exhumés : l’article L1332-4 du Code du travail prévoit qu’« Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois à compter du jour où l’employeur en a eu connaissance », sauf poursuites pénales engagées dans le même délai, et l’article L1332-5 du Code du travail ajoute qu’« Aucune sanction antérieure de plus de trois ans à l’engagement des poursuites disciplinaires ne peut être invoquée à l’appui d’une nouvelle sanction ». Les métadonnées des courriels et l’historique de carrière obtenus par le droit d’accès permettent précisément de dater la connaissance des faits par l’employeur et de repérer les sanctions prescrites ou amnistiées indûment réutilisées.
Le second axe concerne les preuves que l’employeur entend utiliser : vidéosurveillance, géolocalisation, badge, écoutes ou enregistrements. Ici, le droit du travail et le droit des données personnelles se renforcent mutuellement. L’article L1222-4 du Code du travail dispose : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » L’article L2312-38 du Code du travail ajoute que « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » Et l’article L1121-1 du Code du travail fixe le principe de proportionnalité : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Concrètement, des images de vidéosurveillance installée pour la sécurité des biens mais détournée pour surveiller l’activité sans information des salariés, des données de géolocalisation collectées hors des finalités déclarées, ou des écoutes téléphoniques clandestines fragilisent la preuve de l’employeur et peuvent justifier son écart par le juge.
La Cour de cassation applique désormais un contrôle de proportionnalité sur la recevabilité des preuves illicites ou déloyales en matière prud’homale. Dans son arrêt du 14 février 2024, pourvoi 22-23.073, la chambre sociale a approuvé une cour d’appel qui avait admis des enregistrements de vidéosurveillance après avoir « mis en balance de manière circonstanciée le droit de la salariée au respect de sa vie privée et le droit de son employeur au bon fonctionnement de l’entreprise », en retenant que « la production des données personnelles issues du système de vidéosurveillance était indispensable à l’exercice du droit à la preuve de l’employeur et proportionnée au but poursuivi, de sorte que les pièces litigieuses étaient recevables », avant de rejeter les pourvois. L’enseignement est double et doit être lu sans illusion : une preuve collectée en violation des règles n’est plus automatiquement écartée, mais elle n’est admise que si l’employeur démontre qu’elle était indispensable à l’exercice de son droit à la preuve et proportionnée au but poursuivi, après mise en balance circonstanciée avec le droit au respect de la vie privée du salarié. Pour le salarié, cela signifie qu’il faut attaquer la preuve sur les deux branches : contester l’indispensabilité en montrant que l’employeur disposait d’autres moyens de preuve, et contester la proportionnalité en établissant l’atteinte excessive, la durée ou l’étendue de la surveillance, l’absence d’information préalable et le détournement de finalité. Les données obtenues par le droit d’accès servent ici aussi : paramétrage du dispositif, durées de conservation, destinataires des données et information délivrée figurent parmi les informations que l’employeur doit communiquer.
B. CNIL, prud’hommes et réparation : la méthode pas à pas
Lorsque l’employeur refuse l’accès ou répond de façon incomplète, l’escalade suit un ordre logique qui préserve chaque recours. Première étape, la demande écrite complète : identité, qualité de salarié ou d’ancien salarié, périmètre précis des données, référence à l’article 15 du RGPD, délai d’un mois rappelé, et conservation de la preuve d’envoi et de réception. Joindre une copie d’un titre d’identité si l’employeur peut raisonnablement douter de l’identité du demandeur évite un prétexte de retard. Deuxième étape, en l’absence de réponse dans le mois ou face à une réponse incomplète, la mise en demeure : rappel du délai d’un mois, indication que la prolongation de deux mois suppose une information dans le premier mois, et annonce des recours. Cette mise en demeure interrompt la stratégie du silence et constituera une pièce du dossier prud’homal comme du dossier CNIL.
Troisième étape, la réclamation devant la CNIL. L’article 77 du RGPD prévoit que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». La réclamation se dépose en ligne sur le site de la CNIL, avec la demande initiale, la mise en demeure et les réponses partielles. La CNIL peut intervenir auprès de l’organisme, comme elle l’a fait dans l’affaire jugée à Rennes où son courrier rappelait à l’employeur l’obligation d’informer la personne des motifs de son inaction et des voies de recours, puis mettre en demeure l’organisme et prononcer des sanctions en cas de manquement persistant. Cette voie administrative ne suspend pas les délais du litige prud’homal : elle se mène en parallèle, et ses constats nourrissent le dossier judiciaire.
Quatrième étape, le juge. Deux demandes peuvent être portées devant lui, ensemble ou successivement. D’une part, l’injonction de communiquer sous astreinte, sur le fondement du droit d’accès et du droit au recours juridictionnel effectif, que l’article 79 du RGPD garantit à « chaque personne concernée » qui considère que ses droits ont été violés du fait d’un traitement effectué en violation du règlement. L’arrêt de Rennes montre que le juge ordonne la transmission avec une astreinte provisoire et se réserve la liquidation, ce qui rend le refus coûteux. Si l’employeur oppose en justice l’atteinte aux droits des tiers pour des courriels d’enquête disciplinaire, la CNIL rappelle que le salarié peut demander au juge la production des pièces litigieuses dans le cadre du contentieux, sous réserve que cette production soit nécessaire et que l’atteinte soit proportionnée au but poursuivi : le débat se déplace alors devant le juge, qui tranche pièce par pièce. D’autre part, la contestation de la sanction elle-même devant le conseil de prud’hommes, territorialement celui du lieu de travail, à Paris le conseil de prud’hommes de Paris pour les salariés franciliens dont l’employeur y est établi. L’article L1333-2 du Code du travail donne au juge le pouvoir d’annuler « une sanction irrégulière en la forme ou injustifiée ou disproportionnée à la faute commise ». L’irrégularité de forme couvre les vices de procédure disciplinaire ; le caractère injustifié ou disproportionné s’apprécie au regard des pièces, y compris celles arrachées par le droit d’accès et celles écartées comme preuves déloyales.
Cinquième étape, la réparation. L’article 82 du RGPD dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le salarié doit établir la violation, le dommage et le lien entre les deux : stress et démarches causés par des mois de refus, perte d’une chance de se défendre utilement dans la procédure disciplinaire faute d’accès au dossier, atteinte à la vie privée par une surveillance disproportionnée. L’indemnisation RGPD se cumule avec les conséquences prud’homales de l’annulation de la sanction, rappel de salaire en cas de mise à pied annulée, dommages et intérêts pour licenciement sans cause réelle et sérieuse si la sanction annulée était un licenciement. En pratique parisienne, constituer le dossier dès la convocation, exercer le droit d’accès sans attendre l’entretien, et faire constater chaque refus par écrit donne au salarié l’initiative du calendrier au lieu de la subir.
En résumé, face à un employeur qui refuse de montrer le dossier personnel, le salarié n’est pas démuni : le droit d’accès de l’article 15 du RGPD s’exerce sans motivation et même pendant le litige, l’employeur doit répondre dans le mois avec une copie fidèle et intelligible des données, les seuls refus admissibles concernent les droits des tiers démontrés au cas par cas, et le volume des données ne justifie jamais à lui seul un refus. Les pièces obtenues alimentent la contestation de la sanction sur la procédure comme sur la loyauté des preuves, sous le contrôle de proportionnalité désormais exercé par le juge prud’homal. Et chaque manquement de l’employeur ouvre un recours : réclamation devant la CNIL, injonction sous astreinte devant le juge, annulation de la sanction et réparation du préjudice. La méthode compte autant que le droit : demander tôt, écrire toujours, dater chaque étape, et ne jamais accepter un refus oral.