Vous recevez une convocation à un entretien préalable. La lettre vise des manquements établis, selon votre employeur, par des courriels extraits de votre messagerie professionnelle. Ou, plus brutalement, votre responsable vous place sous les yeux des copies d’écran de messages que vous pensiez privés, imprimés depuis votre boîte professionnelle. Premier réflexe : la colère, puis l’inquiétude. Votre employeur avait-il le droit d’ouvrir ces messages ? Peut-il s’en servir pour vous sanctionner, voire vous licencier ? Et que pouvez-vous faire, concrètement, dans les jours qui suivent ?
La réponse tient en trois temps. D’abord, tout ce qui transite par votre messagerie d’entreprise n’appartient pas à votre employeur : les messages identifiés comme personnels restent couverts par le secret des correspondances. Ensuite, même pour les messages professionnels, l’employeur ne peut contrôler qu’à condition d’avoir informé les salariés, consulté les représentants du personnel et respecté une stricte proportionnalité. Enfin, lorsque la sanction tombe, le juge prud’homal ne valide pas automatiquement la preuve tirée des courriels : depuis un revirement majeur de 2023, il met en balance le droit à la preuve de l’employeur et votre droit au respect de la vie personnelle. Parallèlement, le règlement européen sur les données personnelles vous donne des droits directs : accès à vos données, effacement, plainte devant la CNIL et réparation du préjudice subi.
Cet article décrit ces règles dans l’ordre où vous les rencontrerez : ce que l’employeur peut lire, les conditions de tout contrôle, puis les recours, de la contestation du licenciement à l’indemnisation.
I. Ce que votre employeur a le droit de lire dans votre messagerie professionnelle
A. Les messages professionnels sont présumés professionnels, les messages marqués personnels restent secrets
Le point de départ est simple et il est rappelé par la CNIL : Par défaut, les messages qui transitent par la boîte professionnelle sont regardés comme professionnels ; seuls ceux que vous avez expressément signalés comme privés, par une mention dans l’objet ou par un classement dans un dossier dédié, échappent à cette présomption, comme le rappelle la CNIL à propos de l’accès de l’employeur à la messagerie professionnelle.. Autrement dit, la présomption joue en faveur de l’employeur, mais elle se renverse dès que vous avez pris la peine d’identifier le message comme privé. Deux gestes suffisent : mentionner « Personnel » ou « Privé » dans l’objet, ou ranger le message dans un dossier intitulé « Personnel ». Un message transféré dans votre boîte personnelle sans ce marquage, ou une conversation privée tenue depuis l’adresse professionnelle sans précaution, restera présumé professionnel.
Cette distinction n’est pas une simple commodité informatique. La CNIL précise qu’les messages ainsi signalés relèvent de la correspondance privée, dont l’employeur doit respecter le secret (même source CNIL). Ouvrir un tel message expose l’employeur à des sanctions pénales : « Le fait, commis de mauvaise foi, d’ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers, ou d’en prendre frauduleusement connaissance, est puni d’un an d’emprisonnement et de 45 000 euros d’amende. » (article 226-15 du code pénal). Le second alinéa du même texte vise expressément les correspondances émises, transmises ou reçues par la voie électronique. Le fondement civil est tout aussi net : « Chacun a droit au respect de sa vie privée. » (article 9 du code civil).
Il existe toutefois deux situations où la protection du marquage personnel s’efface. La première est l’enquête judiciaire en cours : si vous êtes soupçonné d’un vol de secrets de l’entreprise, par exemple, l’autorité judiciaire peut ordonner l’accès. La seconde est l’autorisation du juge : votre employeur peut demander au juge de désigner un commissaire de justice qui prendra connaissance des messages dans des conditions contrôlées, avec tri entre le personnel et le professionnel. Hors de ces deux cas, l’employeur qui ouvre en douce un message marqué « Personnel » prend un risque pénal et prud’homal à la fois.
En cas de litige, la CNIL renvoie d’ailleurs expressément au juge : en cas de conflit, ce sont les tribunaux qui contrôlent la régularité et la proportionnalité de l’accès de l’employeur à la messagerie (même source CNIL). Retenez donc la règle pratique : n’utilisez jamais votre messagerie professionnelle pour des échanges sensibles, et marquez systématiquement comme personnels ceux qui le sont. À l’inverse, si votre employeur vous oppose des messages que vous aviez marqués comme personnels, conservez la preuve de ce marquage : captures d’écran du dossier, objet du message, témoins. Ce détail conditionne souvent l’issue du litige.
Une précision symétrique s’impose pour les salariés tentés de se constituer des preuves en copiant massivement des courriels de l’entreprise : la Cour de cassation applique la même balance des intérêts aux deux parties. Un enregistrement réalisé à l’insu de son auteur n’est admis que s’il est indispensable et strictement proportionné, comme l’a jugé la deuxième chambre civile le 6 juin 2024 à propos d’un enregistrement clandestin produit par un salarié (Cour de cassation, 2e chambre civile, 6 juin 2024, n° 22-11.736). Ne transférez donc jamais des secrets d’affaires ou des données de tiers vers votre boîte personnelle : vous retourneriez contre vous une arme destinée à vous défendre.
B. Aucun contrôle sans information préalable, consultation du CSE et mesure proportionnée
Même pour les messages présumés professionnels, l’employeur ne dispose pas d’un droit de regard discrétionnaire. Le code du travail pose une condition préalable absolue : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » (article L1222-4 du code du travail). Le mot important est « préalablement » : une note de service diffusée après la mise en place du dispositif, ou une information donnée le jour même de l’ouverture de la boîte, ne suffit pas. L’information doit décrire le dispositif, sa finalité et les droits du salarié, et elle intervient généralement par la charte informatique annexée au règlement intérieur, par une note de service dédiée ou par un avenant au contrat. Vérifiez donc, dès la convocation reçue, quel document vous a informé, à quelle date, et ce qu’il disait exactement : l’absence d’information préalable rend la preuve illicite.
Deuxième condition, la consultation des représentants du personnel : « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » (article L2312-38 du code du travail). La Cour de cassation applique ce texte avec rigueur, y compris lorsque le dispositif n’avait pas été installé dans un but de surveillance : dès qu’il sert à contrôler l’activité des salariés, il aurait dû être soumis au comité. Dans un arrêt du 10 novembre 2021, la chambre sociale rappelle que « les salariés concernés doivent être informés, préalablement à la mise en oeuvre d’un traitement de données à caractère personnel », et que « le comité d’entreprise est informé et consulté, préalablement à la décision de mise en oeuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés » (Cour de cassation, chambre sociale, 10 novembre 2021, n° 20-12.263). Dans cette affaire, une note de service postérieure à l’installation du dispositif n’avait pas suffi à informer valablement les salariés. Transposez ce raisonnement à votre messagerie : un logiciel d’archivage, de filtrage ou de journalisation des courriels mis en place sans consultation du comité social et économique fragilise toute sanction fondée sur les messages ainsi collectés.
Troisième condition, la proportionnalité. Le code du travail dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » (article L1121-1 du code du travail). Le règlement européen sur les données personnelles dit la même chose avec ses propres mots : les données doivent être « traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) » et « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) » (articles 5 du règlement (UE) 2016/679). Et « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie », parmi lesquelles l’exécution du contrat ou l’intérêt légitime de l’employeur mis en balance avec vos droits (article 6 du même règlement).
Concrètement, l’employeur doit justifier d’une finalité déterminée : sécurité du système d’information, prévention des fuites de données, respect d’une obligation légale de conservation. La surveillance ne peut être ni permanente, ni généralisée, ni détournée. L’ouverture ponctuelle et ciblée de la boîte d’un salarié absent, pour assurer la continuité du service, se défend ; la lecture systématique de tous les courriels d’une équipe pendant des mois, sans incident ni soupçon précis, ne passe pas le test. De même, l’accès pendant vos congés, la fouille des dossiers marqués personnels ou l’exploitation de messages sans rapport avec le motif disciplinaire invoqué signalent un contrôle disproportionné. Les durées de conservation doivent elles aussi rester limitées : les journaux et archives de messagerie ne peuvent être gardés indéfiniment, et les messages des salariés partis doivent être triés puis supprimés selon une politique connue.
Ces garanties rejoignent celles qui encadrent les autres outils de surveillance au travail, dont les dispositifs de géolocalisation ou d’enregistrement permanent : pour une présentation détaillée des recours contre les contrôles intrusifs comparables, vous pouvez lire notre analyse des dispositifs de surveillance imposés aux salariés et des moyens de les contester. La logique est identique : information préalable, consultation des représentants, finalité légitime et mesure strictement nécessaire.
II. Convoqué ou sanctionné sur la base de vos courriels : les recours concrets
A. Contester la preuve et la sanction devant le conseil de prud’hommes
Vous êtes convoqué à un entretien préalable ? Le code du travail impose à l’employeur de vous convoquer « avant toute décision, à un entretien préalable », par lettre recommandée ou remise en main propre, et précise que « L’entretien préalable ne peut avoir lieu moins de cinq jours ouvrables après la présentation de la lettre recommandée ou la remise en main propre de la lettre de convocation. » (article L1232-2 du code du travail). Ce délai de cinq jours ouvrables n’est pas une formalité : utilisez-le. Rassemblez la charte informatique, les notes de service reçues, les avis et procès-verbaux du comité social et économique, et la copie exacte des messages qui vous sont reprochés. Présentez-vous à l’entretien accompagné d’un collègue ou d’un représentant du personnel, contestez par écrit les griefs tirés des courriels et demandez que vos observations figurent au compte rendu. Ne démissionnez pas sous la pression et ne signez aucune reconnaissance de faute le jour même : une fois la sanction notifiée, c’est la lettre de licenciement qui fixe les limites du litige, et vos réserves écrites précoces pèseront devant le juge.
Devant le conseil de prud’hommes, votre premier axe de défense porte sur la régularité de la preuve. Pendant longtemps, toute preuve obtenue de façon déloyale, à l’insu du salarié, était purement et simplement écartée. Ce temps est révolu : par un arrêt d’assemblée plénière du 22 décembre 2023, la Cour de cassation juge désormais que « l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats » (Cour de cassation, assemblée plénière, 22 décembre 2023, n° 20-20.648). Le juge doit « apprécier si une telle preuve porte une atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit à la preuve et les droits antinomiques en présence », et le droit à la preuve ne justifie la production d’éléments portant atteinte à d’autres droits qu’à condition que « cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi » (même arrêt).
Ce nouveau test joue dans les deux sens, et vous devez l’utiliser à votre profit. Demandez au juge de vérifier, point par point : l’employeur disposait-il d’un autre moyen de prouver les faits, par exemple des témoignages, des journaux de connexion anonymisés ou un audit contradictoire ? L’ouverture de votre boîte était-elle ciblée sur les messages en lien avec les griefs, ou l’employeur a-t-il pêché au chalut dans des années de correspondance ? Les messages personnels ont-ils été triés et écartés, ou figurent-ils au dossier ? Plus l’employeur a ratissé large alors qu’il disposait d’alternatives, plus la balance penche vers l’écartement de la preuve. Et même écartée ou admise, une preuve irrégulière colore l’appréciation de la faute : un licenciement bâti sur des messages obtenus en violation du secret des correspondances ou sans information préalable part avec un sérieux handicap.
Votre deuxième axe porte sur les conditions de fond du contrôle, telles que la chambre sociale les a rappelées : « L’illicéité d’un moyen de preuve, au regard des dispositions susvisées, n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi. » (Cour de cassation, chambre sociale, 10 novembre 2021, n° 20-12.263). Faites constater l’absence d’information préalable, le défaut de consultation du comité, l’absence de charte ou son caractère postérieur au contrôle, et la disproportion entre les moyens déployés et le but affiché. Chacun de ces manquements, pris isolément, fragilise la preuve ; ensemble, ils conduisent le juge à juger le licenciement sans cause réelle et sérieuse.
Surveillez enfin le délai pour agir : « Toute action portant sur la rupture du contrat de travail se prescrit par douze mois à compter de la notification de la rupture. » (article L1471-1 du code du travail). Douze mois à compter de la notification, pas de la convocation : ne laissez pas passer ce délai en attendant une hypothétique négociation. Vos demandes devant le conseil comprendront, selon les cas, la contestation du bien-fondé de la sanction, le rappel des salaires et indemnités retenus, des dommages et intérêts pour licenciement sans cause réelle et sérieuse, la remise des documents de fin de contrat rectifiés et, lorsque la surveillance a causé un préjudice distinct, une indemnisation spécifique au titre de l’atteinte à vos droits.
B. Accéder à vos données, saisir la CNIL et obtenir réparation
Parallèlement au litige prud’homal, le règlement européen vous donne des droits que vous exercez directement contre votre employeur, sans attendre l’audience. Le premier est le droit d’accès : « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel » (article 15 du règlement (UE) 2016/679). La CNIL confirme que ce droit bénéficie aux salariés pour leurs courriels : tout salarié peut exiger de son employeur la communication des données détenues sur lui, y compris celles figurant dans les courriels (CNIL, Le droit d’accès des salariés à leurs données et aux courriels professionnels, fiche mise à jour le 31 janvier 2025). Concrètement, écrivez à votre employeur, en recommandé avec accusé de réception, pour demander la copie de l’ensemble des données vous concernant : messages collectés, journaux de connexion, rapports d’audit, destinataires auxquels ils ont été transmis et durée de conservation prévue. Le règlement oblige l’employeur à faciliter cet exercice : « Le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. » (article 12 du même règlement). Et la réponse doit arriver vite : l’employeur fournit les informations « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande » (même article). L’absence de réponse dans ce délai, ou une réponse incomplète, constitue en soi un manquement que vous verserez au dossier prud’homal et à votre plainte.
Le deuxième droit utile est l’effacement. Lorsque les messages ne sont plus nécessaires à la finalité affichée, ou que le traitement était illicite, « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant » (article 17 du même règlement). Visez en particulier les messages personnels indûment ouverts, les archives conservées au-delà de la durée annoncée et les copies détenues par des destinataires internes sans besoin d’en connaître. Si l’employeur refuse ou garde le silence, ce refus motivera la saisine de la CNIL.
La plainte devant la CNIL suppose en effet une démarche préalable : écrivez d’abord à l’employeur ou à son délégué à la protection des données, conservez les preuves d’envoi, puis saisissez la Commission en joignant ces échanges. La CNIL peut contrôler l’entreprise, ordonner une mise en conformité et prononcer des sanctions financières. Elle ne vous indemnisera pas elle-même, et elle décline toute compétence sur l’appréciation prud’homale de la preuve, mais son intervention pèse lourd : une mise en demeure ou une sanction de la Commission établit publiquement le manquement et nourrit votre demande de réparation devant le juge.
Car la réparation existe, et elle est autonome du sort du licenciement : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (article 82 du même règlement). Le préjudice moral se caractérise par l’anxiété née de la surveillance, l’atteinte à la vie privée, la réputation écornée auprès des collègues ; le préjudice matériel, par la perte de chance, les frais exposés ou la retenue sur salaire liée à une sanction injustifiée. Chiffrez ces postes avec pièces : attestations, certificats, relevés. Même si le licenciement était fondé sur des faits réels, la surveillance illicite qui l’a révélé ouvre droit à une indemnisation propre.
Un dernier cas, fréquent et mal connu : le départ de l’entreprise. Les analyses de la presse juridique et des praticiens convergent : à votre départ, l’employeur doit fermer votre accès, mettre en place un message d’absence temporaire avec redirection vers votre remplaçant, puis supprimer ou archiver la boîte selon une durée annoncée, en vous laissant récupérer vos messages personnels identifiés comme tels. Vérifiez ce qu’il advient de votre adresse : un alias qui continue de recevoir vos courriels personnels des mois après votre départ, sans information ni base légale, caractérise un traitement illicite que vous pouvez faire cesser par une demande d’effacement puis, au besoin, par une plainte. C’est d’ailleurs l’angle mort de la plupart des chartes internes, qui décrivent la surveillance des actifs mais oublient le sort des boîtes des partants : un point à soulever systématiquement dans vos courriers.
Conclusion
La messagerie professionnelle n’est ni un coffre inviolable ni un livre ouvert à la discrétion de l’employeur. Les messages marqués comme personnels restent couverts par le secret des correspondances, pénalement sanctionné. Tout contrôle des messages professionnels exige une information préalable des salariés, une consultation du comité social et économique et une mesure strictement proportionnée à une finalité légitime. Depuis l’arrêt d’assemblée plénière du 22 décembre 2023, le juge prud’homal n’écarte plus automatiquement les preuves déloyales, mais il les soumet à un test exigeant : indispensabilité et proportionnalité stricte, à défaut de quoi la sanction s’effondre. Et parallèlement, vos droits d’accès, d’effacement et de réparation vous donnent des leviers immédiats, y compris après votre départ.
Face à une convocation fondée sur vos courriels, l’ordre des opérations est donc le suivant : vérifier le marquage des messages et les documents d’information et de consultation, exiger par écrit la copie de vos données, contester la sanction dans les délais et saisir la CNIL en cas de manquement persistant. Chaque étape laisse une trace écrite, et ces traces font les dossiers qui gagnent.