Un salarié peut demander à son employeur les données personnelles qui le concernent dans son dossier professionnel, les relevés de badge, les données de géolocalisation, les indicateurs d’activité ou les informations produites par un outil numérique. La demande ne porte donc pas seulement sur les documents remis lors de l’embauche ou sur la paie. Elle peut aussi viser les traces créées par un logiciel de gestion des temps, une application de suivi des interventions, un outil de recrutement ou un système d’évaluation. La difficulté consiste à distinguer ce qui se rapporte réellement au salarié, ce qui concerne des tiers et ce qui relève d’un document de travail ou d’un secret protégé.

Le droit d’accès prévu par l’article 15 du règlement général sur la protection des données (RGPD) permet de connaître les traitements effectués, d’obtenir une copie intelligible et de contrôler l’exactitude des informations. Il ne transforme pas pour autant toute base informatique en dossier communicable sans tri. L’employeur doit répondre, mais il doit aussi protéger les autres personnes, les secrets et la sécurité de son système. Une demande trop large peut donc être précisée, tandis qu’un refus global et non expliqué peut être contesté.

L’analyse ci-dessous vise l’accès aux données d’un salarié pendant ou après la relation de travail. Elle traite séparément la protection des données, les obligations d’information issues du Code du travail et la recherche de pièces pour un contentieux prud’homal. Les courriels professionnels ont déjà fait l’objet d’une décision spécifique de la Cour de cassation ; l’angle retenu ici porte surtout sur le dossier RH, les journaux techniques et les outils de contrôle de l’activité, qui exigent une méthode de demande différente.

Les textes et décisions cités sont ceux vérifiés dans le présent run. Ils donnent une grille générale : identifier le responsable du traitement, décrire les catégories de données, circonscrire la période, protéger les tiers et conserver la preuve de chaque étape. Le contrat de travail, les chartes informatiques et les accords collectifs peuvent ajouter des règles, mais ils ne permettent pas d’écarter les droits qui résultent du RGPD.

I. Quelles données un salarié peut-il demander à son employeur ?

A. Identifier le responsable, les traitements et les données réellement personnelles

Le point de départ est la définition européenne. L’article 4, point 1, du RGPD vise toute information se rapportant à une personne physique identifiée ou identifiable. Le même article définit le traitement comme toute opération appliquée à des données, notamment la collecte, la conservation, la consultation, l’extraction ou la communication, et le responsable comme l’organisme qui détermine les finalités et les moyens. Ces définitions figurent dans le texte intégral du RGPD, aux articles 4, points 1, 2 et 7.

Dans une entreprise, l’employeur est en principe le responsable du traitement des données de gestion du personnel et des dispositifs de contrôle qu’il décide de mettre en place. Un éditeur de logiciel de paie, un hébergeur ou un prestataire de gestion des temps peut agir comme sous-traitant lorsqu’il traite les données pour le compte de l’employeur. La présence d’un prestataire ne déplace pas la demande vers un interlocuteur inconnu : le salarié doit d’abord identifier l’organisme qui fixe la finalité du traitement et lui demander les coordonnées du service compétent ou du délégué à la protection des données.

Cette qualification évite de confondre trois objets. Le premier est la donnée personnelle du salarié : une date d’entrée, une évaluation, un identifiant, un relevé de connexion ou une localisation rattachable à son activité. Le deuxième est la donnée d’un collègue, d’un client ou d’un candidat, qui peut apparaître dans le même fichier mais ne peut pas être communiquée telle quelle. Le troisième est le fonctionnement général du logiciel, son code ou sa documentation commerciale, qui n’est pas automatiquement une donnée concernant le salarié. La demande doit donc viser les informations personnelles produites ou utilisées dans le traitement, et non une remise générale de l’outil.

Le principe de minimisation confirme cette limite. L’article 5, paragraphe 1, point c), du RGPD exige que les données soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Le texte impose aussi la loyauté, l’exactitude, la limitation de la conservation et la sécurité. Ces exigences sont vérifiables dans l’article 5 du RGPD. Elles s’appliquent à la collecte par l’employeur comme à la réponse apportée au salarié.

Le Code du travail ajoute une règle d’information préalable. L’article L. 1222-4 dispose précise qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. L’article L. 1222-4 du Code du travail ne crée pas un droit automatique à l’effacement des traces collectées, mais il permet de vérifier si le dispositif et sa finalité ont été présentés avant sa mise en œuvre.

La restriction apportée à la vie privée au travail doit en outre être justifiée par la tâche et proportionnée au but recherché. C’est la règle de l’article L. 1121-1 du Code du travail, qui encadre le choix du dispositif, son intensité et les informations conservées. Une collecte annoncée pour la sécurité ne peut donc pas être étendue, sans justification, à une surveillance permanente de la productivité.

Lorsque le dispositif sert à évaluer le travail, l’article L. 1222-3 du Code du travail impose que le salarié soit expressément informé, avant leur mise en œuvre, des méthodes et techniques d’évaluation utilisées. Les résultats restent confidentiels et les méthodes doivent être pertinentes au regard de la finalité poursuivie. Le texte est reproduit dans l’article L. 1222-3 du Code du travail. Une demande d’accès peut ainsi rechercher la fiche d’évaluation, les critères appliqués et les résultats associés, sans exiger la divulgation de tout le savoir-faire de l’éditeur.

La base juridique du traitement ne se déduit pas de la seule existence du contrat de travail. L’article 6 du RGPD énumère plusieurs fondements, dont l’exécution du contrat, une obligation légale ou un intérêt légitime qui ne doit pas prévaloir sur les droits fondamentaux de la personne. L’article 6 du RGPD doit être lu avec l’article 5 : une finalité annoncée pour gérer les horaires ne justifie pas nécessairement une réutilisation permanente pour mesurer la vitesse ou la productivité.

Les outils d’intelligence artificielle ou de scoring appellent une vérification supplémentaire. Si une décision produisant un effet juridique ou une incidence significative est fondée exclusivement sur un traitement automatisé, l’article 22 du RGPD reconnaît à la personne concernée un droit de ne pas y être soumise, sous réserve des exceptions et des garanties prévues par ce texte. L’article impose notamment, dans certaines hypothèses, une intervention humaine, la possibilité d’exprimer son point de vue et de contester la décision : ces garanties sont détaillées dans l’article 22 du RGPD. Le droit d’accès permet alors de demander l’existence du profilage, sa logique utile et les conséquences envisagées, sans confondre cette information avec une remise du code source.

Avant d’écrire, le salarié a donc intérêt à cartographier les traitements. Il peut lister le dossier RH, la paie, les entretiens, les absences, les formations, les badgeuses, la géolocalisation, les connexions à distance, les outils de ticketing, les enregistrements téléphoniques et les scores de productivité. Pour chaque outil, il faut noter la finalité annoncée, la période d’utilisation, le service qui y accède, le prestataire éventuel et la façon dont les résultats ont été utilisés. Cette cartographie transforme une demande générale en catégories vérifiables et réduit le risque de recevoir une réponse limitée à un seul fichier.

B. Délimiter la copie : dossier RH, journaux, géolocalisation et évaluations

L’article 15, paragraphe 1, du RGPD donne d’abord le droit d’obtenir la confirmation qu’un traitement existe et l’accès aux données. Il prévoit aussi la communication des finalités, des catégories de données, des destinataires, de la durée de conservation ou de ses critères, de la source lorsque les données n’ont pas été recueillies auprès du salarié, ainsi que l’existence d’une décision automatisée. La liste complète figure dans l’article 15, paragraphe 1, du RGPD. La demande peut reprendre ces rubriques pour éviter une réponse réduite à une simple extraction de noms et de dates.

Le paragraphe 3 du même article prévoit la fourniture d’une copie des données faisant l’objet du traitement. La Cour de justice a précisé la portée de cette copie dans son arrêt Österreichische Datenschutzbehörde et CRIF du 4 mai 2023, affaire C-487/21. La Cour exige une reproduction fidèle et intelligible de l’ensemble des données et admet la copie d’extraits de documents, voire de documents entiers ou de bases de données, lorsque cette contextualisation est indispensable à l’exercice effectif des droits. Elle rappelle en même temps que les droits et libertés d’autrui doivent être pris en compte. Ces motifs et le dispositif sont lisibles sur la décision intégrale de la Cour de justice dans l’affaire C-487/21.

Cette solution conduit à distinguer la donnée et le support. Un relevé de badge peut être transmis sous forme de tableau si ce format restitue fidèlement les dates et les accès concernant le salarié. Une capture ou un export de l’écran de supervision peut devenir nécessaire si elle seule permet de comprendre le score attribué ou l’alerte déclenchée. En revanche, la personne n’obtient pas, par le seul article 15, un droit général à la configuration complète du logiciel, aux informations sur tous les utilisateurs ou aux documents commerciaux du fournisseur. Le besoin de contexte doit être démontré par la finalité de la demande.

La CNIL indique qu’un salarié peut demander les données de son dossier professionnel, notamment les informations relatives au recrutement, à la carrière, à la rémunération, à l’évaluation des compétences et au dossier disciplinaire. Elle rappelle aussi que les relevés de badgeuses, les enregistrements et les messages professionnels peuvent entrer dans le périmètre lorsque ces informations le concernent. Ces indications figurent dans la page RGPD en pratique : protéger les données de vos collaborateurs et dans la fiche CNIL consacrée aux règles de gestion du personnel. Il faut cependant vérifier, pour chaque élément, s’il se rapporte au demandeur et si une partie concerne des tiers.

La géolocalisation offre un exemple concret. La CNIL indique que le salarié doit pouvoir accéder aux données enregistrées par le dispositif, telles que les dates, les heures de circulation et les trajets, et pouvoir désactiver la collecte hors temps de travail dans les conditions prévues. Elle distingue les finalités de sécurité, d’organisation des tournées et de preuve des interventions, et rappelle que le suivi permanent n’est pas permis pour contrôler l’employé. Les règles et les limites sont exposées dans la fiche CNIL sur la géolocalisation des véhicules des salariés. Une demande peut donc viser les trajets d’une période précise, le paramétrage de la collecte, les personnes habilitées et la durée de conservation annoncée.

Les journaux informatiques doivent être formulés avec la même précision. Tous les logs est une expression trop indéterminée. Il est préférable de demander, par exemple, les connexions au logiciel de gestion des temps pour une période déterminée, les événements rattachés à son identifiant, les alertes générées à son sujet et la liste des destinataires internes. Si l’employeur soutient que le journal contient des informations techniques étrangères au salarié, il peut produire les lignes pertinentes ou masquer les champs sans rapport, mais il doit expliquer le traitement réservé aux catégories demandées.

Le droit des tiers constitue une limite réelle. L’article 15, paragraphe 4, du RGPD précise que la copie ne doit pas porter atteinte aux droits et libertés d’autrui. La CNIL cite notamment la vie privée, le secret des correspondances, le secret des affaires et la propriété intellectuelle. Une adresse personnelle, un numéro de compte, un commentaire nominatif sur un collègue ou une information client peuvent être occultés, pseudonymisés ou communiqués sous une forme qui protège la personne concernée. L’article 15, paragraphe 4, du RGPD n’autorise cependant pas un refus indifférencié de tout le fichier.

La demande doit aussi éviter de solliciter les données de comparaison de collègues sans expliquer le but poursuivi. Si un salarié prépare une contestation d’inégalité de traitement, il peut décrire la catégorie de pièces recherchée et demander que les identifiants, coordonnées et informations sans lien avec le litige soient masqués. Le juge pourra ensuite apprécier ce qui est indispensable à la preuve. Cette démarche protège les tiers et montre que le demandeur ne cherche pas à obtenir une base RH complète.

Une vérification d’identité peut être demandée si l’organisme nourrit un doute raisonnable, mais elle doit rester proportionnée. La CNIL précise qu’une carte d’identité n’est pas automatiquement nécessaire lorsque l’employeur connaît déjà le salarié et que la demande est adressée depuis un canal professionnel identifié. Elle interdit les justificatifs abusifs, non pertinents ou disproportionnés. La règle est rappelée dans la fiche CNIL sur le droit d’accès aux données détenues par un organisme.

Le responsable ne peut pas conditionner la réponse ordinaire à un versement. L’article 12, paragraphe 5, du RGPD prévoit seulement des exceptions lorsque la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif, et il appartient alors au responsable d’en démontrer le caractère. La première copie doit donc être distinguée d’une copie supplémentaire ou d’une demande réellement abusive. Le texte applicable est l’article 12, paragraphe 5, du RGPD.

II. Comment exercer le droit d’accès et réagir à un refus ?

A. Formuler une demande exploitable et suivre la réponse

La demande doit être adressée à l’employeur ou au service indiqué dans la notice d’information, avec copie au délégué à la protection des données lorsqu’il existe. Un objet explicite, tel que Exercice du droit d’accès – données RH et outils de suivi, facilite le classement. Le salarié doit indiquer son identité, son poste ou son ancien poste, les outils concernés, les catégories de données et la période. Il peut demander une réponse électronique dans un format courant et préciser qu’il souhaite les informations prévues à l’article 15, paragraphe 1, ainsi qu’une copie des données dans leur contexte lorsque celle-ci est nécessaire pour les comprendre.

Une formulation utile peut demander séparément : le dossier RH et ses versions, les évaluations et critères utilisés, les relevés de temps et de badge, les données de géolocalisation, les événements liés à l’identifiant informatique, les données transmises à des prestataires, les destinataires internes, la source des informations et la durée de conservation. Chaque catégorie doit être reliée à une période et à une finalité. Si une donnée a servi à une décision de rémunération, de sanction, de mobilité ou de rupture, il faut le signaler afin que le responsable puisse retrouver le traitement concerné.

Le demandeur doit conserver le texte envoyé, les pièces jointes, l’accusé de réception et les réponses automatiques. Une capture du portail de droits peut être utile lorsque la demande passe par un formulaire qui ne permet pas d’exporter l’historique. La CNIL recommande de garder une copie de la démarche et de ses justificatifs avant toute réclamation. Cette précaution ne crée pas une formalité nouvelle : elle permet de prouver le contenu exact de la demande et la date à laquelle elle a été reçue.

Le RGPD fixe une règle précise pour la réponse. L’article 12, paragraphe 3, impose au responsable de fournir les informations sur les mesures prises dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie, mais le responsable doit informer le salarié de la prolongation et de ses motifs dans le même délai initial. Ces règles figurent dans l’article 12, paragraphe 3, du RGPD.

Une réponse partielle n’est pas nécessairement un refus. Elle doit identifier les catégories communiquées, préciser celles qui n’existent pas ou ne sont plus conservées et expliquer, pour chaque occultation, le droit ou la liberté protégé. Une invocation générale du secret, de la sécurité ou du volume ne permet pas de comprendre le tri réalisé. Le salarié peut demander une réponse complémentaire en reprenant uniquement les catégories manquantes et en proposant un périmètre plus précis pour les journaux volumineux.

Lorsque le responsable ne donne pas suite, l’article 12, paragraphe 4, lui impose d’expliquer les motifs de son inaction et d’indiquer la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Cette information doit parvenir au demandeur au plus tard dans le délai d’un mois prévu par le texte. L’article 12, paragraphe 4, du RGPD doit être cité avec la réponse qui invoque ce refus.

La saisine de la CNIL intervient après une démarche identifiable auprès de l’organisme. L’article 77 du RGPD reconnaît le droit d’introduire une réclamation auprès de l’autorité de contrôle, notamment dans l’État du lieu de travail ou de la résidence habituelle. L’article 79 ouvre en parallèle un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant. Les deux voies sont reproduites dans les articles 77 et 79 du RGPD. Le dossier transmis doit contenir la demande initiale, les relances utiles, la réponse reçue et une liste précise des données manquantes.

Le droit d’accès peut révéler une erreur. Une date d’absence, un commentaire d’évaluation ou un indicateur d’activité inexact peut alors faire l’objet d’une demande de rectification sur le fondement de l’article 16 du RGPD. Lorsque la conservation doit être maintenue pour un litige mais que l’utilisation est contestée, l’article 18 permet de demander la limitation du traitement dans les hypothèses qu’il prévoit. Ces droits sont distincts de l’accès et ne doivent pas être présentés comme une demande de suppression générale du dossier.

B. Préserver la preuve et saisir le juge ou la CNIL sans confondre les régimes

Le droit d’accès et la communication judiciaire de pièces poursuivent des objectifs différents. L’article 15 du RGPD donne accès aux données personnelles et aux informations sur leur traitement. L’article 145 du Code de procédure civile permet, avant tout procès, de demander une mesure d’instruction lorsqu’il existe un motif légitime de conserver ou d’établir la preuve de faits dont peut dépendre la solution du litige. Le texte en vigueur, qui précise aussi la compétence territoriale, est disponible sur l’article 145 du Code de procédure civile. Une demande fondée sur ce texte doit donc exposer le litige envisagé et la nécessité de la pièce, et non seulement reprendre une liste de données personnelles.

La Cour d’appel de Versailles a illustré cette articulation dans un arrêt du 17 juin 2026. Une salariée demandait son dossier, ses bulletins de paie, son agenda, des données de productivité, des informations liées à l’utilisation des ressources informatiques et des courriels. La cour a retenu, au titre de l’article 15 du RGPD, que les données numériques n’avaient pas toutes été communiquées et que la confidentialité invoquée n’était pas étayée. Elle a ordonné la remise de plusieurs catégories, tout en imposant l’occultation des adresses, coordonnées bancaires et numéros de téléphone de tiers et en limitant l’usage des données à l’instance prud’homale. Les motifs et le dispositif peuvent être vérifiés dans l’arrêt intégral de la Cour d’appel de Versailles du 17 juin 2026, RG 25/02730.

Le même arrêt refuse en revanche une partie des demandes formées sur le fondement de l’article 145, faute d’éléments suffisamment précis établissant le motif légitime. Cette distinction est essentielle : le droit d’accès peut porter sur les données du demandeur, alors qu’une mesure d’instruction destinée à comparer des rémunérations ou des carrières de collègues doit être indispensable à la preuve et proportionnée au but poursuivi. Les données de tiers peuvent être communiquées sous réserve d’un masquage et d’une injonction de ne les utiliser que pour le litige concerné.

Lorsque le refus crée un trouble immédiat, la formation de référé prud’homale dispose d’un pouvoir spécifique. L’article R. 1455-6 du Code du travail l’autorise, même en présence d’une contestation sérieuse, à prescrire les mesures conservatoires ou de remise en état nécessaires pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite. Le texte en vigueur est accessible sur l’article R. 1455-6 du Code du travail. La juridiction apprécie concrètement le refus, l’urgence et la proportion de la mesure demandée.

La demande judiciaire ne doit pas conduire à diffuser les données reçues. Le juge peut ordonner un séquestre, une occultation ou une injonction d’usage limité. Le droit au respect de la vie privée, consacré par l’article 9 du Code civil, permet aux juges de prescrire les mesures propres à empêcher ou faire cesser une atteinte à l’intimité. La version en vigueur de ce texte est conservée sur l’article 9 du Code civil. Le salarié qui reçoit un export doit donc le conserver dans un espace sécurisé et ne transmettre que les extraits nécessaires à son conseil ou à la juridiction.

La jurisprudence relative aux courriels fixe une frontière utile pour l’analyse des outils. Dans son arrêt publié du 18 juin 2025, la chambre sociale de la Cour de cassation a jugé que les courriels émis ou reçus par le salarié via sa messagerie professionnelle sont des données personnelles et que les métadonnées comme le contenu doivent être communiqués, sous réserve des droits et libertés d’autrui. La décision a été lue intégralement sur l’arrêt de la Cour de cassation, chambre sociale, 18 juin 2025, pourvoi 23-19.022. Elle ne signifie pas que tout fichier d’entreprise doit être remis en bloc : elle impose d’identifier les données du salarié et de justifier les limites.

L’arrêt CRIF complète cette approche en exigeant une copie fidèle et intelligible lorsque le contexte documentaire est indispensable. Un tableau de chiffres peut être incompréhensible si le salarié ne sait pas quelle règle de calcul, quelle alerte ou quelle appréciation a produit le résultat. À l’inverse, demander l’intégralité du référentiel interne, les données de tous les collègues ou le code d’un outil sans expliquer le lien avec les données personnelles dépasse le droit d’accès. La question à poser est toujours celle de l’effectivité du contrôle par la personne concernée, mise en balance avec les droits d’autrui.

La conservation des preuves techniques mérite une attention particulière. Un salarié qui conteste un indicateur doit conserver les notifications, les exports, la charte informatique, la notice d’information, les captures datées et les échanges avec le service RH. Il ne doit pas modifier les fichiers originaux ni reconstruire seul un journal. Si l’outil est exploité par un prestataire SaaS, la demande peut solliciter l’identité du sous-traitant, les catégories traitées, les destinataires et les règles de conservation, tandis que l’employeur reste l’interlocuteur de la demande lorsqu’il détermine les finalités du traitement.

La réparation n’est pas automatique. L’article 82 du RGPD prévoit qu’une personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a droit à réparation du préjudice subi. Il faut donc établir le manquement, le dommage et le lien entre les deux. La remise tardive ou incomplète d’un dossier peut avoir une incidence probatoire, mais le montant d’une éventuelle indemnisation dépend des circonstances et de l’appréciation du juge. Le principe et les conditions sont consultables dans l’article 82 du RGPD.

Une méthode en six temps permet de rester dans le bon régime :

1. identifier l’employeur responsable du traitement, les prestataires et les outils utilisés ;
2. décrire les catégories de données personnelles et la période, en séparant les données propres au salarié de celles des tiers ;
3. demander les finalités, les destinataires, la source, la conservation et l’existence d’un profilage en plus de la copie ;
4. conserver la demande et les preuves de réception afin de pouvoir vérifier le respect du délai d’un mois prévu par l’article 12, paragraphe 3, du RGPD ;
5. relancer sur les catégories manquantes et demander une motivation précise pour chaque occultation ou refus ;
6. choisir ensuite la réclamation CNIL, le recours contre le responsable ou la mesure judiciaire de preuve selon l’objectif poursuivi.

Cette séquence évite deux erreurs opposées. La première consiste à demander tout le système d’information sans préciser la donnée recherchée, ce qui facilite une réponse dilatoire ou une discussion sur la disproportion. La seconde consiste à accepter un refus global alors que l’employeur pourrait extraire les données du salarié, masquer les informations de tiers et expliquer le reste. Le droit d’accès est un instrument de transparence et de preuve, mais il fonctionne seulement si son périmètre, sa finalité et les garanties de confidentialité sont exposés.

Un dossier RH ou un journal informatique n’est donc pas un bloc indivisible. Le salarié peut obtenir les informations qui le concernent et le contexte nécessaire pour les comprendre. L’employeur doit organiser la recherche, répondre dans les conditions du RGPD, motiver ses limites et protéger les autres personnes. Lorsque la réponse reste incomplète, la CNIL et le juge disposent de voies distinctes : la première contrôle le respect du règlement, le second peut ordonner une communication ou une mesure de preuve adaptée au litige.

Le résultat utile n’est pas la remise indiscriminée de fichiers, mais une copie exploitable, exacte et intelligible, accompagnée des informations sur les finalités, les destinataires et les règles de conservation. En préparant une demande catégorisée, en citant les outils et les périodes et en préservant les traces de la démarche, le salarié peut vérifier les données utilisées à son sujet et discuter leur exactitude ou leur usage. Cette approche maintient la séparation entre le RGPD, le droit du travail et la procédure civile, tout en laissant au juge le soin d’arbitrer les conflits entre preuve et protection des tiers.