Un salarié, licencié pour harcèlement sexuel, voulait avoir accès à ses e-mails professionnels. La Cour de cassation, au nom du RGPD, le règlement européen sur la protection des données, lui a donné raison.
Les e-mails professionnels peuvent-ils être considérés comme des données personnelles, et être accessibles au salarié, même licencié ? C'est toute la question que devait trancher la Cour de cassation qui, dans un arrêt rendu le 18 juin 2025, a clarifié cette zone d'ombre majeure. Le cadre en question, écarté de son entreprise pour harcèlement sexuel, a malgré tout obtenu un droit d'accès à ses correspondances numériques, grâce au RGPD. Une affaire qui mérite bien quelques explications.
Une procédure de licenciement entachée d'irrégularités
Tout a commencé chez Publicis Sapient France. Un directeur associé, en poste depuis 2001, s'est retrouvé accusé de faits graves de harcèlement sexuel. Les témoignages recueillis lors de l'enquête interne ont dressé un portrait accablant. Des propos obscènes, de chantage sexuel ou encore des humiliations publiques étaient reprochés au prévenu.
L'employeur a diligenté une enquête internet qui à l'époque a permis d'auditionner quatorze personnes, puis de licencier le cadre le 30 mars 2018. Mais la procédure présentait des failles béantes, puisque seuls cinq comptes-rendus d'entretiens furent versés au dossier, certains passages étant « tronqués » ou « caviardés ». L'entreprise invoquait la volonté des témoins de conserver l'anonymat, sans pouvoir le prouver.
Les juges n'étaient pas dupes. Comment évaluer la réalité des faits, quand les deux tiers des témoignages restent secrets ? Cette production incomplète a jeté le doute sur l'ensemble de la procédure et affaibli considérablement la position de l'employeur, face aux tribunaux.
Les e-mails professionnels deviennent des données personnelles
Au-delà du licenciement contesté, le salarié réclamait l'accès à ses e-mails professionnels. Publicis a refusé net, considérant ces correspondances comme relevant de son patrimoine informatique. Mais la Cour de cassation a déjugé Publicis, en s'appuyant sur le Règlement européen de protection des données, le RGPD, pour justifier sa position.
Les e-mails contiennent nécessairement des expéditeurs et destinataires identifiables, expliquent les juges. Pour la Cour de cassation, cela suffit à en faire des données personnelles au sens de l'article 4 du RGPD, même dans un contexte professionnel. L'employeur devient alors responsable de traitement et doit respecter les droits d'accès de ses salariés.
Concrètement, l'entreprise doit fournir une copie complète des e-mails, autrement dit les contenus, métadonnées, horodatage et destinataires. Seule limite : la protection des droits d'autrui. Voilà une jurisprudence qui promet des débats passionnés entre les amateurs de transparence numérique et les protecteurs du secret des affaires dans l'entreprise.
Source : Républik IT
