CA Paris, 6, 2, 18-12-2025, n° 25/04270

Par un arrêt du 18 décembre 2025, la Cour d’appel de Paris se prononce au sujet d’un débat persistant qui occupe de plus en plus les juridictions prud’hommales, semblant mettre à l’épreuve le droit d’accès aux données personnelles.

Cette décision rappelle que ni le RGPD ni le mécanisme de l’article 145 ne saurait être détourné de leur finalité pour servir d’instrument général de collecte d’informations.

Elle semble soulager les employeurs face aux demandes de communication massives de données professionnelles, dans un paysage jurisprudentiel peu sécurisant.

Rappel des faits

Dans l’arrêt commenté, le salarié sollicitait la transmission de l’intégralité de sa messagerie professionnelle ainsi que de dossiers informatiques qualifiés de « privés et personnels » au nom de son droit d’accès à ses données personnelles.

Il demandait par ailleurs, au titre de l’article 145 du code de procédure civile, la communication de plusieurs documents.

Alors qu’à peine six mois plus tôt, dans un arrêt publié au bulletin (18 juin 2025, n° 23-19.022), la Cour de cassation semblait ouvrir la voie à un droit d’accès très souple aux données professionnelles ‘‘contaminées’’ par des données personnelles, la Cour d’appel de Paris semble choisir la voie du rétropédalage ou du moins celle de la nuance.

La Cour d’appel écarte le droit à une communication générale, après avoir rappelé qu’il ne s’agit pas là de l’objectif du RGPD

C’est dans un climat jurisprudentiel instable qu’intervient l’arrêt commenté puisqu’il succède à un très récent arrêt de la Cour de cassation, qui a été largement commenté, et ayant expressément retenu que :

«Les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l’article 4 du RGPD et, d’autre part, que le salarié a le droit d’accéder à ces courriels, l’employeur devant lui fournir tant les métadonnées (horodatage, destinataires…) que leur contenu, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d’autrui.

La cour d’appel, après avoir relevé que le salarié avait demandé la communication des courriels émis ou reçu par lui dans le cadre de l’exécution de son contrat de travail, a constaté, procédant à la recherche prétendument omise, que la société s’était bornée à lui transmettre divers documents (de fin de contrat, bulletins de paie, prévoyance, documents relatifs à une place de parking, une voiture, documents contractuels, avis d’arrêt de travail, suivi individuel de santé, R.I.B, documents relatifs au licenciement) mais ne justifiait pas avoir communiqué ni les métadonnées ni le contenu des courriels émis ou reçus par lui, et n’invoquait aucun motif pour expliquer cette abstention.

La cour d’appel a pu en déduire que cette abstention était fautive et a constaté qu’elle avait causé à l’intéressé un préjudice dont elle a souverainement apprécié le montant ».

Point important, cette décision (Cour de cassation, civile, Chambre sociale, 18 juin 2025, 23-19.022) avait été rendue en confirmation d’un arrêt de la même Cour d’appel de Paris …, certes en sa 5ème chambre.

Une analyse rapide de l’affaire aurait donc pu laisser présager que la Cour d’appel recevrait facilement le salarié dans ses demandes de communication, dans la droite ligne de sa propre jurisprudence confirmée par la Cour de cassation.

Mais les juges parisiens ont saisi l’opportunité de cette nouvelle affaire pour mettre en pratique les nuances timides introduites par la Cour de cassation en juin dernier.

De façon fort pédagogique, la Cour d’appel commence par un rappel de l’objectif du RGPD dont l’article 15 a pour seule finalité de permettre à la personne concernée de vérifier l’existence, l’exactitude et la licéité du traitement de ses données personnelles.

Elle en tire la conséquence qu’il ne saurait être détourné afin d’obtenir la copie :

  • de la correspondance électronique professionnelle émise ou reçue par le salarié dans le cadre de son activité dont il a, par définition, eu connaissance en totalité,

  • ou de documents de travail ne contenant aucune donnée personnelle autre que son identité.

En clair, le RGPD ne permet pas de reconstituer son environnement de travail numérique après la rupture du contrat.

A noter toutefois que, contrairement à l’espèce jugée par la Cour de cassation en juin 2025, dans l’arrêt commenté la demande de communication portait sur l’intégralité de la messagerie professionnelle et l’employeur avait proposé une procédure encadrée de récupération des fichiers personnels sous contrôle d’un commissaire de justice, procédure dont le salarié a choisi de ne pas se saisir.

A notre sens, ces éléments ont nécessairement joué dans la teneur de la décision finale.

La Cour d’appel opère par ailleurs un rappel des modalités strictes de recours à l’article 145 du CPC

Le salarié demandait également l’accès à sa messagerie électronique professionnelle, par une deuxième voie : le droit à la preuve encadré par l’article 145 du Code de procédure civile.

Cet accès était selon lui indispensable pour répondre aux griefs invoqués à l’appui de son licenciement et pour établir le nombre d’heures supplémentaires travaillées.

Mais la Cour rappelle que toute mesure d’instruction doit répondre à un triple test : motif légitime, nécessité, proportionnalité.

Elle relève qu’en l’espèce, la lettre de licenciement était précise et circonstanciée, et que le salarié disposait déjà d’éléments d’évaluation professionnelle et d’échanges sur sa charge de travail.

Dès lors, les pièces dont la communication était sollicitée n’ont pas été considérées comme nécessaires à l’exercice du droit à la preuve de la contestation du licenciement et de la demande de paiement d’heures supplémentaires.

De tous les côtés, le salarié perd ainsi toute possibilité d’accès à ses données personnelles contenues dans les données professionnelles.

En conclusions

A notre sens, il convient de surveiller attentivement les jurisprudences à suivre et notamment celles de la Cour de cassation, afin de savoir si cette décision ne fait qu’exploiter les nuances de l’arrêt de la Cour de cassation de juin 2025, ou si elle doit être interprétée comme un revirement de jurisprudence.

D’ici là, les employeurs ont tout intérêt à mettre en place des procédures encadrées de récupération des données personnelles afin de sécuriser les sorties houleuses de salariés et garder la porte de l’accès post rupture aux données professionnelles bien fermée.