Le lien de subordination qui fonde le contrat de travail autorise l’employeur à collecter des informations sur ses salariés. Le RGPD et la loi Informatique et Libertés encadrent cette collecte en imposant des obligations de transparence, de proportionnalité et de respect des droits individuels. Plusieurs décisions récentes, notamment de la Cour de cassation et de la Cour d’appel de Paris, redessinent les contours concrets de ces obligations dans la relation employeur-salarié.
Droit d’accès du salarié aux données personnelles : un cadre jurisprudentiel qui se précise
L’article 15 du RGPD accorde à toute personne le droit d’obtenir une copie des données personnelles la concernant. Appliqué au monde du travail, ce droit oblige l’employeur, en tant que responsable de traitement, à fournir au salarié qui en fait la demande l’ensemble des informations détenues sur lui, y compris celles contenues dans la messagerie professionnelle.
La Cour de cassation a confirmé ce principe dans un arrêt du 19 juin 2024, rappelant que le droit d’accès s’applique pleinement aux courriels professionnels. L’employeur ne peut pas refuser la communication au seul motif que les données figurent dans des e-mails échangés dans un cadre professionnel. Le délai de réponse est fixé à un mois, prorogeable une fois en cas de complexité.
En revanche, la Cour d’appel de Paris (Pôle 6, Chambre 2, 18 décembre 2025) a posé une limite : le droit d’accès ne permet pas d’obtenir automatiquement tous les e-mails d’une boîte professionnelle. L’article 15 du RGPD ne peut pas non plus servir de moyen détourné pour contourner les règles de preuve dans un litige prud’homal.
Cette articulation entre un droit quasi-fondamental et ses limites concrètes pose des difficultés opérationnelles réelles pour les services RH. La demande d’accès oblige à trier, anonymiser les données de tiers et restituer une copie lisible, parfois parmi des milliers de documents. Sans processus structuré, le risque de non-conformité sanctionnable par la CNIL est tangible.
Surveillance des salariés : les trois conditions rappelées par la CNIL en 2026
Géolocalisation des véhicules, vidéosurveillance, enregistrement d’appels, contrôle des accès : les dispositifs de surveillance en entreprise se sont multipliés. La CNIL a publié en 2026 une fiche méthodologique qui rappelle les trois conditions cumulatives pour qu’un dispositif de surveillance soit licite :
- La justification et la proportionnalité du dispositif par rapport à l’objectif poursuivi. Un système de géolocalisation installé pour contrôler les horaires d’un salarié autonome dans l’organisation de son temps, par exemple, sera jugé disproportionné.
- La consultation préalable du CSE (ou instance équivalente) avant toute mise en place, dans les entreprises concernées par cette obligation.
- L’information individuelle préalable de chaque salarié sur la nature du dispositif, sa finalité et les données collectées.
La fiche propose aussi une méthode d’auto-vérification : définir une finalité précise, vérifier l’absence de moyens moins intrusifs, exclure certaines zones (locaux syndicaux, espaces de pause) et limiter les durées de conservation. Les entreprises qui ne respectent pas ces conditions s’exposent aux sanctions de la CNIL, qui a intensifié ses contrôles sur ce sujet.
Intelligence artificielle et recrutement : obligations RGPD doublées par l’AI Act
Le recrutement par algorithme constitue un point de friction particulier. Le RGPD interdit déjà les décisions entièrement automatisées produisant des effets juridiques sur une personne (article 22). La CNIL a inscrit le recrutement par IA parmi ses axes de contrôle prioritaires, avec trois angles d’investigation : la transparence des critères utilisés, la base légale du traitement et la possibilité pour le candidat de contester une décision automatisée.
Le règlement européen sur l’intelligence artificielle (AI Act) classe les systèmes d’IA utilisés en recrutement dans la catégorie « haut risque ». Cette classification impose aux entreprises qui déploient ces outils des obligations spécifiques de documentation, de supervision humaine et d’évaluation des biais. Le délai d’application de certaines dispositions de l’AI Act pour le recrutement a été reporté, mais les obligations de transparence issues du RGPD restent pleinement applicables dès maintenant.
Les retours terrain divergent sur la capacité des entreprises, en particulier des PME et ETI, à auditer réellement les algorithmes fournis par des prestataires tiers. La responsabilité du traitement repose sur l’employeur en tant que responsable de traitement, même lorsque l’outil est développé par un fournisseur externe.
Données personnelles après le départ du salarié : une zone grise persistante
La gestion des données personnelles d’un salarié ne s’arrête pas à la fin du contrat de travail. La messagerie professionnelle, les fichiers stockés sur les serveurs de l’entreprise, les accès aux outils internes : tout cela contient des données personnelles dont le traitement reste soumis au RGPD après le départ du collaborateur.
L’employeur doit définir une politique de conservation et de suppression des données liées à un ancien salarié. Le maintien d’une boîte mail active après un départ, sans information préalable ni finalité précise, constitue un manquement potentiel. La durée de conservation doit être proportionnée à la finalité initiale de la collecte (gestion administrative, contentieux éventuel, obligations légales de conservation).
Les données disponibles ne permettent pas de conclure à une pratique homogène sur ce point. Beaucoup d’entreprises conservent des boîtes mail d’anciens salariés pendant des années sans politique formalisée, ce qui les expose à la fois aux demandes d’accès tardives et aux contrôles de la CNIL.
La protection des données personnelles dans la relation de travail ne se limite pas à un exercice de conformité documentaire. Les décisions récentes montrent que les juridictions affinent progressivement les contours du droit d’accès et des obligations de surveillance. Pour les employeurs, la difficulté réside dans l’articulation entre des textes européens ambitieux et des réalités opérationnelles souvent éloignées des standards attendus.
