Le droit d’accès aux mails professionnels est garanti par l’article 15 du RGPD : tout salarié — y compris après la rupture du contrat — peut demander la communication de ses courriels et de leurs métadonnées. L’arrêt Cass. soc. du 18 juin 2025 (n° 23-19.022, publié au bulletin) le confirme : l’abstention non justifiée de l’employeur est fautive et peut ouvrir droit à dommages-intérêts. Le délai légal de réponse est d’un mois, prolongeable de deux mois sous conditions strictes. La copie intégrale des messages n’est pas systématiquement obligatoire, mais le silence non motivé n’est plus une option neutre.
📋 Sommaire de l’article
- Mails professionnels et droit d’accès RGPD : de quoi parle-t-on vraiment ?
- Ce que la jurisprudence récente a confirmé sur les courriels de la messagerie professionnelle
- Ce que l’employeur doit remettre : contenu, métadonnées et forme de la réponse
- Ce que l’employeur peut légalement limiter ou masquer dans le cadre du droit d’accès aux mails professionnels
- Délai de réponse à une demande d’accès aux mails : ce que le RGPD impose
- Demande très large ou contexte de litige : quelle marge de manœuvre pour l’employeur ?
- Mettre en place une procédure interne pour traiter les demandes d’accès aux mails professionnels
- Ce que les directions RH doivent anticiper
- Questions fréquentes sur le droit d’accès aux mails professionnels
Un salarié licencié — ou simplement sorti de l’entreprise — réclame par écrit la communication de l’ensemble de ses courriels professionnels. Cette demande, de plus en plus fréquente en contexte de litige social, place le DRH face à une obligation précise dont les contours ont été clarifiés le 18 juin 2025 par la chambre sociale de la Cour de cassation. L’arrêt n° 23-19.022, publié au bulletin, confirme que les courriels de la messagerie professionnelle constituent des données personnelles, que le droit d’accès couvre leur contenu et leurs métadonnées, et que l’inertie de l’employeur peut engager sa responsabilité.
Mails professionnels et droit d’accès RGPD : de quoi parle-t-on vraiment ?
Les courriels professionnels, des données personnelles au sens du RGPD
L’article 4 du RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable — définition qui vaut en contexte professionnel comme en contexte privé. Les courriels émis ou reçus via la messagerie d’entreprise entrent pleinement dans ce champ, y compris leurs métadonnées : horodatage, expéditeurs et destinataires.
L’article 15 du RGPD garantit à toute personne concernée le droit de demander confirmation qu’un traitement existe, d’y accéder et d’en obtenir une copie. Ce droit est fondamental, mais non absolu : il peut être limité lorsque sa mise en œuvre porterait une atteinte disproportionnée aux droits et libertés d’autrui — condition sur laquelle la jurisprudence récente et la CNIL ont apporté des précisions concrètes.
La demande peut intervenir à tout moment, y compris après la fin du contrat
Le droit d’accès ne s’éteint pas avec la rupture du contrat de travail. Il porte sur les données que l’employeur détient encore.
Ces obligations s’inscrivent dans un cadre plus large de traitement des données que nous avons analysé dans notre article consacré à l’IA et au RGPD côté employeur.
Ce que la jurisprudence récente a confirmé sur les courriels de la messagerie professionnelle
L’arrêt du 18 juin 2025 : contenu et métadonnées, un périmètre désormais confirmé
Dans l’affaire jugée par la chambre sociale le 18 juin 2025 (n° 23-19.022, publié au bulletin), un salarié licencié demandait l’accès à ses courriels professionnels : la société lui avait remis de nombreux documents, mais pas les courriels. Sous le visa des articles 4 point 1 et 15 §§ 3 et 4 du RGPD, la Cour de cassation a rejeté le pourvoi de l’employeur.
Le périmètre couvert est explicite : contenu des messages et métadonnées — horodatage, identité des destinataires — sont tous deux visés par le droit d’accès. La seule limite admise reste l’atteinte disproportionnée aux droits et libertés d’autrui. La décision est consultable sur Légifrance (JURITEXT000051823269).
Abstention non justifiée qualifiée de faute : les implications concrètes pour le DRH
Le second apport de l’arrêt touche à la sanction. La Cour confirme que l’abstention non justifiée de l’employeur est constitutive d’une faute pouvant ouvrir droit à des dommages-intérêts. L’arrêt ne chiffre aucune indemnité.
La publication au bulletin donne à cette solution une portée de principe. Ne pas répondre, ou ne répondre que partiellement, sans justification expose l’employeur à une action en responsabilité. Ce que l’arrêt ne dit pas mérite d’être souligné : il n’impose pas de tout remettre sans filtre, et il maintient les limites liées à la protection des droits des tiers.
Ce que l’employeur doit remettre : contenu, métadonnées et forme de la réponse
Le périmètre de la remise couvre deux catégories indissociables : les données personnelles contenues dans les courriels et leurs métadonnées (horodatage, expéditeurs, destinataires). La CNIL rappelle que le droit d’accès porte sur les données personnelles, et non sur les documents en tant que tels — distinction qui ouvre une souplesse de forme.
Copie intégrale des courriels ou tableau récapitulatif : quelle option choisir ?
Selon la CNIL (fiche du 05/01/2022, mise à jour 31/01/2025), la copie des messages est « la solution la plus aisée », mais elle « ne saurait être obligatoire ». Un tableau récapitulatif fidèle et intelligible constitue une réponse valable, pourvu qu’il restitue l’intégralité des données personnelles du salarié.
| Catégorie de données | Obligation | Conditions / limites | Base juridique |
|---|---|---|---|
| Contenu des courriels (expéditeur ou destinataire) | ✅ À remettre | Sauf atteinte disproportionnée aux droits d’autrui ; copie ou tableau récapitulatif | RGPD art. 15 §3 ; Cass. soc. 18/06/2025 ; CNIL 31/01/2025 |
| Métadonnées (horodatage, destinataires) | ✅ À remettre | Font partie intégrante des données personnelles du salarié | Cass. soc. 18/06/2025 ; CNIL 31/01/2025 |
| Données de tiers dans les courriels | ⚠️ Avec précautions | Anonymiser ou pseudonymiser si la communication est disproportionnée | RGPD art. 15 §4 ; CNIL 31/01/2025 |
| Courriels personnels | ✅ Remettre tels quels | L’employeur ne peut pas en prendre connaissance ; il remet ceux dont le salarié est expéditeur ou destinataire | CNIL 31/01/2025 |
| Éléments couverts par le secret des affaires | ⚠️ Limitation possible | Proportionnée et justifiée ; les autres données du courriel restent dues | RGPD art. 15 §4 ; CNIL 31/01/2025 |
Gratuité, transmission sécurisée et informations complémentaires obligatoires
La réponse est en principe gratuite, selon la CNIL. Au-delà des données elles-mêmes, l’article 15 §1 du RGPD impose de communiquer les finalités du traitement, la durée de conservation, et les droits connexes : rectification, effacement, limitation, opposition, ainsi que le droit de saisir la CNIL.
Le droit d’accès aux mails professionnels s’exerce sur les données, pas sur les documents : l’employeur peut choisir la forme (copie ou tableau), mais ne choisit pas ce qu’il remet, hors atteinte aux droits d’autrui.
Ce que l’employeur peut légalement limiter ou masquer dans le cadre du droit d’accès aux mails professionnels
L’article 15 §4 du RGPD pose la seule limite explicitement admissible : le droit d’obtenir une copie ne doit pas porter atteinte aux droits et libertés d’autrui. Cette restriction est réelle, mais elle vise des éléments précis et non la messagerie dans son ensemble.
Droits des tiers : secret des affaires, vie privée et données à anonymiser
La CNIL cite plusieurs limites possibles : secret des affaires, vie privée, secret des correspondances. Lorsque la communication d’un courriel porterait une atteinte disproportionnée aux droits d’un tiers, la CNIL indique que l’employeur peut anonymiser, pseudonymiser ou supprimer les données de tiers ou les informations couvertes par un secret.
Courriels personnels : une catégorie à traiter avec une précaution particulière
Selon la CNIL, l’employeur ne peut pas prendre connaissance d’un courriel personnel. Lorsque le demandeur en est l’expéditeur ou le destinataire, l’employeur le lui remet tel quel.
Délai de réponse à une demande d’accès aux mails : ce que le RGPD impose
L’article 12 §3 du RGPD est sans ambiguïté : la réponse doit intervenir dans un délai d’un mois à compter de la réception de la demande.
Un mois prolongeable de deux : les trois jalons à ne pas manquer
| Jalon | Délai | Obligation |
|---|---|---|
| Réponse standard | J+30 | Répondre ou informer de la prolongation avec ses motifs |
| Information de prolongation (demande complexe ou volumineuse) | Dans le premier mois | Notifier le salarié des raisons avant l’expiration du délai initial |
| Réponse définitive si prolongation | J+90 au plus tard | Délai total maximum (1 + 2 mois) |
En l’absence de réponse, le salarié peut saisir la CNIL. Sur le plan civil, la Cour de cassation a confirmé que l’abstention non justifiée de l’employeur est constitutive d’une faute ouvrant droit à des dommages-intérêts — sans que l’arrêt n’en fixe le montant.
Demande très large ou contexte de litige : quelle marge de manœuvre pour l’employeur ?
Une demande peut viser l’ensemble de la messagerie d’un salarié. Voici comment la CNIL invite à la traiter.
Répondre à une demande portant sur l’ensemble de la messagerie professionnelle
Selon la CNIL, lorsque le volume est important, l’employeur peut communiquer un tableau des messages, puis inviter le salarié à préciser sa demande.
En contexte disciplinaire, par exemple après une mise à pied conservatoire, la demande d’accès suit les règles décrites ci-dessus.
Mettre en place une procédure interne pour traiter les demandes d’accès aux mails professionnels
La formalisation d’un circuit interne n’est pas une formalité administrative optionnelle. Délai d’un mois, vérification d’identité proportionnée, tri des messages, justification des occultations, transmission sécurisée : chacune de ces étapes suppose une coordination entre RH, service informatique, service juridique et DPO.
Les étapes clés d’un circuit de traitement fiable
Notre conseil : prévoir un point d’entrée unique pour dater la réception, puisque le délai court à compter de celle-ci. Confier l’extraction à une personne habilitée. Ne pas ouvrir les courriels personnels. Garder une trace écrite de chaque limitation (passage masqué, donnée de tiers anonymisée) et de son motif.
Le format de la réponse (copie ou tableau récapitulatif) est laissé à l’appréciation de l’employeur, selon la CNIL.
Le rôle du DPO et l’impératif d’archivage de la réponse
Lorsqu’un DPO a été désigné, il est utile de l’associer dès la réception de la demande, notamment pour les choix de limitation.
Conserver la demande reçue, la réponse transmise, le périmètre communiqué et les motifs de toute limitation permet de justifier la réponse en cas de contestation.
Un circuit interne structuré aide à tenir le délai d’un mois : une absence de réponse peut conduire le salarié à saisir la CNIL, et l’arrêt du 18 juin 2025 ouvre la voie à des dommages-intérêts.
Ce que les directions RH doivent anticiper
L’arrêt du 18 juin 2025 rappelle que les courriels professionnels sont des données personnelles, le droit d’accès s’y applique pleinement, métadonnées comprises. La CNIL a détaillé les modalités pratiques dans sa fiche mise à jour le 31 janvier 2025.
La prochaine étape pour les directions RH est moins juridique qu’organisationnelle : documenter le circuit de traitement, former les personnes habilitées et tester le dispositif avant qu’une demande conflictuelle ne le révèle défaillant. Vérifier dès maintenant les durées de conservation appliquées aux messageries constitue un préalable indispensable — un circuit de traitement bien rodé ne remplace pas la maîtrise de ce que l’entreprise conserve.
Questions fréquentes sur le droit d’accès aux mails professionnels
Un ancien salarié peut-il encore demander l’accès à ses mails professionnels après la fin de son contrat ?
Oui : le droit d’accès prévu par le RGPD s’applique à toute personne physique identifiable, indépendamment de son statut actuel. La rupture du contrat ne fait pas disparaître les données personnelles ni le droit d’y accéder.
L’employeur doit-il transmettre l’intégralité de la boîte mail ou peut-il sélectionner les messages ?
La CNIL rappelle que le droit d’accès porte sur les données personnelles, non sur les documents eux-mêmes. La copie des courriels est la solution la plus simple, mais un tableau récapitulatif fidèle et intelligible peut constituer une réponse valable.
Quels éléments peut-on masquer ou anonymiser avant de remettre les courriels au demandeur ?
Selon la CNIL, les données de tiers peuvent être anonymisées, pseudonymisées ou supprimées, de même que les informations couvertes par un secret. Les courriels personnels ne sont pas ouverts par l’employeur.
Quel est le délai légal pour répondre à une demande de droit d’accès aux mails professionnels ?
Le responsable du traitement dispose d’un mois à compter de la réception de la demande, prolongeable de deux mois supplémentaires pour les demandes complexes — à condition d’en informer le demandeur dans le premier mois.
L’employeur peut-il demander au salarié de préciser une demande portant sur tous ses mails ?
Selon la CNIL, lorsque le volume est important, l’employeur peut communiquer un tableau des messages, puis inviter le salarié à préciser sa demande. Le droit d’accès du salarié demeure.
Que se passe-t-il si l’employeur ne répond pas dans le délai imparti ?
Le salarié peut saisir la CNIL. La Cour de cassation a jugé en 2025 qu’une abstention non justifiée est fautive et peut ouvrir droit à des dommages-intérêts.
Sources
- Cour de cassation, chambre sociale, 18 juin 2025, n° 23-19.022, publié au bulletin (Légifrance)
- CNIL, « Le droit d’accès des salariés à leurs données et aux courriels professionnels » (mise à jour du 31 janvier 2025)
- CNIL, « Professionnels : comment répondre à une demande de droit d’accès ? »
- Règlement (UE) 2016/679 (RGPD), articles 4, 12 et 15 (EUR-Lex)
Cet article vous a intéressé ? Partagez-le sur LinkedIn.
Partager sur LinkedInRH Magazine est aussi sur LinkedIn
Trois fois par semaine : une échéance, un point pratique, un chiffre, chacun avec sa source officielle.
Suivre la pageVous exercez dans les RH ? Prenez la parole
RH Magazine publie des tribunes de professionnels, signées de leur nom. Gratuit, sur proposition d'un sujet.
Proposer une tribune