- avant-hier
Vendredi 11 juillet 2025, retrouvez Émilie Meridjen (Associée, Sekri Valentin Zerrouk - SVZ) dans LEX INSIDE, une émission présentée par Arnaud Dumourier.
Catégorie
🗞
NewsTranscription
00:00On poursuit ce Lexinside, on va parler du droit d'accès du salarié à ses emails professionnels
00:15avec mon invité, Émilie Merigen, associée chez Sécrit Valentin Zerouk.
00:21Émilie Merigen, bonjour.
00:22Bonjour Arnaud.
00:23Alors on va parler de l'arrêt du 18 juin de la Cour de cassation qui consacre le droit d'accès du salarié à ses courriels professionnels.
00:32Concrètement, que dit cet arrêt de la Cour de cassation ?
00:36Alors consacre, consacre, on va nuancer un petit peu.
00:39Mais vous avez raison, concrètement ce qu'il dit c'est que les emails professionnels du salarié sont des données personnelles.
00:48Et il en déduit donc qu'en application de l'article 15 du RGPD, le salarié a le droit d'accéder non seulement aux métadonnées,
00:55c'est-à-dire la liste des emails, les horaires d'attache, mais aussi au contenu des emails.
00:59Et ça, c'est nouveau et c'est contestable.
01:02Alors concrètement, pour bien comprendre, pourquoi les courriels professionnels sont considérés comme des données personnelles ?
01:09C'est là qu'on n'est pas forcément d'accord avec la Cour de cassation.
01:13Pourquoi ? Parce que dans les emails personnels, vous avez des informations personnelles.
01:17Vous avez une adresse email, vous avez des horaires de connexion, vous avez des informations qui peuvent relier ce document à une personne physique salariée.
01:27Donc c'est en soi, ça contient des données personnelles.
01:30En revanche, la conséquence qu'en tire, la Cour de cassation qui est de donner accès à l'intégralité des emails,
01:36c'est-à-dire l'ensemble des documents, c'est là qu'on n'est pas d'accord.
01:39Et qu'on est d'ailleurs, enfin je ne sais pas seulement moi qui ne suis pas d'accord,
01:42la CNIL en 2022 avait rendu une recommandation dans laquelle elle distinguait parfaitement les données personnelles contenues dans les emails avec le contenu des emails.
01:52D'accord.
01:53Deux choses différentes.
01:54La CJE, la Cour européenne, a aussi indiqué de manière très claire que les salariés n'avaient pas accès au contenu des emails,
02:00mais uniquement aux données personnelles contenues dans ces mêmes emails.
02:03Et vous le savez peut-être, mais avant un arrêt important de Cour de cassation, il y a un avocat général qui rend un rapport.
02:09Et cet avocat général est allé dans le sens inverse de l'arrêt du 18 juin, en disant bien à nouveau,
02:15il ne faut pas confondre un donné personnel contenu dans les emails et document lui-même.
02:20Pourquoi cette distinction est importante ?
02:22Pourquoi cette distinction est importante ?
02:23Parce que si vous donnez accès à la boîte mail dans son intégralité,
02:26ça veut dire que le collaborateur qui a quitté l'entreprise peut récupérer tous ses emails envoyés et reçus.
02:32Alors, on peut le comprendre pour des raisons notamment probatoires,
02:36mais ce n'est pas du tout la finalité du RGPD qui consacre simplement un droit d'accès et de rectification
02:43à tout ce qui est traitement de ces données personnelles.
02:45Ça ne donne pas accès au contenu de toute la matière qu'il a créée, à laquelle il a contribué,
02:51et que ça appartient bien à l'entreprise.
02:52Alors, si on en vient aux obligations de l'employeur,
02:57quelles sont les obligations de l'employeur à l'aune de cette décision ?
03:01Alors, il y a déjà une obligation sur laquelle il n'y a pas de débat,
03:04c'est de répondre à un salarié quand il en fait la demande.
03:07La réponse, elle doit être dans le mois de la demande,
03:10ou avec un délai supplémentaire de deux mois, si la demande est dite complexe.
03:15Quand il s'agit de traiter toute une boîte mail sur parfois plusieurs années ou décennies,
03:20évidemment, ça peut être complexe et ça peut nécessiter du temps de processing.
03:24Donc ça, c'est la première obligation, c'est de répondre et dans un certain délai.
03:29Après, en fonction de comment on interprète, est-ce qu'on est d'accord ou pas d'accord
03:34avec cet arrêt de la Cour de cassation, on a deux types d'obligations.
03:37Soit on va fournir toute la boîte mail, le contenu des emails,
03:40et là, on est vraiment dans les clous de la Cour de cassation,
03:42mais à mon sens, c'est trop extensif.
03:44Soit on va fournir ce qu'on appelle les métadonnées,
03:47c'est-à-dire une liste des emails envoyés et reçus avec les eurodatages
03:51et les données personnelles, c'est-à-dire l'adresse email et les horaires
03:55qui sont associés à ces emails sans le contenu.
03:59Alors, est-ce qu'il y a des limites quand même à cette communication des données
04:03que vous exposez dans l'arrêt ?
04:05Oui, alors la Cour de cassation, pour le coup, reprend le texte du RGPD,
04:09article 15, qui prévoit lui-même que le droit d'accès ne peut pas porter atteinte
04:15au droit des tiers.
04:17Et donc, la Cour de cassation reprend ce texte,
04:22elle dit bien que ça ne peut pas porter atteinte au droit et liberté d'autrui.
04:25Concrètement, ça signifie quoi ?
04:27On peut opposer à une demande d'accès le secret des affaires.
04:32On peut aussi opposer la vie privée d'autres personnes,
04:35les salariés, les fournisseurs, des tiers destinataires des emails.
04:39Donc ça, ce sont les limites qui sont posées par les textes
04:41et rappelées par la Cour de cassation.
04:43Alors, si l'employeur n'accède pas à la demande du salarié,
04:48qu'est-ce qu'il risque ?
04:49Alors, il y a deux types de sanctions.
04:51D'abord, la CNIL, qui a un pouvoir de sanction autonome.
04:54Elle peut prononcer des injonctions de communiquer,
04:58enfin, de répondre favorablement à un droit d'accès,
05:01selon comment on qualifie le droit d'accès,
05:04sous astreinte.
05:05Et elle peut aussi prononcer une amende jusqu'à 20 000 euros.
05:08Ça, c'est le premier type de sanction.
05:10Deuxième type de sanction, c'est si un salarié, comme c'était le cas là,
05:12va au Prud'homme et fait une demande de dommage d'intérêt
05:15pour non-réponse de son employeur à sa demande d'accès à ses données personnelles,
05:20alors c'est une indemnisation du préjudice subi.
05:22Et comme pour tout préjudice, il doit apporter la preuve de l'étendue de son préjudice.
05:26En l'espèce, l'employeur n'avait pas répondu du tout.
05:30Donc c'était vraiment un très mauvais élève.
05:31Et il a été condamné à 500 euros.
05:33Donc il y a de quoi relativiser la portée de cette décision.
05:36Et on peut escomter des préjudices plus importants, selon vous ?
05:40Après, ça va dépendre de l'appréciation des tribunaux.
05:42C'est-à-dire que si, à l'évidence, un employeur refuse de communiquer des documents
05:46pour ne pas que le salarié ait des éléments de preuve à faire valoir,
05:49peut-être que les conseillers prud'homo retiendront cette carence
05:54comme un élément de preuve en creux.
05:56S'il ne veut pas communiquer les horodatages de mail,
05:59c'est peut-être parce que le salarié a effectivement fait des heures supplémentaires
06:02et donc on va condamner.
06:03Mais ça, c'est très indirect.
06:05Alors on va venir aux pratiques RH
06:07et voir les conséquences de cette décision sur les pratiques RH.
06:12Concrètement, est-ce que ça va modifier quelque chose, selon vous ?
06:14Alors pour moi, c'est vraiment l'opportunité de se poser la question
06:18de où on en est du RGPD.
06:21Je n'ai pas de visée statistique dans mes propos,
06:24mais il y a quand même une grande majorité des entreprises
06:26qui ne sont pas du tout au point sur le RGPD,
06:28qui ne se sont pas posé ces questions.
06:30Donc posez-vous la question,
06:32comment avez-vous organisé le droit d'accès de vos salariés
06:35à leurs données personnelles
06:37et est-ce que vous êtes bien en règle
06:39sur toutes les dispositions qui sont prévues par le RGPD ?
06:43Après, il y a vraiment la question aussi
06:44de combien de temps on doit conserver les boîtes mail
06:47parce que si un salarié vous fait une demande
06:49de communication de ses données personnelles
06:51mais que la boîte mail a été détruite,
06:53forcément, vous ne pouvez pas lui donner
06:55quelque chose qui a été détruit.
06:57Et le dernier conseil en termes de modification de pratique,
07:00c'est de veiller à ce que tous les outils internes,
07:02chartes informatiques, règlements intérieurs, etc.,
07:05encadrent la position de l'entreprise
07:08en termes d'accès aux données personnelles
07:11pour que ce soit aussi contradictoire
07:12et porté à la connaissance des salariés.
07:14C'est quoi les bonnes rédactions à avoir dans les chartes ?
07:17Alors, pour moi, il y a vraiment la question
07:18de la bonne durée de conservation.
07:22Est-ce qu'on supprime immédiatement ?
07:23Est-ce qu'on conserve trois mois ?
07:24Est-ce qu'on conserve six mois ?
07:25Et puis après, il y a la question
07:27de qu'est-ce qu'on entend, nous, entreprise,
07:28même si ça peut être contesté,
07:30par accès aux données personnelles.
07:33Est-ce qu'on se positionne pour communiquer
07:34l'intégralité de la boîte mail ?
07:36Est-ce qu'on l'expurge de ce qui pourrait porter atteinte
07:38au droit, au secret des affaires
07:41ou au droit d'autres individus ?
07:43Ou est-ce qu'on ne communique que le métadonné ?
07:46Alors, on peut aussi se positionner
07:47dans une pratique interne, une charte interne.
07:50Pour terminer, vous sembliez dire
07:51qu'il y a des zones d'ombre
07:53et des interprétations qui peuvent être différentes
07:55de cette jurisprudence.
07:57Est-ce que vous attendez des éclaircissements ?
07:59Alors, j'attends, à mon sens,
08:02des déclinaisons pratiques
08:04et des décisions de première instance.
08:06Et à mon avis, les conseillers prud'homo
08:08vont se positionner par juridiction
08:10sur est-ce qu'on fait accès
08:12ou est-ce qu'on fait droit, pardon,
08:14ou est-ce qu'on ne fait pas droit.
08:15Et je pense que ça va, dans les prochains mois,
08:19créer un débat judiciaire
08:21de première instance, puis de seconde instance
08:23qui va sans doute amener la Cour de cassation
08:24à se reposer la question.
08:25On va suivre tout ça avec attention.
08:28Merci, Émilie Méry-Jean.
08:29Je rappelle que vous êtes associée
08:30chez Sécrit Valentin Zerouk.
08:32Tout de suite, l'émission continue.
08:34On va parler d'intelligence artificielle
08:36et d'atteinte aux droits d'auteur.
Recommandations
28:09
|
À suivre
28:10
27:11
29:02
57:33
28:40
28:08
28:22
28:24
9:21
29:40
29:42
27:20
28:02
6:51
28:50
9:05
10:21