Dans une décision importante en date du 18 juin 2025, la chambre sociale de la Cour de cassation a considéré que les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l'article 4 du RGPD et, d'autre part, que le salarié a le droit d'accéder à ces courriels, l'employeur devant lui fournir tant les métadonnées (horodatage, destinataires...) que leur contenu, sauf si les éléments dont la communication est demandée sont de nature à porter atteinte aux droits et libertés d'autrui
(Cass. soc., 18-6-25, n°23-19022).
Autrement dit, un employeur ne peut refuser, sans raison valable, de répondre favorablement à une demande d'un salarié (notamment pour assurer sa défense dans le cadre d'un litige) tendant à ce que lui soit communiqué les courriels émis ou reçu par lui dans le cadre de l'exécution de son contrat de travail. L'employeur ne peut d'ailleurs exiger du salarié qu'il explique les motifs de sa demande d'accès aux mails.
Le non-respect du droit d'accès aux données personnelles est fautif et le tribunal qui constate que cette abstention fautive de l'employeur a causé un préjudice au salarié doit apprécier souverainement le montant de ce préjudice.
L'employeur doit fournir tant les métadonnées (horodatage, destinataires…) que le contenu des courriels, la seule limite qui pourrait justifier un refus de transmission partielle réside dans la nécessité pour l'employeur de respecter le droit des tiers, comme le secret des affaires ou la vie privée d'autres salariés.
La CNIL avait déjà, dans une publication du 5 janvier 2022 disponible sur son site Internet (mise à jour le 31 janvier 2025), précisé que les courriels professionnels pouvaient être considérés comme des données personnelles dès lors qu'ils permettent d'identifier une personne.
La Cour de cassation reconnait au salarié un droit d'accès à ses données très large contrairement à la CJUE qui a tendance à se montrer plus restrictive (CJUE, 4-5-23, aff. C-487/21 : le salarié ne peut accéder au document en tant que tel mais seulement aux données à caractère personnel qu'il contient
, voir notamment § 32, § 46 et 53).
Suivant les règles du RGPD, l'employeur doit adresser les éléments demandés dans les meilleurs délais et, en tout état de cause, dans un délai d'un mois à compter de la réception de la demande du salarié. Ce délai peut être prolongé de deux mois si la complexité et le nombre de demandes le justifient, notamment lorsque le salarié réclame tous les documents comportant ses données personnelles. L'employeur doit alors informer l'intéressé de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.
Le salarié est normalement en droit de demander à titre gratuit, une première copie (CJUE, 26-10-23, aff. C-307/22).
Si l'employeur ne satisfait pas à son obligation de transmission (voir notamment art. 15, § 3 et 4, du RGPD), le salarié ou l'ex-salarié peut saisir la CNIL ou le CPH en référé pour faire respecter son droit.
Si dans certains cas, le code du travail réglemente la conservation de certains documents (ex : bulletin de paie, le registre du personnel, le contrat de travail…), la durée de conservation des mails n'est fixée expressément par aucun texte. Les données personnelles comme les mails ne peuvent être conservées indéfiniment, il appartient au responsable du traitement de déterminer cette durée de conservation en fonction de l'objectif ayant conduit à la collecte de ces données. Cette question mérite de faire l'objet d'une discussion en CSE.