RGPD et droit du travail : utiliser les données personnelles comme preuve en justice

Le Règlement Général sur la Protection des Données (RGPD), entré en application le 25 mai 2018, a profondément transformé les règles du jeu en matière de gestion des données personnelles dans l’entreprise. En droit du travail, cette réglementation entre en tension constante avec un autre droit fondamental : le droit à la preuve. L’employeur peut-il produire en justice des données personnelles du salarié pour justifier un licenciement ? Le salarié peut-il exercer son droit d’accès RGPD pour constituer un dossier de discrimination ? La Cour de cassation a rendu ces dernières années une série d’arrêts majeurs qui redessinent les contours de cet équilibre délicat.

1. Le cadre juridique : RGPD, Code du travail et droit à la preuve

La confrontation entre protection des données et droit de la preuve met en jeu trois corpus normatifs distincts qui doivent être articulés avec soin.

Le RGPD et la loi Informatique et Libertés

Le RGPD pose le principe selon lequel tout traitement de données à caractère personnel doit reposer sur une base légale (article 6 du RGPD) et respecter les principes de finalité, de minimisation et de proportionnalité. L’article 6, paragraphes 3 et 4, prévoit explicitement que le traitement de données peut être licite lorsqu’il est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. Par ailleurs, le considérant 4 du RGPD rappelle que « le droit à la protection des données à caractère personnel n’est pas un droit absolu » et doit être mis en balance avec d’autres droits fondamentaux.

Le Code du travail

L’article L. 1222-4 du Code du travail impose que toute information concernant personnellement un salarié ne puisse être collectée par un dispositif qui n’ait été porté préalablement à sa connaissance. L’article L. 1321-3 du Code du travail encadre les restrictions aux libertés individuelles : elles ne sont licites que si elles sont justifiées par la nature de la tâche à accomplir et proportionnées au but recherché. Enfin, l’article L. 1222-3 prévoit que le salarié doit être expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d’évaluation professionnelle utilisées à son égard.

Le droit à la preuve

Le droit à la preuve est un droit fondamental garanti par l’article 6 § 1 de la Convention européenne des droits de l’homme (droit à un procès équitable) et par l’article 9 du Code de procédure civile qui impose à chaque partie de prouver les faits nécessaires au succès de sa prétention. Ce droit peut justifier la production de preuves portant atteinte à la vie privée ou à la protection des données, sous réserve d’un contrôle de proportionnalité.

2. La preuve illicite n’est plus automatiquement irrecevable : le revirement de 2020

Pendant longtemps, la Cour de cassation rejetait systématiquement les preuves obtenues par des moyens illicites, notamment les enregistrements de vidéosurveillance réalisés sans information préalable des salariés. Ce principe a connu un revirement majeur avec les arrêts de l’Assemblée plénière du 22 décembre 2023 (n° 20-20.648 et 21-11.330), confirmant l’évolution amorcée par la chambre sociale.

Désormais, le juge ne peut plus écarter une preuve au seul motif qu’elle a été obtenue de manière illicite ou déloyale. Il doit procéder à un double contrôle :

• La production de la preuve est-elle indispensable à l’exercice du droit à la preuve ? (le demandeur ne pouvait-il pas prouver ses allégations autrement ?)
• L’atteinte portée aux droits de la personne est-elle proportionnée au but poursuivi ?

3. La vidéosurveillance : l’illustration emblématique du conflit RGPD/preuve

La vidéosurveillance constitue le terrain d’élection du conflit entre protection des données et droit à la preuve en entreprise. Plusieurs conditions doivent être réunies pour qu’un dispositif de vidéosurveillance soit licite au regard du RGPD et du Code du travail :

• Information préalable des salariés (art. L. 1222-4 C. trav.) sur l’existence du dispositif et ses finalités
• Consultation du CSE préalablement à la mise en place de tout moyen de contrôle de l’activité des salariés (art. L. 2312-38 C. trav.)
• Inscription au registre des traitements conformément à l’article 30 du RGPD
• Proportionnalité du dispositif : les caméras ne doivent pas filmer en permanence un poste de travail (sauf impératif de sécurité démontré)
• Durée de conservation limitée (en principe 30 jours maximum selon la CNIL)

Lorsque ces conditions ne sont pas respectées, les enregistrements sont obtenus de manière illicite. Toutefois, depuis le revirement jurisprudentiel de 2021, le juge doit désormais procéder au contrôle de proportionnalité avant de les écarter des débats.

4. Le droit d’accès du salarié (article 15 RGPD) au service de la preuve

L’article 15 du RGPD confère à toute personne le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, d’obtenir l’accès auxdites données. En droit du travail, ce droit d’accès est de plus en plus utilisé par les salariés comme un outil stratégique de constitution de preuve, notamment dans les contentieux de discrimination et de harcèlement.

Le salarié peut ainsi demander à son employeur la communication de l’ensemble des données personnelles le concernant : entretiens annuels, courriels, fiches de notation, historique de rémunération. L’employeur dispose d’un délai d’un mois (pouvant être prolongé de deux mois en cas de complexité) pour répondre à cette demande.

En pratique, le droit d’accès RGPD est devenu un véritable levier contentieux. Un salarié bien conseillé exercera ce droit avant toute saisine du conseil de prud’hommes pour rassembler les éléments nécessaires à la démonstration d’une discrimination ou d’un traitement inégalitaire.

5. La production de données de salariés tiers : RGPD et preuve de discrimination

L’une des questions les plus délicates concerne la production en justice de données personnelles de salariés tiers pour prouver une discrimination. En effet, la preuve d’une discrimination repose souvent sur la comparaison de la situation du salarié avec celle de collègues occupant des postes similaires. Or, cette comparaison nécessite d’accéder aux données de rémunération, d’ancienneté et de carrière de ces collègues.

La Cour de cassation a rendu une série d’arrêts fondateurs sur ce sujet :

Cass. soc., 1er juin 2023 (n° 22-13.238 et suivants)

Dans cet arrêt majeur, la chambre sociale a jugé que la communication de données personnelles de salariés tiers visés par une mesure d’instruction (article 145 du CPC) peut être ordonnée lorsqu’elle est indispensable à l’exercice du droit à la preuve de la discrimination alléguée. La Cour rappelle, au visa du RGPD, que le droit à la protection des données à caractère personnel n’est pas un droit absolu et doit être considéré par rapport à sa fonction dans la société et mis en balance avec d’autres droits fondamentaux.

Cass. civ. 2e, 3 octobre 2024 (n° 21-20.979)

La deuxième chambre civile a précisé que l’article 6, paragraphes 3 et 4, du RGPD s’applique à la production en tant qu’élément de preuve de documents contenant des données personnelles, tels que les bulletins de salaire de salariés tiers. Cependant, le juge doit ordonner, au besoin d’office, l’occultation de toutes les données à caractère personnel non indispensables à l’exercice du droit à la preuve et non proportionnées au but poursuivi.

Cass. soc., 9 avril 2025 (n° 22-23.639)

Dans son arrêt le plus récent sur le sujet, la chambre sociale confirme et systématise cette jurisprudence : le juge qui ordonne la communication de données personnelles de salariés de comparaison doit veiller à ce que seules les données strictement nécessaires soient transmises, les autres devant être occultées. Cette décision renforce le rôle actif du juge dans la protection des données personnelles des tiers au litige.

6. Géolocalisation, messagerie, fichiers informatiques : les autres terrains de conflit

Au-delà de la vidéosurveillance, d’autres dispositifs de collecte de données alimentent le contentieux prud’homal.

La géolocalisation

La géolocalisation des véhicules professionnels est un sujet fréquent de contentieux. La CNIL impose des conditions strictes : finalité légitime (sécurité des biens, optimisation des tournées), information préalable du salarié, interdiction d’utiliser la géolocalisation pour contrôler le temps de travail lorsqu’un autre moyen existe. Un système de géolocalisation non conforme produira une preuve illicite, soumise au même contrôle de proportionnalité que la vidéosurveillance.

Les fichiers informatiques et la messagerie

L’employeur peut accéder aux fichiers présents sur l’ordinateur professionnel du salarié, sauf ceux identifiés comme « personnels ». Les courriels envoyés ou reçus depuis la messagerie professionnelle sont présumés avoir un caractère professionnel et peuvent être produits en justice. En revanche, les messages expressément identifiés comme « personnels » ou « privés » ne peuvent être ouverts qu’en présence du salarié ou après l’avoir dûment convoqué.

7. La dimension pénale : protection des données et RGPD

La Cour de cassation a récemment étendu le raisonnement sur l’articulation RGPD/preuve au domaine pénal. Dans un arrêt de la chambre criminelle du 13 janvier 2026 (n° 24-82.422), publié au bulletin, la Cour a jugé qu’un employeur ne peut invoquer une atteinte au droit à la protection des données personnelles de ses salariés pour contester la validité de saisies opérées dans le cadre d’une enquête de concurrence (article L. 450-4 du Code de commerce). Autrement dit, le RGPD ne constitue pas un bouclier absolu contre les investigations judiciaires.

Cette décision confirme que les impératifs de la justice — qu’elle soit civile ou pénale — peuvent prévaloir sur la protection des données, à condition que les atteintes soient proportionnées et encadrées par la loi.

8. Recommandations pratiques pour employeurs et salariés

Pour l’employeur

• Respecter scrupuleusement les obligations d’information : informer les salariés de tous les dispositifs de surveillance et de collecte de données (vidéosurveillance, géolocalisation, contrôle informatique)
• Consulter le CSE avant toute mise en place d’un dispositif de contrôle de l’activité des salariés
• Constituer un registre des traitements complet et à jour (article 30 RGPD)
• Répondre aux demandes d’accès dans les délais (un mois) et de manière complète
• En cas de contentieux, documenter la nécessité et la proportionnalité de chaque preuve produite comportant des données personnelles

Pour le salarié

• Exercer son droit d’accès RGPD (article 15) auprès de l’employeur pour obtenir l’ensemble de ses données personnelles, de préférence avant tout contentieux
• En cas de discrimination, solliciter du juge des mesures d’instruction (article 145 CPC) pour obtenir la communication de données comparatives d’autres salariés
• Contester l’illicéité des preuves adverses si les conditions du RGPD et du Code du travail n’ont pas été respectées, en gardant à l’esprit que le juge procèdera à un contrôle de proportionnalité
• Saisir la CNIL en cas de violation caractérisée du RGPD par l’employeur, indépendamment du contentieux prud’homal

L’articulation entre RGPD et droit de la preuve en matière sociale est un sujet en pleine évolution jurisprudentielle. Chaque affaire impose une analyse au cas par cas, prenant en compte la nature des données, la finalité de leur production et l’existence de moyens alternatifs de preuve. Le cabinet DAIRIA Avocats conseille employeurs et salariés dans la gestion stratégique de la preuve numérique en droit du travail.