RGPD et messagerie professionnelle : la Cour d’appel de Paris trace une ligne de résistance

Depuis l’arrêt très commenté de la Cour de cassation du 18 juin 2025 (n° 23-19.022), la question de l’accès du salarié à sa messagerie professionnelle est devenue un sujet explosif en pratique.

➡️ La chambre sociale a jugé que les courriels envoyés ou reçus via la messagerie professionnelle constituent des données personnelles, ouvrant ainsi la voie à des demandes très larges fondées sur l’article 15 du RGPD.

Dans les entreprises, les conséquences ont été immédiates :

• demandes d’accès portant sur des boîtes mail entières,
• sollicitations massives de dossiers informatiques,
• désorganisation RH / IT / juridique,
• utilisation du droit d’accès à des fins probatoires.

⚠️ Le droit d’accès était parfois détourné pour contourner les mécanismes judiciaires encadrés de recherche de preuve, notamment l’article 145 du Code de procédure civile.

Or, deux arrêts rendus par la Cour d’appel de Paris en novembre et décembre 2025 viennent utilement encadrer cette dérive.

Une première réaction des juges du fond : le droit d’accès n’est pas un droit à la “boîte mail entière”

1. CA Paris, 18 décembre 2025, n° 25/04270 : refus d’une communication globale

Dans cette affaire, un salarié licencié pour insuffisance professionnelle demandait :

• « l’ensemble des courriels reçus et envoyés » depuis son embauche,
• ainsi que des dossiers intitulés « privé et personnel » et « espace privé et personnel ».

Il invoquait à la fois :

• les articles 12 et suivants du RGPD,
• et l’article 145 CPC, afin de préparer une action prud’homale.

La Cour rappelle la finalité réelle de l’article 15 RGPD

La Cour d’appel adopte une lecture restrictive :

📌 « La finalité du RGPD n’est pas d’obtenir la copie de la correspondance électronique professionnelle émise ou reçue par le salarié (…) dont il a, par définition, eu connaissance en totalité ».

Elle souligne que le droit d’accès sert uniquement à :

• contrôler la conformité du traitement,
• vérifier l’exactitude des données,
• demander rectification ou effacement.

Ainsi, sauf preuve contraire, les courriels professionnels ne contiennent comme données personnelles que l’identification du salarié :

📌 « …qui ne contient (…) comme seules données personnelles que son identification (ici l’adresse mail et son nom) ».

La Cour en déduit que :

➡️ les mails et documents sollicités ne constituent pas des données personnelles au sens de l’article 15 RGPD.

2. CA Paris, 13 novembre 2025 (Logista France, RG 25/03115) : même principe… mais articulation plus nuancée

Dans l’affaire Logista France, le salarié demandait notamment :

• l’intégralité de sa messagerie professionnelle,
• des relevés de connexions,
• des documents RH et d’évaluation.

La Cour reprend exactement la même formule de principe :

📌 « La finalité du RGPD n’est pas d’obtenir la copie de la correspondance électronique professionnelle (…) dont le salarié a, par définition, eu connaissance en totalité. »

Et elle ajoute :

📌 « Les autres documents (…) ne constituent pas des données personnelles au sens de l’article 15. »

Donc pas de trouble manifestement illicite en référé sur le seul fondement RGPD.

Le vrai terrain devient alors l’article 145 CPC : contrôle strict du motif légitime et de la proportionnalité

Dans les deux décisions, la Cour rappelle que l’article 145 CPC suppose :

• un motif légitime,
• une mesure indispensable,
• une atteinte proportionnée.

« Le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie personnelle à condition que cette production soit indispensable et proportionnée. »

Dans l’arrêt du 18 décembre 2025 : aucune nécessité démontrée

Le salarié invoquait la contestation du licenciement et des heures supplémentaires.

Mais la Cour constate que :

• la lettre de licenciement était extrêmement détaillée,
• les griefs visaient des dossiers précisément référencés,
• le salarié disposait déjà de ses entretiens annuels,
• il avait conservé l’usage de ses outils informatiques avant la rupture.

Conclusion :

📌 « M. [K] ne verse aucun élément susceptible d’étayer un motif légitime. »

Et surtout :

📌 « Ordonner une telle mesure serait manifestement disproportionnée au but poursuivi. »

La Cour insiste également sur le risque majeur d’atteinte :

• au secret des affaires,
• à la confidentialité des études notariales,
• aux données des clients et partenaires.

Dans l’arrêt du 13 novembre 2025 : communication partielle admise, mais cantonnée

Dans Logista France, la Cour adopte une approche plus équilibrée.

Le salarié justifiait d’un motif légitime lié à :

• la contestation de sa convention de forfait jours,
• le non-respect du repos quotidien.

La Cour accepte alors :

📌 la communication de la messagerie professionnelle…

Mais uniquement :

• sur une période limitée,
• sous réserve d’anonymisation,
• sans transmission des pièces jointes.

📌 « Cette demande est nécessaire (…) proportionnée (…) sous réserve d’anonymisation des données et sans communication des documents attachés. »

Et surtout injonction de n’utiliser ces données qu’aux seules fins du litige prud’homal envisagé.

Ce que la Cour d’appel de Paris affirme clairement

À travers ces deux arrêts, une ligne se dessine :

Le RGPD ne doit pas devenir un outil de récupération massive de documents. Le droit d’accès n’est pas un droit à la messagerie intégrale. L’article 145 CPC reste soumis à un contrôle strict de proportionnalité. Les droits des tiers, le secret des affaires et la confidentialité pèsent lourd dans la balance. Une demande ne peut prospérer que si elle est ciblée, justifiée, indispensable.

Conseils opérationnels pour les employeurs

En pratique, les entreprises ont aujourd’hui des arguments solides :

• exiger une demande ciblée et précise,
• rappeler la finalité du droit d’accès,
• invoquer la protection des tiers et le secret professionnel,
• documenter toute mise en balance,
• proposer des alternatives (tableau récapitulatif CNIL),
• cantonner la communication au strict nécessaire.

Conclusion

Après le “coup de tonnerre” du 18 juin 2025, la Cour d’appel de Paris ouvre la voie à une résistance raisonnée :

Le droit d’accès RGPD ne peut pas devenir un article 145 déguisé.

L’équilibre reste fragile :

• droit du salarié,
• contraintes de l’employeur,
• protection des tiers.