Si l’employeur obtient des éléments de preuve à l’encontre d’un salarié pour justifier son licenciement qui ont nécessité un traitement des données personnelles du salarié, collectées auprès d’un tiers sans son consentement, cette seule violation du RGPD suffit-elle pour obtenir une réparation ?
Droit à réparation en cas de violation du RGPD
Selon l’article 82.1 du RGPD (règlement (UE) 2016/679 du 27-4-2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données), toute personne ayant subi un dommage matériel ou moral du fait d'une violation de ce règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
Pour la Cour de justice de l’Union européenne (CJUE), l'article 82.1 du RGPD permet d’obtenir une réparation si la personne demandant réparation au titre de cette disposition établit non seulement la violation de dispositions du RGPD mais également que cette violation lui a causé un dommage matériel ou moral. La simple violation des dispositions ne suffit pas pour avoir droit à une réparation. Par ailleurs, la réparation d'un dommage moral ne nécessite pas que le préjudice subi par la personne concernée ait atteint un certain degré de gravité. Enfin, le droit à réparation prévu par l’article 82.1 du RGPD, notamment en cas de dommage moral, remplit une fonction compensatoire, et non une fonction punitive. En conséquence, la réparation pécuniaire doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation du RGPD (CJUE 4-5-2023 aff. C-300/21 ; CJUE 25-1-2024 aff. C-687/21).
Licenciement fondé sur des éléments obtenus en raison d’une violation du RGPD
Dans le cadre de six campagnes de sensibilisation au phishing (hameçonnage) mises en œuvre dans un établissement bancaire par un prestataire extérieur, un salarié, exerçant les fonctions d'analyste en stratégies algorithmiques, a été licencié pour faute simple, son employeur lui reprochant des agissements déloyaux. Informé de ces campagnes, le salarié avait délibérément cliqué sur le lien suspect contenu dans les faux mails envoyés lors des six tests de phishing et avait saisi des insultes et termes orduriers en guise d'identifiants. Le salarié a saisi le juge prud’homal pour contester le bien-fondé de son licenciement et demander des dommages et intérêts pour exécution déloyale du contrat de travail. Il faisait valoir que son employeur avait recueilli des données personnelles lors de ces campagnes de sensibilisation au phishing en violation des dispositions du RGPD dans la mesure où il n'avait pas consenti au traitement de ses données personnelles par la société prestataire.
En appel, les juges du fond ont considéré que le licenciement disciplinaire était justifié. Bien que les preuves fournies par l'employeur ayant permis d’identifier le salarié étaient illicites, car il s’agissait d'un traitement de données à caractère personnel contraire aux dispositions du RGPD, les juges ont estimé que ces preuves étaient recevables car leur obtention et leur production étaient indispensables et proportionnées à l'objectif poursuivi. Cependant, ils ont octroyé au salarié 5 000 € à titre de dommages et intérêts pour exécution déloyale du contrat de travail, car le non-respect des dispositions du RGPD était caractérisé et avait nécessairement causé un préjudice au salarié.
L’employeur a contesté la décision des juges. Selon lui, il incombe au salarié de justifier d'un préjudice particulier s'il entend obtenir des dommages-intérêts et que, faute d'éléments de preuve en ce sens, il doit être débouté de sa demande.
Pas de préjudice automatique en cas de violation du RGPD
La Cour de cassation a donné raison à l’employeur. S’alignant sur la jurisprudence de la CJUE, elle a déclaré que la simple violation du RGPD n'ouvre pas, à elle seule, droit à réparation. Les juges auraient dû apprécier si le salarié établissait que la violation de ce règlement qu'ils avaient constatée lui avait causé un dommage matériel ou moral. Ne l’ayant pas fait, leur décision a été censurée pour violation de l’article 82.1 du RGPD.
Source : Cass. soc. 24-6-2026 n° 24-22.792
© Lefebvre Dalloz