Emails professionnels, RGPD et licenciement

Un salarié licencié peut-il demander à récupérer ses emails professionnels au titre du RGPD ?

La réponse est oui, dans certaines limites. Dans un arrêt du 18 juin 2025, la Cour de cassation a confirmé que les courriels envoyés ou reçus par un salarié depuis sa messagerie professionnelle constituent des données à caractère personnel lorsqu’ils permettent de l’identifier.
Conséquence très concrète : un salarié peut exercer son droit d’accès RGPD sur ces données, y compris dans un contexte de licenciement ou de contentieux avec son employeur.
Et pour l’entreprise, la question ne se résume donc plus à savoir qui « possède » la boîte mail professionnelle.

Ce qu’a décidé la Cour de cassation

L’affaire concernait un salarié qui, après son licenciement, avait demandé à son ancien employeur l’accès aux courriels professionnels qu’il avait émis ou reçus.
L’entreprise n’avait pas donné suite à cette demande.
La Cour de cassation rappelle que les courriels émis ou reçus par un salarié au moyen de sa messagerie électronique professionnelle constituent des données à caractère personnel au sens du RGPD.
Le salarié dispose donc d’un droit d’accès à ces données.
Et ce droit ne concerne pas seulement une liste de messages : l’employeur doit pouvoir communiquer les métadonnées — horodatage, destinataires, etc. — ainsi que les données personnelles contenues dans les courriels, sous réserve des droits et libertés des autres personnes.
Cette décision s’inscrit directement dans l’article 15 du RGPD, qui donne à une personne le droit d’obtenir confirmation du traitement de ses données et d’y accéder..

Non, cela ne signifie pas qu’il faut transmettre toute la messagerie

C’est probablement le point le plus important.
Le droit d’accès porte sur les données personnelles, pas automatiquement sur l’intégralité des documents dans lesquels elles figurent. La CNIL rappelle que le droit d’accès porte sur les données personnelles et ne signifie pas nécessairement que l’employeur doit transmettre l’intégralité des documents qui les contiennent.
Dans certains cas, transmettre une copie des emails sera la façon la plus simple de répondre à la demande. Mais ce n’est pas nécessairement la seule solution : les informations peuvent également être restituées sous une autre forme, par exemple dans un tableau, si celui-ci permet un accès fidèle et intelligible aux données concernées.
L’entreprise doit également prendre en compte les droits des tiers :
– vie privée d’autres salariés ;
– secret des correspondances ;
– secret des affaires ;
– propriété intellectuelle ;
– informations confidentielles concernant des clients, fournisseurs ou partenaires.
Une demande d’accès ne donne donc pas un droit illimité à fouiller dans toutes les informations de l’entreprise.
Mais l’inverse est tout aussi important : l’existence de données concernant des tiers ne permet pas de rejeter automatiquement toute la demande. L’entreprise doit examiner ce qui peut être communiqué et, lorsque cela est nécessaire, supprimer, anonymiser ou « pseudonymiser » certaines informations.

Et si la demande arrive après un licenciement ?

C’est précisément ce qui rend cette décision intéressante.
Un ancien salarié conserve la possibilité d’exercer ses droits sur les données personnelles que son ancien employeur détient encore sur lui. La CNIL rappelle d’ailleurs explicitement que le droit d’accès concerne également les anciens salariés.
Et le fait qu’un contentieux prud’homal soit engagé ou envisagé ne suffit pas à neutraliser le RGPD.
La CNIL précise qu’une personne n’a pas à justifier sa demande et que le droit d’accès peut être exercé parallèlement à une procédure contentieuse.
C’est là que le sujet devient très opérationnel pour les entreprises.
Une demande RGPD reçue après un licenciement ne doit donc pas être traitée comme un simple courrier annexe au conflit social. C’est une demande d’exercice de droit à part entière, avec ses propres règles et délais.

Combien de temps l’entreprise a-t-elle pour répondre ?

En principe, 1 mois à compter de la réception de la demande.
Lorsque la demande est complexe ou lorsque l’organisme doit traiter un nombre important de demandes, ce délai peut être prolongé de deux mois supplémentaires. La personne concernée doit alors être informée de cette prolongation et de ses motifs dans le premier mois.
Le piège classique serait donc de laisser la demande circuler entre RH, direction, informatique et juridique jusqu’à ce que quelqu’un décide enfin qui doit s’en occuper.
Le délai, lui, n’attend pas que l’organisation interne se mette d’accord.

Le vrai sujet pour l’entreprise : être capable de retrouver les données

Cet arrêt met finalement en lumière quelque chose de beaucoup plus large que le licenciement.
Répondre correctement à une demande suppose de savoir :
où sont les données, combien de temps elles sont conservées, qui peut y accéder et comment les extraire. Cela suppose donc des règles claires, des responsabilités identifiées et des équipes qui savent quoi faire lorsqu’une demande arrive. La formation et la sensibilisation des équipes au RGPD font donc partie du dispositif.
La CNIL souligne d’ailleurs que les demandes portant sur un très grand nombre de courriels peuvent devenir particulièrement lourdes à traiter. Elle recommande notamment de définir des durées de conservation et des mécanismes d’archivage adaptés.
Autrement dit, une politique RGPD qui existe uniquement dans un classeur ou dans une politique de confidentialité ne suffira pas le jour où un ancien salarié demandera plusieurs années de données issues de sa messagerie.

5 réflexes à mettre en place

Pour éviter de découvrir le problème au moment d’un licenciement ou d’un contentieux, quelques règles simples peuvent être prévues en amont :
1 – identifier clairement qui reçoit et pilote les demandes d’exercice de droits ;
2 – prévoir une procédure entre RH, informatique, direction et éventuellement DPO ;
3 – connaître les durées de conservation et d’archivage des messageries ;
4 – prévoir comment rechercher et extraire les données sans exposer inutilement celles des tiers ;
5 – conserver une trace de la demande, des recherches effectuées, des arbitrages réalisés et de la réponse apportée.
Ce n’est pas de la bureaucratie supplémentaire. C’est ce qui permet de répondre correctement lorsque la demande arrive — et d’être capable d’expliquer ensuite ce qui a été fait.

À retenir

L’arrêt du 18 juin 2025 ne dit pas qu’un salarié licencié peut exiger la copie intégrale et sans filtre de toute sa messagerie professionnelle.
Il confirme quelque chose de plus précis : les courriels professionnels peuvent contenir des données personnelles auxquelles le salarié dispose d’un droit d’accès au titre du RGPD, y compris après son départ de l’entreprise.
L’employeur doit donc être capable de traiter cette demande, tout en protégeant les droits et libertés des autres personnes concernées.
Et comme souvent avec le RGPD, la difficulté n’est pas tellement de connaître l’article du règlement.
La difficulté, c’est d’avoir une organisation capable de l’appliquer le jour où quelqu’un exerce réellement son droit.

Ces situations montrent que le RGPD se joue souvent dans les pratiques quotidiennes, bien avant qu’un problème survienne. Pour faire un premier point sur vos pratiques, vous pouvez utiliser l’autodiagnostic RGPD.