RGPD : la Cour de cassation écarte toute indemnisation automatique du salarié
La chambre sociale de la Cour de cassation a jugé le 24 juin 2026 qu'un traitement de données personnelles contraire au RGPD n'ouvre pas, à lui seul, droit à des dommages et intérêts pour le salarié. La direction de l'information légale et administrative a rendu compte de cet arrêt le 17 juillet 2026.
Un salarié dont l'employeur a produit contre lui des preuves issues d'un traitement de données personnelles irrégulier n'obtient pas automatiquement réparation. La chambre sociale de la Cour de cassation l'a jugé dans un arrêt du 24 juin 2026, publié au bulletin. La direction de l'information légale et administrative (DILA) a rendu compte de la décision le 17 juillet 2026 sur son portail d'information destiné aux entreprises.
Trois griefs à l'origine du licenciement, dont des campagnes anti-hameçonnage
Le litige oppose une banque à l'un de ses salariés, licencié. L'employeur lui reproche d'avoir volontairement échoué à plusieurs campagnes internes de sensibilisation à l'hameçonnage, en y saisissant des propos injurieux. Deux autres griefs sont retenus contre lui : la manipulation des résultats d'un concours interne et l'installation, sur son poste de travail, de plusieurs logiciels non autorisés.
Le salarié conteste la légitimité de la rupture devant le conseil de prud'hommes. Il fait valoir qu'une partie des preuves versées par l'employeur provient d'un traitement de ses données personnelles opéré en méconnaissance du règlement général sur la protection des données (RGPD), et demande à ce titre la réparation du préjudice subi. Le conseil de prud'hommes condamne l'employeur au titre de ce traitement.
La cour d'appel avait déduit le droit à réparation de l'absence de consentement
La cour d'appel confirme cette condamnation. Elle retient que le traitement des données personnelles conduit sans le consentement préalable du salarié contrevient au règlement européen, et que l'intéressé peut, de ce fait, obtenir une indemnisation de son employeur.
L'employeur forme un pourvoi. Il soutient que l'octroi de dommages et intérêts suppose la démonstration d'un préjudice concret, moral ou matériel, découlant du traitement des données personnelles.
L'article 82 du règlement subordonne la réparation à un dommage démontré
La Cour de cassation adopte une position différente de celle des juges d'appel. Elle part du paragraphe 1 de l'article 82 du règlement, qui reconnaît le droit à réparation à toute personne ayant subi un dommage matériel ou moral du fait d'une violation du texte. Il en résulte, selon la chambre sociale, que le salarié doit être en mesure de démontrer l'existence de ce dommage.
La Cour relève par ailleurs que les preuves produites par l'employeur, bien qu'obtenues en violation du règlement, étaient indispensables et proportionnées à l'objectif poursuivi. Un traitement contraire au RGPD ne garantit donc pas, à lui seul, l'existence d'un préjudice. La seule violation du texte n'ouvre pas, par elle-même, un droit à indemnisation : l'employeur n'a pas à indemniser le salarié.
L'affaire n'est pas close pour autant. La Cour de cassation renvoie le dossier devant une cour d'appel, qui devra le juger de nouveau en tenant compte de cette lecture de l'article 82.
1 Publication source
Cet article est écrit à partir du texte publié par l'autorité à l'origine de l'information — Texte officiel reproduit — DILA, Licence Ouverte / Etalab 2.0.
Article produit automatiquement — sans rédaction humaine
Ce texte a été rédigé par un traitement automatisé à partir des 1 publication citée ci-dessus, et n'a été relu par aucun journaliste : fildactu.fr n'a pas de rédaction. Aucune phrase n'est reprise d'un article de presse. En cas d'écart avec une source, c'est la source qui fait foi.
Procédé décrit sur la page Méthode. Une erreur ? Signaler — ou demander un retrait.