La question de l’étendue des « données à caractère personnel » au sens du RGPD a récemment fait l’objet de précisions jurisprudentielles importantes.
Dans un arrêt du 18 juin 2025, la Cour de cassation rappelle la définition large posée par l’article 4 du RGPD : constitue une donnée personnelle toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Sur ce fondement, la Cour juge que les mails professionnels émis ou reçus par un salarié sont bien des données personnelles. Le salarié peut donc y accéder dans le cadre de son droit d’accès, incluant le contenu des messages et leurs métadonnées, sauf risque d’atteinte aux droits et libertés de tiers.
Cette approche extensive est toutefois nuancée par un arrêt de la cour d’appel de Paris du 13 novembre 2025, qui restreint la qualification de données personnelles dans un litige relatif à l’accès aux documents professionnels. Si la cour d’appel reconnaît comme données personnelles les éléments directement identifiants (nom, prénom, adresse mail professionnelle, etc.), elle estime en revanche que les documents ou pièces émis ou reçus par le salarié ne constituent pas, en eux-mêmes, des données personnelles.
Selon elle, le droit d’accès prévu par l’article 15 du RGPD vise uniquement à permettre le contrôle du traitement des données de la personne concernée, et non à obtenir la communication de l’ensemble des documents impliquant cette personne.
Ces deux décisions montrent ainsi une tension jurisprudentielle entre une conception large et fonctionnelle de la donnée personnelle et une interprétation plus restrictive centrée sur l’objet du droit d’accès prévu par le RGPD.
Cass. soc., 18 juin 2025, n°23-19,022 et CA Paris, 13 novembre 2025, n°25/03115
