RGPD au travail : la violation ne suffit pas à obtenir des dommages et intérêts

Actualité RH · Décision du 24 juin 2026 — Cour de cassation, chambre sociale, n° 24-22.792, arrêt n° 571 FS-B, publié au Bulletin. La seule violation du RGPD ne suffit pas à ouvrir droit à des dommages et intérêts ; le dommage et son lien avec cette violation doivent être examinés.

Ce que décide la Cour de cassation

Ce que décide la Cour de cassation

Dans l’arrêt du 24 juin 2026, un salarié contestait son licenciement et avait obtenu 5 000 euros pour exécution déloyale du contrat. La cour d’appel avait considéré qu’un traitement de données contraire au RGPD lui avait nécessairement causé un préjudice.

La Cour de cassation censure ce raisonnement sur le fondement de l’article 82 du RGPD. Elle casse uniquement le chef relatif à cette indemnisation et renvoie l’affaire sur ce point. Il ne s’agit ni d’une validation générale du traitement ni d’une décision excluant définitivement toute réparation pour ce salarié.

Violation, dommage et causalité : trois éléments à distinguer

La personne qui demande réparation doit établir un manquement au RGPD, un dommage matériel ou moral et le fait que ce dommage a été causé par le manquement. La réparation vise à compenser le préjudice concrètement subi ; elle ne fonctionne pas comme une amende privée attachée à chaque irrégularité.

La Cour rappelle également, à partir de la jurisprudence européenne, qu’un dommage moral n’a pas à atteindre un degré minimal de gravité pour être réparable. Exiger la preuve d’un préjudice ne permet donc pas de refuser par principe un dommage au seul motif qu’il serait peu important.

Une preuve recevable peut rester issue d’un traitement illicite

Une preuve recevable peut rester issue d’un traitement illicite

L’arrêt rapporte que les juges d’appel avaient admis les éléments identifiant le salarié au regard de leur caractère indispensable et proportionné à l’objectif poursuivi, tout en constatant une contrariété au RGPD. L’admission d’une pièce au procès et la licéité du traitement répondent à deux contrôles différents.

La décision ne donne pas une autorisation générale de collecter des données irrégulièrement pour préparer un contentieux. Le contexte, la nécessité et la proportionnalité doivent être appréciés par le juge. Il faut aussi distinguer la décision d’appel décrite et le point précisément censuré par la Cour de cassation.

Le consentement n’est pas l’unique base légale

Pour un dispositif concernant les salariés, le premier contrôle consiste à identifier la finalité et le fondement approprié. L’article 6 du RGPD prévoit plusieurs bases, dont le consentement, l’obligation légale ou, sous ses conditions, l’intérêt légitime. L’absence de consentement ne démontre donc pas à elle seule que tout traitement est illicite.

Les principes de finalité, de minimisation, de durée de conservation et de sécurité restent applicables. L’article L. 1222-4 du Code du travail prévoit aussi qu’un dispositif collectant des informations personnelles sur un salarié doit avoir été porté préalablement à sa connaissance. La recevabilité éventuelle d’une preuve ne remplace pas ces obligations.

Une grille de lecture pour les dossiers RH

Les sanctions administratives restent possibles

La demande d’indemnisation du salarié au titre de l’article 82 est distincte des pouvoirs de l’autorité de contrôle, notamment des amendes régies par l’article 83. L’absence de dommage individuel établi dans un procès ne rend pas le traitement conforme et ne supprime pas la possibilité d’une réclamation auprès de la CNIL.

Pour les RH, la pratique utile est de documenter le dispositif en amont avec le DPO lorsqu’il est désigné : objectif, données réellement nécessaires, destinataires, information des salariés, durée et habilitations. En cas de contestation, examinez séparément la conformité, les pièces du contentieux et les conséquences alléguées pour la personne.

Une grille de lecture pour les dossiers RH

1. Décrire le traitement et le manquement allégué sans confondre absence de consentement et absence de base légale.
2. Identifier le dommage invoqué et les éléments qui le démontrent.
3. Examiner le lien entre le traitement et ce dommage.
4. Distinguer réparation, admissibilité des preuves et éventuelle procédure de contrôle.
5. Corriger le dispositif concerné sans attendre qu’un montant d’indemnisation soit fixé.

Ces repères concernent la responsabilité liée aux données personnelles. Ils ne doivent pas être généralisés à toutes les demandes de réparation en droit du travail, dont certaines répondent à d’autres règles.