La boite mails professionnelle appartient-elle au salarié ?

Tous les jours, des salariés nous interrogent sur ce qu’ils ont le droit de sortir de l’entreprise de leur messagerie professionnelle. Peut-on se rerouter des emails professionnels sur sa messagerie personnelle ? Peut-on copier l’intégralité de sa messagerie professionnelle sur un disque dur externe ? Peut-on obtenir en Justice la copie intégrale de sa messagerie professionnelle pour se défendre contre des griefs de licenciement, prouver des heures supplémentaires, un harcèlement moral de son supérieur, etc.

On dit souvent que dans un procès, la preuve c’est « le nerf de la guerre » et depuis la fin du 20ème siècle, les preuves sont souvent dans nos boîtes emails.

Dès lors, les salariés entreprennent souvent de copier , sauvegarder ou transférer, sans distinction, l’intégralité de leur boîte mails professionnelle, ce qui les place en risque.

Et à ceux qui n’ont pas pensé ou eu le temps de sauvegarder dans leur boîte email professionnelle ce dont ils ont besoin pour soutenir leurs demandes et en demandent la communication à leurs employeurs, ces derniers avaient coutume de leur refuser cet accès, accès désormais rendu possible par la jurisprudence récente.

Le salarié ne peut pas tout se transférer …

Le salarié qui opère un transfert massif d’emails de sa messagerie professionnelle vers sa messagerie personnelle se met en risque : de se voir accuser d’infractions pénales (atteintes aux systèmes de traitement automatisé de données, soustraction frauduleuse de données, vol de données ou abus de confiance), mais aussi de se voir licencier pour faute grave.

C’est ce qu’a jugé récemment le Conseil d’Etat dans deux affaires concernant le licenciement pour faute grave de salariés protégés (par un mandat électif et/ou syndical).

· CE 30 juillet 2025, n°49-5234 : dans cette première affaire, la salariée exerçait les fonctions de Data Manager au sein d’une caisse de retraite. Elle était donc « aux premières loges » pour avoir accès aux données sensibles. C’est pourquoi d’ailleurs, un avenant à son contrat de travail lui imposait de « prendre toutes précautions (…) dans le cadre de ses attributions afin de protéger la confidentialité des informations auxquelles elle a accès et en particulier (…) empêcher qu’elles ne soient communiquées à des personnes non expressément autorisées». Elle s’y engageait par ailleurs à « ne faire aucune copie de ces données sauf à ce que cela soit nécessaire à l’exécution de ses fonctions » et à « prendre toutes précautions (…) pour préserver la sécurité physique et logique de ses données ».

Or cette salariée, par ailleurs protégée du fait d’un mandat, avait mis en place un système automatique de redirection de l’intégralité de sa messagerie électronique professionnelle vers ses messageries personnelles pendant plusieurs semaines afin de « garantir l’intégrité et la confidentialité des échanges relatifs à son mandat dans un contexte de suspicion à l’égard de son travail syndical et de nombreux licenciements décidés par l’entreprise ». Son licenciement pour faute est autorisé par l’inspecteur du travail, autorisation confirmée par le Ministre. Elle saisit la Justice.

Le tribunal administratif et la Cour administrative d’appel lui donnent raison et annulent l’autorisation de licenciement. Mais le Conseil d’Etat revient sur cette position des premiers juges en retenant que, « nonobstant le fait que l’intéressée n’a pas cherché à détourner des données sensibles pour les communiquer à des tiers ni ne présentait d’antécédents disciplinaires », la « redirection de l’intégralité de sa messagerie électronique vers une adresse personnelle était susceptible de compromettre les données personnelles des ressortissants de la caisse de retraite », ce à quoi la salariée « était particulièrement sensibilisée » compte-tenu de ses fonctions. Le Conseil d’Etat juge dès lors que la salariée méconnaissait ainsi avec « une particulière gravité » ses obligations contractuelles.

Þ On peut se demander si la solution au litige aurait été différente s’il ne s’était pas agi d’un transfert systématique et automatique de l’intégralité des messages et si la salariée avait opéré une sélection stricte et proportionnée de ses emails et ciblé uniquement ceux liés à son mandat.

· CE 20 février 2026 n°497066 : dans cette seconde affaire, la salariée exerçait des fonctions d’Assistante Sociale travaillant dans une association médico-sociale et avait redirigé, depuis sa messagerie professionnelle, 544 courriels vers sa messagerie personnelle et celle de son conjoint. Certains courriels contenaient des informations relatives aux résidents de l’établissement. Le Conseil d’Etat a qualifié l’époux de la salariée de tiers vis-à-vis de l’employeur et retenu qu’il y avait eu une « redirection massive de données de sa messagerie électronique vers une adresse personnelle et celle d’un tiers » et que cette redirection était « susceptible de compromettre des données personnelles sensibles de personnes prises en charge par une structure médico- sociale, ce à quoi l’intéressée avait été sensibilisée ». Il en conclut que la salariée avait méconnu « avec une particulière gravité [s]es obligations légales et contractuelles(…) et ce alors que le secret professionnel s’imposant à elle n’était susceptible d’être, le cas échéant, levé que dans la mesure strictement nécessaire à la défense de ses droits ».

Þ Là encore, le Conseil d’Etat semble appliquer sa technique traditionnelle du contrôle de proportionnalité et il est donc permis de se demander si la solution au litige aurait été différente si la salariée n’avait pas sauvegardé autant d’emails (la redirection n’aurait pu être qualifiée de « massive ») et si des données sensibles concernant des tiers, de surcroît leur vie privée (puisqu’il s’agit de résidents d’une structure médico-sociale). En revanche, le fait qu’un tiers ait été impliqué semble indifférent au regard du précédent arrêt de 2025, où le Conseil d’Etat avait souligné que peu importait que l’intéressée n’avait pas « cherché à détourner des données sensibles pour les communiquer à des tiers ».

Pourtant, de son côté, la Cour de cassation semble demeurer plus permissive vis-à-vis des salariés et a invalidé les licenciements pour faute grave de deux salariés non protégés pour des faits du même type.

· Cass. soc. 9 avril 2025 n° 24-12.055 (Sté Lyreco) : une salariée exerçant les fonctions de Chargée d’Affaires au sein de la Direction commerciale a transféré de sa messagerie professionnelle vers sa messagerie personnelle un courriel émanant du Directeur Commercial. Ce courriel informait les salariés d’une hausse des tarifs appliqués par l’entreprise et était notamment accompagné d’un fichier contenant la liste des nouveaux tarifs. Elle justifie ce transfert par le fait qu’elle avait besoin de travailler dessus pendant un séjour chez sa mère et avait soutenu également qu’on pouvait facilement imprimer cette grille et la remettre à un concurrent. Une fois l’e-mail transféré sur sa messagerie personnelle, elle avait supprimé les traces de ce transfert.

La Cour de cassation relève qu’il s’agissait d’un seul email, certes contenant des pièces jointes, qu’il s’agissait bien d’une violation des obligations en matière de sécurité informatique, mais que rien ne prouvait une transmission de ces données confidentielles à des personnes extérieures à l’entreprise, mais aussi l’ancienneté de la salariée et l’absence de toute sanction ou rappel à ses obligations avant le licenciement.

La Cour de cassation impose donc une appréciation au cas par cas et ne retient pas l’existence d’un motif systématique de licenciement. Là encore néanmoins, il semble que le nombre de courriels transférés et le caractère plus ou moins confidentiel des données transférées constituent des critères d’appréciation du degré de gravité de la faute.

· Cass. soc. 1er octobre 2025 n° 24-16.858 : un salarié d’une étude d’administrateurs judiciaires qui avait transféré des courriels de sa messagerie professionnelle vers la messagerie personnelle de sa belle-mère. Ces courriels contenaient un fichier informatique comportant des informations confidentielles relatives aux entreprises faisant l’objet de procédures collectives suivies par l’étude. La particularité de l’affaire était que le père de ce salarié était un ancien associé de l’étude qui venait de décéder. Sa belle-mère du collaborateur était l’héritière et la détentrice des parts du père. Le collaborateur avait expliqué que ce transfert se justifiait pour l’organisation de la succession de son père. L’étude faisait valoir que les informations transmises étaient couvertes par le secret professionnel des administrateurs judiciaires, secret auquel la belle-mère n’était pas soumise. Elle reprochait au collaborateur un transfert informatique opéré « sans précaution» de données couvertes par le secret professionnel. La lettre de licenciement reprochait également un manquement à l’obligation de confidentialité et un manquement à l’obligation générale de loyauté inhérente au contrat de travail.

La Cour d’appel de Versailles ne retient pas les arguments de l’étude et la Cour de cassation valide le raisonnement suivi par les juges d’appel, qui s’appuie sur les circonstances particulières tenant au règlement de la succession. Sans que le caractère confidentiel des informations ne soit remis en cause, les juges d’appel et de cassation notent que les informations n’avaient pas été détournées « pour autre chose que ce pourquoi elles avaient été transmises » et que la belle-mère du collaborateur ne pouvait être considérée comme un tiers, dès lors qu’elle avait été seule détentrice des parts de son défunt époux. Ils notent également que la comptable de l’étude avait donné son accord à plusieurs reprises pour que la belle-mère soit en possession des documents.

Là encore on relève une appréciation au cas par cas de la Cour de cassation dans un arrêt que l’on peut considérer comme étant lié aux faits de l’espèce la belle-mère n’est pas un tiers alors que le conjoint en est un pour le Conseil d’Etat et l’utilisation des données transférées pour une finalité jugée légitime semble excuser les manquements, alors qu’elle n’avait pas exonéré la Data Manager syndicaliste de chez Lyreco pour le Conseil d’Etat.

Une harmonisation de ces critères dégagés par les deux hautes Cours françaises s’impose pour guider les praticiens et apporter plus de sécurité juridique aux Justiciables.

Si l’on se place du point de vue des employeurs, on ne peut que réitérer ici l’intérêt d’anticiper ces débats dans des clauses précises insérées dans les documents contractuels et procédures internes (contrats de travail, avenants, fiche de poste, règlements intérieurs, chartes informatiques, etc.), mais aussi à se doter de garde-fous informatiques alertant sur les transferts massifs.

Si l’on se place du point de vue des salariés qui souhaitent se ménager des moyens de preuves pour se défendre dans le cadre d’un litige prud’homal, on peut se demander s’ils n’auraient pas intérêt, plutôt qu’à télécharger, transférer, imprimer clandestinement des données en tout ou partie confidentielles (ce qui est parfois inévitable selon les fonctions occupées), à remettre leur ordinateur directement à un Commissaire de Justice pour qu’il en fasse un export complet et en dresse un constat fiable.

… mais l’employeur doit transmettre ses emails professionnels au salarié

La Cour de cassation a jugé, dans un arrêt depuis maintes fois invoqué dans les contentieux sociaux (Cass.soc. 18 juin 2025, n°23-19.022, Sté Publicis Sapient France), que les emails provenant de la messagerie professionnelle sont des données à caractère personnel auxquelles le salarié a un droit d’accès.

Un Directeur du Développement, devenu le directeur associé de l’entreprise, licencié pour faute grave après mise-à-pied conservatoire demande à accéder à sa messagerie professionnelle.

Son employeur le lui refuse, tout en lui transmettant divers documents requis (ses documents de fin de contrat, des bulletins de paie, prévoyance, des documents relatifs à une place de parking et à une voiture, des documents contractuels, des avis d’arrêt de travail, son suivi individuel de santé, son RIB, des documents relatifs au licenciement).

La Cour d’appel condamne l’employeur à indemniser le salarié à hauteur de 500 € du fait de la violation de son droit d’accès à ses données personnelles, tel que prévu par le RGPD de 2016 et l’entreprise se pourvoit en cassation en soutenant que les emails professionnels ne peuvent être des données personnelles et que le droit d’accès aux données personnelles n’emporte pas un droit d’accès aux documents contenant ces données personnelles. Mais la Cour de cassation rejette son pourvoi en jugeant que les courriels émis ou reçus par le salarié grâce à sa messagerie électronique professionnelle sont des données à caractère personnel au sens de l’art. 4 du RGPD.

Ainsi, le salarié a le droit d’accéder à ces courriels, l’employeur devant lui fournir tant les métadonnées (horodatages, destinataires, …) que leur contenu, sous la seule réserve de ne pas porter atteinte aux droits et libertés des tiers (secret des affaires, vie privée d'autres personnes).

Certes, l’Avocat Général avait précisé dans son avis rendu dans cette affaire, qu’il ne s’agit pas d’un droit à exiger d’emporter toute sa messagerie professionnelle et sur toutes les années de son emploi.

Mais cet arrêt a ouvert un vecteur autonome, distinct de l'action en communication de pièces : le salarié peut adresser à l'employeur une demande d'accès RGPD (art. 15 RGPD) portant sur ses propres courriels, et saisir la CNIL ou le tribunal compétent en cas de refus.

De son côté, la CNIL a indiqué que l’employeur ne peut opposer un refus général mais peut restreindre l’accès (voir recommandations sur les demandes de communications massives fiche CNIL du 5 janvier 2022, mise à jour le 31 janvier 2025).

Elle indique aussi qu’on n’est pas obligé d’imprimer les mails et qu’on peut fournir un tableau contenant les métadonnées et les données personnelles contenues dans les différents mails (mais c’est fastidieux, surtout que le responsable du traitement des données de l’entreprise a UN MOIS pour traiter la demande de communication (pouvant être allongé à deux mois dans les cas complexes), sachant que cette règle est punie d’une amende de 5ème classe (1.500 €), outre la réparation que l’on peut obtenir sur le fondement de l’article 82 du RGPD).

Ainsi, lorsqu'il fait droit à une demande de communication d'e-mails, le juge est tenu d'assortir son ordonnance de techniques de cantonnement strictes :

• •1. Le filtre par mots-clés : la recherche dans la messagerie doit être limitée à des termes précis et directement rattachés au litige (noms de projets, termes litigieux, noms des personnes impliquées). Une exploration générale de la messagerie est proscrite.
•  2. La limitation temporelle : la communication doit être circonscrite à la période strictement nécessaire à l'établissement de la preuve des faits invoqués. On peut aussi imaginer se contenter de demander l’horodatage des emails réclamés dans le cadre d’un contentieux relatif à la durée du travail (heures supplémentaires, droit à la déconnexion, temps de repos, etc.)
•  3. L'occultation des données non pertinentes : le juge ordonne l'occultation (caviardage) des données personnelles des tiers et des éléments couverts par le secret des affaires ou le secret professionnel.
•  4. L'intervention d'un Commissaire de justice : dans le cadre de l'article 145 CPC, le juge désigne fréquemment un tiers indépendant chargé d'exécuter le tri des messages selon les critères autorisés, avant toute remise au demandeur.
•  5. L'information du salarié : lorsque l'ordonnance sur requête autorise l'accès aux appareils ou à la messagerie, le salarié concerné doit en être informé (Cass. civ. 2e, 16 avr. 2026, n° 23-12.123).

Cet arrêt de la Cour de cassation a ouvert une longue série d’applications, dont les suivantes :

Par la Cour d’appel de Paris, qui a jugé (CA Paris 2 octobre 2025 (n° 25/02502), que le secret des affaires ne fait pas obstacle au principe de l’accès aux messageries Outlook et Teams, seules les pièces jointes identifiées comme confidentielles pouvant être écartées et que le droit d'accès RGPD ne s'étend pas à la réactivation des accès informatiques ni à la communication des agendas ou relevés de connexion, qui excèdent son périmètre.

Mais qui a aussi débouté un salarié de sa demande de communication jugée trop peu circonscrite et portant une atteinte disproportionnée au secret des affaires et aux données personnelles des tiers car elle visait la remise automatique de l’ensemble de sa correspondance professionnelle, comprenant des informations relatives à des tiers (CA Paris 18 décembre 2025 n° 25/04270).

La Cour d’appel de Paris a également rejeté la demande portant sur l’intégralité du contenu et des métadonnées de la messagerie pendant toute la relation de travail (CA Paris, 21 octobre 2025, n° 25/02761), faute d’utilité démontrée pour la solution du litige.

Et dans un litige relatif au forfait-jours, la Cour d’appel de Paris a également refusé de traiter le droit d’accès comme un droit général à obtenir des documents (CA Paris, 13 novembre 2025, n° 25/03115), tout en ordonnant une mesure ciblée sur le fondement de l’article 145 du Code de procédure civile, avec anonymisation et exclusion des pièces jointes.

La Cour d’appel de Paris a, face à une demande large portant sur des messageries, Teams et agendas de collègues, cantonné la communication aux courriels émis ou reçus pendant les congés, les week-ends et entre 20 h et 7 h, sans pièces jointes (CA Paris, 25 juin 2026, n° 26/00351).

Par la Cour d’appel de Rouen, dont le Conseiller de la mise en état a rejeté une demande étendue aux courriels, échanges Teams et logs de connexion, faute de nécessité, de délimitation temporelle et de proportionnalité établies (CA Rouen, 16 avr. 2026, n° 25/04079).

Par la Cour d’appel de Versailles (CA Versailles, 17 novembre 2025 n° 25/01339), dont le Conseiller de la mise en état a ordonné la communication de l'ensemble des courriels professionnels dont un ancien Directeur Commercial était l'émetteur ou le destinataire principal dès lors que l'employeur ne justifiait d'aucune atteinte légitime aux droits d'autrui ni d'une impossibilité de production.

Puis, dans la même affaire, après transmission des métadonnées et des objets, la Cour d’appel de Versailles a rejeté la demande d’une nouvelle injonction de communiquer le corps intégral des messages sous astreinte et renvoyé au juge du fond l’appréciation de la carence éventuelle de l’employeur (CA Versailles, 20 juill. 2026, n° 25/01339).

La Cour d’appel de Versailles a aussi infirmé une ordonnance de référé qui avait rejeté la demande d'un salarié portant sur ses courriels, son agenda et ses conversations Teams, considérant que la charge de la preuve de l'atteinte aux droits d'autrui pèse sur l'employeur, lequel ne s'en était pas acquitté. La Cour a ainsi ordonné la production pour une période délimitée, sous réserve d'occultation des données non indispensables. On relèvera que dans cette affaire, les demandes portant sur la plainte interne, le rapport d'enquête et le règlement intérieur ont en revanche été rejetées au motif que ces documents ne relevant pas du droit d'accès RGPD (Cour d'appel de Versailles, 3 juin 2026 n° 25/02036).

La Cour d’appel de Versailles a également appliqué la limite à ce droit à communication dans un arrêt (CA Versailles, 17 juin 2026, n° 25/02730) où, statuant sur une procédure introduite en référé dit « in futurum » (sur le fondement de l’article 145 du Code de Procédure Civile, qui permet d'obtenir du juge des mesures d'instruction (expertise, constat par un commissaire de justice) avant tout procès, afin de conserver ou d'établir la preuve de faits dont pourrait dépendre la solution d'un litige futur), elle a ordonné à l’employeur de communiquer l’ensemble des courriels professionnels envoyés et reçus de la boîte professionnelle de la salariée sur une période de 2,5 ans, mais aussi ses agendas sur la même période, ses bulletins de paie sur 8 ans, les données liées à la productivité de la salariée, horaires et temps de travail et les données liées à l'utilisation par la salariée des ressources informatiques, tout en lui accordant d’occulter des données et de cantonner sa communication.

La Cour a ainsi rappelé qu’il appartient au juge :

• de veiller au principe de minimisation des données à caractère personnel, en ordonnant, au besoin d'office, l'occultation, sur les documents à communiquer, de toutes les données à caractère personnel non indispensables à l'exercice du droit à la preuve et proportionnées au but poursuivi ;
•  de faire injonction aux parties de n'utiliser les données personnelles des tiers à l'instance, contenues dans les documents dont la communication est ordonnée, qu'aux seules fins de l'action pour lesquels ils ont été sollicités, en se référant à un principe posé par la 2§me chambre civile de la Cour de cassation (Cass.civ.2, 3 octobre 2024, n° 21-20.979).

Et la Cour a laissé 3 mois à l’employeur pour occulter les adresses, la domiciliation bancaire, les numéros de téléphone des clients et des salariés figurant dans les courriels et de laisser apparentes les noms et fonctions.

La Cour de cassation a ensuite confirmé cette méthodologie dans une demande in futurum visant la messagerie professionnelle pour établir la durée du travail en cassant un refus global de la mesure par les juges du fond, rappelant que ceux-ci doivent examiner sa nécessité et sa proportionnalité et, si nécessaire, aménager la communication, notamment par des occultations et une limitation de son usage (Cass. soc., 24 juin 2026, n° 25-10.397).

Þ Ainsi, le salarié doit identifier les données dont il sollicite l'accès et justifier de leur caractère indispensable et l’employeur doit au contraire prouver le risque d’atteinte aux droits des tiers et, plutôt que s’opposer « en bloc » à toute demande, proposer au juge une méthode d’occultation et de cantonnement stricte et tenable.