Droit du travail
Violation du RGPD : le salarié est-il systématiquement indemnisé ?
Publié le 17 juillet 2026 - Entreprendre Service Public / Direction de l'information légale et administrative (Premier ministre)
Dans un arrêt rendu le 24 juin 2026, la Cour de cassation rappelle qu’une violation du RGPD ne conduit pas automatiquement à l’octroi de dommages et intérêts au salarié. Entreprendre Service Public vous explique.
Dans cette affaire, un salarié employé dans une banque est licencié. L’employeur lui reproche d’avoir volontairement échoué à plusieurs campagnes internes de sensibilisation au phishing en saisissant des propos injurieux. Il lui est également reproché d’avoir manipulé les résultats d’un concours interne, ainsi que d’avoir installé sur son poste de travail plusieurs logiciels non autorisés.
Contestant la légitimité de son licenciement, le salarié saisit le conseil de prud’hommes. Il soutient que certaines preuves produites par l’employeur ont été obtenues au moyen d’un traitement de ses données personnelles: titleContent, en violation des dispositions du RGPD (Règlement général sur la protection des données), et demande, à ce titre, la réparation du préjudice subi. Le conseil de prud’hommes condamne l’employeur au titre du traitement des données personnelles contraire au RGPD. Ce dernier se rend devant la cour d’appel.
La cour d’appel confirme la condamnation de l’employeur. Elle considère que le traitement des données personnelles sans consentement préalable du salarié est contraire au RGPD. De ce fait, le salarié a le droit d’obtenir une indemnisation de la part de son employeur.
L’employeur saisit la Cour de cassation. Il soutient que le salarié doit prouver l’existence d’un préjudice concret, moral ou matériel, découlant du traitement de ses données personnelles afin d’obtenir une indemnisation.
La Cour de cassation adopte une position différente de celle de la cour d’appel. Elle commence par rappeler que selon l’article 82 paragraphe 1 du RGPD, chaque personne ayant subi un dommage moral ou matériel en violation du RGPD a le droit d’obtenir réparation. Ainsi, le salarié doit être en mesure de démontrer qu’il a subi un préjudice moral ou matériel.
Les preuves produites par l’employeur avaient été obtenues en violation du RGPD, cependant, elle retient que leurs productions « étaient indispensables et proportionnées à l’objectif poursuivi ». Le traitement des données personnelles contraire au RGPD ne garantit pas, à lui seul, l’existence d’un préjudice.
Elle indique que la simple violation du RGPD n’ouvre pas, à elle seule, le droit à une indemnisation. L’employeur n’a pas à indemniser le salarié. Elle renvoie donc l’affaire devant une cour d’appel.