Violation du RGPD par l’employeur : absence de droit automatique à réparation pour le salarié
Dans un arrêt du 24 juin 2026, la Cour de cassation précise que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». La Cour subordonne ainsi l’indemnisation du salarié à l’établissement par celui-ci du dommage matériel ou moral causé par le manquement constaté.
Depuis son entrée en vigueur le 25 mai 2018, le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit « RGPD », est venu renforcer les droits des salariés en matière de traitement de leurs données personnelles et, en corollaire, les obligations des employeurs en la matière. Le 24 juin 2026, la chambre sociale de la Cour de cassation a rendu un arrêt qui marque la rencontre entre, d’une part, ce renouveau du droit des données personnelles en entreprise et, d’autre part, les débats de ces dernières années en matière d’indemnisation du préjudice allégué par le salarié.
Les faits commencent par le licenciement d’un salarié. Alors que la décision de la Cour de cassation ne comporte pas de détails sur les circonstances de cette rupture, l’on comprend, à la lecture des documents préparatoires de l’arrêt et de la décision d’appel, qu’il lui est notamment fait grief d’avoir, à l’occasion d’une campagne de sensibilisation contre le phishing (ou hameçonnage) initiée par son employeur, délibérément cliqué sur le lien suspect qu’il avait reçu lors de six tests et employé comme identifiants des insultes visant le prestataire et le service impliqués dans cette campagne.
Devant les juges du fond, le salarié conteste la rupture. Il sollicite également notamment le versement d’une somme à titre de dommages et intérêts pour exécution déloyale du contrat de travail. Sur ce point, il soutient notamment que la société a recueilli ses données personnelles (à savoir les identifiants qu’il avait saisis) en violation des dispositions du RGPD, en ce qu’il n’a pas consenti au traitement de ces dernières par le prestataire en charge de l’organisation des campagnes de phishing.
La cour d’appel confirme le jugement qui considère la rupture du contrat de travail du salarié fondée sur une cause réelle et sérieuse. Elle relève notamment que si les preuves utilisées par l’employeur sont illicites en ce qu’elles ont été obtenues en violation du RGPD, elles sont recevables au regard du caractère indispensable de leur production et de l’atteinte strictement proportionnée au but poursuivi. En revanche, elle se distingue des premiers juges, en allouant au salarié des dommages et intérêts pour exécution déloyale du contrat de travail, consécutivement au non-respect des dispositions du RGPD par la société (Paris, 30 oct. 2024, n° 22/01494).
À côté du moyen principal formé par le salarié s’agissant du licenciement qui, selon la formule consacrée, n’apparaît manifestement pas de nature à entraîner la cassation, l’employeur forme un moyen incident, en contestant les dommages et intérêts qu’il est condamné à verser. Il fait valoir que les juges du fond ont violé l’article 1382 devenu l’article 1240 du code civil, en ce qu’ils ont retenu que la violation des dispositions du RGPD causait nécessairement un préjudice au salarié, sans que celui-ci ne justifie de l’existence et de l’étendue de ce dernier.
La Haute juridiction est donc amenée à s’interroger quant à savoir si la violation des dispositions du RGPD par l’employeur justifie, à elle seule, le versement d’une réparation au salarié concerné.
Dans une formule sans équivoque, les juges répondent par la négative à cette question. Selon eux, « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation et […] il […] appartenait [à la cour d’appel] d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral ».
Concrètement, tout en soulignant que les juges du fond avaient relevé le caractère illicite des éléments d’identification utilisés par l’employeur pour identifier le salarié préalablement à son licenciement, la cour régulatrice estime qu’ils ne pouvaient se borner à en déduire que ce manquement « a[vait] nécessairement causé un préjudice au salarié ».
Cet arrêt s’intègre dans un contexte dans lequel, depuis plusieurs années, le principe du préjudice nécessaire connaît un net recul. Toutefois, il serait plus exact d’expliquer le sens de cette décision par la jurisprudence de la Cour de Luxembourg concernant le RGPD qui est expressément appliquée par les juges. De façon générale, si elle ne prive pas dans l’absolu le salarié d’une potentielle réparation en cas de violation par l’employeur de dispositions du RGPD lui portant préjudice, cette décision soulève des interrogations, dans une hypothèse où cette violation s’inscrit dans un contexte disciplinaire.
Un contexte défavorable : le recul du principe du préjudice nécessaire
L’arrêt rendu par la chambre sociale résonne avec plusieurs des décisions qu’elle a rendues ces dernières années, à l’occasion desquelles elle a, dans un premier temps, semblé sonner le glas du principe du préjudice nécessaire (pour rappel, en vertu de ce principe, un salarié peut être indemnisé d’un préjudice qui découle nécessairement d’un manquement de son employeur à ses obligations).
Il est vrai que, depuis son retentissant arrêt du 13 avril 2016 (Soc. 13 avr. 2016, n° 14-28.293 P, Dalloz actualité, 17 mai 2016, obs. B. Ines ; Foubert c/ RQS (Sté), D. 2016. 900 
; ibid. 1588, chron. P. Flores, E. Wurtz, N. Sabotier, F. Ducloz et S. Mariette ; ibid. 2484, obs. Centre de droit de la concurrence Yves Serra ; ibid. 2017. 840, obs. P. Lokiec et J. Porta ; Dr. soc. 2016. 650, étude S. Tournaux ) par lequel elle a annulé la décision des juges du fond qui avaient estimé que l’absence de délivrance ou la délivrance tardive des certificats de travail et bulletins de paie causait nécessairement un préjudice au salarié, la chambre sociale a rendu un certain nombre de décisions démontrant un recul incontestable du préjudice nécessaire. Par exemple, elle a subordonné le versement de dommages au salarié à la démonstration du préjudice subi en cas de manquements de l’employeur à ses obligations en matière de suivi médical et d’une visite de reprise à la suite de son congé de maternité (Soc. 4 sept. 2024, n° 22-16.129 B, Dalloz actualité, 16 sept. 2024, obs. L. Malfettes ; D. 2024. 1528 ; JA 2025, n° 712, p. 26, étude M. Julien et J.-F. Paulin ; RDT 2024. 673, chron. J. Brunie ; RTD civ. 2024. 958, obs. J. Klein ; RJS 11/2024, n° 578), à son obligation de suivi médical du travailleur de nuit (Soc. 11 mars 2025, n° 21-23.557 B, Dalloz actualité, 19 mars 2025, obs. L. Malfettes ; D. 2025. 495 ; JA 2025, n° 723, p. 39, étude M. Julien et J.-F. Paulin ; Dr. soc. 2025. 658, obs. P. Adam ; RDT 2025. 402, chron. J. Brunie ; RJS 5/2025, n° 256 ; JCP S 2025. 1131, obs. I. Leborgne-Ingelaere), à son obligation d’assurer au salarié la possibilité d’exercer effectivement son droit à congé (Soc. 11 mars 2025, n° 23-16.415 B, Dalloz actualité, 19 mars 2025, obs. L. Malfettes ; D. 2025. 494 ; JA 2025, n° 723, p. 39, étude M. Julien et J.-F. Paulin ; ibid., n° 726, p. 39, étude P. Fadeuilhe ; Dr. soc. 2025. 658, obs. P. Adam ; RDT 2025. 402, chron. J. Brunie ; RJS 5/2025, n° 261 ; JCP S 2025. 1130, obs. Rioche) ou, très récemment, à son obligation de formation (Soc. 17 juin 2026, n° 25-10.517 B, Dalloz actualité, 24 juin 2026, obs. L. Malfettes ; D. 2026. 1121 ).
Le préjudice nécessaire n’a cependant pas dit son dernier mot. Typiquement, le domaine du dépassement de la durée hebdomadaire de travail offre une illustration de sa subsistance dans quelques domaines du droit du travail (Soc. 26 janv. 2022, n° 20-21.636 B, Dalloz actualité, 2 mars 2022, obs. J. Cortot ; D. 2022. 219 ; ibid. 1280, obs. S. Vernac et Y. Ferkane ; JA 2022, n° 665, p. 38, étude P. Fadeuilhe ; ibid., n° 663, p. 39, étude M. Julien et J.-F. Paulin ; Dr. soc. 2022. 369, obs. J. Mouly ; ibid. 647, étude M. Véricel ; RJS 3/2022, n° 139 ; Dr. ouvrier 2022. 145, obs. Colombet ; JSL 2022, n° 537-3, obs. J.-P. Lhernould ; SSL 2022, n° 1991, p. 2, note P. Bailly ; JCP S 2022. 1049, obs. M. Morand). Et, la chambre sociale est venue préciser qu’ouvraient automatiquement droit à réparation le non-respect par l’employeur du temps de pause quotidien, comme le fait de faire travailler un salarié durant son arrêt de travail pour maladie ou pendant un congé de maternité (Soc. 4 sept. 2024, n° 23-15.944 B, Dalloz actualité, 16 sept. 2024, obs. L. Malfettes ; D. 2024. 1529 ; JA 2025, n° 712, p. 26, étude M. Julien et J.-F. Paulin ; RDT 2024. 673, chron. J. Brunie ; RTD civ. 2024. 958, obs. J. Klein ; RJS 11/2024, n° 578 ; 4 sept. 2024, n° 22-16.129, préc.). Plus largement, elle a également admis qu’ouvrait à elle seule droit à réparation l’existence d’une discrimination syndicale (Soc. 10 sept. 2025, n° 23-21.124 B, Dalloz actualité, 22 sept. 2025, obs. S. Bloch et J.-M. Albiol ; D. 2025. 2070 , note J. Morin ; RJS 11/2025, n° 521 ; JSL 2025, n° 615-2, obs. J.-P. Lhernould ; JCP S 2025. 1303, obs. J.-Y. Kerbourc’h).
L’on n’entrera pas ici dans une réflexion à propos du devenir du préjudice nécessaire ou des incertitudes créées par la jurisprudence de la Cour de cassation en la matière, quant à l’étendue résiduelle et au fondement de ce dernier (pour quelques ex. sur le sujet, v. J. Morin, Pour une autre théorie du préjudice nécessaire, D. 2025. 313 ; J. Brunie, Brouillard persistant autour des préjudices de principe [dits préjudices « nécessaires »], RDT 2025. 402 ; P. Adam, Le préjudice nécessaire, ce bateau ivre…, Dr. soc. 2025. 658 ). On relèvera néanmoins que le préjudice automatique subsiste principalement (mais pas uniquement, v. J. Morin, Discrimination syndicale et préjudice nécessaire : consolidation ou fragilisation ? D. 2025. 2070 ) dans des domaines trouvant leur source dans des engagements européens d’effet direct (J. Morin, Pour une autre théorie du préjudice nécessaire, D. 2025. 313, préc.). Cependant, tant la formulation de l’article 82 du RGPD que son interprétation par la Cour de justice de l’Union européenne rendent difficilement concevables l’application d’une réparation automatique en cas de violation des dispositions de ce règlement.
Un élément déterminant : le recours à la jurisprudence européenne en matière de RGPD
L’interprétation de ce texte, pour ce qui est de la détermination de l’élément générateur du droit à réparation, conduit les juges à se référer expressément à deux arrêts rendus par la Cour de justice de l’Union européenne. En citant d’abord la décision Österreichische Post (CJUE 4 mai 2023, aff. C/300-21, D. 2023. 950 ; RTD eur. 2024. 425, obs. L. Coutron ; ibid. 2025. 853, obs. F. Benoît-Rohmer ), ils notent ainsi que cette dernière a déjà relevé que « la simple violation des dispositions d[u RGDP] ne suffi[sai]t pas pour conférer un droit à réparation » et que « les juges nationaux d[evai]ent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés ». Au vu ensuite de l’arrêt MediaMarktSaturn Hagen-Iserlohn GmbH (CJUE 25 janv. 2024, aff. C-687/21, Dalloz IP/IT 2024. 372, obs. J. Charpenet ; RTD civ. 2024. 367, obs. F. Marchadier ), ils rappellent que la Cour de Luxembourg a déjà consacré la fonction compensatoire (et non punitive) de la réparation prévue par l’article 82 du RGPD, ainsi que le principe selon lequel il appartenait à la personne qui demande réparation d’établir le dommage matériel ou moral dont elle se prévaut, au-delà de la seule violation des textes.
Au regard de sa formulation qui distingue le manquement résultant de la violation du RGPD du dommage subi, l’interprétation de l’article 82 du RGPD telle qu’elle est reprise par la chambre sociale n’apparaît pas surprenante. Des commentateurs de l’arrêt Österreichische Post constataient en effet déjà que « le résultat auquel aboutit [son] interprétation littérale est si univoque qu’il ne paraissait pas nécessaire de le conforter par une interprétation contextuelle et téléologique » (L. Coutron, art. préc.) et que « [l’] interdiction [du droit à réparation automatique] découle du texte même de l’article 82 qui confirme que le dommage est un élément constitutif du droit à indemnisation » (F. Benoît-Rohmer, RTD eur. 2025. 853 ).
De toute évidence, au vu de la motivation de l’arrêt d’appel qui mentionne expressément que « le non-respect des dispositions du RGPD est caractérisé [et qu’]il a nécessairement causé un préjudice » au salarié, il aurait été difficile pour la Cour de cassation de s’écarter de la jurisprudence européenne, en l’absence d’élément laissant apparaître que les juges du fond s’étaient prononcés sur l’existence du préjudice subi par le salarié.
Prospective : une difficile réparation de la violation du RGPD dans un contexte disciplinaire ?
Dans l’absolu, en cas de violation du RGPD par l’employeur, l’article 82 précité prévoit la possibilité d’une réparation. Il en résulte que le salarié qui apporte des éléments démontrant le préjudice dont il se prévaut et qui a été causé par le manquement commis de son employeur est en principe fondé à être indemnisé.
Puisque les juges du fond seront de nouveau amenés à se prononcer sur cette affaire après son renvoi par la Cour de cassation, on peut se demander si, au-delà de la motivation inappropriée de l’arrêt d’appel qui justifie sa cassation, la caractérisation du dommage subi par le salarié pourrait conduire à justifier son indemnisation au regard des faits de l’espèce. En effet, si la chambre sociale admet (sous conditions) la recevabilité d’une preuve obtenue de manière illicite (Soc. 14 févr. 2024, n° 22-23.073 B, Dalloz actualité, 4 mars 2024, obs. Y. Pagnerre ; D. 2024. 313 ; ibid. 1636, obs. S. Vernac et Y. Ferkane ; JA 2025, n° 717, p. 40, étude P. Fadeuilhe ; RTD civ. 2024. 376, obs. A.-M. Leroyer ; ibid. 470, obs. J. Klein ; JSL 2024, n° 582-2, obs. M. Hautefort ; RJS 4/2024, n° 197 ; 26 févr. 2025, n° 22-18.179, D. 2025. 1643, obs. S. Vernac et Y. Ferkane ; 26 févr. 2025, n° 22-24.474, inédit), c’est peu dire que le licenciement du salarié consécutivement à l’usage de ses données personnelles a pu lui causer un préjudice.
Toutefois, dans la situation particulière concernée par l’arrêt du 24 juin, la jurisprudence européenne (CJUE 19 mars 2026, Brillen Rottler GmbH & Co. KG, aff. C-526/24, AJDA 2026. 612 ; D. 2026. 511 ; Dalloz IP/IT 2026. 174, obs. E. Rançon ), telle que la rappelle l’avocate générale dans son avis, pourrait bien faire échec à une indemnisation. En effet, selon la Cour de Luxembourg, en cas de violation du RGPD, « le lien de causalité entre la violation alléguée et le prétendu préjudice est rompu par le fait du seul comportement de la personne concernée, dès lors que ce comportement s’avère constituer la cause déterminante du préjudice ».
Par conséquent, à supposer que la cour de renvoi considère comme établi le dommage allégué par le salarié, il sera particulièrement intéressant d’observer la manière dont elle appréhendera le lien de causalité pouvant le rattacher au manquement de l’employeur à ses obligations, au regard du comportement reproché au salarié.
par Rachid Nacer, Docteur en droit, Juriste
Soc. 24 juin 2026, FS-B, n° 24-22.792
© Lefebvre Dalloz