Depuis l’arrêt de la Cour de cassation du 18 juin 2025, un salarié qui quitte l’entreprise, ou qui est en litige avec elle, peut exiger la communication de ses emails professionnels et de leurs métadonnées au titre du droit d’accès du RGPD. Vous disposez d’un mois pour répondre, et vous devez transmettre tout ce qui ne porte pas atteinte aux droits des tiers : le reste se caviarde, et le refus se motive.
Cette page vous explique ce que vous devez remettre, ce que vous pouvez retenir, comment répondre étape par étape, et comment nous prenons en charge le caviardage de la messagerie si vous n’avez ni le temps ni l’outillage pour le faire en interne.
L’essentiel
- L’arrêt : Cass. soc., 18 juin 2025, n° 23-19.022 ; les emails professionnels d’un salarié sont des données personnelles, y compris après son départ.
- Le délai : un mois à compter de la réception de la demande, prolongeable de deux mois pour une messagerie volumineuse, à condition de prévenir le salarié dans le premier mois.
- Ce que vous transmettez : les métadonnées (dates, expéditeurs, destinataires) et le contenu, sous forme de copie des emails ou de tableau récapitulatif.
- Ce que vous pouvez retenir : ce qui porte atteinte à la vie privée d’un tiers, au secret des correspondances ou au secret des affaires, après avoir d’abord tenté de le caviarder.
- Le risque : le refus injustifié constitue une faute indemnisable devant les prud’hommes et expose à une plainte auprès de la CNIL.
Ce que dit l’arrêt du 18 juin 2025
Dans cette affaire, un salarié licencié pour faute demande à son ancien employeur l’ensemble de ses courriels professionnels et des métadonnées associées pour préparer sa défense devant les prud’hommes. L’employeur refuse, au motif que ces emails ne constituent pas des données personnelles.
La chambre sociale de la Cour de cassation rejette cet argument. Elle juge que les courriels émis ou reçus grâce à la messagerie professionnelle sont des données à caractère personnel au sens de l’article 4 du RGPD, et que l’employeur doit fournir au salarié tant les métadonnées que le contenu, sauf si ces éléments portent atteinte aux droits et libertés d’autrui (Cass. soc., 18 juin 2025, n° 23-19.022). L’abstention de l’employeur constitue une faute qui ouvre droit à des dommages-intérêts.
En substance, la Cour juge qu’un ancien salarié peut demander la communication de ses emails professionnels, y compris après son départ de l’entreprise, dans les limites des droits des tiers.
Cette décision crée une tension réelle pour les employeurs. Ils doivent respecter le droit d’accès du salarié, et en même temps protéger le secret des affaires, la vie privée des collègues et des clients, et le secret des correspondances. La plupart des PME ne disposent ni des outils ni du temps pour trier proprement une messagerie avant de la restituer.
Que devez-vous transmettre, et sous quelle forme ?
Le droit d’accès porte sur les données personnelles du salarié, pas sur les documents en tant que tels. La CNIL précise toutefois que, pour des emails, vous devez fournir les métadonnées (horodatage, destinataires) et les données personnelles contenues dans les messages, et que deux formes de réponse sont admises (fiche CNIL du 5 janvier 2022, mise à jour le 31 janvier 2025) :
- La copie des emails, après caviardage de ce qui concerne des tiers : c’est la solution la plus simple, mais elle n’est pas obligatoire.
- Un tableau récapitulatif qui liste, message par message, les métadonnées et les données personnelles du demandeur : la CNIL le recommande lorsque le tri est considérable.
La CNIL distingue ensuite deux situations. Lorsque le salarié est l’expéditeur ou le destinataire des messages, il en a déjà eu connaissance, et la communication est présumée respecter les droits des tiers ; l’anonymisation des tiers reste alors une bonne pratique plutôt qu’une condition. Lorsque le salarié est seulement mentionné dans des échanges entre d’autres personnes, vous devez d’abord vérifier que les moyens de recherche ne sont pas disproportionnés, puis examiner chaque message au regard du secret des correspondances.
Un cas particulier : les emails identifiés comme personnels par le salarié. Vous n’avez pas le droit d’en prendre connaissance, même pour les caviarder, et vous les remettez en l’état dès lors que le salarié en est l’expéditeur ou le destinataire.
Ce que vous pouvez refuser, et comment le motiver
Trois motifs permettent de retenir une partie des éléments demandés : la vie privée d’un tiers, le secret des correspondances et le secret des affaires. Ces motifs ne vous autorisent jamais à refuser la demande dans son ensemble ; ils s’apprécient élément par élément.
La CNIL impose un ordre. Vous essayez d’abord de supprimer, d’anonymiser ou de pseudonymiser les passages qui concernent des tiers ou relèvent d’un secret, puis seulement si ces mesures ne suffisent pas, vous refusez de communiquer l’élément, en motivant et en justifiant votre décision auprès du salarié. Un courriel portant sur une enquête disciplinaire, dont le contenu même caviardé permettrait d’identifier des personnes que le demandeur ne doit pas connaître, peut ainsi être occulté.
Deux erreurs reviennent souvent. La première consiste à exiger du salarié qu’il explique pourquoi il veut ses emails : le droit d’accès n’est pas conditionné, et le salarié peut l’exercer en parallèle d’une procédure prud’homale. La seconde consiste à répondre par le silence : le juge y voit une abstention fautive, et le salarié peut saisir la CNIL ou le conseil de prud’hommes en référé.
Pour une messagerie très volumineuse, la CNIL admet une réponse en deux temps : vous communiquez un tableau listant les messages dont le salarié est expéditeur, ceux dont il est destinataire et ceux où son nom apparaît, vous l’informez que l’extraction complète représente une charge importante, et vous l’invitez à préciser sa demande. Vous communiquez ensuite les données en fonction de sa réponse.
Comment répondre, étape par étape
- Accusez réception par écrit et datez la demande : le délai d’un mois court à partir de ce jour.
- Vérifiez l’identité de façon proportionnée. Pour un ancien salarié, son identifiant professionnel ou des informations que vous connaissez suffisent ; n’exigez pas de pièce d’identité.
- Faites préciser le périmètre (période, interlocuteurs, sujets) si la messagerie est volumineuse, sans jamais demander le motif de la demande.
- Prolongez le délai de deux mois si le volume le justifie, en informant le salarié avant la fin du premier mois.
- Exportez la messagerie (fichier .pst Outlook, export Google Workspace) et conservez une copie intègre, horodatée.
- Triez et caviardez : anonymisez les tiers, masquez les passages confidentiels, occultez les messages et pièces jointes qui ne peuvent pas être communiqués. Tenez un journal de chaque élément retiré avec son motif.
- Restituez la copie caviardée ou le tableau récapitulatif, accompagné d’un courrier qui liste les éléments retenus et leur fondement, puis archivez le dossier de réponse.
Les étapes 5 à 7 représentent l’essentiel de la charge de travail. C’est précisément la partie que nous prenons en charge.
Que faut-il caviarder dans une boîte email ?
Le caviardage, un geste décliné en trois niveaux
Caviarder une messagerie consiste à masquer, avant restitution, tout ce que le salarié n’a pas le droit de recevoir, tout en lui transmettant le reste. Selon l’élément rencontré, nous appliquons l’un des trois traitements suivants :
- Anonymisation des personnes : nous remplaçons ou supprimons les données qui identifient un tiers (nom, adresse e-mail, téléphone, identifiants), de façon irréversible.
- Masquage d’un passage : nous noircissons un paragraphe, un montant ou une clause dans un message ou une pièce jointe, et le reste du document reste lisible.
- Occultation d’un élément entier : nous retirons un message ou une pièce jointe dont rien ne peut être communiqué, et nous le mentionnons dans la liste des éléments non transmis.
Une messagerie professionnelle peut contenir une multitude de données sensibles, à différents niveaux :
Métadonnées
- Nom, prénom, adresse IP, signature mail
- Informations techniques liées à l’envoi / réception
Contenu des messages
- Informations RH, santé, opinions, données financières
- Données personnelles de collègues, clients, prestataires
Pièces jointes
- Contrats, fiches de paie, pièces d’identité, documents techniques
➡️ Toutes ces données peuvent être considérées comme personnelles, confidentielles ou relevant du secret des affaires.
Elles doivent donc être caviardées, c’est-à-dire anonymisées, masquées ou occultées selon le cas, avant toute restitution au salarié ou archivage de la boîte.
Notre solution : un service de caviardage de boîte mail conforme au RGPD
Nous avons conçu une prestation technique de caviardage des boîtes mail, conforme au RGPD et à la méthode de la CNIL, pour les entreprises qui doivent répondre dans le délai sans mobiliser une équipe pendant des jours.
Étapes de notre intervention :
Étapes de notre intervention :
- Récupération de la messagerie (ex : fichier
.pstOutlook) - Scan automatique et manuel des emails (métadonnées, contenus, pièces jointes)
- Caviardage, adapté à la nature de chaque élément :
- Anonymisation des tiers : remplacement ou suppression des données personnelles (noms, prénoms, emails, identifiants…)
- Masquage des passages confidentiels, occultation des pièces jointes que le salarié ne peut pas recevoir
- Export des emails caviardés dans un format lisible
- Suppression complète de toutes les données traitées dès la fin de mission (conformément à notre politique de confidentialité stricte)
À qui s’adresse ce service ?
- RH ou juristes qui gèrent un départ complexe, un précontentieux ou un litige prud’homal
- DPO en charge des réponses aux demandes de droits
- PME et ETI sans service informatique capable d’extraire et de trier une messagerie
- Cabinets d’avocats et consultants RGPD qui souhaitent externaliser la partie technique
Ce que vous y gagnez
- Vous tenez le délai d’un mois sans immobiliser vos équipes sur une tâche chronophage et sensible
- Vous évitez les erreurs d’appréciation sur ce qui se transmet et ce qui se retient
- Vous protégez le secret des affaires et la vie privée des tiers
- Vous disposez d’un journal de caviardage documenté et réutilisable en cas de contrôle ou de contentieux
Demander un devis de caviardage de boîte mail
Deux minutes suffisent. Décrivez votre situation ci-dessous ; nous vous rappelons pour cadrer le caviardage, puis vous recevez un devis au forfait, sans engagement.
- Vous indiquez le nombre de boîtes mail, la messagerie et, si vous l’avez, la date de la demande du salarié.
- Nous vous appelons pour préciser le périmètre : quels tiers anonymiser, quels passages masquer, quelles pièces occulter.
- Vous recevez un devis forfaitaire avec un délai de restitution annoncé à l’avance.
« * » indique les champs nécessaires
Vos coordonnées servent uniquement à vous répondre. Nous ne transmettons rien à des tiers et vous pouvez demander leur suppression à tout moment (voir notre politique de confidentialité).
Et en Suisse ?
La loi fédérale sur la protection des données (LPD) prévoit un droit d’accès comparable à son article 25, avec un délai de réponse de 30 jours. L’employeur suisse peut lui aussi restreindre la communication pour protéger les intérêts prépondérants de tiers, à condition de motiver sa décision. Nous intervenons sur les messageries d’entreprises suisses dans le même cadre que notre accompagnement LPD.
Sur le terrain
Dans les demandes que nous traitons, le salarié n’est presque jamais intéressé par les dix mille messages de sa boîte : il cherche quelques échanges précis, souvent liés à son licenciement ou à ses heures de travail. Faire préciser la demande dès l’accusé de réception, sans exiger de motif, réduit fréquemment le volume à caviarder de moitié, et le courrier de réponse qui liste les éléments retirés évite la plupart des contestations ultérieures.
Thomas Blanc, DPO externalisé
Questions fréquentes
Dans quel délai faut-il répondre à la demande du salarié ?
Un mois à compter de la réception de la demande, prolongeable de deux mois si la demande est complexe, à condition d’en informer le salarié dans le premier mois. Le volume d’une messagerie justifie souvent cette prolongation ; le silence, lui, expose à une plainte auprès de la CNIL.
Peut-on refuser de transmettre certains emails ?
Oui, lorsque la communication porterait atteinte aux droits et libertés d’autrui : secret des affaires, vie privée de collègues ou de clients, secret des correspondances. Le refus doit être motivé et limité aux éléments concernés, après avoir d’abord tenté de les caviarder ; c’est précisément ce que permet le caviardage, qui transmet le reste.
Faut-il transmettre les emails personnels du salarié ?
Oui, en l’état. Les messages identifiés comme personnels relèvent du secret des correspondances : l’employeur ne peut pas en prendre connaissance, même pour les caviarder, et il les remet tels quels lorsque le salarié en est l’expéditeur ou le destinataire.
Caviardage, anonymisation, occultation : quelle différence ?
Le caviardage désigne la prestation dans son ensemble : préparer la messagerie pour qu’elle puisse être remise au salarié sans exposer l’entreprise ni les tiers. Pour y parvenir, nous anonymisons les personnes citées (le nom d’un collègue, l’adresse d’un client), nous masquons les passages confidentiels (un montant, une clause commerciale) et nous occultons les messages ou pièces jointes dont rien ne peut être communiqué. Nous documentons chaque choix pour que vous puissiez le justifier au salarié ou à la CNIL.
Combien coûte un caviardage de boîte mail ?
Le prix dépend du volume de messages et de pièces jointes et du niveau de tri demandé. Nous établissons un devis après réception du fichier d’export ; la prestation se facture au forfait, avec un délai de restitution annoncé à l’avance.
Je suis salarié : comment obtenir mes emails professionnels ?
Adressez une demande écrite à votre employeur ou à son DPO en visant l’article 15 du RGPD, sans avoir à expliquer pourquoi, et en précisant si possible la période et les sujets qui vous intéressent. L’employeur dispose d’un mois pour répondre. Sans réponse, vous pouvez saisir la CNIL ou le conseil de prud’hommes. Nous n’intervenons que pour le compte des employeurs.
Sources
- Cour de cassation, chambre sociale, 18 juin 2025, n° 23-19.022
- CNIL – Le droit d’accès des salariés à leurs données et aux courriels professionnels
- CNIL – Le droit d’accès
- Règlement (UE) 2016/679, articles 12 et 15
