Contrôle de la messagerie du salarié : les règles 2026

Le 18 juin 2025, la Cour de cassation a jugé que les courriels émis ou reçus par un salarié sur sa messagerie professionnelle sont des données à caractère personnel au sens du RGPD — et que le salarié peut en exiger la communication, contenu et métadonnées compris (Cass. soc., 18 juin 2025, n° 23-19.022). En vingt ans de conseil, je n’ai jamais vu une question aussi mal traitée dans les entreprises françaises : la plupart raisonnent encore comme si la messagerie professionnelle était un actif de l’entreprise dont elles disposeraient librement. Elle ne l’est pas, et l’erreur se paie deux fois — devant la CNIL, et devant le conseil de prud’hommes.

La règle de base : présomption professionnelle, exception personnelle

La messagerie est le point le plus sensible de l’ensemble du dossier RGPD et ressources humaines, parce qu’elle est le seul outil professionnel dont l’usage privé est à la fois toléré et inévitable. Le point de départ est un arrêt fondateur que tout DPO devrait connaître : l’arrêt Nikon (Cass. soc., 2 octobre 2001, n° 99-42.942). La chambre sociale y pose que « le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée » et que l’employeur ne peut prendre connaissance des messages personnels émis ou reçus sur le poste de travail, y compris lorsqu’il a interdit l’usage non professionnel de l’outil.

De cet arrêt découle une architecture en deux étages qui n’a pas bougé depuis :

Statut du message ou du fichier	Qui peut y accéder	Condition
Message présumé professionnel (défaut)	L’employeur	Aucune formalité particulière, y compris hors présence du salarié
Message identifié « personnel » ou « privé »	L’employeur	En présence du salarié ou celui-ci dûment appelé
Message identifié personnel, en cas de risque ou événement particulier	L’employeur	Ouverture possible sans le salarié, sur un risque caractérisé et documenté
Message identifié personnel, hors ces deux hypothèses	Personne	Ouverture = atteinte au secret des correspondances

Les deuxième et troisième lignes viennent de l’arrêt Cathnet-Science (Cass. soc., 17 mai 2005, n° 03-40.017) : « sauf risque ou événement particulier », l’employeur ne peut ouvrir les fichiers identifiés par le salarié comme personnels « qu’en présence de ce dernier ou celui-ci dûment appelé ».

L’articulation est souvent mal lue, alors qu’elle est décisive. La présence du salarié — ou sa convocation régulière, à laquelle il est libre de ne pas déférer — est le principe. Le risque ou événement particulier est une exception qui dispense de cette présence : c’est l’hypothèse de l’urgence, de la suspicion de détournement de données ou de l’incident de sécurité. Autrement dit, convoquer le salarié suffit ; se dispenser de le convoquer suppose de pouvoir caractériser le risque par écrit, avant l’ouverture. En audit, c’est le second cas qui pose problème : le « risque » est presque toujours reconstruit après coup, ce qui ne vaut rien devant un juge.

Ce qui vaut identification « personnel » — et ce qui n’y suffit pas

La jurisprudence est ici d’une sévérité que les salariés ignorent, et dont les employeurs abusent parfois.

Intitulé	Personnel ?	Décision
Objet du courriel mentionnant « personnel » ou « privé »	Oui	Doctrine constante CNIL / Cass.
Dossier « Mes documents »	Non	Cass. soc., 10 mai 2012, n° 11-13.884
Dossier portant le prénom ou les initiales du salarié	Non	Jurisprudence constante depuis 2009
Clé USB connectée à l’ordinateur professionnel	Non, présumée professionnelle	Cass. soc., 12 février 2013, n° 11-28.649
Disque dur du poste de travail, sans mention	Non	Présomption professionnelle

Autrement dit : la protection ne se présume pas, elle se déclare. Un salarié qui n’étiquette rien met l’intégralité de sa messagerie à portée de son employeur. Symétriquement, un employeur qui passe outre une étiquette « personnel » sans risque caractérisé et hors présence du salarié commet une atteinte au secret des correspondances, réprimée par l’article 226-15 du code pénal : un an d’emprisonnement et 45 000 € d’amende. Dans le secteur public, l’agent dépositaire de l’autorité publique ou chargé d’une mission de service public qui commet le même acte dans l’exercice de ses fonctions relève de l’article 432-9 du code pénal, plus sévère — trois ans d’emprisonnement et 45 000 € d’amende.

Les trois conditions cumulatives de la CNIL

Dans sa fiche « Le contrôle de l’activité des personnes employées » mise à jour le 9 juillet 2026, la CNIL formalise trois conditions cumulatives pour tout dispositif de contrôle — filtrage web, archivage de messagerie, DLP, analyse des flux sortants. Aucune n’est optionnelle.

1. Justification et proportionnalité. L’article L. 1121-1 du code du travail interdit toute restriction aux libertés qui ne serait pas « justifiée par la nature de la tâche à accomplir ni proportionnée au but recherché ». La CNIL en tire une méthode : définir l’objectif et le périmètre, identifier les risques, vérifier qu’il n’existe pas de moyen moins intrusif, déterminer les données strictement nécessaires, leur durée et les personnes habilitées à y accéder. Elle rappelle qu’une surveillance constante est en principe excessive et cite explicitement le keylogger comme dispositif disproportionné, parce qu’il ne permet pas de distinguer le professionnel du personnel. Le raisonnement est le même que pour la vidéosurveillance des salariés ou la géolocalisation des véhicules : ce n’est pas la technologie qui est jugée, c’est son intensité rapportée à l’objectif.

2. Consultation des instances représentatives. Dans les entreprises de 50 salariés et plus, le CSE doit être consulté avant la mise en œuvre, au titre des articles L. 2312-38 et L. 2312-8, II, 4° du code du travail. C’est une condition de licéité, pas une formalité de courtoisie : la CNIL a sanctionné des dispositifs pourtant proportionnés au seul motif que le CSE n’avait pas été consulté.

3. Information préalable des personnes. Article L. 1222-4 du code du travail : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui ne lui a pas été préalablement porté à sa connaissance. Cela se cumule avec l’obligation d’information de l’article 13 du RGPD, qui impose un contenu bien plus riche : finalités, base légale, destinataires, durées, droits. Une mention dans le règlement intérieur ne suffit pas — il faut une notice d’information dédiée.

Le décembre 2024 a donné la mesure du risque : la CNIL a prononcé une amende de 40 000 € contre une société immobilière qui utilisait un logiciel comptabilisant les périodes d’« inactivité » supposée et prenant des captures d’écran régulières des postes, en plus d’une vidéosurveillance permanente (délibération SAN-2024-021 du 19 décembre 2024). La surveillance des salariés figure désormais parmi les motifs récurrents des sanctions prononcées au titre de la procédure simplifiée, dont la CNIL a prononcé 23 nouvelles décisions entre janvier et juillet 2026.

Recevez nos analyses conformité chaque semaine. Décryptages du RGPD, des décisions de la CNIL et de la jurisprudence sociale, écrits par un docteur en droit — sans jargon inutile. Inscrivez-vous à la newsletter.

Le volet RGPD : ce que votre registre doit dire

Contrôler une messagerie, c’est traiter des données à caractère personnel. Le traitement doit donc figurer dans votre registre des activités de traitement au titre de l’article 30 du RGPD, avec une analyse complète.

Élément	Ce qu’il faut écrire	Piège fréquent
Finalité	Sécurité du SI, continuité de service, preuve en cas de litige — chacune distincte	Une finalité fourre-tout « bon fonctionnement de l’entreprise »
Base légale	Intérêt légitime, art. 6(1)(f) — avec test de mise en balance documenté	Invoquer le consentement du salarié : jamais valable, le lien de subordination l’invalide
Données	Métadonnées (expéditeur, destinataire, horodatage, taille), contenu si strictement nécessaire	Collecter le contenu par défaut « au cas où »
Durée	Journaux techniques : 6 mois. Archivage de messagerie : durée du besoin probatoire	Conservation illimitée des logs de messagerie
Destinataires	Habilitations nominatives, traçabilité des accès	Un accès administrateur global non journalisé
Droits	Information préalable, droit d’accès, opposition	Oublier que le salarié pourra demander une copie

Deux points méritent d’être développés.

Le consentement du salarié n’est pas une base légale utilisable. C’est une constante de la doctrine européenne : le déséquilibre inhérent à la relation de travail rend le consentement rarement libre au sens de l’article 4(11). Vous vous appuierez donc sur l’intérêt légitime (art. 6(1)(f)) pour les dispositifs de sécurité, ou sur l’obligation légale (art. 6(1)©) lorsqu’un texte sectoriel impose l’archivage — c’est le cas en matière financière. Le choix de la base légale se fait finalité par finalité, pas pour le dispositif dans son ensemble. Le test de mise en balance doit être écrit, daté et conservé : c’est lui que la CNIL demandera lors d’un contrôle.

L’AIPD est souvent obligatoire. Un dispositif d’archivage exhaustif de la messagerie couplé à une analyse de contenu coche deux critères des lignes directrices du CEPD (WP248 rév.01) : surveillance systématique et données concernant des personnes vulnérables — la CNIL rangeant les salariés dans cette catégorie en raison du lien de subordination. Deux critères suffisent à déclencher l’analyse d’impact de l’article 35. Un simple antivirus, en revanche, ne la déclenche pas.

Le nouveau front : le salarié qui demande ses propres courriels

C’est le vrai changement de 2025, et il prend les entreprises à contre-pied. Dans l’arrêt du 18 juin 2025 (n° 23-19.022), la chambre sociale juge que les courriels émis ou reçus par le salarié via sa messagerie professionnelle constituent des données à caractère personnel au sens de l’article 4 du RGPD, et que le salarié peut en obtenir communication au titre de l’article 15 — contenu et métadonnées compris. La seule limite est celle du droit commun : les éléments portant atteinte aux droits et libertés d’autrui peuvent être écartés.

L’effet pratique est considérable. Un salarié en instance de licenciement peut désormais demander une copie de ses échanges pour construire sa défense, et le refus vous expose sur deux terrains : la plainte CNIL au titre de l’article 77, et l’action indemnitaire de l’article 82 devant le juge judiciaire.

Ma recommandation opérationnelle, telle que je la formule en accompagnement :

• Ne fermez jamais un compte sans préavis. La CNIL demande que le salarié soit averti de la date de fermeture pour lui permettre de vider sa messagerie. Une fermeture le jour de la notification du licenciement est indéfendable.
• Conservez une capacité d’extraction technique pendant la période de prescription prud’homale. Si vous avez purgé la boîte et qu’une demande d’accès arrive, vous devrez expliquer la purge — et une purge opportune, juste après un contentieux naissant, s’analysera mal.
• Préparez un processus d’occultation des tiers. La communication doit exclure ce qui porte atteinte aux droits d’autrui : c’est un travail d’anonymisation partielle, à anticiper avant la première demande.
• Répondez dans le mois prévu à l’article 12(3), prorogeable de deux mois pour les demandes complexes — et une extraction de messagerie l’est presque toujours, à condition de motiver la prorogation.

Le contentieux de la preuve : ce qui a changé depuis fin 2023

Longtemps, un employeur qui obtenait une preuve de manière déloyale la voyait écartée des débats. Ce n’est plus le cas. Par l’arrêt d’assemblée plénière du 22 décembre 2023 (n° 20-20.648), la Cour de cassation a opéré un revirement : le juge civil doit désormais mettre en balance le droit à la preuve et les droits antinomiques en présence, et peut admettre une preuve déloyale si elle est indispensable à l’exercice du droit à la preuve et si l’atteinte est strictement proportionnée au but poursuivi. Le même jour, un second arrêt (n° 21-11.330) a montré l’autre versant de la mise en balance en écartant des éléments touchant à la vie privée du salarié : le revirement ouvre une porte, il ne la laisse pas grande ouverte.

La chambre sociale a depuis appliqué ce raisonnement à la messagerie. Le 26 février 2025 (n° 22-18.179), elle a admis la production de messages issus de la messagerie personnelle d’un salarié : l’atteinte à la vie privée était réelle, mais les éléments étaient indispensables et proportionnés à la défense des intérêts légitimes de l’employeur.

Il faut se garder d’en tirer la mauvaise conclusion. Cette jurisprudence encadre ce que le juge peut accepter dans un procès ; elle ne légalise en rien la collecte. Un employeur qui met en place une surveillance illicite reste exposé à la sanction de la CNIL, à l’action indemnitaire du salarié et, en cas d’ouverture de correspondances personnelles, au pénal — même si la preuve ainsi obtenue est finalement retenue au prud’hommes. Deux régimes distincts, deux risques cumulatifs.

Les cinq situations qui posent problème en pratique

L’absence prolongée d’un salarié

C’est le cas le plus courant et le plus mal géré. La CNIL est claire : les conditions d’accès à la messagerie en cas d’absence doivent être fixées à l’avance, par exemple dans la charte informatique, et connues des salariés. Une charte annexée au règlement intérieur devient opposable et peut fonder une sanction disciplinaire — la jurisprudence admet que le non-respect de la charte justifie un licenciement lorsque le manquement est caractérisé. Si vous n’en avez pas encore, partez d’un modèle de charte informatique et adaptez-le. Improviser un accès pendant un arrêt maladie parce qu’« un client attend un devis » est exactement ce qu’il ne faut pas faire.

Le dispositif conforme tient en trois mesures : un message d’absence automatique redirigeant vers un contact identifié, une boîte fonctionnelle partagée pour les flux critiques (commandes@, support@) plutôt qu’une adresse nominative, et une procédure d’accès exceptionnel documentée — qui l’autorise, sur quel motif, avec quelle traçabilité. Les accès doivent être journalisés et les habilitations revues.

Le départ définitif

La CNIL demande la suppression de l’adresse électronique nominative après le départ, une fois le salarié averti de la date de fermeture. La redirection prolongée des messages d’un ancien salarié vers son successeur est une pratique répandue et fragile : elle expose les correspondants du salarié parti, qui ignorent que leurs messages sont lus par un tiers. Tolérable sur une période courte et annoncée par un message automatique explicite ; indéfendable au-delà de quelques semaines sans information.

L’archivage systématique des messageries

Beaucoup d’entreprises archivent l’intégralité des messageries « pour la sécurité ». Ce n’est pas illicite en soi, mais c’est un traitement à part entière qui doit être justifié, proportionné, limité dans le temps, avec des accès restreints. La question qui tranche : qui peut relire l’archive, dans quelles conditions, et cela est-il tracé ? Si la réponse est « les administrateurs, quand ils veulent, sans trace », le dispositif ne tiendra pas trente secondes en contrôle. L’archive doit être protégée comme le reste au titre de l’article 32 du RGPD — un entrepôt de messagerie non chiffré est une violation de données en attente. Fixez une durée de conservation des e-mails professionnels explicite, conformément au principe de limitation de l’article 5(1)(e) : l’effacement effectif à l’échéance fait partie du dispositif, pas de l’intendance.

Le filtrage web et le proxy

La CNIL a publié en mars 2026 des recommandations sur le serveur mandataire web filtrant. Le principe reste le même : filtrer est légitime pour la sécurité, exploiter les journaux de navigation pour évaluer individuellement l’activité d’un salarié est un détournement de finalité. La règle d’or est celle que la CNIL énonce à propos de la géolocalisation : un outil mis en place dans un but ne doit pas en poursuivre un autre, caché.

Le télétravail

Le télétravail n’ouvre aucun droit de surveillance supplémentaire. Il durcit au contraire l’analyse de proportionnalité, parce que la frontière entre vie professionnelle et vie privée s’estompe physiquement. C’est précisément le raisonnement de la délibération SAN-2024-021 : le logiciel de mesure d’activité litigieux visait des salariés en télétravail. Les mêmes précautions valent pour le BYOD, où l’employeur n’a par construction aucun titre à accéder à l’espace personnel de l’appareil.

Ce qu’il faut retenir

• Présomption professionnelle, exception personnelle. Tout message émis ou reçu sur l’outil professionnel est présumé professionnel et consultable par l’employeur (arrêt Nikon, 2 octobre 2001). Seule une identification explicite comme « personnel » ou « privé » enclenche la protection.
• Un message personnel ne s’ouvre qu’en présence du salarié ou celui-ci dûment appelé (Cass. soc., 17 mai 2005, n° 03-40.017). S’en dispenser suppose un risque ou événement particulier caractérisé avant l’ouverture, et documenté. À défaut, l’ouverture relève de l’article 226-15 du code pénal — un an d’emprisonnement et 45 000 € d’amende.
• Trois conditions cumulatives pour tout dispositif de contrôle (CNIL, fiche du 9 juillet 2026) : proportionnalité documentée, consultation préalable du CSE au-delà de 50 salariés, information préalable des salariés. Aucune n’est facultative — la CNIL a sanctionné 40 000 € une surveillance excessive en décembre 2024.
• Le consentement du salarié n’est pas une base légale. Le lien de subordination l’invalide. Appuyez-vous sur l’intérêt légitime de l’article 6(1)(f), avec un test de mise en balance écrit et daté.
• Le salarié peut exiger une copie de ses courriels professionnels — contenu et métadonnées (Cass. soc., 18 juin 2025, n° 23-19.022). Anticipez : capacité d’extraction, occultation des tiers, réponse dans le mois de l’article 12(3).
• La preuve déloyale est désormais recevable sous conditions (Ass. plén., 22 décembre 2023) — mais cela n’autorise pas la collecte illicite. Le risque CNIL et le risque pénal subsistent indépendamment du sort de la preuve au prud’hommes.
• Écrivez les règles à l’avance. Charte informatique opposable, notice d’information RGPD, procédure d’accès en cas d’absence, boîtes fonctionnelles pour les flux critiques. Improviser au moment de la crise est ce qui se paie.

FAQ

Mon employeur peut-il lire mes mails professionnels sans me prévenir ?

Oui, pour les messages présumés professionnels — c’est-à-dire tous ceux dont l’objet n’indique pas qu’ils sont personnels ou privés. Il peut les consulter en votre absence. En revanche, il devait vous informer préalablement de l’existence d’un dispositif de contrôle (article L. 1222-4 du code du travail et article 13 du RGPD) et, dans les entreprises de 50 salariés et plus, avoir consulté le CSE avant sa mise en place.

Comment identifier un message comme personnel pour le protéger ?

En le signalant sans ambiguïté dans l’objet du message — la mention « personnel » ou « privé » est la seule pratique sûre. La jurisprudence a jugé qu’un dossier intitulé « Mes documents » (Cass. soc., 10 mai 2012, n° 11-13.884) ou portant le prénom du salarié ne suffit pas. Une clé USB connectée à un poste professionnel est elle-même présumée professionnelle (Cass. soc., 12 février 2013, n° 11-28.649).

Un salarié peut-il obtenir une copie de tous ses courriels professionnels ?

Oui, depuis l’arrêt de la Cour de cassation du 18 juin 2025 (n° 23-19.022) : les courriels émis ou reçus sur la messagerie professionnelle sont des données à caractère personnel, et le salarié peut en obtenir communication au titre de l’article 15 du RGPD, métadonnées et contenu compris. L’employeur peut écarter les seuls éléments portant atteinte aux droits et libertés de tiers, ce qui suppose un travail d’occultation et non un refus global.

Peut-on accéder à la messagerie d’un salarié absent ou parti ?

Oui, à condition d’avoir fixé les règles à l’avance — la CNIL recommande de les inscrire dans la charte informatique — et de les avoir portées à la connaissance des salariés. En cas de départ, l’employeur doit avertir le salarié de la date de fermeture pour lui permettre de vider sa boîte, puis supprimer l’adresse nominative. La redirection durable des messages vers un successeur, sans information des correspondants, est une pratique à risque.

Une preuve obtenue en lisant les mails d’un salarié est-elle recevable aux prud’hommes ?

Elle peut l’être. Depuis l’arrêt d’assemblée plénière du 22 décembre 2023 (n° 20-20.648), le juge civil met en balance le droit à la preuve et les droits en présence, et admet une preuve déloyale ou illicite si elle est indispensable et si l’atteinte reste strictement proportionnée. Attention toutefois : la recevabilité au procès n’efface ni la sanction administrative de la CNIL, ni l’infraction pénale d’atteinte au secret des correspondances.

Faut-il une AIPD pour un dispositif de contrôle de la messagerie ?

Souvent oui. Un archivage exhaustif couplé à une analyse de contenu réunit deux critères des lignes directrices WP248 rév.01 du CEPD — surveillance systématique et personnes vulnérables, catégorie dans laquelle les salariés sont rangés en raison du lien de subordination. Deux critères suffisent à rendre l’analyse d’impact obligatoire au titre de l’article 35(1) du RGPD. Un antivirus ou un antispam standard, en revanche, ne l’impose pas.

---

Sources : CNIL, « Travail, ressources humaines : le contrôle de l’activité des personnes employées », 9 juillet 2026 — CNIL, « L’accès à la messagerie d’un salarié en son absence » — CNIL, délibération SAN-2024-021 du 19 décembre 2024 (Légifrance) — Cass. soc., 2 octobre 2001, n° 99-42.942 (Légifrance) — Cass. soc., 17 mai 2005, n° 03-40.017 (Légifrance) — Cass. soc., 10 mai 2012, n° 11-13.884 (Légifrance) — Cass. ass. plén., 22 décembre 2023, n° 20-20.648 (Légifrance) — Article L. 1121-1 du code du travail — Article L. 1222-4 du code du travail

Thiébaut Devergranne est docteur en droit (Paris II) et conseille les entreprises en protection des données depuis plus de vingt ans, dont six passées au service du Premier ministre. Cet article présente une analyse juridique générale et ne constitue pas un conseil juridique individualisé.