Chaque mois, des directions juridiques découvrent, au moment de notifier une rupture à un directeur des ressources humaines, un directeur administratif et financier ou un responsable de la sécurité des systèmes d’information, qu’elles doivent répondre sous un mois à une demande fondée sur l’article 15 du RGPD portant sur plusieurs années de messagerie professionnelle. Ce scénario, longtemps marginal, devient une étape presque systématique des séparations avec les cadres qui ont eu accès aux données sensibles de l’entreprise.
Le droit d’accès aux données personnelles n’a rien de nouveau. Ce qui change, c’est son usage. Il n’est plus seulement un outil de vérification de la licéité d’un traitement : il est devenu, pour les cadres qui savent l’actionner, un moyen d’obtenir de leur ancien employeur ce qu’aucune autre procédure ne permettrait d’obtenir aussi vite ni aussi largement.
Un basculement jurisprudentiel désormais consolidé
La Cour de justice de l’Union européenne a tranché le 27 mai 2024 (affaire C-312/23) : le droit d’accès s’impose au responsable du traitement même lorsque la demande est motivée par la préparation d’un contentieux. La Cour de cassation a suivi ce mouvement le 18 juin 2025 (n°23-19.022 FS-B), en reconnaissant que les courriels professionnels du salarié, métadonnées comprises, constituent des données personnelles auxquelles il a droit d’accéder.
Ce double alignement ferme une porte que les directions juridiques croyaient encore entrouverte, celle de l’abus de droit. L’employeur ne peut plus opposer que la demande poursuivrait, en réalité, un objectif probatoire pour un contentieux prud’homal à venir : le responsable de traitement ne peut pas subordonner sa réponse aux motivations du demandeur, même lorsque cet objectif est sans ambiguïté.
La comparaison avec le droit commun de la preuve mesure l’ampleur du basculement. L’article 145 du code de procédure civile, voie plus classique pour obtenir une mesure d’instruction avant procès, exige un motif légitime et un contrôle du juge. L’article 15 du RGPD ne connaît ni l’un ni l’autre : le dirigeant l’actionne seul, sans autorisation préalable, et obtient la communication de l’ensemble des données à caractère personnel le concernant, courriels internes, échanges Teams ou Slack, comptes-rendus de comité de direction, notes RH, dès lors que son nom, ses initiales ou sa fonction y figurent.
Le résultat pratique est immédiat : le dirigeant accède en amont à des éléments sur les motifs réels de son éviction, avant même l’ouverture de toute procédure. Le rapport de force s’inverse au moment précis où l’entreprise croyait encore maîtriser le calendrier.
Une matrice de risque à quatre entrées
Pour la direction juridique qui découvre la demande, le risque ne se limite pas à une question de délai. Il se décompose en quatre volets qui se renforcent mutuellement.
Le risque opérationnel et financier, d’abord. L’entreprise dispose d’un mois, prorogeable à trois en cas de complexité avérée, pour extraire, trier et caviarder des milliers de courriels, en retirant ce qui touche aux tiers ou au secret des affaires. Ce chantier mobilise les équipes IT, les RH et les avocats pendant des dizaines d’heures, souvent dans l’urgence d’une rupture déjà engagée.
Le risque réglementaire, ensuite. Une réponse tardive ou incomplète expose à une plainte auprès de la CNIL et, en théorie, à une sanction pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Peu d’entreprises atteignent ce plafond, mais l’exposition réputationnelle d’un contrôle de l’autorité pèse, elle, dès l’ouverture du dossier.
Le risque contentieux, ensuite. Une réponse lacunaire nourrit une présomption défavorable devant le conseil de prud’hommes, en particulier dans les contentieux de harcèlement ou de discrimination où la charge de la preuve bascule facilement.
Le risque de négociation, enfin, et c’est le plus immédiat pour la direction générale. Le dirigeant qui active l’article 15 dès l’ouverture des pourparlers dispose d’un levier de pression rapide, peu coûteux et difficile à écarter. Beaucoup d’entreprises préfèrent alors revoir à la hausse l’indemnité transactionnelle plutôt que d’affronter le chantier documentaire et le risque réglementaire qu’impliquerait un refus.
Traiter le droit d’accès comme un risque de gouvernance, pas comme une formalité
Les entreprises qui ont structuré leur réponse aux incidents de cybersécurité savent qu’un protocole se construit avant l’incident, pas pendant. Le droit d’accès mérite le même traitement, avec la même méthode de gestion des risques.
Cela suppose une cartographie préalable des systèmes où se croisent les données d’un cadre sensible et celles de l’entreprise. Un circuit de traitement dédié, activé dès qu’une rupture est envisagée, et non après sa notification. Une discipline documentaire sur chaque choix d’occultation ou de restriction, opposable en cas de contrôle. Un respect scrupuleux du calendrier légal, délai initial d’un mois, prolongation motivée si nécessaire.
Cette préparation ne supprime pas le risque, elle le transforme. Une réponse complète, documentée et rendue dans les délais retire à la partie adverse l’essentiel de son levier de pression et replace la négociation sur des bases équilibrées, plutôt que sous la contrainte d’un dossier mal maîtrisé.
Une question de préparation, pas de chance
La différence entre une séparation maîtrisée et une crise ouverte ne se joue pas le jour où l’avocat du dirigeant écrit. Elle se joue des mois avant, dans la décision, ou l’absence de décision, de traiter le droit d’accès comme un risque d’entreprise à part entière. Ce risque concerne en priorité les cadres qui ont eu accès, dans l’exercice de leurs fonctions, aux données les plus sensibles de l’entreprise, DRH, DAF, RSSI, DPO, directeurs juridiques : ce sont précisément les profils dont la rupture est la plus fréquemment négociée, et la plus fréquemment contentieuse.
À l’heure où les cadres dirigeants connaissent de mieux en mieux leurs droits, cette préparation n’est plus une option réservée aux directions juridiques les plus prudentes. Elle devient une composante ordinaire de la gouvernance des ressources humaines.
| Vous anticipez une séparation avec un cadre sensible ? Rupture conventionnelle d’un DRH, d’un DAF, d’un RSSI ou d’un DPO, contentieux prud’homal en préparation, demande d’accès déjà reçue sur plusieurs années de messagerie : ces situations partagent un même point commun, un calendrier légal serré et un rapport de force qui se joue avant l’ouverture de la négociation elle-même. Le cabinet HAAS Avocats accompagne les directions juridiques et les directions des ressources humaines sur l’ensemble de la chaîne : cartographie préalable des risques liés à l’article 15, mise en place d’un circuit de traitement dédié, sécurisation des réponses aux demandes d’accès (occultation des données de tiers, secret des affaires) et intégration de ce levier dans la stratégie de négociation de rupture. Si votre organisation envisage la séparation avec un cadre ayant eu accès à des données sensibles, ou si vous faites déjà face à une demande d’accès, contactez le cabinet pour un point de situation. Téléphone et courriel à compléter · www.haas-avocats.com |
Gérard Haas est avocat, associé-fondateur du cabinet HAAS Avocats, spécialisé en droit du numérique, protection des données personnelles et propriété intellectuelle.
