#69 – L'arme préférée des salariés ? Le RGPD

Bienvenue dans le soixante neuvième épisode de La Douille by Volkane, la newsletter qui raconte le droit au monde des affaires.

Volkane, c’est aussi le cabinet en droit des affaires qui propose des solutions juridiques pragmatiques et opérationnelles (surtout) pour accompagner les éditeurs de SaaS et de plateformes et gérer vos conflits d’associés.

Pour nous soutenir mettez un cœur sur cet épisode

Si vous souhaitez plus de contenus :

• Guide : Tout savoir avant d’acheter ou vendre un SaaS

• Guide : Recruter en conformité avec le RGPD

• Guide à lire avant de s’associer avec un CTO

• Guide : Ne pas se faire concurrencer son activité par celui qui vous l’a vendue

• Programme audio : Vendre un SaaS en maximisant sa valeur

• Quizz : Mesurez votre niveau de préparation à la vente de votre SaaS

Nous sommes déjà + 3 550 à lire La Douille. Rejoignez-nous.

1. L’histoire : Elle a demandé ses 26 546 emails pour préparer son contentieux

2. Le temps technique : Droit d'accès aux emails des salariés, comment réagir aux demandes excessives ?

3. L’actu de Volkane : Le guide « Recruter en conformité avec le RGPD »

Vous avez déjà trié 26 546 emails ?

Combien de temps faudrait-il ?

Si on compte une moyenne d’une minute pour lire et trier chaque email, il faut 442h. Soit 12 semaines de travail d’un salarié à temps plein, c’est-à-dire 3 mois au total.

Si ce salarié est payé 3 000 € mensuel brut, cela représente un coût employeur autour de 12 000 €.

C’est beaucoup ?

Beaucoup oui, mais rien par rapport à la menace d’une sanction RGPD : jusqu’à 4 % du CA groupe ou 20 millions d’euros d’amende.

Mais surtout, quel est le rapport ?

Vous allez vite comprendre.

Ginette est jeune. C’est son premier job et elle est arrivée dans son entreprise il y a moins de 2 ans.

Ces derniers mois, elle avait la tête ailleurs. Elle travaille dur sur un side project avec son meilleur ami. Ils veulent monter leur startup. Ils le font dans la plus totale discrétion car son contrat de travail lui interdit d’avoir une activité à part.

Quand ses managers lui ont fait part de sa baisse de performance et l’ont mise en garde, elle a répondu par un arrêt maladie.

Puis elle l’a renouvelé. C’est devenu la stratégie : renouveler l’arrêt maladie jusqu’à ce que son employeur veuille négocier sa sortie.

Mais comme au 2^ème renouvellement son employeur ne l’appelait toujours pas, on lui a conseillé de faire une demande de droit d’accès au sens du RGPD pour faire réagir.

Pour faire réagir au maximum, Ginette s’est fait conseiller sur la rédaction. Voici ce qu’elle a écrit :

Elle a adressé directement cette demande au DRH de l’entreprise, qui lui-même l’a redirigé vers le DPO (i.e. la personne en charge de la protection des données au sein d’une entreprise).

Le DRH n’en revient pas quand le DPO lui explique qu’il va réellement falloir répondre à cette demande et que c’est un droit prévu dans le RGPD.

Il sait très bien quelle est la vraie raison de Ginette et pour lui, il est hors de question de mobiliser quelqu’un de son équipe à temps plein pour traiter cette demande totalement démentielle.

Le DRH insiste auprès de son DPO. Il faut trouver une solution pour que ce soit le moins chronophage possible.

Ils mettent en place un plan d’action.

Le DRH coordonne un inventaire rapide :

- plus de 26 000 emails seraient concernés

- autant de messages slack et teams

- Une centaine de ticket IT.

Il retourne voir le DPO, fou d’inquiétude sur la gestion de cette situation.

Ils décident d’une stratégie en deux temps :

• Première étape : le DPO, avec l’aide du DRH, prépare un dossier pour communiquer un premier niveau d’informations : l’ensemble du dossier du personnel avec contrat, bulletins de paie, comptes rendus d’entretien, politique de confidentialité, etc. En résumé, les éléments sans enjeu qui peuvent être communiqués tout de suite.

• Deuxième étape : pour traiter la masse, utiliser le droit de prolonger de 2 mois pour les demandes complexes et demander à Ginette de préciser sa demande sur les messages : quelles périodes, quels destinataires, quels mots-clés ?

Trois semaines plus tard, Ginette n’a toujours pas répondu.

L’avocat en droit social qui commence à préparer la négociation se frotte les mains. Pour lui, Ginette ne va jamais répondre et cela va faciliter le dossier.

Sauf qu’un matin de février, Ginette répond enfin.

Elle « précise ». 10 mots-clés. 20 expéditeurs et destinataires susceptibles de la mentionner. La totalité des 24 derniers mois.

Le DPO et le DRH espéraient un périmètre beaucoup plus réduit. Mais ils pensent qu’ils n’ont plus le choix malgré le fait que la recherche est presque toujours aussi large.

Ils appliquent ces filtres. Cela laisse toujours 16.200 emails à couvrir sur les + de 26.000 initiaux.

Il faut les relire un par un. Repérer les données de Ginette et caviarder les informations concernant les tiers.

Ils font un point d’avancement chaque semaine du délai de 2 mois :

Fin de la première semaine. Le DPO reporte ses autres dossiers. Le DRH recrute en urgence un CDD en renfort.

Fin du premier mois. 5 400 emails traités. Ils sont en retard sur leur planning mais ils font passer le dossier en priorité absolue.

Six semaines. A ce moment-là, le DPO et le DRH enchainent les heures supplémentaires pour relire dans les temps tous les emails.

Sept semaines. Ils font les comptes. À la cadence actuelle, ils termineront dix jours après la fin du délai, ce qui place l’entreprise en violation du RGPD.

Le point est escaladé à Clodomir, le dirigeant, pour trancher entre ces trois options :

Option 1 : Livrer tout dans les temps, en l’état. Avec 2 800 emails non relus et prendre le risque qu’ils contiennent des éléments qui n’étaient pas communicables : soit secret d’affaires, soit atteinte aux droits de tiers.

Option 2 : Livrer les 13 400 emails relus dans le délai impératif du RGPD, et remettre le reste dix jours plus tard en expliquant les raisons du retard.

Option 3 : Assumer un retard global de dix jours pour ne rien envoyer d’imparfait.

Clodomir, le dirigeant, se tourne vers le DPO : "Vous recommandez quoi ?"

Le DPO répond qu’aucune solution n’est bonne. Que la seule bonne option aurait été de ne pas se retrouver là.

Et vous, quelle option auriez-vous choisie ?

En France, la CNIL a toujours été extrêmement en faveur des salariés qui effectuent des demandes de droit d’accès à leurs emails.

La CNIL a toujours reconnu qu’un salarié peut, dans le cadre du droit d’accès, obtenir communication des éléments suivants :

- Les emails dont il est destinataire ou expéditeur

- Les emails dont il n’est ni destinataire ni expéditeur, mais dans lesquels il est mentionné dans le corps du texte.

Au sein de l’Union européenne, cette position ne fait pas consensus et certains des homologues de la CNIL n’ont pas une approche aussi large.

Dans un rapport en date du 16 janvier 2025, le Comité européen de la protection des données (CEPD) a reconnu que les demandes d’accès peuvent être coûteuses et chronophages pour les employeurs, et que ces derniers ont un intérêt légitime à protéger les données des autres salariés susceptibles d’être exposées.

Pour autant, le CEPD considère que ces contraintes ne justifient pas de refuser aux salariés d’accéder à leurs courriels professionnels et enregistrements téléphoniques.

Le point du droit d’accès est donc un sujet sur lequel les entreprises doivent se positionner.

Ces derniers mois, plusieurs décisions de jurisprudence ont agité l’actualité sur le périmètre de ce droit.

La chambre sociale de la Cour de cassation dans un arrêt du 18 juin 2025 (Cass. soc., 18 juin 2025, n° 23-19.022) a considéré qu’un employeur avait commis une faute en ne communiquant pas les courriels professionnels à un salarié qui en avait fait la demande. Pourtant il avait communiqué d’autres éléments mais il avait omis les emails sans le justifier.

Concrètement, comment répondre quand un salarié demande une grande quantité de données ?

La réponse tient en quelques réflexes, à préparer en amont de toute demande pour être prêt le jour où elle arrive.

En amont :

• Raccourcir les durées de conservation. Moins vous stockez de données, moins vous avez de matière à trier le jour J.

• S’entraîner sur un cas fictif et documenter dans une procédure pour facilement identifier où sont les données, qui sait les extraire, combien de temps prend chaque étape.

Le jour de la demande :

• Envoyer, dans le délai d’un mois, un premier niveau de réponse avec ce qui est facile d’accès : contrat, bulletins, entretiens, politique de confidentialité, rappel des droits, éventuels transferts hors UE. Ce socle démontre la bonne foi.

• Demander dès que possible des précisions sur le périmètre de la recherche pour la messagerie et les logs : périodes, destinataires, mots-clés.

• Organiser un tri méthodique des documents afin d’écarter ou d’anonymiser tous les éléments susceptibles de porter atteinte aux droits des tiers, aux droits de la propriété intellectuelle ou au secret d’affaires.

Puisqu’on parle cette semaine du droit d’accès des salariés ou ex-salariés, c’est l’occasion de rappeler que notre guide « Recruter en conformité avec le RGPD » couvre la conformité du cycle de vie des données RH côté employeur.

Si vous voulez faire le ménage dans votre process RH, c’est le bon moment pour le lire.

Toute ressemblance avec des faits et des personnages existants ou ayant existé serait purement fortuite et ne pourrait être que le fruit d'une pure coïncidence.