A différentes étapes de la relation de travail, la question de l’accès à la messagerie professionnelle du salarié se pose, tant en droit social qu’en droit des données à caractère personnel.

En effet, l’accès à la messagerie électronique, nécessaire aux besoins relatifs au fonctionnement de l’entreprise, s’impose comme un sujet de droit social inévitable dans le quotidien d’un employeur. Les messages envoyés ou reçus par son intermédiaire peuvent également être invoqués au soutien d’une sanction disciplinaire ou au cours d’un litige entre salarié et employeur.

Par ailleurs, ces messages, adressés ou reçus sur une messagerie professionnelle, constituent des données à caractère personnel protégées (1) devant respecter certaines exigences issues du RGPD, notamment en matière d’information des salariés, de légitimité et de proportionnalité du traitement, ou de minimisation des données traitées.

Bref rappel des règles relatives à l’accès à la messagerie durant l’exécution normale du contrat de travail

De jurisprudence constante, les messages adressés et reçus par le salarié à l’aide de la messagerie électronique mise à disposition par l’entreprise pour son travail sont présumés avoir un caractère professionnel. Cela signifie que l’employeur est en droit d’ouvrir et de consulter ces messages, même en dehors de la présence du salarié.

Toutefois, deux exceptions à cette règle existent.

La première exception à la libre consultation par l’employeur de la messagerie professionnelle concerne les messages identifiés comme personnels par le salarié.

Dans ce cas, l’employeur ne peut pas consulter les messages électroniques hors de la présence de l’intéressé, même si l’utilisation non professionnelle de la messagerie a été interdite.

L’arrêt fondateur est l’arrêt Nikon rendu par la Chambre sociale de la Cour de cassation (2).

Par cet arrêt, la Cour affirme que «tout salarié a droit même au temps et au lieu de travail, au respect de l’intimité de sa vie privée». Ce qui implique en particulier le secret des correspondances.

L’employeur ne peut pas, sans violation de cette liberté fondamentale, prendre connaissance des messages personnels et identifiés comme tels, émis par le salarié ou reçus par lui. Il importe peu que ces messages aient été envoyés ou reçus grâce à un outil informatique mis à disposition par l’employeur ou même que l’employeur ait interdit une utilisation non professionnelle de l’ordinateur.

L’identification d’un message résulte, en principe, de son intitulé lui conférant un caractère nécessairement et strictement personnel. Cela pourrait également résulter des éléments contenus dans le message qui sont, par nature, d’ordre personnel

Il convient de relever qu’il existe une dérogation à cette première exception : l’employeur peut accéder aux messages identifiés comme personnels s’il justifie d’un motif légitime (3).

Dans ce cas, il doit demander au juge la désignation d’un huissier de justice qui procède à consultation de ces messages en présence du salarié ou, sans ce dernier, sous réserve qu’il ait été dument prévenu .

La deuxième exception trouve son fondement dans le règlement intérieur de l’entreprise (ou dans la charte informatique, si celle-ci existe dans l’entreprise)(4).

Ainsi, du point de vue du droit social, la charte informatique décrit les modalités d’utilisation des outils informatiques et, de ce fait, peut délimiter le droit de consultation de la messagerie électronique par l’employeur.

A ce titre, la Cour de cassation (5) est venue préciser que lorsque le règlement intérieur contient des dispositions restreignant le pouvoir de consultation de la messagerie électronique, l’employeur ne peut plus consulter les messages librement.

En l’espèce, le règlement intérieur contenait une clause stipulant que «les boîtes emails des salariés pourront être consultées par la direction en présence du salarié», sans distinguer selon que les messages électroniques étaient identifiés ou non comme personnels. L’employeur est donc contraint de se conformer à une telle clause qui serait insérée dans le règlement intérieur.

Par ailleurs, il est utile de rappeler que la présomption du caractère professionnel ne joue pas s’agissant de la messagerie personnelle du salarié. Même consultés sur son ordinateur professionnel, les mails du salarié provenant de sa messagerie personnelle sont protégés par le secret des correspondances (6).

D’un point de vue du droit des données à caractère personnel, en décrivant les modalités d’accès à la messagerie électronique (ce qui, pour rappel, constitue un traitement de données) dans le règlement intérieur, l’employeur fournit plusieurs informations obligatoires au titre du RGPD (7).

Ce faisant, il renforce son niveau de conformité avec l’obligation d’information préalable et exhaustive à laquelle est tenue toute société mettant en place un traitement et en définissant les modalités (le «responsable de traitement») (par exemple, les finalités de ce traitement, la durée de conservation des données, etc.).(8)

En outre, dans la description des modalités d’accès aux messageries électroniques, l’employeur peut préciser les hypothèses dans lesquelles cet accès sera considéré comme justifié.

Cette précision permet de renforcer le niveau d’information fourni aux salariés, mais aussi répondre aux exigences de finalité légitime et de proportionnalité issues du RGPD (9), selon lesquelles tout traitement doit avoir une raison motivée et fondée, et être limité aux besoins d’espèce au regard de la finalité poursuivie (10).

Cela signifie que les cas d’accès à la messagerie électronique seraient listés dans le règlement intérieur (11), et que cet accès serait circonscrit selon la finalité poursuivie (par exemple : inutile d’accéder à des courriels datant de 2021 si l’employeur recherche la preuve d’une infraction commise en 2022).

Bien entendu, la rédaction d’une telle clause devrait être particulièrement soignée pour mettre en balance les obligations de l’employeur vis-à-vis du RGPD et son droit légitime d’accéder à la messagerie professionnelle du salarié.

Peut-on accéder à la messagerie électronique durant une période de suspension du contrat de travail ?

Oui, ce droit d’accès reste entier, même en cas de suspension du contrat de travail, (et sous réserve des exceptions rappelées ci-dessus).

Pour autant, pour assurer la continuité du fonctionnement de l’entreprise, des questions pratiques se posent.

De nouveau, le règlement intérieur (ou la charte informatique) peut prévoir les conditions de consultation de la messagerie du salarié absent par l’employeur.

Afin de s’assurer que les salariés ont connaissance du contenu du règlement intérieur (et de contrecarrer tout risque de contestation future fondée sur le contenu de ce règlement), il est recommandé à l’employeur, en pratique, de prévoir des sessions de formation fréquentes sur la charte informatique.

L’employeur peut-il contraindre un salarié à lui communiquer son mot de passe pour accéder à la messagerie professionnelle pendant son absence ?

Sur le fondement du droit social, la Cour de cassation a eu l’occasion d’affirmer qu’un salarié ne peut pas refuser de communiquer son mot de passe informatique s’il en est le seul détenteur et si son comportement a pour effet de bloquer le fonctionnement de l’entreprise. Un tel comportement constitue un manquement à l’obligation de loyauté et justifie un licenciement (12).

Le manquement est apprécié en fonction des conséquences de ce refus sur le fonctionnement de l’entreprise et de la possibilité pour l’employeur de prendre possession de cet élément par un autre moyen. Un tel manquement ne peut être retenu que s’il est établi que l’intéressé est le seul détenteur de l’élément en cause et que son comportement empêche l’entreprise de fonctionner normalement.

L’employeur pourrait-il demander un transfert automatique des messages électroniques reçus par le salarié durant son absence ?

Il est possible de demander un transfert automatique dès lors que le salarié est informé en amont de la mise en place de ce transfert durant la suspension du contrat de travail.

Mais en pratique, il est recommandé de privilégier la programmation d’un message d’absence avec les coordonnées d’une personne à contacter plutôt qu’un transfert de mail, cela minimisant les risques de violation du droit des données à caractère personnel du salarié et d’atteinte à sa vie privée.

Peut-on couper l’accès du salarié à sa messagerie électronique lors de la rupture du contrat de travail ou lorsque cette dernière est imminente ?

En pratique, la question qui se pose au moment de la rupture du contrat de travail n’est pas tant l’accès à la messagerie professionnelle mais plutôt la coupure de l’accès.

Deux périodes se distinguent tout particulièrement, d’une part, la mise à pied à titre conservatoire et, d’autre part, le préavis dispensé d’exécution.

Il arrive bien souvent que l’employeur souhaite couper au salarié l’accès à sa messagerie professionnelle lorsqu’il le met à pied à titre conservatoire ou lorsqu’il le licencie en le dispensant d’effectuer son préavis.

Concernant la période de mise à pied à titre conservatoire :

Du point de vue du droit du travail, la Cour de cassation (13) a pu considérer comme vexatoire et abusif le fait pour l’employeur de contraindre le salarié à rendre son ordinateur portable pendant sa mise à pied et de ne plus le laisser avoir accès à sa messagerie professionnelle (14).

A l’inverse, pour la cour d’appel de Paris, le fait de bloquer l’accès du salarié à sa messagerie professionnelle deux jours après la réception de sa convocation à entretien préalable avec mise à pied conservatoire ou alors que le salarié avait conservé par ailleurs son téléphone portable et l’accès à sa ligne téléphonique ne permet pas au salarié de réclamer des dommages et intérêts (15).

Concernant la période de préavis et tout particulièrement lorsqu’il est dispensé :

Le Code du travail ne prévoit aucune disposition concernant la date de fermeture d’une messagerie professionnelle d’un salarié.

Quant à la jurisprudence sociale, elle est rare en la matière.

On peut relever que la cour d’appel de Versailles s’est prononcée sur ce point le 16 décembre 2009 (16) en considérant que dès lors que les reproches adressés au salarié sur la qualité de son travail étaient justifiés, l’employeur pouvait donc dispenser le salarié de l’exécution de son préavis et lui retirer son accès à la messagerie professionnelle.

Dans deux arrêts récents, la cour d’appel de Paris a été amenée, pour ces deux situations, à considérer que le fait que l’employeur décide de clôturer l’accès à la messagerie professionnelle du salarié pendant le préavis qu’il a été dispensé d’exécuter ne caractérise pas un manquement à l’obligation d’exécuter le contrat de bonne foi (17).

Quant au droit des données personnelles, la CNIL préconise d’avertir le salarié de la date de clôture de sa messagerie avant son départ, afin que ce dernier puisse faire le tri en amont entre ses messages professionnels et ses messages privés, transférer ces derniers vers sa messagerie personnelle, et faire en sorte de ne plus recevoir de messages personnels après son départ.

Concernant un salarié qui voulait récupérer ses messages après son départ, la cour d’appel de Lyon (18) a jugé valable, dans un arrêt du 10 novembre 2020, le fait pour l’employeur de faire appel à un huissier «grâce à la communication par l’employeur de mots clefs tels que des adresses mails personnelles ou encore le nom de l’école de ses enfants (…) aux fins de procéder au tri parmi les messages, données et fichiers de la messagerie professionnelle de Monsieur X de ceux à caractère personnel, et à remettre à ce dernier sur un support numérique exploitable les données ainsi identifiées comme étant sa propriété».

Pour conclure, au regard des nombreux enjeux que représente la messagerie professionnelle d’un salarié par l’employeur, il est clairement recommandé de prévoir des dispositifs pour sécuriser l’accès ou au contraire, permettre la coupure au gré des besoins de l’employeur.

Margaux Bianchetti, Avocat, , Mûre Maestrati, Avocat, Laura Sultan, Avocat, CMS Francis Lefebvre Avocats

(1) Les messages constituent des données à caractère personnel au sens de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi « Informatique et libertés »). Ils sont également protégés par le règlement européen n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données (dit «RGPD»)

(2) Cass. soc., 2 oct. 2001, n°99-42.942

(3) Une telle mesure a pu être valablement ordonnée pour des employeurs ayant des raisons légitimes et sérieuses de soupçonner des salariés d’actes de concurrence déloyale (Cass. soc., 23 mai 2007, n°05-17.818 ; Cass. soc., 10 juin 2008, n°06-19.229).

(4) Il s’agit d’un document facultatif qui peut en pratique être annexé au règlement intérieur en fonction de son contenu

(5) Cass. Soc., 26 juin 2012, n°11-15.310

(6) Cass. Soc., 26 janvier 2016, n°14-15.360

(7) Le RGPD impose une information concise, transparente, compréhensible et aisément accessible des personnes concernées. Cette obligation de transparence est définie aux articles 12, 13 et 14 du RGPD.

(8) Décrire dans le règlement intérieur les modalités d’accès à la messagerie du salarié par l’employeur n’est pas une mesure suffisante, à elle seule, pour garantir la conformité de l’entreprise à l’exigence d’information du RGPD – cela permet toutefois de contribuer à la démonstration de cette obligation.

(9) Comme évoqué en note 3, décrire les modalités d’accès à la messagerie du salarié par l’employeur n’est pas une mesure suffisante, à elle seule, pour démontrer la légitimité des finalités poursuivies par l’employeur. La légitimité décrite dans le règlement intérieur doit être confrontée au cas réel. Il en va de même pour la minimisation : décrire le type de données collectées n’est pas une mesure suffisante, à elle seule, pour garantir la conformité de l’employeur à cette obligation – cela permet toutefois de contribuer à la démonstration de cette obligation.

(10) Article 5.1.b RGPD.

(11) Par exemple, de vérifier si un salarié n’utilise pas son système informatique d’une manière susceptible d’engager la responsabilité de l’employeur ou de porter atteinte à son image ou à sa respectabilité, ou d’effectuer un contrôle technique de routine ou ponctuel (notamment en cas de dysfonctionnement du réseau de l’entreprise ou de l’ordinateur).

(12) Cass. Soc., 18 mars 2003, n° 01-41.343

(13) Cass. Soc., 13 mars 2019, n° 17-26.860

(14) Pour autant, parmi les conditions vexatoires, sont également relevés dans cet arrêt des termes employés à l’encontre du salarié dans la lettre de licenciement.

(15) CA Paris, 10 février 2021, n° 18/11315 et CA de Paris, 26 mars 2015, n° 12/11144

(16) CA Versailles, 16 décembre 2009, n°08/02227

(17) CA Paris, 3 juillet 2019, n° 17/06285 et CA Paris, 19 octobre 2022, n°20/03392

(18) CA de Lyon, 8ème chambre, 10 novembre 2020, n° 20/00935

L’agenda électronique du salarié peut être utilisé comme moyen de preuve par l’employeur (Caroline Froger-Michon, Avocat associé et Candice Lachenaud-Zucconi, Avocat, CMS Francis Lefebvre Avocats)

Conditions et limites de l’appropriation par un salarié des courriels professionnels aux fins de contester son licenciement (Vincent Delage, Avocat associé et Charlotte Gouranton, Avocat, CMS Francis Lefebvre Avocats)