La seule méconnaissance du RGPD par l’employeur n’ouvre pas droit à réparation. Le salarié doit établir que le traitement illicite de ses données lui a causé un dommage matériel ou moral.

Licencié après plusieurs tests internes de sensibilisation à l’hameçonnage, un analyste contestait la rupture et réclamait des dommages-intérêts pour exécution déloyale du contrat de travail. Il reprochait à son employeur d’avoir traité, sans son consentement, les identifiants qu’il avait saisis lors de ces campagnes.

La cour d’appel a jugé les preuves issues de ce traitement illicites au regard du RGPD, mais recevables car indispensables et proportionnées au but poursuivi. Elle a néanmoins condamné l’employeur à verser 5 000 euros au salarié, estimant que le manquement lui avait nécessairement causé un préjudice. Dans son pourvoi incident, l’employeur soutenait qu’aucune réparation ne pouvait être accordée sans démonstration de l’existence et de l’étendue du dommage.

La Cour de cassation accueille ce moyen. Se fondant sur l’article 82 du RGPD, elle rappelle que la violation du règlement et le dommage constituent deux conditions distinctes du droit à réparation. Faute d’avoir recherché si le salarié justifiait d’un préjudice matériel ou moral, la cour d’appel ne pouvait déduire celui-ci du seul caractère illicite du traitement. L’arrêt est cassé sur la condamnation indemnitaire, tandis que le pourvoi principal du salarié est rejeté.

Soc. 24 juin 2026, n° 24-22.792

Auteur : Éditions Lefebvre Dalloz – Tous droits réservés.