Le RGPD n’est pas un distributeur automatique de dommages-intérêts

Le Règlement général sur la protection des données — RGPD — est ce règlement européen du 27 avril 2016 qui encadre la collecte et l’utilisation des données à caractère personnel, y compris celles des salariés. Il oblige l’employeur à justifier chaque traitement de données et prévoit, en cas de manquement, un droit à réparation pour la victime.

C’est ce que prévoit l’article 82§1 du RGPD qui dispose que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ».

Ce texte n’a rien d’innovant ; il s’apparente au droit commun de la responsabilité civile, qui veut que le droit à réparation suppose trois éléments cumulatifs : une violation du règlement, un dommage matériel ou moral et un lien de causalité entre les deux.

C’est ce que rappelle la Chambre sociale de la Cour de cassation dans son arrêt du 24 juin 2026 (n° 24-22.792) dans les circonstances suivantes :

Un analyste en stratégies algorithmiques employé chez Natixis depuis 2010 a été licencié pour faute, notamment pour avoir cliqué délibérément, à six reprises lors de campagnes internes de sensibilisation au risque d’hameçonnage organisées par la banque via un prestataire spécialisé (PhishMe), sur les liens suspects qu’il aurait dû se contenter de signaler (comme l’ensemble du personnel, informé de l’existence de ces campagnes mais non de leur calendrier précis, ce qui est tout l’intérêt de l’exercice). Surtout, dans les faux formulaires d’identification qui s’affichaient suite à ses « clics », notre analyste avait inscrit des propos injurieux tels que « j’encule PhisMe ».

Il expliquera en vain, lors de son entretien préalable, qu’il s’agissait « d’humour » et qu’il n’avait pas envisagé que ces messages seraient lus.

Au contentieux, le salarié contestait la recevabilité des preuves tirées des campagnes de phishing : les données ayant permis son identification — ses clics, ses identifiants — avaient été traitées par PhishMe sans qu’il y ait consenti, en violation du RGPD.

La cour d’appel de Paris lui donne raison (la preuve est bien illicite) mais elle la juge néanmoins recevable car son obtention était indispensable à l’exercice du droit à la preuve de l’employeur (impossible, sinon, d’identifier l’auteur des clics et des identifiants litigieux) et proportionnée à l’enjeu : la sécurité informatique d’un établissement bancaire. Elle confirme donc le licenciement.

Restait la demande indemnitaire formée par le salarié pour violation du RGPD. La cour d’appel ayant constaté la violation du RGPD par l’employeur, elle avait condamné Natixis à verser au salarié 5 000 € à titre de dommages et intérêts pour exécution déloyale du contrat de travail au motif que cette violation lui avait « nécessairement causé un préjudice ».

Ce raisonnement est censuré par la Cour de cassation : en présumant le préjudice de la seule constatation du manquement, sans rechercher si le salarié en établissait l’existence et l’étendue, la cour d’appel avait violé l’article 82§1 du RGPD.

Me Manuel Dambrin

12 août 2026