Dans un arrêt du 24 juin 2026, la chambre sociale de la Cour de cassation pose une règle claire. Une violation du RGPD par l’employeur n’ouvre pas, à elle seule, droit à des dommages et intérêts. Le salarié doit d’abord prouver un préjudice. Explications.
Pour rappel, le RGPD protège les données personnelles. L’employeur doit le respecter lorsqu’il traite les données de ses salariés.
Et quand il manque à ses obligations, le salarié peut réclamer réparation.
Mais un principe s’est imposé au fil des années. Un simple manquement ne suffit plus. Le salarié doit aussi démontrer un préjudice. Ce préjudice ne se présume pas. Il se prouve.
Restait à savoir si le RGPD échappait à cette règle. Une atteinte aux données personnelles cause-t-elle un préjudice automatique ?
Les faits
Une banque organise des campagnes de faux courriels piégés. L’objectif est simple. Elle veut tester la vigilance de ses salariés face à l’hameçonnage.
Un analyste clique pourtant volontairement sur les liens. Et il recommence, à plusieurs reprises. Il saisit même de faux identifiants insultants.
Les données du test permettent ensuite de l’identifier. L’employeur le licencie.
Le salarié saisit alors le Conseil de prud’hommes. D’une part, il conteste son licenciement. D’autre part, il réclame des dommages et intérêts. Selon lui, l’employeur a violé le RGPD.
La Cour d’appel
La Cour d’appel de Paris valide d’abord le licenciement. La faute est réelle.
Mais elle condamne aussi l’employeur. Elle relève une violation du RGPD. Et elle juge que ce manquement cause forcément un préjudice au salarié. Elle lui accorde donc 5 000 euros.
L’employeur se pourvoit alors en cassation. Pour lui, sans préjudice prouvé, aucune indemnité n’est due.
La Cour de cassation
La chambre sociale casse sur ce point.
Elle pose une règle nette. La simple violation du RGPD n’ouvre pas, à elle seule, droit à réparation.
En effet, le juge doit d’abord vérifier une chose. Le salarié doit établir un dommage réel, matériel ou moral.
Or, ici, la Cour d’appel n’a pas recherché ce préjudice. Elle l’a présumé.
Ainsi, faute de dommage démontré, l’indemnité tombe. La Cour aligne le droit français sur la jurisprudence européenne.
Cette solution est importante.
Pour les salariés, invoquer le RGPD ne suffit donc pas. Il faut décrire un préjudice concret : une atteinte à la vie privée, une divulgation de données, des conséquences réelles.
Pour les employeurs, la prudence reste de mise. Un test de phishing collecte des données personnelles. Mieux vaut donc informer les salariés en amont, limiter les données recueillies et encadrer leur usage.
Cass. Soc. 24 juin 2026, n° 24-22.792.
Pour toute question ou accompagnement, n’hésitez pas à contacter le cabinet.
