1. juillet 2026

RGPD et contentieux prud'homal : la violation du règlement ne suffit pas à indemniser le salarié

Par un arrêt du 24 juin 2026 (Cass. soc., n° 24-22.792, FS-B), la chambre sociale de la Cour de cassation met un terme à une pratique en plein essor : celle consistant à invoquer une violation du RGPD comme fondement autonome d'indemnisation devant le conseil de prud'hommes, sans démonstration d'un préjudice réel. Une décision publiée au Bulletin, à portée de principe, que tout employeur doit connaître.

Les faits : deux questions que la cour d'appel avait confondues

À la suite de son licenciement, un salarié de la société Natixis avait saisi la juridiction prud'homale. Dans le cadre de ce contentieux, l'employeur avait produit des preuves impliquant le traitement de données personnelles du salarié, collectées auprès d'une société tierce sans le consentement de l'intéressé — ce qui constituait une violation du RGPD.

La cour d'appel de Paris avait statué en deux temps. D'une part, elle avait déclaré ces preuves recevables, leur obtention et leur production étant indispensables et proportionnées à l'objectif poursuivi, conformément à la jurisprudence applicable en matière de loyauté de la preuve. D'autre part — et c'est sur ce second point que l'arrêt est cassé — elle avait condamné l'employeur à verser au salarié 5 000 euros de dommages-intérêts pour exécution déloyale du contrat de travail, au motif que la violation du RGPD avait « nécessairement » causé un préjudice.

C'est précisément ce raisonnement que la Cour de cassation censure : la recevabilité des preuves et le droit à réparation pour violation du RGPD sont deux questions distinctes, et la seconde ne se déduit pas automatiquement de la première.

La solution : trois conditions cumulatives, pas de préjudice présumé

La Cour de cassation, au visa de l'article 82, paragraphe 1, du règlement (UE) 2016/679 (RGPD), rappelle que le droit à réparation est ouvert à « toute personne ayant subi un dommage matériel ou moral du fait d'une violation » du règlement. La rédaction même du texte impose la preuve d'un dommage effectif.

La chambre sociale s'inscrit expressément dans la ligne de la Cour de justice de l'Union européenne, qu'elle cite :

• CJUE, 4 mai 2023, Österreichische Post, C-300/21 : la simple violation du RGPD ne suffit pas à conférer un droit à réparation ; le règlement remplit une fonction compensatoire, non punitive ;
• CJUE, 25 janvier 2024, MediaMarktSaturn, C-687/21 : le demandeur doit établir non seulement la violation, mais aussi le dommage qui en résulte.

Il en découle trois conditions cumulatives pour obtenir réparation sur le fondement de l'article 82 du RGPD :

1. Une violation du règlement ;
2. Un dommage matériel ou moral réel ;
3. Un lien de causalité entre la violation et ce dommage.

La violation seule, aussi caractérisée soit-elle, ne déclenche aucune indemnisation si le préjudice n'est pas établi.

Ce que cette décision change pour les employeurs

La fin du « préjudice automatique » en matière de RGPD

Depuis l'entrée en application du RGPD en mai 2018, un courant jurisprudentiel tendait à assimiler toute irrégularité dans le traitement des données personnelles à un préjudice en soi. Cette logique du préjudice nécessaire — déjà abandonnée par la chambre sociale dans d'autres domaines (obligation de formation, remise tardive de documents, etc.) — est désormais expressément écartée en matière de données personnelles.

Le salarié qui se prévaut d'une violation du RGPD devra désormais démontrer une atteinte concrète : sentiment de perte de maîtrise sur ses données, diffusion non autorisée à des tiers, préjudice moral documenté, conséquences professionnelles ou financières établies. À défaut, sa demande sera rejetée, même si le manquement de l'employeur est avéré.

Une protection pour l'employeur qui produit des preuves impliquant des données personnelles

L'arrêt confirme par ailleurs une jurisprudence favorable à l'employeur sur la recevabilité des preuves : une preuve illicite au regard du RGPD peut être admise dans les débats si sa production est indispensable et proportionnée à l'objectif poursuivi. La violation du RGPD n'entraîne donc pas l'exclusion automatique de la preuve, ni l'indemnisation automatique du salarié.

Une distinction essentielle : CNIL et juridiction prud'homale

Il convient de ne pas confondre deux registres distincts. La décision du 24 juin 2026 concerne exclusivement la responsabilité civile de l'employeur envers le salarié devant le conseil de prud'hommes (art. 82 RGPD). Elle ne modifie en rien les pouvoirs de la CNIL, qui peut sanctionner tout manquement — y compris par une amende administrative — sans qu'aucun salarié n'ait subi de dommage individuellement. La conformité au RGPD demeure donc une obligation incontournable pour tout employeur.

Conclusion

L'arrêt du 24 juin 2026 rationalise le contentieux indemnitaire lié au RGPD en droit du travail : il exige du salarié ce que le droit commun de la responsabilité a toujours exigé — la preuve d'un préjudice. Cette décision, publiée au Bulletin en formation de section (FS-B), traduit la volonté de la chambre sociale d'aligner définitivement la jurisprudence française sur la position de la CJUE.

Pour les employeurs, l'enjeu pratique est immédiat : les demandes d'indemnisation fondées sur la seule invocation d'une irrégularité RGPD, sans démonstration d'un tort concret, sont désormais condamnées à l'échec devant le conseil de prud'hommes. La vigilance sur la conformité reste en revanche entière, la CNIL conservant tous ses pouvoirs de contrôle et de sanction.

Référence : Cass. soc., 24 juin 2026, n° 24-22.792, FS-B — Consulter l'arrêt sur Légifrance

Textes visés : Article 82, §1, du règlement (UE) 2016/679 du 27 avril 2016 (RGPD).