Un simple manquement de l'employeur au RGPD suffisait souvent, jusqu'ici, à obtenir des dommages-intérêts devant les juges du fond. Dans un arrêt du 24 juin 2026 (n° 24-22.792, publié au bulletin), la Cour de cassation censure ce raisonnement : la seule violation du règlement européen n'ouvre pas, à elle seule, droit à réparation. Il faut désormais prouver un préjudice réel. Voici ce que cela change pour les salariés et les élus du CSE.
Pendant longtemps, il suffisait souvent de démontrer un manquement de l'employeur au règlement général sur la protection des données (RGPD) pour obtenir des dommages-intérêts : les juges du fond présumaient l'existence d'un préjudice « nécessairement » causé par la violation constatée.
Un arrêt de la Cour de cassation, chambre sociale, du 24 juin 2026 (n° 24-22.792, publié au bulletin), vient mettre fin à cette automaticité. Décryptage d'une décision qui concerne aussi bien les salariés que les élus du CSE, souvent confrontés à des traitements de données personnelles au sein de l'entreprise.
📌 Point clé : la simple violation du RGPD par l'employeur n'ouvre plus, à elle seule, droit à réparation. Le salarié doit désormais démontrer un dommage matériel ou moral concret, distinct de la seule violation du texte. La Cour de cassation censure la cour d'appel qui avait jugé le préjudice « nécessairement » causé par le manquement.
📄 Les faits : que reprochait le salarié à Natixis ?
Le salarié, engagé le 4 janvier 2010 en tant qu'assistant analyste quantitatif puis devenu analyste en stratégies algorithmiques au sein de la société Natixis, société anonyme à conseil d'administration, avait été licencié le 29 mars 2019.
Contestant son licenciement, il reprochait notamment à son employeur un manquement au RGPD dans le traitement de ses données personnelles. La cour d'appel lui avait donné raison sur ce point précis et avait condamné Natixis à lui verser 5 000 € de dommages-intérêts pour exécution déloyale du contrat de travail, considérant que le non-respect du RGPD avait « nécessairement » causé un préjudice au salarié.
C'est cette présomption automatique de préjudice que la Cour de cassation censure dans son arrêt du 24 juin 2026.
⚖️ Ce que dit le RGPD sur la réparation du préjudice
L'article 82, paragraphe 1, du règlement (UE) 2016/679 (RGPD) prévoit que « toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement (...) réparation du préjudice subi ».
Le texte pose ainsi trois conditions cumulatives pour ouvrir droit à indemnisation.
| Condition | Ce que cela suppose |
|---|---|
| Une violation du règlement | Un manquement caractérisé de l'employeur aux règles du RGPD |
| Un dommage réellement subi | Un préjudice matériel ou moral concret, distinct de la violation elle-même |
| Un lien de causalité | Le dommage doit découler directement de la violation constatée |
La Cour de cassation s'appuie également sur l'article 1240 du Code civil, qui régit la responsabilité civile de droit commun, et sur la jurisprudence de la Cour de justice de l'Union européenne (arrêts du 4 mai 2023 et du 25 janvier 2024), selon laquelle la réparation prévue par le RGPD remplit une fonction compensatoire, et non punitive.
✅ Ce qu'a jugé la Cour de cassation
Au visa de l'article 82, paragraphe 1, du RGPD, la Cour de cassation juge que « la simple violation du règlement général sur la protection des données n'ouvre pas, à elle seule, droit à réparation ». Il appartenait aux juges du fond de rechercher si le salarié établissait que la violation du RGPD constatée lui avait effectivement causé un dommage matériel ou moral.
En jugeant que le préjudice était « nécessairement » causé par le manquement, sans caractériser de dommage concret, la cour d'appel a violé le texte.
| Juridiction | Raisonnement | Issue |
|---|---|---|
| Cour d'appel | Le non-respect du RGPD a « nécessairement » causé un préjudice au salarié | Condamnation de Natixis à 5 000 € de dommages-intérêts pour exécution déloyale du contrat |
| Cour de cassation | La simple violation du RGPD n'ouvre pas, à elle seule, droit à réparation : un dommage concret doit être caractérisé | Cassation partielle et renvoi devant la cour d'appel de Paris, autrement composée |
La Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792 (FS-B), prononce donc une cassation partielle de l'arrêt et renvoie l'affaire devant la cour d'appel de Paris, autrement composée, qui devra réexaminer si un préjudice réel est démontré.
Cette solution s'inscrit dans un mouvement plus large de la jurisprudence sociale, qui écarte progressivement la notion de « préjudice nécessaire » (automatique) au profit d'une exigence de preuve concrète, y compris hors du champ du RGPD.
🧭 Quelles conséquences pratiques pour les salariés ?
Concrètement, un salarié qui invoque une violation du RGPD par son employeur (fichier RH mal sécurisé, transmission de données à un tiers non autorisé, absence d'information sur un traitement, conservation excessive de données, etc.) ne peut plus se contenter d'établir la violation elle-même. Il doit désormais démontrer, dans ses écritures, l'existence d'un préjudice identifiable, par exemple :
- une atteinte concrète à la vie privée (exposition, divulgation, usage détourné des données) ;
- un usage frauduleux ou préjudiciable des informations personnelles concernées ;
- un préjudice moral caractérisé (anxiété, sentiment d'intrusion, perte de confiance dûment étayée) ;
- ou toute conséquence matérielle chiffrable directement rattachable au manquement.
À l'inverse, une preuve recueillie en violation du RGPD (par exemple une vidéosurveillance ou une géolocalisation irrégulières) peut rester recevable dans un procès prud'homal, sans pour autant que cette seule irrégularité ouvre automatiquement droit à indemnisation : ce sont deux questions juridiques distinctes, que cet arrêt permet de ne pas confondre.
👥 Ce que doivent retenir les élus du CSE
Le CSE est régulièrement confronté à des enjeux de protection des données personnelles : vidéosurveillance, badgeuses et contrôle d'accès, outils RH (SIRH, logiciels de paie, plateformes de recrutement assistées par IA), ou encore données de santé traitées à l'occasion d'un arrêt maladie. Il est lui-même parfois destinataire de données personnelles de salariés dans le cadre de ses attributions.
Cet arrêt invite les élus à la vigilance sur deux plans complémentaires. D'une part, en amont, lors de la consultation sur l'introduction de nouveaux outils numériques (article L. 2312-8 du Code du travail), le CSE conserve tout intérêt à interroger l'employeur sur la conformité RGPD des traitements envisagés, indépendamment de toute action indemnitaire ultérieure. D'autre part, en cas de contentieux individuel accompagné par le CSE, il est désormais indispensable d'aider le salarié à documenter précisément le dommage réellement subi, plutôt que de se limiter au constat de la seule irrégularité du traitement de ses données.
Les termes employés dans ce domaine — responsable du traitement, finalité, durée de conservation, préjudice moral — méritent d'être maniés avec précision par les élus ; notre lexique juridique du CSE peut servir de point d'appui lors de la préparation d'une réunion sur un nouvel outil numérique.
💡 Le réflexe utile en réunion : lorsqu'un nouvel outil de traitement de données est présenté, demandez systématiquement à la direction quelle est la finalité poursuivie, la durée de conservation retenue et qui accède aux données. Ces réponses, consignées noir sur blanc, sont exactement ce qui permettra plus tard, si besoin, de caractériser un dommage concret.
📌 Ce qu'il faut retenir
- La simple violation du RGPD par l'employeur n'ouvre plus, à elle seule, droit à réparation.
- Le salarié doit désormais démontrer un dommage matériel ou moral concret, distinct de la seule violation du texte.
- La Cour de cassation censure la cour d'appel qui avait jugé le préjudice « nécessairement » causé par le manquement.
- L'affaire, qui opposait un salarié à la société Natixis, est renvoyée devant la cour d'appel de Paris autrement composée.
- La recevabilité d'une preuve obtenue en violation du RGPD et l'indemnisation de cette violation restent deux questions distinctes.
- Pour les élus, l'enjeu se déplace vers la documentation précise du dommage subi par le salarié, en plus du constat de l'irrégularité.
📚 Sources
- Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792, publié au bulletin (Légifrance)
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), article 82 (EUR-Lex)
Vous êtes élu du CSE et vous êtes confronté à une question de protection des données personnelles, de vidéosurveillance ou d'outils RH dans votre entreprise ? Nos juristes vous accompagnent pour sécuriser vos démarches et défendre efficacement les salariés concernés : découvrez notre accompagnement juridique CSE, ou montez en compétence sur ces sujets avec nos formations CSE.
