Un simple manquement de l'employeur au RGPD suffisait souvent, jusqu'ici, à obtenir des dommages-intérêts devant les juges du fond. Dans un arrêt du 24 juin 2026 (n° 24-22.792, publié au bulletin), la Cour de cassation censure ce raisonnement : la seule violation du règlement européen n'ouvre pas, à elle seule, droit à réparation. Il faut désormais prouver un préjudice réel. Voici ce que cela change pour les salariés et les élus du CSE.
Pendant longtemps, il suffisait souvent de démontrer un manquement de l'employeur au règlement général sur la protection des données (RGPD) pour obtenir des dommages-intérêts : les juges du fond présumaient l'existence d'un préjudice "nécessairement" causé par la violation constatée.
Un arrêt de la Cour de cassation, chambre sociale, du 24 juin 2026 (n° 24-22.792, publié au bulletin), vient mettre fin à cette automaticité. Décryptage d'une décision qui concerne aussi bien les salariés que les élus du CSE, souvent confrontés à des traitements de données personnelles au sein de l'entreprise.
Ce qu'il faut retenir
- La simple violation du RGPD par l'employeur n'ouvre plus, à elle seule, droit à réparation.
- Le salarié doit désormais démontrer un dommage matériel ou moral concret, distinct de la seule violation du texte.
- La Cour de cassation censure la cour d'appel qui avait jugé le préjudice "nécessairement" causé par le manquement.
- L'affaire, qui opposait un salarié à la société Natixis, est renvoyée devant la cour d'appel de Paris autrement composée.
Les faits : que reprochait le salarié à Natixis ?
Le salarié, engagé le 4 janvier 2010 en tant qu'assistant analyste quantitatif puis devenu analyste en stratégies algorithmiques au sein de la société Natixis, société anonyme à conseil d'administration, avait été licencié le 29 mars 2019.
Contestant son licenciement, il reprochait notamment à son employeur un manquement au RGPD dans le traitement de ses données personnelles. La cour d'appel lui avait donné raison sur ce point précis et avait condamné Natixis à lui verser 5 000 € de dommages-intérêts pour exécution déloyale du contrat de travail, considérant que le non-respect du RGPD avait "nécessairement" causé un préjudice au salarié.
C'est cette présomption automatique de préjudice que la Cour de cassation censure dans son arrêt du 24 juin 2026.
Ce que dit le RGPD sur la réparation du préjudice
L'article 82, paragraphe 1, du règlement (UE) 2016/679 (RGPD) prévoit que "toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement (...) réparation du préjudice subi".
Le texte pose ainsi trois conditions cumulatives pour ouvrir droit à indemnisation : une violation du règlement, un dommage réellement subi, et un lien de causalité entre les deux. La Cour de cassation s'appuie également sur l'article 1240 du Code civil, qui régit la responsabilité civile de droit commun, et sur la jurisprudence de la Cour de justice de l'Union européenne (arrêts du 4 mai 2023 et du 25 janvier 2024), selon laquelle la réparation prévue par le RGPD remplit une fonction compensatoire, et non punitive.
Ce qu'a jugé la Cour de cassation
Au visa de l'article 82, paragraphe 1, du RGPD, la Cour de cassation juge que "la simple violation du règlement général sur la protection des données n'ouvre pas, à elle seule, droit à réparation". Il appartenait aux juges du fond de rechercher si le salarié établissait que la violation du RGPD constatée lui avait effectivement causé un dommage matériel ou moral.
En jugeant que le préjudice était "nécessairement" causé par le manquement, sans caractériser de dommage concret, la cour d'appel a violé le texte. La Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792 (FS-B), prononce donc une cassation partielle de l'arrêt et renvoie l'affaire devant la cour d'appel de Paris, autrement composée, qui devra réexaminer si un préjudice réel est démontré.
Cette solution s'inscrit dans un mouvement plus large de la jurisprudence sociale, qui écarte progressivement la notion de "préjudice nécessaire" (automatique) au profit d'une exigence de preuve concrète, y compris hors du champ du RGPD.
Quelles conséquences pratiques pour les salariés ?
Concrètement, un salarié qui invoque une violation du RGPD par son employeur (fichier RH mal sécurisé, transmission de données à un tiers non autorisé, absence d'information sur un traitement, conservation excessive de données, etc.) ne peut plus se contenter d'établir la violation elle-même. Il doit désormais démontrer, dans ses écritures, l'existence d'un préjudice identifiable, par exemple :
- une atteinte concrète à la vie privée (exposition, divulgation, usage détourné des données),
- un usage frauduleux ou préjudiciable des informations personnelles concernées,
- un préjudice moral caractérisé (anxiété, sentiment d'intrusion, perte de confiance dûment étayée),
- ou toute conséquence matérielle chiffrable directement rattachable au manquement.
À l'inverse, une preuve recueillie en violation du RGPD (par exemple une vidéosurveillance ou une géolocalisation irrégulières) peut rester recevable dans un procès prud'homal, sans pour autant que cette seule irrégularité ouvre automatiquement droit à indemnisation : ce sont deux questions juridiques distinctes, que cet arrêt permet de ne pas confondre.
Ce que doivent retenir les élus du CSE
Le CSE est régulièrement confronté à des enjeux de protection des données personnelles : vidéosurveillance, badgeuses et contrôle d'accès, outils RH (SIRH, logiciels de paie, plateformes de recrutement assistées par IA), ou encore données de santé traitées à l'occasion d'un arrêt maladie. Il est lui-même parfois destinataire de données personnelles de salariés dans le cadre de ses attributions.
Cet arrêt invite les élus à la vigilance sur deux plans complémentaires. D'une part, en amont, lors de la consultation sur l'introduction de nouveaux outils numériques (article L. 2312-8 du Code du travail), le CSE conserve tout intérêt à interroger l'employeur sur la conformité RGPD des traitements envisagés, indépendamment de toute action indemnitaire ultérieure. D'autre part, en cas de contentieux individuel accompagné par le CSE, il est désormais indispensable d'aider le salarié à documenter précisément le dommage réellement subi, plutôt que de se limiter au constat de la seule irrégularité du traitement de ses données.
Vous êtes élu du CSE et vous êtes confronté à une question de protection des données personnelles, de vidéosurveillance ou d'outils RH dans votre entreprise ? Nos juristes vous accompagnent pour sécuriser vos démarches et défendre efficacement les salariés concernés : découvrez notre accompagnement juridique CSE.
Sources
- Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792, publié au bulletin (Légifrance)
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), article 82 (EUR-Lex)
