1. Le contexte : une tension entre protection des données et efficacité de l’enquête.
1.1. Les faits à l’origine du litige.
Trois salariés de TotalEnergies SE, impliqués dans une enquête ouverte à la suite de différents signalements, ont saisi la CNIL pour exercer leurs droits sur leurs données personnelles.
Ils souhaitaient notamment s’opposer au traitement de leurs données et y accéder.
L’employeur a refusé, estimant que le traitement était nécessaire au respect de son obligation légale d’assurer la santé et la sécurité des salariés [1].
La présidente de la CNIL a prononcé un rappel aux obligations légales, considérant que l’employeur avait méconnu le RGPD.
1.2. La position du Conseil d’État sur le fondement du traitement.
Le Conseil d’État valide l’analyse de la CNIL sur un point essentiel : le traitement de données personnelles dans le cadre d’une enquête interne ne relève pas de l’obligation légale au sens du RGPD [2].
Il repose sur l’intérêt légitime de l’employeur [3].
Cette qualification emporte des conséquences majeures puisqu’elle ouvre aux salariés la possibilité d’exercer leur droit d’opposition, que l’employeur ne peut écarter qu’en démontrant des motifs légitimes et impérieux [4].
2. Le droit d’accès maintenu pendant l’enquête interne.
2.1. Un principe clairement affirmé.
Le Conseil d’État énonce que la circonstance que des données personnelles fassent l’objet d’un traitement dans le cadre d’une enquête interne ne fait pas obstacle, par principe, à l’exercice du droit d’accès par le salarié concerné.
L’employeur ne peut refuser ce droit que dans des hypothèses limitées : caractère manifestement infondé ou excessif de la demande, ou nécessité de protéger les droits et libertés d’autrui [5].
À défaut de pouvoir invoquer ces exceptions, l’employeur doit donner suite à la demande, en occultant si nécessaire les informations susceptibles de porter atteinte aux droits d’autres salariés.
2.2. Une distinction essentielle : données personnelles et rapport d’enquête.
Il convient de ne pas confondre le droit d’accès aux données personnelles et la communication du rapport d’enquête.
Le droit d’accès porte en principe uniquement sur les données personnelles et non sur des documents dans leur intégralité.
Toutefois, des extraits de documents doivent être transmis lorsque cela s’avère indispensable à l’exercice effectif des autres droits de la personne concernée, notamment le droit de rectification [6].
3. L’articulation avec la jurisprudence sociale sur les enquêtes internes.
3.1. L’absence d’obligation d’informer le salarié mis en cause.
La Cour de cassation a jugé qu’une enquête effectuée à la suite d’une dénonciation de harcèlement moral n’est pas soumise aux dispositions prohibant la collecte d’informations par un dispositif non porté à la connaissance du salarié [7].
La preuve obtenue par une telle enquête n’est pas déloyale, même si le salarié mis en cause n’a pas été préalablement informé ni entendu.
Cette solution se justifie par l’obligation de l’employeur de prévenir les agissements de harcèlement et de les faire cesser dès qu’il en est avisé [8].
3.2. Deux logiques distinctes mais complémentaires.
La décision du Conseil d’État n’entre pas en contradiction avec cette jurisprudence.
La Cour de cassation statue sur la loyauté de la preuve en matière disciplinaire et sur l’application de l’article L1222-4 du Code du travail.
Le Conseil d’État se prononce sur les obligations découlant du RGPD en matière de protection des données.
Le salarié mis en cause ne peut exiger la communication des éléments de preuve lors de l’entretien préalable au licenciement [9].
Le salarié ne pourra prendre connaissance des pièces produites par l’employeur qu’en cas de litige prud’homal [10].
3.3. Les recommandations du Défenseur des droits.
La décision-cadre du Défenseur des droits du 5 février 2025 [11] apporte un éclairage complémentaire sur la conduite des enquêtes internes en matière de discrimination.
Elle recommande qu’une information soit faite sur l’ouverture et la clôture de l’enquête, notamment auprès de la personne mise en cause, sauf risque de pression sur les victimes ou témoins.
Une synthèse du rapport d’enquête devrait être communiquée à la victime présumée.
Le principe de stricte confidentialité doit être rappelé par écrit à l’ensemble des personnes concernées.
L’enquête doit être ouverte dans un délai raisonnable n’excédant pas deux mois après le signalement, conformément à l’exigence de célérité posée par l’accord national interprofessionnel du 26 mars 2010 [12].
Ces recommandations, bien que dépourvues de force contraignante, constituent un référentiel précieux pour les employeurs soucieux de sécuriser leurs procédures tout en respectant les droits des salariés sur leurs données personnelles.
