Depuis un an, les demandes d’accès que reçoivent les employeurs ont changé de forme. Elles arrivent rédigées par un assistant d’IA générative : quatre ou cinq pages, les articles du RGPD cités à la virgule près, des arrêts de la CJUE, une liste de systèmes à fouiller qui inclut les journaux de connexion, et presque toujours la copie des « échanges confidentiels » entre la direction, les RH et l’avocat. Sur le fond, la demande est recevable, même quand son périmètre dépasse de loin le besoin réel du salarié. La réponse mobilise alors des dizaines d’heures. Côté avocats, le droit d’accès sert aussi à obtenir des pièces avant tout procès, sans passer par un juge.
À quoi ressemble une demande d’accès écrite par une IA
Le scénario se répète dans les dossiers que nous suivons. Un salarié en conflit avec son employeur, ou sur le départ, demande à un assistant conversationnel comment « récupérer toutes ses données ». L’outil produit un courrier complet : l’article 15 du RGPD paraphrasé point par point, l’article 12 et son délai d’un mois, le considérant 63, parfois l’arrêt de la Cour de cassation du 18 juin 2025 sur les courriels professionnels.
Viennent ensuite la liste des sources à interroger (messagerie, Teams ou Slack, SIRH, paie, badgeuse, vidéosurveillance, téléphonie, journaux d’accès aux applications), l’exigence d’une copie « intégrale et non caviardée », la justification de chaque occultation et la description de la méthode de recherche. Le courrier se termine en général par un rappel de l’article 82 sur la réparation du dommage et par la menace d’une plainte à la CNIL.
Rien de tout cela n’est illégitime en soi. Le droit d’accès n’a pas à être motivé, la CJUE l’a rappelé dans l’arrêt FT du 26 octobre 2023 (C-307/22), et la CNIL admet qu’il s’exerce en parallèle d’une procédure devant le conseil de prud’hommes. Un employeur qui écarterait la demande parce qu’elle a été « écrite par une machine » commettrait une faute.
L’outil ne connaît pourtant ni l’entreprise ni le litige. Il ignore que le salarié cherche en réalité ses relevés d’heures pour réclamer des heures supplémentaires, ou le compte rendu d’un entretien précis. Faute de conseil pratique, il réclame l’ensemble des données depuis l’embauche, quel que soit l’outil. Jamais il ne propose de commencer par une demande ciblée au service RH. Le résultat est un courrier très procédurier. À la lecture, on se demande souvent si l’expéditeur a lui-même mesuré tout ce qu’il réclame.
Les références citées méritent aussi un contrôle. Un assistant généraliste peut confondre le RGPD avec d’autres régimes, comme la « subject access request » britannique, ou prêter à un arrêt une portée qu’il n’a pas. Avant de reprendre une référence dans la réponse, mieux vaut la vérifier à la source.
Les autorités de contrôle mesurent déjà l’effet. Le commissaire à la protection des données de Basse-Saxe a reçu 4 022 plaintes en 2025, 70 % de plus qu’en 2024. Il attribue une partie de la hausse aux assistants d’IA intégrés aux moteurs de recherche, qui orientent vers la plainte et fournissent le modèle de courrier ; certains textes reçus portent encore des traces de la conversation avec le chatbot. En France, la CNIL a reçu 20 150 plaintes en 2025, 10 % de plus que l’année précédente, le travail figurant parmi les domaines cités. Son rapport annuel n’isole pas la part due à l’IA.
Une voie d’accès aux pièces avant le procès
Dans les contentieux du travail, la demande d’accès précède de plus en plus souvent la mise en demeure, quand elle ne l’accompagne pas. En procédure civile française, chaque partie produit les pièces qu’elle choisit. Pour obtenir un document détenu par l’adversaire, il faut convaincre un juge : en cours d’instance (articles 11 et 142 du code de procédure civile), ou avant tout procès au titre de l’article 145, qui exige un motif légitime. Le droit d’accès n’exige rien de tel. Une lettre suffit, et l’employeur dispose d’un mois pour répondre.
La cour d’appel de Versailles en donne une illustration nette le 17 juin 2026 (chambre sociale 4-2, n° 25/02730). Une salariée licenciée pour inaptitude envisageait d’agir pour discrimination et pour heures supplémentaires. Sur le terrain de l’article 145, la cour refuse la mesure : aucun élément ne rend ses griefs plausibles. Sur le terrain de l’article 15, statuant en référé, elle ordonne la communication de deux ans et demi de courriels, de l’agenda professionnel, des bulletins de paie et des données de temps de travail, avec occultation des coordonnées des tiers.
Pour l’employeur, la chronologie du dossier change. Les éléments qu’il aurait produits au moment de l’échange des pièces, après avoir choisi ceux qui servent sa défense, et ceux qu’il n’aurait jamais eu à produire sans décision du juge, peuvent se retrouver entre les mains de l’avocat adverse avant même la saisine du conseil de prud’hommes. Le salarié découvre ce que la direction a écrit sur lui, à qui et à quelle date. Le motif de la demande reste indifférent (CJUE, FT, C-307/22), et un procès en cours ne permet pas de refuser.
La jurisprudence française n’est pas unifiée pour autant. La cour d’appel de Paris a jugé le 18 décembre 2025 (pôle 6, chambre 2, n° 25/04270) que le droit d’accès ne peut pas servir à une consultation générale et exhaustive de la messagerie professionnelle. Deux mois et demi plus tôt, le 2 octobre 2025 (n° 25/02502), la même cour avait ordonné à une banque la copie du contenu des messages Outlook et Teams d’un salarié sur plusieurs mois, pièces jointes exclues au titre du secret des affaires.
Le sujet est aussi sur la table à Bruxelles. La Commission a proposé le 19 novembre 2025, dans le projet dit Digital Omnibus, d’autoriser le refus des demandes d’accès exercées de manière abusive à des fins étrangères à la protection des données. Le CEPD et le Contrôleur européen de la protection des données ont objecté, dans leur avis conjoint de février 2026, que poursuivre un autre but ne devrait pas suffire à caractériser l’abus. Le Conseil, dans son mandat de négociation du 21 octobre 2026, ne retient le refus qu’en cas d’abus démontré, la preuve restant à la charge du responsable de traitement. Le Parlement européen n’a pas encore arrêté sa position, et le RGPD s’applique aujourd’hui sans modification.
Combien de temps pour répondre
Prenons une demande type : un ancien salarié présent quatre ans réclame l’intégralité de ses données, dont tous les courriels et messages où il apparaît. Les durées du tableau reposent sur des hypothèses prudentes, à ajuster selon la taille de l’organisme et l’état de son système d’information : une messagerie soumise à une durée de conservation, environ 3 000 messages où le salarié est seulement mentionné, dont 300 à caviarder.
| Étape | Intervenants | Temps estimé |
|---|---|---|
| Qualification de la demande, vérification de l’identité, accusé de réception, inscription au registre des demandes | DPO, RH | quelques minutes |
| Inventaire des sources : SIRH, paie, messagerie, outils collaboratifs, badges, vidéo, téléphonie, archives papier | DPO, DSI | 2 à 4 h |
| Extraction et dédoublonnage des messages | DSI | 4 à 6 h |
| Tri des messages où le salarié est mentionné (30 secondes à 1 minute par message) | RH, DPO | 25 à 50 h |
| Caviardage des données de tiers (3 à 5 minutes par message retenu) | RH, DPO | 15 à 25 h |
| Analyse des documents sensibles : enquête interne, notes de la direction, échanges avec l’avocat | DPO, direction, conseil | 4 à 8 h |
| Rédaction de la réponse : informations de l’article 15, tableau récapitulatif, motivation des restrictions | DPO | 3 à 6 h |
| Relecture, transmission sécurisée, archivage de la preuve d’envoi | DPO, direction | 1 à 2 h |
| Total | souvent plus de 100h |
Une seule demande représente ainsi entre une semaine et demie et trois semaines de travail pour une personne à temps plein, réparties entre des services qui ont déjà leur charge courante. À notre sens, le tri des messages est le poste le plus sous-estimé : avec le caviardage, il pèse près des trois quarts du total.
L’article 12, paragraphe 3, du RGPD fixe le délai de réponse à un mois à compter de la réception. Une prolongation de deux mois reste possible compte tenu de la complexité ou du nombre de demandes, à condition d’en informer la personne dans le premier mois, motifs à l’appui. La charge de travail ne rend pas pour autant la demande « excessive » au sens de l’article 12, paragraphe 5 : le CEPD l’écrit dans ses lignes directrices 01/2022 sur le droit d’accès, et la notion s’interprète strictement. Le silence se paie aussi : la personne peut saisir la CNIL ou le juge des référés, et l’article R. 625-11 du code pénal en fait une contravention de cinquième classe.
La CJUE a toutefois ouvert une porte le 19 mars 2026 (Brillen Rottler, C-526/24). Une première demande peut être jugée excessive, et refusée, si le responsable de traitement démontre que la personne l’a introduite dans l’intention de créer artificiellement les conditions d’une indemnisation au titre de l’article 82, sans réelle volonté de vérifier l’usage de ses données. La Cour retient l’ensemble des circonstances : données fournies sans contrainte, but de cette fourniture, délai écoulé avant la demande, comportement de la personne, y compris des demandes suivies de réclamations auprès d’autres organismes. Un salarié qui cherche des pièces pour un procès prud’homal ne rentre pas dans ce cas : l’arrêt vise la fabrication d’un préjudice, et l’exercice du droit d’accès en parallèle d’un contentieux reste admis.
Les données que l’employeur doit transmettre
Sur les courriels, la Cour de cassation a tranché. Dans son arrêt du 18 juin 2025 (n° 23-19.022, publié au Bulletin), la chambre sociale juge que les courriels émis ou reçus par le salarié avec sa messagerie professionnelle sont des données à caractère personnel. Le salarié peut y accéder, et l’employeur doit fournir les métadonnées (horodatage, destinataires) comme le contenu, sauf si leur communication porte atteinte aux droits et libertés d’autrui. L’employeur, qui avait refusé sans motif, a été condamné à des dommages et intérêts.
La CNIL laisse une marge sur la forme dans sa fiche consacrée au droit d’accès des salariés, mise à jour le 31 janvier 2025. Le droit d’accès vise les données personnelles contenues dans les messages, ce qui permet à l’employeur de remettre un tableau des métadonnées et des données plutôt qu’une copie de chaque courriel. La CJUE exige une reproduction fidèle et intelligible des données, avec des extraits ou des documents entiers lorsque cela est indispensable pour que la personne exerce ses droits (C-487/21, 4 mai 2023).
Face à un très grand nombre de messages, la CNIL admet que l’employeur transmette d’abord un tableau listant les messages conservés dont le salarié est l’expéditeur, ceux dont il est le destinataire et ceux où son nom apparaît. L’employeur indique ensuite que l’extraction complète représente une charge importante, invite le salarié à préciser sa demande, puis communique les données en fonction de sa réponse. Lorsque retrouver les messages supposerait de passer au crible toutes les boîtes de l’organisme, la CNIL demande d’inviter le salarié à préciser ; s’il refuse, l’employeur peut opposer, pour ces messages-là, le secret des correspondances des autres salariés, et doit répondre pour tout le reste.
Le courrier généré par l’IA réclame souvent la liste nominative des personnes qui ont consulté le dossier du salarié. La CJUE reconnaît un droit à l’information sur les opérations de consultation, comme leurs dates et leurs finalités. L’identité des collaborateurs qui les ont effectuées n’est due que si elle est indispensable à l’exercice de ses droits par la personne, en tenant compte des droits de ces collaborateurs (Pankki S, C-579/21, 22 juin 2023).
Courriers confidentiels sur le salarié : les limites du droit d’accès
La demande vise presque toujours les échanges internes : courriels entre la direction et les RH, notes préparatoires à un entretien, rapport d’enquête, correspondances avec l’avocat. Beaucoup d’employeurs pensent pouvoir les écarter en bloc parce qu’ils portent la mention « confidentiel ». Cette mention ne change rien à l’analyse, qui porte sur le contenu, document par document.
Une appréciation portée sur le salarié reste une donnée le concernant, même formulée dans une note interne. La CJUE l’a jugé pour les annotations d’un correcteur sur une copie d’examen (Nowak, C-434/16, 20 décembre 2017). Une phrase du type « manque de rigueur, à surveiller », écrite par un manager à la DRH, relève donc du droit d’accès.
Le raisonnement qui entoure ces données suit un autre régime. Dans l’arrêt YS (C-141/12 et C-372/12, 17 juillet 2014), la CJUE distingue les données relatives au demandeur, qui figurent dans un document d’analyse et doivent lui être communiquées, de l’analyse elle-même, qui ne constitue pas une donnée personnelle. Transposée à une note de l’avocat sur les risques d’un licenciement, cette distinction permet de communiquer les faits relatifs au salarié sans livrer la stratégie de l’entreprise.
L’article 15, paragraphe 4, du RGPD pose une autre limite : la copie ne doit pas porter atteinte aux droits et libertés d’autrui. La CNIL range dans cette catégorie le secret des affaires, la propriété intellectuelle, la vie privée et le secret des correspondances. La fiche donne un exemple concret : l’employeur peut refuser de communiquer des courriels relatifs à une enquête disciplinaire dont le contenu, même caviardé, permettrait d’identifier des personnes que le salarié ne devrait pas connaître. Les témoins d’une enquête pour harcèlement et l’auteur d’un signalement entrent dans ce cas : leur protection justifie une occultation et, parfois, un refus.
L’enquête interne ne met pas pour autant le dossier à l’abri. Le Conseil d’État a confirmé le 1er décembre 2025 (n° 498023) le rappel à l’ordre adressé par la CNIL à TotalEnergies, qui avait refusé l’accès à des données traitées dans ce cadre : une enquête interne ne fait pas obstacle, par principe, au droit d’accès du salarié. L’employeur occulte ce qui doit l’être et ne refuse que s’il démontre une atteinte aux droits d’autrui ou le caractère manifestement infondé ou excessif de la demande.
Les échanges avec l’avocat bénéficient du secret professionnel prévu à l’article 66-5 de la loi du 31 décembre 1971. Le RGPD ne prévoit pas d’exception expresse pour eux ; leur confidentialité et le droit de l’employeur à se défendre peuvent fonder une restriction au titre des droits d’autrui. Cette restriction se motive pièce par pièce, et les faits relatifs au salarié qui figurent dans ces échanges restent en principe communicables.
Les courriels identifiés comme personnels, ou dont le contenu s’avère privé, suivent une règle propre : l’employeur ne peut pas en prendre connaissance, même pour les caviarder, et les remet en l’état lorsque le salarié en est l’expéditeur ou le destinataire.
La CNIL attend d’abord la suppression, l’anonymisation ou la pseudonymisation des données de tiers ou couvertes par un secret. Le refus n’intervient qu’ensuite, si ces mesures ne suffisent pas, et il doit être motivé. L’article 12, paragraphe 4, impose en outre d’informer la personne de la possibilité de saisir la CNIL ou le juge.
Retenir une pièce au titre du droit d’accès ne la protège pas durablement. Devant le conseil de prud’hommes, le salarié peut obtenir la production des pièces nécessaires à sa preuve, si l’atteinte aux droits des autres reste proportionnée au but poursuivi. Une occultation mal justifiée risque de ressortir en cours d’instance, avec à la clé une condamnation pour manquement à l’article 15.
Méthode : tenir le délai sans tout ouvrir
- Dès réception, accusé de réception et inscription au registre des demandes d’exercice des droits, avec la date d’arrivée qui fait courir le délai. Pour un ancien salarié, la CNIL estime que des renseignements connus de l’employeur, comme son ancien identifiant professionnel, suffisent en principe à vérifier l’identité.
- Le socle part sans attendre : dossier du personnel, paie, évaluations, formations, données de badge, et les informations de l’article 15, paragraphe 1 (finalités, catégories de données, destinataires, durées de conservation, source, droits). Ces éléments posent rarement difficulté et montrent la bonne foi de l’employeur.
- Pour la messagerie, le tableau recommandé par la CNIL, accompagné d’une invitation écrite à préciser la période ou le sujet. Un échange téléphonique aide souvent la personne à identifier les quelques pièces dont elle a besoin. L’invitation ne conditionne rien : sans réponse, la demande se traite telle qu’elle est formulée.
- La prolongation, si elle est nécessaire, s’annonce avant la fin du premier mois, motifs à l’appui.
- Pour chaque document sensible ou lot de documents, une fiche de décision : contenu, droit d’autrui en cause, mesure retenue, validation par le DPO. Elle sert de preuve si la CNIL ou le juge est saisi.
- La réponse s’écrit en langage clair. Elle porte sur les données et les informations dues au titre de l’article 15 ; les développements théoriques du courrier initial n’appellent pas de commentaire.
- Un outil d’IA grand public, non encadré par un contrat de sous-traitance, n’a pas sa place dans le tri : les messages contiennent des données de collègues, parfois sensibles.
En amont, la durée de conservation des courriels réduit mécaniquement la charge, comme le rappelle la CNIL. Une messagerie conservée sans limite multiplie le volume à trier à chaque nouvelle demande.
- Une demande rédigée par une IA reste une demande d’accès valable ; son origine ne justifie aucun refus.
- Le droit d’accès permet d’obtenir des pièces sans le filtre du juge de l’article 145 ; la jurisprudence française reste partagée sur une communication de toute la messagerie.
- Un mois pour répondre, deux de plus si la complexité le justifie, à condition de prévenir dans le premier mois.
- Le volume de travail ne rend pas une demande excessive ; l’abus suppose une intention démontrée (CJUE, C-526/24).
- Les appréciations sur le salarié sont ses données, même dans une note confidentielle ; le raisonnement de l’avocat et les données de tiers peuvent être retenus, avec une motivation.
- Caviarder d’abord, refuser seulement si cela ne suffit pas, et motiver.
Les assistants d’IA ont rendu le droit d’accès plus facile à exercer, et les personnes concernées y gagnent. Côté employeur, il faut un registre des demandes et une méthode de tri arrêtée avant l’arrivée de la première lettre. Sans eux, un courrier de cinq pages coûte des semaines de travail et livre à l’avocat adverse un dossier que personne, dans l’entreprise, n’a relu.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 12 et 15 : EUR-Lex
- CEPD, lignes directrices 01/2022 sur le droit d’accès, version adoptée le 28 mars 2023 : edpb.europa.eu
- CJUE, 19 mars 2026, Brillen Rottler, C-526/24, communiqué de presse n° 38/26 : curia.europa.eu
- CJUE, 26 octobre 2023, FT, C-307/22 : EUR-Lex
- CJUE, 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C-487/21 : EUR-Lex
- CJUE, 22 juin 2023, Pankki S, C-579/21 : EUR-Lex
- CJUE, 20 décembre 2017, Nowak, C-434/16 : EUR-Lex
- CJUE, 17 juillet 2014, YS e.a., C-141/12 et C-372/12 : EUR-Lex
- Cour de cassation, chambre sociale, 18 juin 2025, n° 23-19.022, publié au Bulletin
- Conseil d’État, 1er décembre 2025, TotalEnergies SE, n° 498023
- Cour d’appel de Versailles, chambre sociale 4-2, 17 juin 2026, n° 25/02730
- Cour d’appel de Paris, pôle 6, chambre 2, 2 octobre 2025, n° 25/02502, et 18 décembre 2025, n° 25/04270
- Code de procédure civile, articles 11, 142 et 145 ; code pénal, article R. 625-11 ; loi n° 71-1130 du 31 décembre 1971, article 66-5
- CNIL, Le droit d’accès des salariés à leurs données et aux courriels professionnels, fiche mise à jour le 31 janvier 2025 : cnil.fr
- CNIL, rapport annuel 2025, publié le 18 mai 2026 : cnil.fr
- CEPD et Contrôleur européen de la protection des données (EDPS), avis conjoint sur la proposition Digital Omnibus, février 2026 : edpb.europa.eu
- Commission européenne, proposition Digital Omnibus, COM(2025) 837 du 19 novembre 2025 ; Conseil de l’UE, mandat de négociation du 21 octobre 2026
- Commissaire à la protection des données de Basse-Saxe, communiqué n° 01/2026 du 27 janvier 2026 : lfd.niedersachsen.de