QuestionRelu par Hugo Berton
Violation du RGPD : le salarié doit prouver son préjudice pour être indemnisé
Violation du RGPD et salarié : arrêt de la Cour de cassation du 24 juin 2026, pas d'indemnisation sans préjudice moral ou matériel démontré.
Par Hugo Berton · · 2 min de lecture · relu le 15 septembre 2026
En bref
Dans un arrêt du 24 juin 2026, la Cour de cassation juge qu'une violation du RGPD n'ouvre pas, à elle seule, droit à indemnisation du salarié : il doit démontrer un préjudice moral ou matériel, comme le prévoit l'article 82 du RGPD. Dans l'affaire, une banque avait licencié un salarié, notamment pour avoir volontairement échoué à des campagnes de sensibilisation au phishing ; les preuves, obtenues en violation du RGPD, ont été jugées indispensables et proportionnées. L'affaire est renvoyée devant une cour d'appel. Actualité Service Public du 17 juillet 2026.
- 24 juin 2026date de l'arrêt de la chambre sociale de la Cour de cassation, publié au bulletin
- article 82du RGPD : réparation d'un dommage moral ou matériel subi
- 3 griefsreprochés au salarié : tests de phishing, concours interne, logiciels non autorisés
Violation du RGPD : ce que juge la Cour de cassation
D'après l'actualité Entreprendre Service Public publiée le 17 juillet 2026, la Cour de cassation rappelle, dans un arrêt du 24 juin 2026, « qu'une violation du RGPD ne conduit pas automatiquement à l'octroi de dommages et intérêts au salarié ». Elle s'appuie sur l'article 82 paragraphe 1 du RGPD, qui ouvre droit à réparation à toute personne ayant subi un dommage moral ou matériel : le salarié doit donc démontrer ce préjudice.
L'affaire : phishing, concours interne, logiciels
Un salarié de banque est licencié. L'employeur lui reproche d'avoir volontairement échoué à plusieurs campagnes internes de sensibilisation au phishing en saisissant des propos injurieux, d'avoir manipulé les résultats d'un concours interne et d'avoir installé des logiciels non autorisés. Le salarié soutient que certaines preuves ont été obtenues par un traitement de ses données contraire au RGPD et demande réparation.
| Juridiction | Ce qu'elle décide |
|---|---|
| conseil de prud'hommes | condamne l'employeur pour un traitement des données contraire au RGPD |
| cour d'appel | confirme : le traitement sans consentement préalable du salarié ouvre droit à indemnisation |
| Cour de cassation | pas d'indemnisation sans préjudice démontré ; preuves jugées indispensables et proportionnées ; renvoi devant une cour d'appel |
Deux enseignements pour l'employeur
Premier point : « la simple violation du RGPD n'ouvre pas, à elle seule, le droit à une indemnisation ». Le salarié doit prouver un préjudice concret. Second point : dans cette affaire, les preuves obtenues en violation du RGPD ont été retenues parce qu'elles « étaient indispensables et proportionnées à l'objectif poursuivi ». L'arrêt ne rend pas la violation licite : il en tire les conséquences pour l'indemnisation et pour la preuve dans ce litige.
Ce que cela change pour une TPE
Les campagnes de faux phishing et les contrôles de postes de travail restent des traitements de données des salariés, soumis au RGPD. Pour les cadrer, voir notre page sur le contrôle de l'activité des salariés, notre page sur le RGPD pour une TPE et notre page sur l'hameçonnage.
Ce que cette page ne dit pas
Elle repose sur l'actualité Service Public, pas sur le texte de l'arrêt, et ne connaît pas l'issue de l'affaire devant la cour d'appel de renvoi. Actualité lue le 15 septembre 2026.
Questions fréquentes
Une violation du RGPD donne-t-elle automatiquement droit à des dommages et intérêts ?
Non : selon l'arrêt de la Cour de cassation du 24 juin 2026, le salarié doit démontrer un préjudice moral ou matériel.
Sur quel texte repose cette solution ?
Sur l'article 82 paragraphe 1 du RGPD, qui ouvre droit à réparation à la personne ayant subi un dommage moral ou matériel.
Des preuves obtenues en violation du RGPD peuvent-elles être retenues ?
Dans cette affaire, oui : la Cour a jugé leur production indispensable et proportionnée à l'objectif poursuivi.
Que reprochait l'employeur au salarié ?
D'avoir volontairement échoué à des campagnes de sensibilisation au phishing, manipulé un concours interne et installé des logiciels non autorisés.
L'affaire est-elle terminée ?
Non : la Cour de cassation l'a renvoyée devant une cour d'appel.
Sources consultées
- Entreprendre Service Public — Violation du RGPD : le salarié est-il systématiquement indemnisé ? (actualité du 17 juillet 2026)entreprendre.service-public.gouv.fr · consulté le 14 septembre 2026