Données personnelles – RGPD – Que faire des données personnelles et de la messagerie d’un salarié après son départ de l’entreprise ?

Vendredi soir, la Directrice commerciale d’un magasin d’ameublement quitte une PME après huit ans de collaboration à la suite d’une rupture négociée. Son ordinateur, son téléphone portable et son badge ont été restitués, ses principaux accès informatiques désactivés et les documents de fin de contrat remis. Sa « Dircom » étant partie en bons termes et toutes les formalités requises ayant été accomplies, M. Henri Samesouri, le dirigeant de l’entreprise, part en week-end serein.

Le lundi matin, un mail de son ancienne salariée apparaît dans sa boîte de réception. Le ton est courtois mais sans détours : « Conformément aux dispositions du Règlement général sur la protection des données et de la loi ‘Informatique et Libertés’, j’entends exercer mes droits d’accès, de correction et mon droit à l’effacement et à la limitation des données personnelles me concernant, conformément aux articles 15 à 18 du RGPD. Je vous serais reconnaissante de me faire parvenir sous un mois une copie intégrale de ma messagerie et de procéder, dans ce même délai, à la suppression des informations me concernant qui figurent sur le site www.geant-ameublement-lyonnais.com, sur vos réseaux sociaux ou tout autre support de communication de l’entreprise. Je vous prie enfin de veiller à ce qu’aucune conservation ou utilisation injustifiée de mes données ne soit maintenue et vous prie de m’informer des mesures prises en ce sens. »

Rien d’inquiétant en apparence. M. Samesouri a bien entendu parler du « RGPD », mais, débordé, il ne croyait pas être tenu d’en faire plus pour satisfaire les obligations de l’entreprise vis-à-vis de sa salariée.

Est-il tenu de remettre une copie de l’intégralité de la messagerie ? Si oui, comment faire ? Doit-il tout remettre ? Et quant aux demandes de rectification et de suppression de données, de quoi s’agit-il ? En attendant, il tape un mail au service informatique externalisé pour couper l’accès de l’ex-salariée à sa messagerie professionnelle (il avait oublié de le faire vendredi) et ajouter une redirection et un message informant la clientèle de son remplacement. Quant au reste, il se demande quelles décisions prendre.

Comment réagir à la demande d’exercice du droit d’accès ? De l’importance de se presser lentement.

Rechercher le nom d’un salarié ayant de l’ancienneté dans tous les fichiers et échanges de l’entreprise ne risque-t-il pas de prendre un temps fou et de générer des coûts ? Ne devrait-il pas d’abord demander à l’ex-salariée de préciser ses demandes ? Faut-il en parallèle supprimer tout son « dossier RH » et ses mails archivés ? Comment protéger les données des autres salariés, clients ou partenaires visés dans les échanges ou les informations commerciales et stratégiques figurant dans les documents en pièces jointes ? Il a besoin d’y voir clair avant de prendre les mesures nécessaires et de répondre.

Problématique et enjeux juridiques et pratiques du droit d’accès

Ces questions ont pris une importance accrue depuis que la Cour de cassation a admis, le 18 juin 2025, que les mails émis ou reçus par le salarié via une messagerie professionnelle constituent des données personnelles au sens de l’article 4 du RGPD et qu’il peut, sous certaines réserves, accéder tant à leurs métadonnées (dates, heures, expéditeur, destinataires) qu’à leur contenu même[1].

Le droit d’accès aux données concernant le salarié sortant n’est donc plus une question de pure forme. En effet, l’accès aux données personnelles permet l’exercice des autres droits tels que la rectification des données inexactes ou l’effacement de celles qui sont injustifiées. La question alimente des débats délicats sur le terrain du droit de la preuve et du bien-fondé de telles demandes dans le contexte fréquent de précontentieux prud’homaux entre le salarié et l’employeur.

I) Les droits d’un salarié partant sur ses données personnelles au sein de l’entreprise

Qu’est-ce que le salarié peut réellement demander dans le cadre de son droit d’accès (art. 15 RGPD) ?

Précisons d’abord que l’employeur est un responsable du traitement et, en tant que tel, est débiteur d’un certain nombre d’obligations vis-à-vis des salariés de son entreprise, y compris après leur départ.

L’article 15 du RGPD relatif au droit d’accès permet à toute personne d’obtenir d’un tel responsable la confirmation que ses données sont ou ne sont pas traitées, et lorsqu’elles le sont, l’accès à ces données et divers renseignements relatifs à ces données tels que les objectifs poursuivis par leur utilisation, les catégories de données traitées, les organismes obtenant communication de ces données, leur durée de conservation lorsque c’est possible, etc.

A ce titre, l’employeur est tenu de fournir au salarié, s’il en fait la demande, une copie des données le concernant faisant l’objet d’un « traitement » au sens du RGPD.

Quelles sont les conditions et les modalités d’exercice du « droit d’accès » ?

Sous quelle forme la demande de droit d’accès peut-elle être adressée ? N’importe quelle demande écrite convient, le RGPD n’imposant aucun formalisme. Il n’est même pas nécessaire de viser les textes. Il suffit que la demande exprime que l’intéressé souhaite accéder à ses données ou exercer ses droits.

La première copie des données est en principe gratuite. (Mais l’employeur pourrait demander de verser une somme au titre des frais administratifs pour toute copie supplémentaire).

Elle doit être faite de façon simple et lisible, dans un format compréhensible, cette information devant permettre à l’intéressé d’en contrôler l’exactitude et de demander leur correction ou leur effacement s’il y a lieu.

Lorsque la demande est adressée par voie électronique, « les informations sont communiquées sous une forme électronique d’usage courant, à moins que la personne ne demande qu’il en soit autrement. »

D’après les textes (art. 12 et 15 RGPD) et la jurisprudence en vigueur, l’employeur ne peut exiger que le demandeur fournisse un motif légitime ou justifie l’usage qu’il entend faire des informations par la suite, même si celles-ci peuvent lui servir dans le cadre d’un éventuel contentieux prud’homal, étant rappelé que le responsable du traitement est tenu de « faciliter l’exercice des droits » par la personne.

En tous les cas, le responsable du traitement est tenu de communiquer les informations et copie des données requises dans le délai d’un mois, celui-ci pouvant être prorogé de deux mois supplémentaires en cas de « complexité » de la demande ou de pluralité de demandes.

Quelles sont les données concernées ? Le cas particulier de la « messagerie professionnelle »

Longtemps, l’employeur a pu croire que la messagerie professionnelle des salariés et son contenu lui « appartenait » et échappait à l’empire des dispositions du RGPD, eu égard au contrôle exercé sur les moyens informatiques mis à leur disposition et à la présomption de caractère professionnel des mails échangés par ce biais. Cependant, le droit d’accès et surtout la définition du caractère personnel des données ne dépend ni de la propriété d’un serveur ou d’un compte de messagerie ni d’un article du règlement intérieur ou du contrat de travail, mais de la seule présence de données « se rapportant à une personne physique identifiable ou identifiée » (article 4 du RGPD).

Or, la Chambre sociale de la Cour de cassation a franchi une étape importante à ce sujet dans son arrêt précité du 18 juin 2025 en retenant que :

• les courriels émis ou reçus par le salarié au moyen de sa messagerie professionnelle sont des données personnelles ;
• le droit d’accès aux données peut porter tant sur les métadonnées (date, heure, expéditeur, destinataire) mais aussi sur le contenu des messages ;
• la communication peut toutefois être limitée si elle porte atteinte « aux droits et libertés d’autrui ».

Un droit d’accès étendu, pas illimité. Les données personnelles et rien que les données personnelles.

Le droit d’accès implique la remise d’une reproduction fidèle et intelligible de toutes les données personnelles traitées mais l’exercice d’un tel droit ne permet pas l’accès à toutes les données désirées par le salarié, mais seulement aux données le concernant, à l’exclusion de toutes les autres et de celles relatives aux tiers.

En outre, plusieurs décisions rendues par la Cour d’appel de Paris entre novembre et décembre 2025 paraissent adopter une lecture plus restrictive du droit d’accès que l’arrêt de la Cour de cassation de juin 2025 ne le laisse penser, en particulier lorsque la demande tend à la communication globale de la messagerie professionnelle et du contenu de dossiers professionnels à des fins probatoires dans le cadre d’un précontentieux prud’homal. Dans l’un des arrêts de la Cour (13 novembre 2025[2]) a ainsi souligné que « la finalité du RGPD n’est pas d’obtenir la copie de la correspondance électronique professionnelle émise ou reçue par le salarié dans le cadre de son activité, ou d’autres documents ou éléments se rapportant à son activité professionnelle tels que les comptes rendus d’évaluation, les entretiens annuels, les relevés de connexion ainsi que les documents relatifs aux formations, dont le salarié a, par définition, eu connaissance en totalité (…) » et qui ne sont pas de plein droit des données personnelles, semblant prendre ainsi le contrepied de la position de la Cour de cassation.

Samesmouri attendait du droit et de la jurisprudence une réponse claire afin de traiter la demande de son ancienne salariée. Mieux vaudrait se tourner vers d’autres sources comme la position de la CNIL (voir ci-dessous).

Le débat sur l’étendue et les limites du droit d’accès par l’ancien salarié dans un contexte de recherche de preuves n’est pas achevé. Mais une chose est sûre, l’article 15 du RGPD n’a pas vocation à encadrer la mise en œuvre d’une procédure générale de communication de pièces au salarié après l’expiration de son contrat de travail. Le salarié peut-il se fonder sur l’article 15 du RGPD pour obtenir toutes les preuves qu’il désire dans la perspective d’un éventuel procès prud’homal ? À priori, les dispositions de l’article 145 du Code de procédure civile (mesures d’instruction ordonnées par le juge « avant tout procès ») qui imposent un motif légitime et un contrôle de proportionnalité de la mesure et un équilibre entre droit de la preuve et droits de la défense et droits des tiers, semblent restreindre cette possibilité. Mais la pratique montre que les salariés utilisent ce levier du droit d’accès. Or, une position contraire aux obligations prévues à l’article 145 du CPC ou qui étendrait excessivement l’empire de l’article 15 du RGPD ouvrirait la voie à un détournement des finalités protectrices du RGPD.

De ce fait, de nombreuses décisions des juges du fond semblent se ranger du côté de l’interprétation restrictive du droit d’accès dégagée par la Cour d’appel de Paris. Demeure toutefois une incertitude…

La fiche de la CNIL consacrée au droit d’accès des salariés[3] adopte quant à elle une conception nuancée et pragmatique de la question : les données personnelles contenues dans les courriels d’une messagerie professionnelle entrent dans le champ du droit d’accès, mais le droit d’accès porte sur des données personnelles et non sur des documents.

Ainsi, s’il est plus pratique pour l’employeur de communiquer les documents plutôt que les données personnelles qu’il contient, rien ne l’empêche de le faire (sous réserve des droits éventuels des tiers), mais rien ne l’oblige à communiquer les documents plutôt que ces données.

Il n’est pas tenu à fournir la copie de documents ou d’extraits de documents ou de bases de données, à moins que cela ne soit la seule façon de permettre à l’intéressé de s’assurer du contenu des données le concernant et d’exercer ses droits (de rectification, d’effacement ou de limitation des traitements de données), encore une fois sous réserve des droits et libertés des tiers, étant rappelé que la notion d’informations visée à l’article 15-3° du RGPD se rapporte exclusivement aux données personnelles dont une copie doit être fournie, et non à d’autres informations telles que les métadonnées (CJUE, 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C-487/21).

II) Comment répondre en pratique à une demande d’exercice du droit d’accès et d’autres droits basés sur le RGPD ?

L’essentiel, comme on l’a vu, est de fournir une reproduction fidèle et intelligible de toutes les données personnelles du salarié traitées par l’entreprise, mais rien que de ces données.

Respect du droit et libertés des tiers et restriction des atteintes à la confidentialité ou secret d’affaires

Compte tenu de la définition limitée des données personnelles et de la réserve des droits et libertés des tiers (art. 15-4° du RGPD) et de la confidentialité de certains documents ou du secret des affaires éventuels de l’entreprise (lequel fait lui-même l’objet d’une protection légale spécifique), en pratique, un tri des données s’impose avant de communiquer une copie du contenu de la messagerie d’un salarié et des documents ou dossiers RH le concernant, au besoin en procédant à l’occultation, l’anonymisation ou la pseudonymisation de certaines données ou caviardant certains messages ou le contenu de pièces jointes aux échanges professionnels.

Obligation de traiter la demande dans les délais, sous réserve de demande éventuelle de précisions

Mais il ne saurait être question pour l’entreprise de refuser en bloc une telle demande ou d’exiger le paiement de « frais administratifs », même si elle peut s’avérer en pratique chronophage et coûteuse.

Le volume, les coûts ou la difficulté technique des opérations ne suffisent pas, à eux seuls, à caractériser une demande excessive justifiant un refus du responsable du traitement.

Il faut retenir le délai d’un mois, ou de trois au maximum (en cas de prorogation) pour répondre à la demande. Ce délai peut être mis à profit pour solliciter le cas échéant des précisions au salarié lorsque sa demande d’exercice des droits manque de clarté ou est formulée en termes généraux ou très larges. Le « considérant 63 » du RGPD envisage une telle possibilité. L’employeur ne peut toutefois demander au salarié de faire un inventaire exhaustif des données dont la copie est sollicitée.

Il lui faudra en outre éviter d’écrire que la demande d’explications suspend le délai légal, l’article 12 du RGPD ne prévoyant pas de mécanisme ou d’hypothèses de suspension automatique.

Même si la demande est mal formulée ou imprécise, il faut l’interpréter de sorte à lui donner un sens, traiter cette demande au titre du droit d’accès et y répondre à temps.

En revanche, l’article 12-5°, permet de refuser d’agir ou de réclamer des frais raisonnables lorsque la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif. La preuve de ce caractère excessif ou répété incombera à l’employeur.

Permettre l’exercice des droits autres que le droit d’accès

Il ne faut pas oublier que le droit d’accès vise à permettre l’exercice des autres droits du salarié fondés sur le RGPD, à savoir principalement, dans le cadre d’une relation post-contractuelle avec un salarié :

• Rectification : l’ancien salarié doit pouvoir identifier les données qu’il estimerait inexactes ;
• Effacement : il n’est pas absolu ; il peut être écarté lorsque la conservation demeure nécessaire au respect d’une obligation légale ou à la constatation, l’exercice ou la défense de droits en justice (cela visera par exemple les pièces RH et comptables et les pièces nécessaires dans le cadre d’un éventuel dossier prud’homal, soit un très grand nombre de documents potentiels) ;
• Limitation du traitement : ce droit devrait conduire l’employer à ne conserver que les données et les traitements et finalités nécessaires après l’expiration du contrat et à restreindre l’accès aux seules personnes ayant strictement à en connaître.

Quelques recommandations supplémentaires pour l’employeur gérant une fin de contrat d’un salarié :

• avertir le salarié de la date de fermeture de sa messagerie afin qu’il puisse trier ses messages personnels (la CNIL recommande une telle anticipation) ;
• désactiver les accès aux données devenus inutiles (obligation de sécurité, proportionnalité) ;
• privilégier la désactivation de la messagerie et l’envoi d’un message automatique informant du départ du salarié et donnant une nouvelle adresse de contact professionnel dans l’entreprise ;
• n’envisager une redirection de la messagerie professionnelle du salarié sortant que pour une durée limitée et avec une finalité identifiée ;
• ne pas ouvrir ou copier les messages signalés comme personnels, lesquels demeurent protégés par le secret des correspondances (la CNIL rappelle que les messages professionnels sont présumés tels, sauf identification explicite comme « Personnel » ou « Privé » dans leur objet).

Conclusion

Le salarié dispose d’un droit d’accès étendu aux données le concernant, y compris à celles contenues dans sa messagerie professionnelle. Mais ce droit n’est ni général ni absolu et il ne consiste pas en un droit à la communication de documents de toute nature à des fins probatoires mais seulement de données personnelles, assorti de limites.

Toute demande d’exercice des droits suppose un véritable travail d’identification, de tri et, le cas échéant, d’occultation ou d’anonymisation des données avant leur communication.

Tout manquement au droit d’accès peut donner lieu à une saisine de la CNIL, à une action indemnitaire et aux sanctions prévues par le RGPD ainsi qu’à d’éventuelles conséquences dans des litiges à intervenir.

Il convient donc aux entreprises de s’occuper de ces sujets en anticipant au maximum les types de demandes pouvant être adressées par une procédure interne prédéfinie, en prenant certaines mesures avant le départ effectif d’un salarié en préavis et en répondant aux éventuelles demandes d’exercice des droits dans les délais légaux une fois la relation arrivée à son terme.

Maître Guillaume LE LU – Avocat en droit de la propriété intellectuelle et des technologies numériques et de communication

[1] Cass. Soc., 18 juin 2025, n°23-19.022

[2] Cour d’appel de Paris, Pôle 6 chambre 2, 13 novembre 2025, n° 25/03115.

[3] https://www.cnil.fr/fr/le-droit-dacces-des-salaries-leurs-donnees-et-aux-courriels-professionnels

Banni par un algorithme : quels droits pour les utilisateurs du numérique ?

En 2022, une soixantaine d’employés d’une entreprise texane apprenait son licenciement. Motif ? Une intelligence artificielle, un algorithme, avait scellé leur sort. On pourra se rassurer en relevant que cela s’est passé à Austin (Etats-Unis), et non en France où le Code du Travail restreint l’arbitraire et encadre strictement les procédures et motifs des licenciements économiques. Mais l’utilisation d’« algorithmes délibératifs » peut léser les intérêts des individus dans bien d’autres domaines. Songeons par exemple aux décisions prises par les plateformes de services numériques.

Qu’est-ce qu’un algorithme délibératif ?

On parle d’algorithmes délibératifs lorsqu’une IA applique un ensemble de règles, évalue une situation selon des critères définis et sélectionne une décision parmi un éventail d’options, avec ou sans aucune intervention humaine. Parfois, l’intelligence artificielle combine décision automatisée et apprentissage conduisant à adapter ses règles de calcul. De tels algorithmes (séries d’instructions) délibèrent au sens où ils opèrent des arbitrages en se basant sur des règles et des données d’entrée.

Comme on le verra, le droit ne les interdit pas mais encadre leur utilisation et protège les droits des personnes en imposant certaines obligations aux fournisseurs de services en ligne.

L’illustration : un cas de désactivation de comptes d’utilisateur de services numériques par META

Prenons un exemple. Un « Français de l’étranger » a une résidence stable et une entreprise en France. Il est titulaire depuis des années de comptes Instagram et Facebook, tant pour un usage personnel (échanges avec son réseau propre) que pour communiquer avec les clients et prospects de sa société et intéressant ses activités commerciales en France et à l’étranger (publications, fidélisation…). Un jour, il reçoit une notification de META : « Votre compte a été suspendu pour non-respect des Standards de la communauté ». Un, puis deux, puis trois… Et bientôt, tous ses comptes sont suspendus sans autre justification que ce motif générique. Très vite, il clique sur le « bouton » qui lui permet de contester ces décisions, vraisemblablement prises de façon automatisée par un système d’IA.

180 jours plus tard, il reçoit une nouvelle notification l’informant que le « compte a été définitivement désactivé. » Même motif : « votre compte, ou l’activité sur celui-ci, ne respecte pas les Standards de la communauté ». Ce message standard ajoute que « Comme plus de 180 jours se sont écoulés depuis que votre compte a été suspendu, vous ne pouvez plus demander un examen de cette décision ». Ironiquement, il lui est suggéré de découvrir « comment [les] Standards de la communauté permettent de faire d’Instagram un endroit authentique et respectueux où tout le monde peut s’exprimer. » Sa réclamation à META PLATFORMS IRELAND LTD, restée sans réponse, n’aura pas eu plus d’effet. À aucun moment un opérateur humain ne s’est manifesté. L’opacité est totale… Et les recours semblent épuisés.

L’ampleur du phénomène et le fameux « problème de la boîte noire »

Ce cas réel est loin d’être isolé. Une notification similaire s’affiche chaque jour sur des millions d’écrans, annonçant à l’utilisateur de services en ligne la suspension ou la désactivation de son compte pour des raisons aussi obscures et vagues, sans information sur les voies de recours et surtout sans intervention humaine. Précisons que nous avons pris le cas de META, mais nous aurions pu en citer des exemples avec TikTok ou d’autres plateformes utilisant les mêmes types d’algorithmes.

Par hypothèse, l’IA ne s’explique pas, elle tranche. Sa raison d’être n’est pas de justifier ses décisions. Ignorant la nature de la règle violée et le comportement qui a mis en branle sa sanction, l’utilisateur n’est pas sans rappeler Joseph K, le héros du Procès de Kafka. Si ces décisions sont souvent incompréhensibles pour lui, les raisonnements générés par les modèles d’apprentissage des systèmes d’IA le sont aussi pour ceux qui les conçoivent. C’est ce que la doctrine anglo-américaine appelle : « The Black Box Problem » (« le problème de la boîte noire »), d’où le risque de mesures aveugles et inexplicables, prises sans acteur humain.

Enjeux du problème posé par le recours aux « algorithmes délibératifs »

La question n’est pas tant de savoir pourquoi les plateformes ont recours aux processus automatisés : elles le font pour d’évidentes raisons de coûts (la modération humaine est plus onéreuse) et d’efficacité du traitement automatisé et rapide de flux massifs de données concernant des centaines de millions, voire des milliards d’individus. La question qui se pose ici est celle de la légalité de l’utilisation de ces mécanismes lorsque la décision lèse les intérêts de l’utilisateur en restreignant ou supprimant le service et l’accès aux données hébergées. Dans notre exemple, il n’a même pas pu créer de nouveaux comptes pour contourner la difficulté (blocage).

Ce type de décisions frappe particuliers, indépendants et entreprises de tous secteurs. De nombreux opérateurs utilisent les réseaux sociaux populaires comme vitrine commerciale et publicitaire, canal pour la vente directe, constitution de bases de clients et prospects… Une suppression d’accès peut avoir des conséquences dommageables voire désastreuses pour leurs activités (ex : perte d’investissements, d’audience et de données et atteinte à la réputation, souvenirs pour les particuliers).

Pour qui se voit confronté à « l’inertie bureaucratique » d’un système d’IA, l’expérience peut s’avérer décourageante faute d’un interlocuteur humain pour résoudre la difficulté. Or, en droit, ce n’est pas « l’IA » qui est responsable des décisions prises (elle n’a pas de « personnalité juridique »), mais bien l’entreprise qui met en œuvre de tels processus automatisés.

Protection des utilisateurs par le droit spécial ou le droit commun de la responsabilité et des contrats

En tant que consommateurs ou non professionnels[1], les particuliers qui font un usage privé des services numériques bénéficient d’une protection renforcée contre l’arbitraire et les clauses léonines ou illicites.

Les utilisateurs « professionnels » ou commerciaux, s’ils ne peuvent trouver refuge dans le droit de la consommation, ne sont pas dépourvus de recours et moyens légaux. Outre le droit commun de la responsabilité civile en cas de manquement (ex : résiliation fautive des services) ou de restrictions arbitraires ou discriminatoires (qui permet de fonder des demandes d’indemnisation des dommages entraînés par des mesures injustifiées), les règles issues du droit de l’Union européenne (RSN et RGPD) sont aussi un recours pour les utilisateurs des services, quels qu’ils soient.

Protection spéciale par le Règlement (UE) sur les Services Numériques (« RSN ») : obligations de transparence et d’information des fournisseurs de plateformes et recours effectif contre les décisions

Transparence. Le Règlement (UE) 2022/2065 du 19 octobre 2022 sur les Services Numériques (« RSN »)[2] impose aux fournisseurs de plateformes en ligne (ex : META, TikTok, etc.) de communiquer aux utilisateurs la motivation de toute décision de suspension ou de suppression de comptes ou de restriction d’accès à leurs services, d’offrir de façon transparente un « système interne de traitement des réclamations » compréhensible et de les informer de leurs possibilités de recours.

L’exposé des motifs doit être « clair et spécifique » pour chaque décision.

Il contient a minima :

– « les faits et circonstances sur base desquels la décision a été prise »,

– le fondement juridique (règles de droit ou clauses des conditions générales d’utilisation violées),

– et « des informations relatives à l’utilisation de moyens automatisés pour prendre la décision ».

Les informations « claires et aisément compréhensibles » communiquées par le fournisseur doivent permettre à l’utilisateur d’exercer un recours effectif (voir ci-après § 7).

Enfin, le fournisseur veille « à ce que les décisions […] soient prises sous le contrôle de collaborateurs dûment qualifiés, et pas uniquement par des moyens automatisés. »

En résumé, toute décision automatisée, non motivée, prise sans contrôle humain réel et sans recours effectif est susceptible de contrevenir au RSN.

Une décision de suspension d’un compte reposant sur un motif générique (violation des conditions d’utilisation ou illicéité de contenu) qui, 6 mois après une réclamation de l’utilisateur opérée au moyen du système interne rudimentaire et peu clair, constate que le compte est « définitivement désactivé », sans possibilité de réexamen et sans information sur les recours possibles, semble contrevenir au RSN.

À noter : les utilisateurs, même s’ils sont établis hors Union européenne, bénéficient de ces dispositions dès lors qu’ils utilisent une plateforme de services numériques opérant au sein du territoire de l’Union.

Que faire en cas de sanction et de non-respect de ces obligations par les plateformes numériques ?

La première étape : le recours interne. Il consiste à exiger la motivation détaillée, l’indication des faits et règles et un réexamen par un contrôle humain. C’est indispensable avant tout autre recours amiable (médiation) ou juridictionnel. Il faut garder la preuve de la contestation envoyée au fournisseur, ce que ne permet pas toujours le système interne de réclamation offert.

Ce système doit permettre à l’utilisateur, pendant au moins six mois à compter de la décision, le dépôt d’une réclamation « suffisamment précise et étayée ». Concrètement, il doit s’être vu notifier les griefs retenus contre lui afin de pouvoir contester la mesure de façon motivée et transmettre des justificatifs, obtenir un réexamen réel et, le cas échéant, une infirmation de la décision si celle-ci a été prise à tort.

Ainsi, la mise en place d’un recours de pure forme, sans communication préalable des motifs et n’ayant aucune chance d’aboutir à une infirmation de la décision, ne répond pas a priori aux exigences du RSN.

L’étape optionnelle : le recours à la médiation prévu par l’article 21 du RSN. Innovation du Règlement, l’utilisateur peut, s’il n’a pas obtenu satisfaction avant, saisir un médiateur neutre et indépendant. Cette médiation ne peut être refusée par le fournisseur des services numériques. Ce médiateur, appartenant à un organisme certifié, examine le litige soumis. Il peut recommander par exemple la réactivation d’un compte supprimé sans fondement. Cependant, sa proposition doit être acceptée par les parties pour produire effet. Cette recommandation n’ayant en soi aucune force obligatoire, le recours au juge est souvent le seul moyen d’obtenir la réparation d’un préjudice lié à une décision contestable.

L’étape judiciaire. Faute d’accord ou si la solution n’est pas favorable, l’utilisateur peut aussi se tourner, après médiation ou en première intention, vers les tribunaux.

Il formera un recours basé sur :

– le droit de la consommation (lorsqu’il a le statut de « consommateur » ou de « non-professionnel ») ;

– le droit des contrats et le droit commun de la responsabilité ;

– les dispositions du règlement européen dit « RGPD » relatif à la protection des données personnelles, l’article 22 prévoyant notamment que toute personne objet d’un traitement « a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé […] produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire » (les articles 15 et 17 sur le traitement et l’effacement des données sont également des ressources) ;

– le droit au respect des libertés d’expression et de communication et à ne pas subir de discrimination ;

– le respect des dispositions du Règlement UE précité dit « RSN » ou « DSA ».

Sanctions financières. L’article 52 du RSN précise qu’en cas d’infraction audit règlement, la sanction prise par l’État membre peut aller jusqu’à « une amende dont le montant maximal peut atteindre 6% du chiffre d’affaires mondial annuel du fournisseur de services intermédiaires ».

Conclusion

La jurisprudence, en construction, montre des signes favorables aux utilisateurs, par exemple en cas de suppression de compte injustifiée, discriminatoire ou disproportionnée. Nous avons abordé ici certains enjeux du problème posé par les algorithmes délibératifs, mais il est évident que les restrictions à la liberté de communiquer et le danger des décisions automatisées peuvent revêtir une portée politique et intéresser le débat démocratique.

Maître Guillaume LE LU – Avocat en droit de la propriété intellectuelle et des technologies numériques et de communication

[1] Termes définis dans le Code de la Consommation (article liminaire).

[2] Ou Digital Service Act (« DSA »)

Cybersécurité – Que faire et qui sont les responsables en cas de cyberattaque visant une entreprise ?

Imaginons une entreprise d’aéronautique toulousaine. Un matin, tandis qu’il se rend au travail, son DSI (Directeur des Systèmes d’Information) apprend qu’elle vient d’être victime d’une cyberattaque. Tous les cadres et des employés ciblés ont reçu des emails menaçants les informant que leurs données ont été piratées. Un groupe de "cyber-activistes" opposé à l’ouverture d’un nouvel aéroport revendique l’attaque sur des sites web situés dans plusieurs pays. Un lien sur les pages web créées par les hackers propose le téléchargement sur le Dark Net de dizaines de milliers de données concernant des clients, partenaires et salariés, dont des données sensibles. Une réunion de crise est prévue à 9h00. Le DSI réfléchit aux failles qui ont permis ce scénario et aux actions prioritaires du COMEX. À quelques heures de route de là, dans le Doubs, le patron d’une petite entreprise de papeterie allume son PC et découvre stupéfait qu’il ne peut plus lire les dossiers commerciaux, comptables et financiers. Un pop-up l’informe qu’un malware a chiffré les données et qu’une rançon, payable en bitcoins, est exigée sous dix jours pour les rendre accessibles. À défaut, elles seront détruites. Deux cas différents mais une même question : que faire ? Bientôt suivie d’une autre : qu’aurait-on dû faire pour éviter ça ?

Actualité et variété des risques de cyberattaques touchant les entreprises

Dans son Panorama de la cybermenace en 2025, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) « constate un niveau de cybermenace qui reste élevé, qui n’épargne personne et qui est le fait d’attaquants toujours plus difficiles à suivre ». Elle souligne la spécialisation croissante des attaquants et la circulation accrue des outils et méthodes de compromission. Aux menaces désormais bien identifiées – rançongiciels, hameçonnage, virus, compromission de messageries, etc. – s’ajoute un facteur aggravant : la diffusion et l’usage croissant d’outils assistés par l’intelligence artificielle, qui accélèrent les opérations de détection de vulnérabilités et rendent possibles des attaques ciblées dans des proportions nettement supérieures[1].

Les conséquences d’une cyberattaque varient en intensité et en gravité, mais excèdent toujours la seule dimension informatique. Elles peuvent prendre la forme d’une atteinte limitée à la sécurité des systèmes d’information, d’une compromission de l’intégrité, de la confidentialité ou de la disponibilité des données de l’entreprise, d’une fuite de données sensibles, confidentielles – y compris de secrets d’affaires ou de données personnelles de clients, partenaires ou salariés –, d’une désorganisation plus ou moins grave des activités, voire d’un arrêt partiel ou total de certains services. À cela s’ajoutent fréquemment des risques d’atteinte à la réputation et, dans certains cas, de réclamations de tiers et l’intervention d’autorités administratives de contrôle.

Un tel événement appelle une réaction rapide, mais surtout ordonnée et méthodique, afin d’en limiter les effets et de définir sans délai un plan d’action adapté à la situation.

Quelle est la chaîne des responsabilités en cas de cyberattaque visant une entreprise ?

Une cyberattaque n’engage pas la responsabilité des seuls cybercriminels. Elle peut révéler, selon les circonstances, les manquements d’autres acteurs : l’entreprise victime, lorsqu’elle n’a pas pris les mesures organisationnelles et de sécurité appropriées ; ses dirigeants ou cadres responsables de la cybersécurité, ou encore les prestataires chargés de protéger les systèmes d’information ou d’exécuter certains traitements de données pour le compte de l’entreprise.

La question est donc plus complexe qu’il n’y paraît à première vue. Par exemple, la première victime d’une cyberattaque peut ainsi avoir à répondre d’une partie du mal.

a) Responsabilité des auteurs et complices des atteintes (les cybercriminels)

Les auteurs et complices de la cyberattaque s’exposent bien entendu à des poursuites civiles et pénales.

Civilement, ils sont tenus de réparer les dommages causés à l’entreprise et aux tiers du fait de leurs agissements malveillants.

Pénalement, le droit français réprime depuis la loi Godfrain[2] les atteintes aux « systèmes de traitement automatisé de données » : accès ou maintien frauduleux ou entrave au fonctionnement du système ; extraction, modification ou détournement de données, mise à disposition d’outils de piratage. Les fournisseurs de tels outils sont traités comme des cybercriminels à part entière, non pas en complices. De lourdes peines d’emprisonnement et d’amende assortissent ces infractions définies par le Code Pénal, aggravées en cas de risques d’atteinte à l’intégrité physique des personnes pouvant en résulter.

A noter : les personnes morales peuvent, elles aussi, voir leur responsabilité pénale engagée à ce titre.

D’autres qualifications peuvent en outre être retenues, notamment lorsque des données personnelles ont été collectées par un moyen frauduleux, déloyal ou illicite.

b) Responsabilité de l’entreprise « victime »

Plus contre-intuitif, mais c’est un point très important : l’entreprise victime peut voir sa responsabilité engagée à différents titres et degrés selon la gravité des atteintes constatées après l’attaque. En effet, l’atteinte à son système d’information ne fait pas d’elle la seule victime. Lorsque des salariés ou ses cocontractants (clients, fournisseurs, etc.) subissent un dommage à raison de la fuite, de l’altération ou de l’indisponibilité de données les intéressant, l’entreprise verra souvent questionnée la qualité des mesures techniques et organisationnelles mises en œuvre pour assurer leur confidentialité, sécurité et intégrité, notamment sur le fondement des dispositions du « Règlement Général sur la Protection des Données » (RGPD) applicable en Europe depuis 2016.

Sa responsabilité pourra alors être recherchée sur plusieurs fondements :

• vis-à-vis des personnes physiques dont les données sont compromises, notamment si l’atteinte révèle une faille concernant des données sensibles ou une insuffisance des mesures de prévention, de détection ou de protection, en un mot des négligences en matière de sécurité et de protection des données personnelles ;
• vis-à-vis des clients et partenaires, notamment lorsque l’entreprise est tenue par des engagements contractuels renforcés de sécurité, de continuité, de confidentialité ou de notification de violation ou si la violation est grave et porte sur des données sensibles ou des secrets d’affaires;
• vis-à-vis des autorités, sur le plan légal et réglementaire: lorsque les atteintes affectent un secteur d’activité d’importance vitale, des « services essentiels » ou des données personnelles, l’entreprise est tenue de notifier l’atteinte et s’expose à des contrôles, injonctions ou sanctions administratives, s’il s’avère qu’elle n’a pas respecté ses obligations en matière de cybersécurité ou en cas d’omission des notifications de compromission de ses systèmes d’information et données.

Autrement dit, le caractère malveillant et extérieur de l’acte n’exonère pas de plein droit l’entreprise.

Elle n’a pas à garantir qu’aucune cyberattaque ne pourra survenir grâce aux mesures prises, mais elle est tenue à une obligation de moyens renforcée concernant la sécurité de ses systèmes d’information et des données qu’elle traite.

Une cyberattaque pourra, le cas échéant, servir de révélateur en mettant à jour des manquements ou négligences suffisamment graves pour entraîner des procédures d’injonction et amendes et engager sa responsabilité vis-à-vis des tiers. La CNIL sanctionne de plus en plus sévèrement les insuffisances, tout en rappelant que la seule survenance d’une attaque et d’une atteinte aux données personnelles n’emporte pas automatiquement un manquement.

Sans vouloir se montrer trop effrayant, ajoutons que l’absence ou l’insuffisance de mesures techniques et organisationnelles de protection appropriées des données ou le défaut de notification de violations pourraient tomber sous le coup des dispositions des articles 226-17 et 226-17-1 du Code Pénal (infractions assorties de peines de 5 ans d’emprisonnement et de 300 000 € d’amende, l’entrepreneur individuel comme la personne morale pouvant être poursuivis pénalement).

c) Responsabilité secondaire des dirigeants d’entreprise

Les dirigeants auraient tort de croire que la personnalité morale de la société dans laquelle ils officient leur offre, en toutes circonstances, un écran protecteur suffisant. Lorsque la cybersécurité entre dans leurs attributions, que ce soit du fait de la nature même de leurs fonctions ou par l’effet d’une délégation de pouvoirs, leurs négligences graves en matière de cybersécurité des données et des systèmes d’information peuvent entraîner des conséquences personnelles. Il faut toutefois distinguer.

La responsabilité de l’entreprise ne se confond pas avec celle de ses dirigeants, sauf dans le cas spécial de « l’entrepreneur individuel », qui ne jouit pas de l’écran de la personne morale qu’est une société.

En principe, la simple négligence dans l’exercice de leur mandat social ou de leur contrat de travail ne suffit pas à engager leur responsabilité civile propre à l’égard des tiers, sauf dépassement de fonctions. L’écran joue alors pleinement son rôle : seule la société répond de leurs actes.

En revanche, en droit du travail, les manquements graves à des obligations relevant de la cybersécurité qui sont des attributions d’un cadre-dirigeant peuvent justifier des mesures disciplinaires voire un licenciement pour motif réel et sérieux ou faute grave, s’il est établi qu’il dispose de pouvoirs effectifs. Croire que la cybersécurité serait pour ainsi dire « couverte » par la responsabilité de l’entreprise serait donc une erreur de ce point de vue. Certains l’ont appris à leurs dépens. Une récente décision rendue en jurisprudence l’illustre, la Cour d’appel de Paris ayant confirmé le licenciement « pour cause réelle et sérieuse » d’un cadre-dirigeant doté d’une délégation de pouvoirs en cette matière, en raison d’une fraude informatique subie par son entreprise et de négligences établies de sa part[3] .

Dans des hypothèses plus graves, une « faute de gestion » pourrait même engager la responsabilité personnelle du dirigeant mandataire social, indépendamment de celle de la société.

d) Responsabilité accessoire des prestataires informatiques ou sous-traitants au sens du RGPD

Enfin, la responsabilité peut s’étendre aux prestataires informatiques auxquels l’entreprise confie, de tout ou partie, la sécurité de ses systèmes d’information, infrastructures ou données. C’est le cas, par exemple, des prestataires chargés de l’hébergement, l’infogérance, la supervision, la sauvegarde, la sécurité informatique ou la sous-traitance du traitement de données personnelles. Si l’atteinte a été rendue possible ou aggravée du fait de l’exécution défectueuse de leur prestation, l’entreprise cliente pourrait rechercher leur responsabilité contractuelle pour faute.

En matière de données personnelles, le « sous-traitant » au sens du RGPD n’est pas non plus exempt de responsabilités en cas de violation : même si le responsable du traitement supporte l’essentiel des obligations réglementaires à l’égard des tiers, le prestataire qui traite ces données sur la base de ses instructions pourra engager sa responsabilité en cas de manquement aux obligations qui lui incombent.

Que faire en cas de cyberattaque ?

Une cyberattaque ne se traite pas dans le désordre et l’improvisation. L’urgence commande d’agir vite, mais surtout avec raison et méthode, en ayant présent à l’esprit les impératifs juridiques et pratiques.

a) Contenir immédiatement l’attaque et préserver les preuves

La priorité consiste à limiter l’aggravation du dommage : isoler les systèmes compromis, restreindre les accès, suspendre certains flux ou services si nécessaire, sans omettre de préserver les éléments de preuve utiles à l’analyse ultérieure des faits (par exemple au moyen d’un constat par un commissaire de justice, assisté le cas échéant d’un expert en informatique).

b) Mesurer l’étendue des atteintes et dommages et identifier les risques d’atteintes à la réputation

Il faut ensuite identifier ce qui a été touché : systèmes, données, services, tiers concernés. L’entreprise doit apprécier la gravité des atteintes, le risque de réitération, la nature des données compromises et l’ampleur des dommages causés ou susceptibles de survenir, fût-ce au préjudice d’autrui. L’évaluation permet, notamment, de déterminer s’il y a lieu d’effectuer certaines notifications, y compris aux tiers.

Le risque de dommage réputationnel doit être également considéré en vue d’élaborer un plan d’action.

c) Lancer une enquête interne, communiquer en interne et prendre des mesures correctives urgentes

La cyberattaque révèle souvent des défaillances plus anciennes : défaut de procédure, erreur humaine, cloisonnement insuffisant, prestataire mal encadré, consignes de sécurité mal appliquées. Une enquête interne permet d’en identifier les causes, d’écarter le risque de complicités internes, de communiquer à destination des collaborateurs et de mettre à jour sans délai les procédures de sécurité.

d) Définir un plan d’action

Ici, la réponse à la crise cesse d’être strictement technique et opérationnelle. Parallèlement à ces mesures, l’entreprise doit arrêter un plan d’action cohérent et structuré : priorités de rétablissement, mobilisation des prestataires et des services internes compétents, audit des contrats et des procédures d’information, qualification des obligations légales et réglementaires, préparation des notifications éventuelles. À ce stade, l’appui d’une direction juridique expérimentée et, au besoin, d’un cabinet d’avocats spécialisé, permet souvent d’éviter des erreurs de qualification, des réactions contradictoires ou inadaptées ou des omissions ou erreurs stratégiques lourdes de conséquences.

e) Effectuer les notifications requises s’il y a lieu

Lorsque l’attaque affecte des données personnelles ou relève d’un secteur « réglementé », certaines notifications peuvent s’avérer obligatoires, notamment auprès de la CNIL, voire de l’ANSSI (pour les entreprises opérant dans certains secteurs d’activités) et, selon les cas, d’autres autorités compétentes. Lorsque l’atteinte aux données présente un risque élevé, la notification aux tiers concernés s’imposera également aux termes des dispositions du RGPD.

Les contrats conclus avec les clients ou partenaires de l’entreprise requièrent parfois une information en pareil cas ou le recommandent pour préserver la confiance et la réputation. Toutefois, en cas d’une cyberattaque bénigne, la question de l’opportunité d’une notification se posera. Elle cesserait en tout cas d’être obligatoire en dehors d’une obligation contractuelle, sous réserve des secteurs réglementés.

f) Déposer une plainte pénale

Le dépôt d’une plainte pénale permet de qualifier juridiquement les faits, de signaler l’infraction et préserver la voie répressive, les recours et les garanties offertes par les polices d’assurances couvrant ce type de risques. A noter : il existe un parquet du Tribunal Judiciaire de Paris spécialisé dans la cybercriminalité (section J3) ; un dépôt entre ses mains permet d’espérer une plus grande efficacité et célérité dans son traitement.

g) Déclarer le sinistre à l’assureur

Enfin, l’entreprise vérifiera sans délai les garanties susceptibles de jouer et déclarera le sinistre dans les formes et délais prévus au contrat d’assurance afin de bénéficier d’une couverture financière.

 

En conclusion 

Une cyberattaque n’est jamais un simple incident informatique appelant des mesures techniques. Elle met à l’épreuve l’organisation, la chaîne de responsabilités, la communication et les procédures de sécurité, les contrats avec les prestataires extérieurs et la discipline juridique de l’entreprise. Le droit évolue dans le sens d’un renforcement des obligations de sécurité et de résilience des entreprises ainsi que d’une responsabilité accrue des dirigeants en matière de cybersécurité (la directive européenne « NIS2 », qui sera prochainement transposée en droit français, en atteste).

Maître Guillaume LE LU – Avocat en droit de la propriété intellectuelle et des technologies numériques et de communication

[1] V. Le Monde, 7 avr. 2026, « Cybersécurité : Anthropic restreint le lancement de son dernier modèle d’IA pour prévenir les risques de cyberattaque ». Le quotidien rapporte que la start-up américaine Anthropic a limité l’accès à son modèle Mythos, en raison de ses performances très élevées dans l’identification de vulnérabilités logicielles et des risques que ferait courir un mauvais usage de telles capacités.

[2] « Loi Godfrain » ou loi no 88-19 du 5 janvier 1988 relative à la fraude informatique, première loi française réprimant les actes de cybercriminalité et de piratage informatique.

[3] CA Paris, Pôle 6, Chambre 8, 5 mars 2026, n°22/06832