Données persos et enquêtes internes

RGPD et justice

C’est un problème courant des enquêtes internes menées par l’employeur : on ne sait pas trop ce qui s’y dit, et on ne comprend pas forcément ce qu’elles concluent. La difficulté concerne tant les victimes à l’origine de l’enquête que les salariés visés par celles-ci. Dans une affaire examinée récemment par le Conseil d’Etat, un groupe de salariés objet d’une de ces enquêtes (dont on ne sait pas si elle était ou non justifiée) pensaient avoir trouvé la parade en invoquant le droit d’opposition prévu par le RGPD.

Ce droit d’opposition, défini par l’article 21 du fameux règlement, permet à toute personne de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant. Ce droit n’est cependant pas absolu. En effet, le traitement des données doit obéir à un des motifs de recours autorisés par le RGPD, par exemple, l’exécution d’un contrat, le consentement du propriétaire des données (les cookies d’internet !!), l’existence d’une obligation légale… Or, le droit d’opposition n’est permis que dans deux cas, et l’un d’eux concernant les données traitées en raison de l’intérêt légitime suivi par le responsable de traitement.

Première question : l’enquête interne peut-elle faire l’objet d’un droit d’opposition des personnes visées par l’enquête ? On le concède, ce serait tout de même un peu facile. L’employeur de l’affaire faisait valoir qu’une enquête répond à une obligation légale : assurer la sécurité des salariés. Ce cas de recours n’est pas visé par le droit d’opposition. Ni la CNIL, ni le Conseil d’Etat qui contrôle ses faits et gestes, ne sont d’accord. Il est vrai qu’aucun texte ne prévoit expressément l’obligation de mener l’enquête, et, en plus, la Cour de cassation a récemment rappelé que l’enquête ne s’imposait pas tant que l’employeur prenait les mesures nécessaires pour assurer la protection des salariés (position que nous n’avons, d’ailleurs, toujours pas comprise, comment prendre des mesures sans savoir ce qu’il se passe…). Résultat, le traitement des données par l’employeur dans le cadre d’une enquête interne rentre dans une autre case : la protection de l’intérêt légitime de l’employeur, ce qui permet au salarié d’exercer son droit d’opposition.

Dans ce cas, l’article 21 du RGPD est limpide : le responsable du traitement ne doit plus traiter les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.

Très concrètement, un salarié peut donc s’opposer à ce qu’une enquête interne soit menée avec des données le concernant. L’employeur, s’il veut passer outre cette opposition, doit justifier son refus par un motif légitime et impérieux, et en informer le salarié. L’entreprise impliquée de l’affaire ne l’a pas fait, elle fut donc sanctionnée.

On imagine à l’avenir que le DRH devra se fendre de petits courriers type : « vous êtes soupçonné de harcèlement, l’entreprise doit vérifier les faits pour assurer la sécurité des présumées victimes et s’éviter une condamnation salée en justice. Ces motifs légitimes et impérieux prévalent sur votre droit à agir anonymement ».

Quid du droit d’accès au contenu de l’enquête ?

Il s’agit pour le coup d’une question beaucoup plus sérieuse, nombre de salariés impliqués dans des enquêtes attestent qu’il est difficile de savoir ce que celle-ci révèle. Pour ce faire, les salariés ont invoqué l’article 15 du RGPD, permettant à une personne d’accéder à toutes données traitées la concernant.

Ce fameux droit d’accès est-il absolu ? Pas tout à fait. L’article 15 du RGPD impose, comme le rappelle la CNIL, un équilibre entre le droit d’accès et le respect des droits et libertés des autres salariés et de l’entreprise. Ainsi, l’employeur peut s’engouffrer dans la brèche pour refuser ou restreindre l’accès à certaines données si le droit d’accès implique une atteinte disproportionnée aux droits d’autres salariés. La tentation est grande pour l’employeur d’utiliser cette exception, en invoquant notamment que la communication de document, même caviardés, pourrait permettre au salarié d’identifier les différents acteurs de l’enquête, et nuire à leur droit à la vie privée. De même, l’employeur pourra se réfugier derrière son droit à la défense et au procès équitable pour refuser de produire des échanges entre les personnes ayant mené l’enquête.

Sur ce point, le Conseil d’Etat, saisi d’un recours contre la décision de la CNIL, a indiqué très clairement que la circonstance que des données personnelles relatives à un salarié fassent l'objet d'un traitement par son employeur dans le cadre d'une enquête interne ne fait pas obstacle, par principe, à l'exercice de son droit d'accès à ces données par le salarié. Mais…

Aucun droit n'est absolu

Le Conseil a ajouté que l'employeur pouvait refuser s’il démontrait le caractère manifestement infondé ou excessif de la demande ou que les modalités d'exercice de ce droit portent atteinte aux droits et libertés d'autrui. Le caractère excessif viendra d’une disproportion de la demande (« tous les mails échangés à mon propos par tous les salariés de l’entreprise depuis vingt ans… »), tandis que la demande sera infondée si elle concerne une enquête dans laquelle le salarié n’est pas impliqué. En dehors de ces deux cas de figure, l’employeur doit respecter le droit d’accès, éventuellement en procédant à l'occultation des informations susceptibles de porter atteinte aux droits et libertés d'autrui (type noms, prénoms, postes, adresses…). Toutefois, l’employeur devra justifier son refus de communiquer les points occultés, et par écrit.

Concrètement, l’employeur ne peut pas ne rien donner, mais il peut censurer certains documents, à condition d’expliquer, par écrit, pourquoi.

Le droit d’accès s’applique donc bien pour une enquête interne, même s’il reste toujours compliqué d’obtenir la version complète du rapport.

Conseil d'État 1er décembre 2025 N° 498023