Preuve illicite et RGPD : ce que l'arrêt de la CJUE du 18 juin 2026 change pour les employeurs

Un employeur qui soupçonne un salarié d'un manquement grave a souvent le même réflexe : rassembler des preuves numériques. Historique de navigation, messageries, comptes en ligne, fichiers stockés sur le serveur : tous ces éléments contiennent des données personnelles, et leur collecte relève du RGPD. L'arrêt rendu le 18 juin 2026 par la Cour de justice de l'Union européenne (affaire C-484/24, NTH Haustechnik) tranche une question débattue depuis des années : un juge peut-il fonder sa décision sur des preuves collectées en violation du RGPD ? La réponse concerne directement toute entreprise engagée dans un contentieux avec un salarié, un dirigeant ou un prestataire.

L'essentiel en 30 secondes. Le RGPD n'interdit pas au juge d'utiliser une preuve contenant des données personnelles collectées de manière illicite par une partie. Le traitement opéré par la juridiction repose sur son obligation légale de statuer (article 6, paragraphe 1, sous c du RGPD), rattachée au droit à un procès équitable. L'admissibilité de la preuve reste régie par le droit national. En revanche, la partie qui a collecté les données irrégulièrement demeure exposée : amende administrative, action en réparation et, en France, sanction de la CNIL. Recevable ne veut donc pas dire sans risque.

Une salariée, un compte eBay et des identifiants utilisés à son insu

NTH Haustechnik, une entreprise allemande de chauffage, découvre que son ancienne salariée, par ailleurs épouse du gérant, aurait revendu sur eBay des biens appartenant à la société. Le préjudice allégué dépasse 46 000 euros. Pour l'établir, l'entreprise a accédé au compte eBay privé de l'intéressée en utilisant ses identifiants, retrouvés via l'historique de navigation d'un ordinateur professionnel et un dossier stocké sur le serveur de la société.

Saisi du litige, le tribunal supérieur du travail de Basse-Saxe n'exclut pas que cette collecte soit illégale. Il interroge la Cour : le RGPD lui permet-il d'examiner ces preuves et de les utiliser pour juger l'affaire ?

Le RGPD ne fait pas obstacle à l'utilisation d'une preuve collectée illicitement

La Cour rappelle d'abord qu'un juge qui verse au dossier, consulte ou exploite des documents contenant des données personnelles réalise un traitement soumis au RGPD. Ce traitement trouve sa base dans l'article 6, paragraphe 1, sous c : la juridiction exécute une obligation légale, celle de statuer sur l'admissibilité des offres de preuve puis d'en tenir compte, au service du procès équitable garanti par l'article 47 de la Charte des droits fondamentaux.

L'arrêt apporte trois précisions utiles. Une jurisprudence nationale claire, précise et prévisible peut suffire comme base juridique, sans qu'un texte détaille les conditions d'utilisation des preuves. L'article 17, paragraphe 3, sous e, qui écarte le droit à l'effacement pour les données nécessaires à la défense de droits en justice, n'est pas une base de licéité autonome. Et le principe de minimisation des données n'oblige pas le juge à une mise en balance exhaustive pour chaque acte de traitement.

Le cœur du dispositif tient en une phrase : ni la Charte ni le RGPD ne s'opposent à ce qu'un juge utilise des preuves obtenues en violation de la vie privée et de la protection des données, même si la partie qui les produit n'a pas d'intérêt légitime supérieur à celui d'établir les faits. Le manquement de l'employeur à son obligation d'information (article 13) ne bloque pas davantage leur utilisation, et une partie ne peut se prévaloir de la violation des droits de tiers, par exemple les acheteurs eBay. Seule vraie limite : avant de divulguer ces données aux parties ou de publier sa décision, le juge doit vérifier leur stricte nécessité et recourir au besoin à l'anonymisation ou à la pseudonymisation.

Recevable ne signifie pas sans risque pour l'employeur

La Cour raisonne sur le traitement effectué par le juge, pas sur celui de l'employeur. La collecte initiale reste illicite : l'arrêt précise qu'un responsable de traitement qui savait, ou devait savoir, que des données avaient été obtenues irrégulièrement ne peut invoquer l'intérêt légitime de l'article 6, paragraphe 1, sous f. L'employeur imprudent s'expose donc à une amende administrative au titre de l'article 83, à une action en réparation du salarié fondée sur l'article 82 et, en France, à un contrôle de la CNIL.

L'admissibilité de la preuve demeure par ailleurs une question de droit national. Depuis les arrêts d'assemblée plénière du 22 décembre 2023, la Cour de cassation admet la preuve illicite ou déloyale lorsqu'elle est indispensable et que l'atteinte aux droits de l'autre partie est strictement proportionnée. Le juge français conserve ce contrôle : l'apport de la CJUE est de confirmer que le RGPD n'y superpose pas une interdiction automatique.

Sécuriser la preuve avant le contentieux

Pour une startup ou une PME, la leçon pratique est double. D'abord, une preuve collectée proprement vaut toujours mieux qu'une preuve sauvée in extremis par le juge : charte informatique encadrant l'usage des outils, information des salariés conforme à l'article 13, durées de conservation définies et respectées, enquête interne documentée et proportionnée. L'affaire NTH illustre le risque inverse, avec des données conservées des années après le départ de la salariée. Ensuite, cette rigueur se valorise : un dossier de preuve irréprochable accélère le contentieux, évite les sanctions parallèles et rassure investisseurs et grands comptes lors des due diligences.

Vous envisagez de collecter des éléments de preuve contre un salarié ou un prestataire, ou vous devez répondre à une preuve obtenue à partir de vos données ? Le cabinet vous aide à sécuriser chaque étape, de l'enquête interne à l'audience. Prendre rendez-vous

Sources

CJUE, 18 juin 2026, NTH Haustechnik GmbH c/ EM, C-484/24