La violation du règlement européen sur la protection des données (RGPD) n’ouvre pas, à elle seule, droit à réparation.

Cour de cassation, civile, Chambre sociale, 24 juin 2026, 24-22.792, Publié au bulletin

En l’espèce, un salarié contestait son licenciement et reprochait à son employeur d’avoir traité ses données personnelles en violation du RGPD. La cour d’appel avait reconnu que les preuves produites par l’employeur ayant permis l’identification du salarié étaient illicites dès lors qu’elles résultaient d’un traitement de données personnelles contraire aux dispositions du RGPD. Elle les avait toutefois jugées recevables estimant que leur obtention et leur production étaient indispensables et proportionnées à l’objectif poursuivi. Considérant que la violation du règlement était établie, elle en avait déduit que le salarié avait nécessairement subi un préjudice.

Saisie, la Cour de cassation casse et annule partiellement cette décision en s’appuyant sur la jurisprudence de la CJUE. Elle rappelle que le droit à réparation suppose non seulement une violation du RGPD, mais également la preuve d’un préjudice, matériel ou moral, directement causé par cette violation. En l’absence d’un tel dommage démontré, aucune indemnisation ne peut être accordée.

Cet arrêt affirme ainsi qu’en matière de protection des données personnelles, le droit à réparation ne peut résulter de la seule méconnaissance du RGPD.