La seule violation du RGPD au détriment du salarié lui permet-elle d’obtenir automatiquement réparation ?

Selon un arrêt de la Cour de cassation du 24 juin 2026, un traitement de données personnelles non conforme au RGPD n’ouvre pas automatiquement droit à indemnisation, puisqu’il faut démontrer l’existence d’un préjudice matériel ou moral découlant de la violation du règlement.

Dans la situation concernée, un salarié d’un établissement financier a été licencié pour faute, notamment pour avoir cliqué sur des liens suspects contenus dans des courriels adressés au personnel dans le cadre d’une campagne de sensibilisation aux cyberattaques.

Bien qu’informé de l’existence de cette campagne, le salarié a délibérément cliqué sur les liens figurant dans les six faux courriels successifs, en contradiction avec les consignes données. Il a également renseigné des identifiants fantaisistes, parfois injurieux, afin de tourner en dérision ses exercices de prévention, sans toutefois compromettre la sécurité informatique de l’entreprise puisqu’il savait qu’il s’agissait de faux messages.

Estimant que ce comportement révélait un refus délibéré de respecter les consignes de sécurité, l’employeur a prononcé son licenciement pour motif disciplinaire.

Le licenciement est validé, mais la cour d’appel a toutefois condamné l’employeur à verser 5 000 € de dommages-intérêts pour exécution déloyale du contrat de travail, en retenant que l’employeur avait recueilli les données personnelles du salarié sans son consentement. Ce non-respect des dispositions du RGPD constituait, selon elle, automatiquement un préjudice pour le salarié.

La Cour de cassation énonce toutefois que la simple violation du RGPD n’ouvre pas, à elle seule, droit à réparation et que les juges auraient dû apprécier si le salarié établissait que la violation du règlement lui avait causé un dommage matériel ou moral.

.