Tests d’hameçonnage, licenciement et RGPD : la Cour de cassation refuse l’indemnisation automatique du salarié

La cybersécurité n’est plus un sujet purement technique. Elle est devenue un terrain contentieux à part entière, situé au croisement du droit du travail, du droit de la preuve, du droit des données personnelles et de la responsabilité civile. L’arrêt rendu par la chambre sociale de la Cour de cassation le 24 juin 2026, n° 24-22.792, en fournit une illustration particulièrement nette. Dans cette affaire, un salarié de Natixis, analyste en stratégies algorithmiques, avait été licencié après avoir volontairement cliqué à plusieurs reprises sur des liens suspects dans le cadre de simulations d’hameçonnage organisées par l’employeur.

Les éléments issus de ces tests avaient permis son identification. Le salarié contestait la licéité de ces preuves au regard du RGPD et soutenait que le manquement de l’employeur devait ouvrir droit à réparation. La Cour de cassation casse partiellement l’arrêt de la cour d’appel de Paris, mais uniquement sur l’indemnisation accordée au titre du RGPD : elle juge que la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à dommages-intérêts. Voir l’arrêt : Cass. soc., 24 juin 2026, n° 24-22.792.

La décision est intéressante à double titre. D’une part, elle s’inscrit dans la ligne désormais bien établie de la recevabilité possible d’une preuve illicite ou déloyale, dès lors que sa production est indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi. D’autre part, elle aligne clairement la chambre sociale sur la jurisprudence de la Cour de justice de l’Union européenne relative à l’article 82 du RGPD : une violation du RGPD peut rendre une preuve illicite, mais elle ne suffit pas automatiquement à créer un préjudice indemnisable. Le demandeur doit établir un dommage matériel ou moral concret et un lien causal entre la violation et ce dommage.

L’arrêt appelle donc une lecture prudente. Il ne signifie pas que l’employeur peut négliger ses obligations RGPD lorsqu’il organise des campagnes de sensibilisation à la cybersécurité. Il ne signifie pas davantage que les salariés seraient privés de toute protection face aux dispositifs numériques de contrôle. Il signifie plus précisément que les contentieux liés aux données personnelles ne peuvent pas être traités comme des contentieux à préjudice automatique. Le salarié doit démontrer non seulement un manquement, mais aussi une atteinte effective à ses intérêts.

I. Une décision révélatrice de l’articulation délicate entre cybersécurité, discipline et loyauté de la preuve

A. Le test d’hameçonnage : un outil légitime de cybersécurité, mais juridiquement sensible

Les faits de l’affaire sont relativement atypiques. L’employeur avait organisé plusieurs campagnes de sensibilisation aux cyberattaques, notamment par l’intermédiaire d’un prestataire spécialisé. Le salarié, loin d’être un utilisateur peu averti, exerçait des fonctions techniques dans un environnement particulièrement sensible, puisqu’il travaillait comme analyste en stratégies algorithmiques dans le secteur bancaire. Selon les éléments rapportés par la décision d’appel, il avait cliqué volontairement sur des liens suspects lors de plusieurs simulations successives et renseigné de faux identifiants à caractère grossier ou insultant. La cour d’appel de Paris avait considéré que le licenciement reposait sur une cause réelle et sérieuse, tout en relevant que les preuves tirées du traitement de données personnelles étaient illicites en raison du non-respect du RGPD. Voir l’arrêt d’appel : CA Paris, 30 octobre 2024, n° 22/01494.

Le contexte professionnel est essentiel. Dans une entreprise bancaire, et plus encore dans un service lié à des stratégies algorithmiques ou à des systèmes d’information sensibles, le comportement numérique d’un salarié ne peut pas être analysé comme un simple écart de légèreté. Cliquer volontairement sur des liens suspects, même dans une campagne de test, revient à adopter un comportement contraire aux consignes élémentaires de sécurité, surtout lorsque l’intéressé ne peut pas être certain, au moment du clic, que le lien est effectivement inoffensif. La campagne peut être une simulation ; le comportement du salarié, lui, reste réel.

C’est précisément ce que retient la logique disciplinaire : l’employeur ne reproche pas seulement un échec au test, mais une attitude volontairement provocatrice, répétée, et potentiellement incompatible avec les exigences de sécurité de l’entreprise.

Il faut toutefois éviter une lecture trop brutale. Un test d’hameçonnage n’est pas neutre juridiquement. Il implique nécessairement la collecte et le traitement d’informations relatives aux salariés : adresse électronique professionnelle, identifiants saisis, clics, horaires, réactions au message, éventuelle remontée de l’incident, comportement face au faux formulaire, etc. Ces données permettent directement ou indirectement d’identifier une personne physique ; elles constituent donc des données à caractère personnel au sens du RGPD. Le traitement doit alors reposer sur une base légale, poursuivre une finalité déterminée, être proportionné, faire l’objet d’une information préalable suffisante, et respecter les principes de loyauté, transparence et minimisation. La CNIL rappelle d’ailleurs que la sensibilisation des utilisateurs aux risques de sécurité fait partie des précautions recommandées, mais cela n’exonère pas l’organisme de ses obligations relatives aux données personnelles. Voir la fiche CNIL : Sécurité : impliquer et former les utilisateurs.

En droit du travail, ces obligations se combinent avec les dispositions propres au contrôle de l’activité des salariés. L’article L. 1222-1 du Code du travail impose l’exécution de bonne foi du contrat de travail. L’article L. 1222-3 prévoit que le salarié doit être expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d’évaluation professionnelle utilisées à son égard. L’article L. 1222-4 ajoute qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. Ces textes sont particulièrement importants lorsque l’outil de cybersécurité peut devenir un outil probatoire ou disciplinaire. Voir les textes : articles L. 1222-1 et suivants du Code du travail.

La difficulté tient à la nature hybride de la campagne d’hameçonnage. Présentée comme une action de sensibilisation, elle peut produire des résultats individualisés. Conçue pour améliorer la sécurité collective, elle peut aboutir à l’identification d’un salarié déterminé.

Pensée comme un outil de prévention, elle peut devenir un élément de preuve dans un licenciement. Ce glissement n’est pas interdit par principe, mais il doit être anticipé.

L’employeur doit être en mesure d’expliquer ce qu’il collecte, pourquoi il le collecte, pendant combien de temps, qui y accède, dans quelles conditions les données peuvent être utilisées, et si elles peuvent, le cas échéant, fonder une mesure disciplinaire.

La décision du 24 juin 2026 rappelle donc une première vérité pratique : plus la cybersécurité devient un impératif de gouvernance, plus elle doit être encadrée juridiquement. Une entreprise ne peut pas se contenter d’acheter une solution de phishing simulé auprès d’un prestataire et de l’utiliser comme un simple outil RH ou disciplinaire. Elle doit documenter le traitement, informer les salariés, associer le cas échéant les représentants du personnel, définir une politique interne claire et éviter toute collecte excessive. La CNIL rappelle, de manière générale, que l’employeur peut contrôler l’activité de ses collaborateurs, mais que ce contrôle connaît des limites liées à la vie privée et à la protection des données personnelles. Voir la page CNIL : RGPD en pratique : protéger les données.

Pour autant, l’arrêt ne doit pas être lu comme une décision défavorable aux employeurs. Au contraire, il montre que le non-respect du RGPD ne neutralise pas nécessairement toute possibilité disciplinaire. La cour d’appel avait considéré que les preuves étaient illicites, mais néanmoins recevables, car indispensables et proportionnées. La Cour de cassation ne censure pas cette analyse dans son arrêt du 24 juin 2026. Elle rejette le pourvoi principal du salarié et ne casse l’arrêt qu’en ce qu’il avait accordé 5 000 euros de dommages-intérêts pour exécution déloyale du contrat de travail au motif que le manquement RGPD aurait nécessairement causé un préjudice. Voir l’arrêt : Cass. soc., 24 juin 2026, n° 24-22.792.

Il faut ici distinguer trois questions que le débat médiatique tend parfois à confondre.

Première question : le comportement du salarié pouvait-il justifier une sanction disciplinaire ?

La cour d’appel a répondu positivement, en retenant la cause réelle et sérieuse du licenciement.

Deuxième question : les preuves issues du dispositif de phishing simulé étaient-elles licites ? La cour d’appel a répondu négativement, en raison du manquement au RGPD.

Troisième question : ces preuves illicites pouvaient-elles tout de même être reçues dans le débat prud’homal ?

La cour d’appel a répondu positivement, par application du droit à la preuve. La Cour de cassation concentre sa censure sur une quatrième question : le manquement RGPD ouvrait-il automatiquement droit à réparation ? Sa réponse est négative.

La portée de l’arrêt tient précisément à cette articulation. Le RGPD n’est ni un bouclier absolu permettant d’effacer tout comportement fautif du salarié, ni une formalité secondaire que l’employeur pourrait traiter avec désinvolture. Il produit des effets sur la licéité de la preuve et peut fonder une demande indemnitaire, mais encore faut-il démontrer un préjudice.

B. La preuve illicite peut être admise si elle est indispensable et proportionnée

La décision du 24 juin 2026 s’inscrit dans une évolution plus large du droit français de la preuve. Pendant longtemps, la preuve obtenue de manière illicite ou déloyale était souvent écartée avec rigueur, en particulier lorsqu’elle résultait d’un stratagème ou d’un dispositif non porté à la connaissance du salarié. Cette position a évolué sous l’influence du droit au procès équitable et de la jurisprudence européenne. L’Assemblée plénière de la Cour de cassation, par un arrêt du 22 décembre 2023, n° 20-20.648, a consacré une méthode de mise en balance : l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats ; le juge doit rechercher si la production est indispensable à l’exercice du droit à la preuve et si l’atteinte portée aux droits concurrents est strictement proportionnée au but poursuivi. Voir l’arrêt : Ass. plén., 22 décembre 2023, n° 20-20.648.

Cette solution est déterminante en droit du travail. Le contentieux prud’homal se caractérise par une asymétrie probatoire. L’employeur dispose souvent des outils, journaux, messageries, logiciels et historiques de connexion. Le salarié dispose parfois d’échanges, d’enregistrements, de captures d’écran ou de documents internes. Dans les deux cas, la preuve peut porter atteinte à des droits concurrents : vie privée, secret des affaires, confidentialité des correspondances, données personnelles, loyauté dans l’administration de la preuve. La méthode de proportionnalité permet de sortir d’une logique binaire. Une preuve illicite n’est pas automatiquement recevable ; mais elle n’est pas automatiquement irrecevable non plus.

Dans l’affaire Natixis, cette approche conduit à admettre que des données collectées dans des conditions discutables au regard du RGPD puissent néanmoins être produites pour établir la réalité du comportement reproché au salarié. La cour d’appel a considéré que les éléments permettant l’identification du salarié étaient illicites, mais que leur production était indispensable à l’exercice du droit à la preuve de l’employeur et proportionnée à l’objectif poursuivi. La Cour de cassation, dans l’arrêt du 24 juin 2026, rapporte cette analyse sans la censurer. Voir l’arrêt : Cass. soc., 24 juin 2026, n° 24-22.792.

La solution est cohérente avec la nature des faits. Si l’employeur ne pouvait produire aucun élément tiré de la campagne de test, il lui serait pratiquement impossible de démontrer que tel salarié avait volontairement cliqué sur les liens litigieux et saisi des identifiants insultants.

Or, l’enjeu n’était pas secondaire : il s’agissait de cybersécurité dans un environnement professionnel sensible. La production des données litigieuses pouvait donc être regardée comme indispensable, non pour surveiller arbitrairement le salarié, mais pour établir un comportement précis, répété, et potentiellement dangereux pour le système d’information.

La proportionnalité suppose toutefois un examen concret. Il ne suffit pas pour l’employeur d’invoquer la cybersécurité de manière abstraite. Le juge doit vérifier la nature des données produites, leur volume, leur pertinence, leur durée de conservation, les personnes y ayant eu accès, l’existence d’autres moyens de preuve moins attentatoires, et la gravité des faits reprochés. Plus le dispositif est intrusif, plus l’exigence de justification est élevée. Plus la preuve est périphérique ou redondante, plus elle risque d’être écartée. À l’inverse, lorsque la preuve est strictement ciblée, limitée à l’identification d’un comportement fautif et nécessaire à la défense de l’employeur, sa recevabilité est plus facilement admise.

Cette distinction est d’autant plus importante que la chambre sociale avait déjà eu l’occasion, dans un arrêt du 9 avril 2025, n° 23-13.159, de juger que l’exploitation de fichiers de journalisation permettant d’identifier indirectement un salarié constituait un traitement de données personnelles et que l’utilisation de ces données à une autre fin que celle pour laquelle elles avaient été collectées pouvait rendre la preuve illicite. Cette décision montre que les logs informatiques, les adresses IP et les traces techniques ne sont pas des éléments juridiquement neutres. Ils peuvent relever pleinement du RGPD. Voir l’arrêt : Cass. soc., 9 avril 2025, n° 23-13.159.

La leçon est claire : la preuve numérique est une preuve puissante, mais juridiquement fragile. L’employeur qui veut s’en prévaloir doit pouvoir justifier non seulement de sa pertinence disciplinaire, mais aussi de son cadre de collecte. À défaut, il prend un double risque : voir la preuve qualifiée d’illicite, puis devoir convaincre le juge qu’elle reste malgré tout recevable au nom du droit à la preuve. Ce n’est pas impossible, mais c’est contentieux et incertain.

Il serait donc dangereux pour les entreprises de retenir seulement la partie favorable de l’arrêt. Oui, une preuve issue d’un traitement RGPD irrégulier peut être reçue. Non, cela ne signifie pas que le respect du RGPD serait facultatif. Le contrôle de proportionnalité sauve parfois la preuve ; il ne régularise pas rétroactivement le traitement. L’employeur peut gagner sur la recevabilité de la preuve et perdre sur un autre terrain : sanction administrative, injonction CNIL, atteinte réputationnelle, ou indemnisation si le salarié démontre un dommage réel.

C’est ici que l’arrêt du 24 juin 2026 devient particulièrement intéressant. La Cour de cassation sépare nettement deux plans : celui de la recevabilité probatoire et celui de la réparation du dommage. La même irrégularité RGPD peut rendre la preuve illicite, sans l’exclure nécessairement du débat, et sans ouvrir automatiquement droit à dommages-intérêts.

II. Une décision de principe sur l’absence de préjudice automatique en matière de RGPD

A. L’article 82 du RGPD impose la preuve d’un dommage matériel ou moral

Le cœur de l’arrêt du 24 juin 2026 réside dans l’interprétation de l’article 82, paragraphe 1, du RGPD. Ce texte prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. La formulation est importante : elle vise une personne ayant subi un dommage. Elle ne dit pas que toute violation du RGPD donne automatiquement lieu à réparation. Voir le texte : article 82 du RGPD.

La cour d’appel de Paris avait retenu que le non-respect du RGPD était caractérisé et qu’il avait nécessairement causé un préjudice au salarié, réparé par l’allocation de 5 000 euros de dommages-intérêts. C’est précisément cette automaticité que la Cour de cassation censure.

Elle rappelle que la simple violation du RGPD n’ouvre pas, à elle seule, droit à réparation et qu’il appartenait à la cour d’appel d’apprécier si le salarié établissait que la violation constatée lui avait causé un dommage matériel ou moral. Voir l’arrêt : Cass. soc., 24 juin 2026, n° 24-22.792.

Cette solution s’inscrit directement dans la jurisprudence de la Cour de justice de l’Union européenne. Dans l’arrêt Österreichische Post du 4 mai 2023, affaire C-300/21, la CJUE a jugé que la simple violation des dispositions du RGPD ne suffit pas pour conférer un droit à réparation. Elle a toutefois précisé qu’un État membre ne peut pas subordonner la réparation d’un dommage moral à l’existence d’un certain seuil de gravité. Autrement dit, il faut un dommage, mais ce dommage n’a pas à atteindre une intensité particulière. Voir l’arrêt : CJUE, 4 mai 2023, C-300/21, Österreichische Post.

La CJUE a ensuite confirmé, dans l’arrêt MediaMarktSaturn du 25 janvier 2024, affaire C-687/21, que la personne demandant réparation sur le fondement de l’article 82 doit établir non seulement la violation du RGPD, mais également que cette violation lui a causé un dommage matériel ou moral. La réparation remplit une fonction compensatoire, non punitive. Elle a pour objet de compenser intégralement le préjudice concrètement subi, et non de sanctionner abstraitement l’auteur du manquement. Voir l’arrêt : CJUE, 25 janvier 2024, C-687/21, MediaMarktSaturn Hagen-Iserlohn GmbH.

La chambre sociale ne fait donc pas œuvre d’innovation isolée. Elle transpose en droit du travail français une solution européenne déjà ferme. Cette transposition est néanmoins importante, car la jurisprudence sociale française a longtemps connu la notion de « préjudice nécessaire » dans plusieurs domaines. Cette notion a progressivement reculé. Désormais, sauf exceptions particulières, le salarié qui sollicite des dommages-intérêts doit établir l’existence d’un préjudice. L’arrêt du 24 juin 2026 confirme que le contentieux RGPD ne fait pas exception à cette exigence.

La solution est juridiquement saine. Le droit des données personnelles poursuit plusieurs finalités : prévention, conformité, responsabilisation des acteurs, protection des droits fondamentaux, contrôle par les autorités administratives, et réparation des dommages effectivement subis. Mais l’action indemnitaire n’a pas vocation à devenir une sanction civile automatique. Pour sanctionner un manquement indépendamment d’un préjudice individuel, il existe d’autres mécanismes : contrôles de la CNIL, mises en demeure, amendes administratives, injonctions de mise en conformité. L’article 82, lui, relève de la responsabilité civile : il suppose un dommage et un lien de causalité.

Cette distinction est fondamentale pour les praticiens. Un salarié peut parfaitement démontrer un préjudice moral résultant d’une violation du RGPD : anxiété liée à la diffusion de données sensibles, atteinte à la réputation, sentiment d’exposition, perte de contrôle sur des informations personnelles, utilisation disciplinaire inattendue d’un traitement, communication excessive à des tiers, conservation injustifiée, etc. Mais il doit l’alléguer et l’établir. Le juge ne peut pas déduire mécaniquement l’existence du dommage de la seule irrégularité du traitement.

Il faut ici éviter un contresens. La Cour de cassation ne dit pas que les atteintes aux données personnelles seraient indifférentes ou insignifiantes. Elle dit que leur réparation suppose une démonstration. Le préjudice moral peut être modeste ; il peut résulter d’une atteinte non patrimoniale ; il peut être prouvé par faisceau d’indices. Mais il ne peut pas être présumé de manière irréfragable dès qu’une violation du RGPD est constatée.

Dans l’affaire commentée, le salarié n’était donc pas privé par principe de toute indemnisation. Il devait seulement établir en quoi l’absence d’information ou de consentement concernant le traitement par le prestataire lui avait causé un dommage concret. La cour d’appel, en retenant un préjudice nécessaire, a court-circuité cette étape.

C’est cette erreur de méthode qui justifie la cassation partielle.

La portée pratique est considérable. Dans les contentieux prud’homaux, les moyens tirés du RGPD sont de plus en plus fréquents : demandes d’accès aux données, contestation d’outils de surveillance, exploitation de logs, vidéosurveillance, badgeuses, géolocalisation, messageries professionnelles, logiciels RH, plateformes collaboratives, dispositifs d’évaluation, outils d’intelligence artificielle, etc. L’arrêt du 24 juin 2026 encadre l’usage indemnitaire de ces moyens. Un manquement RGPD peut renforcer un argumentaire sur la loyauté de la preuve, la proportionnalité du contrôle ou l’exécution de bonne foi du contrat.

Mais pour obtenir des dommages-intérêts, il faut documenter le préjudice.

Du côté des salariés, cela impose une stratégie probatoire plus rigoureuse. Il ne suffit pas d’invoquer l’absence d’information préalable, le défaut de base légale ou la violation du principe de finalité. Il faut expliquer le dommage : atteinte à la vie privée, utilisation déloyale de données, diffusion interne injustifiée, stress objectivable, conséquences professionnelles, atteinte à l’image, perte de chance, impossibilité d’exercer ses droits, ou toute autre conséquence concrète. Du côté de l’employeur, cela ne doit pas conduire à relâcher la conformité. Le fait qu’il n’y ait pas d’indemnisation automatique n’empêche ni la qualification d’illicéité, ni la contestation de la preuve, ni le risque administratif.

L’arrêt est donc équilibré. Il refuse la logique du « RGPD sanction automatique », mais maintient l’importance du RGPD dans l’appréciation de la loyauté des dispositifs numériques.

B. Les enseignements pratiques pour les employeurs : informer, documenter, proportionner

L’arrêt du 24 juin 2026 fournit plusieurs enseignements opérationnels pour les entreprises qui organisent des campagnes de phishing simulé ou, plus largement, des dispositifs de contrôle numérique.

Le premier enseignement est que la cybersécurité constitue un intérêt légitime puissant. Former les salariés, tester leur vigilance, les sensibiliser aux risques d’hameçonnage, détecter les comportements dangereux et améliorer les procédures internes sont des objectifs légitimes. Les attaques par hameçonnage peuvent avoir des conséquences graves : vol d’identifiants, compromission du système d’information, fraude au président, rançongiciel, fuite de données, atteinte au secret des affaires, désorganisation de l’activité. Les autorités publiques, comme la CNIL ou Cybermalveillance.gouv.fr, insistent régulièrement sur la nécessité de sensibiliser les utilisateurs et de prévenir les risques liés aux données personnelles et à la sécurité numérique. Voir la fiche CNIL : Sécurité : impliquer et former les utilisateurs.

Le deuxième enseignement est que cet intérêt légitime ne dispense pas d’un encadrement préalable. Une campagne de test doit être pensée comme un traitement de données personnelles. Il convient donc d’identifier le responsable du traitement, le prestataire éventuel, les finalités poursuivies, les catégories de données collectées, les destinataires, la durée de conservation, les droits des personnes, les mesures de sécurité, et la base légale retenue. Le registre des traitements doit être mis à jour. Le contrat avec le prestataire doit intégrer les clauses relatives à la sous-traitance au sens du RGPD. Les salariés doivent recevoir une information claire, sans nécessairement révéler le calendrier précis des simulations, mais en indiquant l’existence de campagnes de sensibilisation et les conséquences possibles des résultats.

Le troisième enseignement concerne la finalité disciplinaire. L’employeur doit décider en amont si les résultats individualisés peuvent être utilisés à des fins disciplinaires. S’il envisage cette possibilité, elle doit être compatible avec l’information donnée aux salariés et avec les textes du Code du travail. L’article L. 1222-4 prohibe la collecte d’informations personnelles par un dispositif non porté à la connaissance du salarié. L’article L. 1222-3 impose une information préalable sur les méthodes et techniques d’évaluation professionnelle. Même si un test d’hameçonnage n’est pas toujours une « évaluation professionnelle » au sens strict, il peut le devenir lorsqu’il sert à apprécier le comportement du salarié et à fonder une sanction. Voir les textes : articles L. 1222-1 et suivants du Code du travail.

Le quatrième enseignement porte sur la gradation des sanctions. Un simple clic isolé lors d’une simulation ne justifie pas nécessairement un licenciement. Tout dépend du contexte : niveau de responsabilité du salarié, information préalable, répétition du comportement, consignes données, nature des données saisies, intention, antécédents, secteur d’activité, conséquences potentielles. Dans l’affaire commentée, la répétition des clics, le caractère volontaire du comportement, les identifiants insultants et le secteur bancaire ont probablement pesé lourdement dans l’appréciation de la cause réelle et sérieuse du licenciement. En droit commun du licenciement personnel, l’article L. 1232-1 du Code du travail exige une cause réelle et sérieuse ; en cas de litige, l’article L. 1235-1 confie au juge l’appréciation du caractère réel et sérieux des motifs et prévoit que le doute profite au salarié. Voir les textes : article L. 1232-1 du Code du travail et article L. 1235-1 du Code du travail.

Le cinquième enseignement concerne la preuve. L’entreprise doit éviter de se placer dans la situation inconfortable où elle reconnaît implicitement l’illicéité de ses preuves et doit demander au juge de les sauver au nom du droit à la preuve. La jurisprudence de l’Assemblée plénière du 22 décembre 2023 est une soupape, non une méthode normale de conformité. Le meilleur dossier prud’homal reste celui dans lequel la preuve est licite, documentée, proportionnée, prévisible et loyalement administrée. Voir l’arrêt : Ass. plén., 22 décembre 2023, n° 20-20.648.

En pratique, une campagne de phishing simulé devrait être précédée d’une politique interne claire. Cette politique peut indiquer que l’entreprise organise périodiquement des actions de sensibilisation à la cybersécurité, y compris des simulations d’hameçonnage ; que ces actions visent prioritairement la formation et la prévention ; que certains résultats peuvent être individualisés afin d’accompagner les salariés ; que les comportements volontairement dangereux, répétés ou contraires aux consignes peuvent donner lieu à des suites disciplinaires ; que les données collectées sont limitées à ce qui est nécessaire ; que leur durée de conservation est encadrée ; et que les salariés disposent de droits sur leurs données.

Il convient également de distinguer le traitement pédagogique du traitement disciplinaire.

Pour la majorité des salariés, l’échec à une simulation devrait conduire à une formation complémentaire, non à une sanction. La sanction doit rester réservée aux hypothèses les plus graves : contournement volontaire, récidive malgré formation, divulgation réelle d’identifiants, refus répété de respecter les consignes, comportement provocateur, mise en danger délibérée du système d’information. Cette gradation est non seulement plus équitable, mais aussi plus défendable devant un juge.

L’arrêt du 24 juin 2026 rappelle enfin qu’un manquement RGPD peut avoir plusieurs effets distincts. Il peut rendre une preuve illicite. Il peut déclencher un contrôle ou une sanction administrative. Il peut justifier une injonction de mise en conformité. Il peut, si un dommage est établi, ouvrir droit à réparation. Mais il ne produit pas automatiquement tous ces effets à la fois. La grille d’analyse doit rester rigoureuse.

Pour les salariés, la décision invite aussi à mieux construire les demandes indemnitaires. Il est juridiquement pertinent de soulever un manquement RGPD lorsque l’employeur exploite des données personnelles dans un cadre disciplinaire. Mais la demande de dommages-intérêts doit être individualisée. Le salarié doit expliquer ce que le traitement irrégulier lui a concrètement causé : atteinte à sa dignité, anxiété, perte de contrôle sur ses données, diffusion injustifiée d’informations, impact sur sa carrière, sentiment d’humiliation, impossibilité d’exercer ses droits, ou autre dommage objectivable. À défaut, la demande risque d’être rejetée, même si le manquement est établi.

L’arrêt intéresse enfin les avocats et praticiens du contentieux social. Il confirme que le RGPD est devenu une arme procédurale importante, mais qu’il ne peut pas être invoqué de manière automatique ou incantatoire. Dans une instance prud’homale, le RGPD peut servir à discuter la licéité de la preuve, à interroger les finalités du dispositif, à contester la proportionnalité du contrôle, à solliciter la communication de données, ou à soutenir une demande indemnitaire.

Mais chaque objectif obéit à des conditions propres. La recevabilité de la preuve relève de la mise en balance ; la réparation relève de la démonstration du dommage.

Conclusion

L’arrêt de la chambre sociale du 24 juin 2026, n° 24-22.792, est une décision de clarification.

Il ne banalise pas les manquements au RGPD. Il ne donne pas un blanc-seing aux employeurs qui organisent des campagnes de cybersécurité. Il ne prive pas les salariés de protection. Il affirme plus simplement une distinction essentielle : l’illicéité d’un traitement de données personnelles n’équivaut pas automatiquement à un préjudice indemnisable.

Dans une économie numérique où les traces techniques sont partout, cette distinction est indispensable. Les entreprises doivent pouvoir protéger leurs systèmes d’information et produire des preuves lorsqu’un salarié adopte un comportement dangereux. Les salariés doivent pouvoir contester les dispositifs opaques, disproportionnés ou non déclarés. Le juge doit arbitrer entre ces intérêts en présence. Mais l’indemnisation suppose toujours la démonstration d’un dommage.

Pour les employeurs, la ligne de conduite est claire : former, informer, documenter, minimiser, proportionner. Pour les salariés, la stratégie contentieuse doit être précise : identifier le manquement, contester la preuve si nécessaire, mais surtout caractériser le préjudice lorsque des dommages-intérêts sont sollicités. Pour les praticiens, l’arrêt confirme que le contentieux du travail et le contentieux des données personnelles sont désormais indissociables.

Références citées

La décision commentée est l’arrêt de la chambre sociale de la Cour de cassation du 24 juin 2026, n° 24-22.792, publié au Bulletin, qui casse partiellement l’arrêt de la cour d’appel de Paris sur l’indemnisation automatique du manquement RGPD : Cass. soc., 24 juin 2026, n° 24-22.792.

L’arrêt d’appel est celui de la cour d’appel de Paris, pôle 6, chambre 4, du 30 octobre 2024, n° 22/01494, qui avait confirmé le licenciement tout en accordant 5 000 euros de dommages-intérêts pour exécution déloyale du contrat de travail : CA Paris, 30 octobre 2024, n° 22/01494.

L’article 82 du RGPD prévoit le droit à réparation de toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement : article 82 du RGPD.

La décision CJUE, 4 mai 2023, C-300/21, Österreichische Post, juge que la simple violation du RGPD ne suffit pas à ouvrir droit à réparation, tout en refusant l’exigence d’un seuil de gravité du dommage moral : CJUE, 4 mai 2023, C-300/21, Österreichische Post.

La décision CJUE, 25 janvier 2024, C-687/21, MediaMarktSaturn, confirme que le demandeur doit établir la violation du RGPD, le dommage matériel ou moral, et le lien entre les deux : CJUE, 25 janvier 2024, C-687/21, MediaMarktSaturn Hagen-Iserlohn GmbH.

L’arrêt d’Assemblée plénière de la Cour de cassation du 22 décembre 2023, n° 20-20.648, fixe la méthode de mise en balance applicable aux preuves illicites ou déloyales : Ass. plén., 22 décembre 2023, n° 20-20.648.

Les articles L. 1222-1, L. 1222-3 et L. 1222-4 du Code du travail encadrent respectivement l’exécution de bonne foi du contrat, l’information préalable sur les méthodes d’évaluation et l’interdiction de collecter des informations personnelles par un dispositif non porté à la connaissance du salarié : articles L. 1222-1 et suivants du Code du travail.

Les articles L. 1232-1 et L. 1235-1 du Code du travail rappellent l’exigence d’une cause réelle et sérieuse du licenciement et le rôle du juge prud’homal dans l’appréciation des motifs : article L. 1232-1 du Code du travail et article L. 1235-1 du Code du travail.

L’arrêt Cass. soc., 9 avril 2025, n° 23-13.159, rappelle que l’exploitation de fichiers de journalisation permettant d’identifier indirectement un salarié constitue un traitement de données personnelles et peut rendre la preuve illicite en cas de détournement de finalité : Cass. soc., 9 avril 2025, n° 23-13.159.