Une violation RGPD n’ouvre pas automatiquement droit à réparation Une violation du RGPD ne donne pas automatiquement droit à réparation. La Cour de cassation vient de le rappeler, dans un arrêt du 24 juin 2026. Une nuance technique en apparence. Elle ne l’est pas. Les faits : un licenciement contesté aux prud’hommes L’histoire commence avec un licenciement contesté aux prud’hommes. L’employeur, pour justifier sa décision, produit des éléments qui identifient le salarié. Ces éléments viennent d’un traitement de données jugé contraire au RGPD. La cour d’appel de Paris admet ces preuves quand même, au nom de leur caractère indispensable et proportionné. Jusque-là, rien d’anormal dans le raisonnement. Mais elle va plus loin : elle condamne aussi l’employeur à verser 5 000 euros au salarié, estimant que la violation du RGPD causait forcément un préjudice. Ce que censure la Cour de cassation C’est ce deuxième point que la Cour de cassation censure. Elle s’appuie sur l’article 82 du RGPD et sur la jurisprudence de la CJUE. Une violation du règlement n’ouvre pas automatiquement droit à indemnisation, dit-elle. Il faut un dommage matériel ou moral concret, démontré par le salarié. Pas de préjudice automatique. Donc pas de réparation automatique non plus. Au-delà de l’indemnisation, la question de la preuve Pour les organisations, l’histoire ne s’arrête pas à la question de l’indemnisation. En contentieux, il faut pouvoir expliquer pourquoi une donnée a été utilisée. Qui y a eu accès. Quelles décisions ont été prises, et sur quelles preuves s’appuyer aujourd’hui pour le démontrer. Un registre de traitement bien tenu ne suffit pas toujours, il documente la base légale. Pas la trace des accès. Quatre angles morts à documenter Quatre zones restent structurellement sous-documentées dans la plupart des organisations. Les journaux d’accès, d’abord : souvent absents, ou peu exploitables quand ils existent. Les habilitations ensuite, rarement revues une fois attribuées, ça en dit long sur l’état réel des contrôles internes. Les exports de données vers un dossier de preuve, dont le chemin reste rarement tracé. Et les arbitrages eux-mêmes : la décision d’utiliser telle donnée comme preuve existe dans les faits, mais personne ne l’a jamais couchée par écrit. Documenter avant le contentieux, pas pendant Documenter ces quatre points au moment où la décision est prise change concrètement la position d’une organisation en cas de contentieux. Pas deux ans plus tard, devant un juge, en reconstituant l’histoire de mémoire. La gouvernance de la preuve devient une brique de conformité à part entière. Au même titre que le registre. Ou les AIPD.
