Suite à son licenciement, un salarié saisit la juridiction prud'homale. Dans le cadre du contentieux, l'employeur avait produit des éléments de preuve impliquant le traitement de données personnelles du salarié, collectées auprès d'une société tierce sans le consentement du salarié, en méconnaissance des dispositions du RGPD.
Saisie, la Cour d'appel a admis la recevabilité des preuves et fait application de la jurisprudence établie en la matière : une preuve illicite peut être admise dans les débats dès lors que sa production est indispensable à l'exercice du droit à la preuve et proportionnée au but poursuivi.
En revanche, concernant la demande indemnitaire, la Cour d'appel a condamné l'employeur à verser au salarié 5 000 euros de dommages-intérêts pour exécution déloyale du contrat de travail, au motif que la violation du RGPD a « nécessairement » causé un préjudice au salarié.
Saisie du pourvoi, la Cour de cassation casse l’arrêt d’appel. Elle rappelle qu’aux termes de l’article 82 du RGPD, le droit à réparation est réservé à « toute personne ayant subi un dommage matériel ou moral du fait d'une violation » du règlement et impose la preuve d'un dommage effectivement subi.
La Cour de cassation affirme donc clairement le principe selon lequel la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation. Le juge du fond aurait dû apprécier si le salarié établissait que la violation du règlement lui avait causé un dommage matériel ou moral.