Cass. soc., 24 juin 2026, n° 24-22.792

Faits et procédure

1. Selon l'arrêt attaqué (Paris, 30 octobre 2024), M. [P] a été engagé, en qualité d'assistant analyste quantitatif, par la société Natixis, à compter du 4 janvier 2010. Il exerçait en dernier lieu les fonctions d'analyste en stratégies algorithmiques (automated trading).

2. Contestant son licenciement, notifié le 29 mars 2019, le salarié a saisi la juridiction prud'homale le 20 septembre 2019.

Examen des moyens

Sur le moyen du pourvoi principal et le second moyen du pourvoi incident

3. En application de l'article 1014, alinéa 2, du code de procédure civile, il n'y a pas lieu de statuer par une décision spécialement motivée sur ces moyens, le premier n'étant manifestement pas de nature à entraîner la cassation et le second étant irrecevable.

Mais sur le premier moyen du pourvoi incident

Enoncé du moyen

4. L'employeur fait grief à l'arrêt de le condamner à payer des sommes à titre de dommages et intérêts pour exécution déloyale du contrat de travail et au titre de l'article 700 du code de procédure civile, alors « qu'il incombe au salarié de justifier d'un préjudice particulier s'il entend obtenir des dommages et intérêts et, faute d'éléments de preuve en ce sens, il doit être débouté de sa demande ; qu'en retenant, pour accorder à M. [P] la somme de 5 000 euros à titre de dommages et intérêts pour exécution déloyale du contrat de travail, que le non-respect des dispositions du RGPD lui aurait nécessairement causé un préjudice quand il ne démontrait dans ses écritures ni son existence, ni son étendue, la cour d'appel a violé l'article 1382, devenu 1240 du code civil. »

Réponse de la Cour

Vu l'article 82, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données :

5. Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.

6. La Cour de justice de l'Union européenne a dit pour droit que l'article 82, paragraphe 1, du règlement 2016/679 doit être interprété en ce sens que :
- la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ;
- il s'oppose à une règle ou une pratique nationale subordonnant la réparation d'un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité ;
- aux fins de la fixation du montant des dommages-intérêts dus au titre du droit à réparation consacré à cet article, les juges nationaux doivent appliquer les règles internes de chaque État membre relatives à l'étendue de la réparation pécuniaire, pour autant que les principes d'équivalence et d'effectivité du droit de l'Union soient respectés (CJUE, 4 mai 2023, n° C/300-21, Österreichische Post).

7. Par ailleurs, la Cour de justice a notamment dit pour droit que le même texte doit être interprété en ce sens que :
- le droit à réparation prévu à cette disposition, notamment en cas de dommage moral, remplit une fonction compensatoire, en ce qu'une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive ;
- la personne demandant réparation au titre de cette disposition est tenue d'établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral (CJUE, 25 janvier 2024, n° C-687/21, MediaMarktSaturn Hagen-Iserlohn GmbH).

8. L'arrêt, après avoir jugé que les preuves fournies par l'employeur ayant permis l'identification du salarié étaient certes illicites, s'agissant d'un traitement de données à caractère personnel contraire aux dispositions du RGPD, mais recevables dès lors que leur obtention et leur production étaient indispensables et proportionnés à l'objectif poursuivi, retient que le non-respect des dispositions dudit règlement est caractérisé et a nécessairement causé un préjudice au salarié.

9. En statuant ainsi, alors que la simple violation du règlement général sur la protection des données n'ouvre pas, à elle seule, droit à réparation et qu'il lui appartenait d'apprécier si le salarié établissait que la violation de ce règlement qu'elle avait constatée avait causé au salarié un dommage matériel ou moral, la cour d'appel a violé le texte susvisé.

Portée et conséquences de la cassation

6. La cassation du chef de dispositif condamnant l'employeur à payer une somme à titre de dommages et intérêts n'emporte pas celle des chefs de dispositif de l'arrêt le condamnant aux dépens ainsi qu'au paiement d'une somme en application de l'article 700 du code de procédure civile, justifiés par d'autres condamnations prononcées à son encontre.

PAR CES MOTIFS, la Cour :

REJETTE le pourvoi principal de M. [P] ;

CASSE ET ANNULE, mais seulement en ce qu'il condamne la société Natixis à payer à M. [P] la somme de 5 000 euros à titre de dommages et intérêts pour exécution déloyale du contrat de travail, l'arrêt rendu le 30 octobre 2024, entre les parties, par la cour d'appel de Paris ;

Remet, sur ce point, l'affaire et les parties dans l'état où elles se trouvaient avant cet arrêt et les renvoie devant la cour d'appel de Paris autrement composée ;

Condamne M. [P] aux dépens ;

En application de l'article 700 du code de procédure civile, rejette les demandes ;

Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l'arrêt partiellement cassé ;

Ainsi fait et jugé par la Cour de cassation, chambre sociale, et prononcé publiquement le vingt-quatre juin deux mille vingt-six par mise à disposition de l'arrêt au greffe de la Cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.