Un salarié qui estime avoir subi un préjudice tant au niveau de l’obligation de formation de son employeur que de l’inobservation du règlement européen sur la protection des données personnelles (RGPD) doit démontrer l’origine et l’étendue du préjudice subi.
La Haute juridiction confirme sa position jurisprudentielle d’abandon de la théorie du « préjudice nécessaire ».
Depuis ses arrêts du 13 avril 2016, la Cour de cassation exige, à quelques rares exceptions près, que le salarié prouve l’existence et l’étendue de son préjudice et n’admet plus que tel ou tel manquement de son employeur puisse lui causer un préjudice de manière automatique (« lui cause nécessairement un préjudice »).
En l’espèce, le salarié se fondait sur une jurisprudence selon laquelle un défaut d’obligation d’adaptation à son emploi lui cause nécessairement un préjudice.
Or les juges s’orientent depuis 2018 vers la démonstration d’un préjudice direct et certain, dans cette affaire, la salariée n’avait pas suivi de formation en 28 ans de carrière. L’arrêt du 17 juin 2026 confirme cette tendance.
D’où l’importance de rappeler que le salarié doit présenter au juge des éléments matériels qui caractérisent son préjudice et de nature à justifier l’indemnisation sollicitée. La seule preuve de la faute ne suffit pas. Sur le terrain de la preuve du défaut d’adaptation à l’évolution de son emploi, les éléments à démontrer pour le salarié seront notamment :
- Des difficultés d’adaptation aux évolutions de son emploi fondées sur l’absence de formation
- Les mutations technologiques liées à l’emploi occupé
- Une déqualification ou stagnation professionnelle
- Toute autre conséquence tirée du défaut de formation sur l’évolution du parcours professionnel hormis la difficulté à retrouver un emploi qui relève d’un préjudice distinct selon une jurisprudence constante.
Dans une affaire où l’employeur avait utilisé les données personnelles du salarié dans le cadre d’un contentieux de manière illicite, le salarié avait estimé que la violation du RGPD lui causait nécessairement un préjudice. Par application de l’article 82, § 1, du RGPD, « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Or, la Cour de Cassation par un arrêt du 24 juin dernier, poursuivant sa tendance de caractérisation du préjudice, répond : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation et qu’il lui appartenait d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral »
Là encore, le dommage invoqué par le salarié doit revêtir un lien de causalité direct et certain avec l’inobservation de la règle invoquée. Il appartient aux juges du fond de déterminer l’existence d’un préjudice et d’en évaluer la réparation, ainsi que le rappelle la Cour.
Dans cette affaire, le salarié avait refusé de participer à une politique de prévention du phishing mise en place par son employeur, Natixis.
Elle avait ainsi volontairement échoué aux tests et renseigné des mots de passe et identifiants confidentiels injurieux dans le cadre de l’expérimentation menée par le prestataire en matière de phishing. Le prestataire a communiqué ces informations à Natixis sans le consentement préalable de la personne concernée, ce qui constitue à la fois une exécution déloyale du contrat de travail et une violation de l’article 7 du RGPD. D’autres agissements ont mené également à une procédure de licenciement pour faute simple du salarié (installation de logiciels contrairement à la charte informatique de la banque). L’inobservation du RGPD a été caractérisée par la Cour d’appel et indemnisé à hauteur de 5 000 euros pour exécution déloyale du contrat de travail tandis que son licenciement pour faute simple a été jugé comme reposant sur une cause réelle et sérieuse. La Cour casse l’arrêt seulement en ce que le salarié n’a pas apporté des éléments démontrant dans quelle mesure l’inobservation du RGPD lui a causé un dommage. Ces éléments permettant au juge du fond d’exercer son contrôle pour déterminer l’étendue du préjudice notamment tiré de la rupture du contrat de travail