Données personnelles, qui auraient pu être recueillies de manière illicite, ne sont pas automatiquement irrecevables. C'est ce qu'a précisé la Cour de justice de l'Union européenne dans son arrêt du 18 juin 2026 rendu dans l'affaire C-484/24. La procédure portait principalement sur la question de savoir si une juridiction peut prendre en considération des éléments de preuve qui données à caractère personnel figurent, bien que ces données puissent avoir été fournies par une partie au procès dans le cadre de Violation contre les RGPD ont été obtenues. La réponse de la CJUE revêt une grande importance pour la pratique : une violation de la protection des données n'entraîne pas nécessairement une interdiction d'utiliser les preuves. Ce qui est déterminant, c'est plutôt que la juridiction Traitement le traitement des données repose sur une base juridique distincte, s'inscrit dans un cadre procédural suffisamment prévisible et respecte les dispositions de la RGPD être respectées dans le cadre de la procédure judiciaire.
L'employeur pourrait accéder à un compte eBay privé
La procédure trouvait son origine dans un litige relevant du droit du travail. La société NTH Haustechnik GmbH réclamait des dommages-intérêts à son ancienne salariée. Elle lui reprochait d’avoir vendu, via un compte eBay privé, des objets qui, selon l’entreprise, appartenaient à l’employeur. Le préjudice invoqué s'élevait à plus de 46 000 euros.
Ce n'était toutefois pas seulement l'accusation elle-même qui faisait polémique, mais aussi la question de savoir comment l'entreprise avait pu obtenir ces informations. Selon la juridiction de renvoi, l’employeur avait eu connaissance de ces ventes en accédant au compte eBay privé de l’ancienne salariée. Pour ce faire, il aurait notamment utilisé l’historique de navigation d’un ordinateur de l’entreprise et un mot de passe provenant d’un „ dossier familial “ sur un Serveur auraient joué un rôle. La salariée a contesté cette version des faits et a fait valoir que l'accès à son compte privé avait été obtenu de manière illicite.
Le tribunal régional du travail de Basse-Saxe n'a pas conclu de manière définitive à l'illégalité de la collecte des données. Il a toutefois estimé qu'il était possible que l'employeur ait obtenu ces données de manière illégale. C'est précisément pour cette raison qu'il a souhaité savoir, auprès de la Cour de justice de l'Union européenne (CJUE), si de telles données pouvaient néanmoins être utilisées dans le cadre d'une procédure devant le tribunal du travail.
Une violation du RGPD entraîne-t-elle automatiquement l'exclusion des preuves ?
La CJUE précise tout d'abord que : La RGPD s'applique en principe également aux tribunaux, lorsque ceux-ci données à caractère personnel traiter. Cela peut notamment être le cas lorsqu'un tribunal intègre des documents contenant des données à caractère personnel dans le dossier de la procédure, enregistre des éléments de preuve numériques, les analyse ou en tient compte dans sa prise de décision.
Dans le même temps, la CJUE établit une distinction claire entre deux niveaux. Le premier niveau concerne la collecte initiale des données par une partie, en l'occurrence l'accès potentiellement illicite de l'employeur au compte eBay privé de la salariée. Cette collecte de données a pu être illicite. Le deuxième niveau concerne l'utilisation ultérieure Traitement par le tribunal dans le cadre de la procédure. Cette décision judiciaire Traitement doit être évalué de manière indépendante.
C'est précisément là que réside le point essentiel de l'arrêt : même si une partie données à caractère personnel le fait que ces données aient été obtenues de manière illicite ne signifie pas automatiquement que le tribunal n'est pas autorisé à les utiliser. Le tribunal ne traite pas ces données parce qu'il approuve la collecte antérieure de ces données, mais parce qu'il doit, dans le cadre de sa mission légale, statuer sur les faits, les moyens de preuve et les demandes.
Pas d'interdiction automatique de l'utilisation des preuves
Cette décision ne doit toutefois pas être interprétée comme signifiant que les données obtenues illégalement seraient toujours admissibles devant les tribunaux. La CJUE ne dit pas que tout élément de preuve obtenu en violation de la protection des données doit être utilisé. Elle précise au contraire que la RGPD ne prévoit pas d'interdiction générale et automatique de l'utilisation des preuves.
L'admissibilité et l'appréciation des preuves relèvent en principe du droit procédural national. Ce droit procédural doit toutefois être compatible avec le droit de l'Union. C’est pourquoi la CJUE exige qu’il existe un cadre suffisamment clair, précis et prévisible permettant de déterminer dans quelles circonstances et sous quelles conditions les juridictions peuvent admettre des éléments de preuve qui données à caractère personnel peuvent être utilisées. Ce cadre peut découler non seulement de la loi écrite, mais aussi de la jurisprudence nationale, pour autant que celle-ci soit claire, précise et prévisible.
Cela revêt une importance particulière pour l’Allemagne, car le Code de procédure civile (ZPO) ne contient pas de dispositions détaillées expresses pour chaque cas de figure envisageable concernant des données à caractère personnel obtenues illégalement. La CJUE ne considère pas cela comme illicite a priori. Elle exige toutefois que la jurisprudence nationale définisse de manière suffisamment prévisible les conditions d’utilisation judiciaire de tels éléments de preuve et qu’elle poursuive ainsi, de manière proportionnée, un objectif d’intérêt général.
Base juridique du traitement judiciaire
La CJUE confirme la Traitement des données à caractère personnel dans le cadre de procédures judiciaires, notamment l'article 6, paragraphe 1, premier alinéa, point c) RGPD. Il en résulte qu'une Traitement légitime lorsqu'elle est nécessaire à l'exécution d'une obligation légale. Une telle obligation incombe par exemple aux tribunaux lorsqu'ils doivent statuer sur la recevabilité des éléments de preuve et apprécier les preuves recevables dans le cadre de leur décision.
Ce faisant, la CJUE rejette également un autre motif. Art. 17, al. 3, point e) RGPD ne constitue pas une base juridique autonome pour la Traitement . Cette disposition prévoit simplement qu'il n'existe aucun droit à la radiation lorsque la Traitement est nécessaire pour faire valoir, exercer ou défendre des droits. Il n'en résulte toutefois pas automatiquement que chaque cas de ce type Traitement est légal. L'examen de la légalité proprement dit relève donc de l'article 6 RGPD.
Concrètement, cela signifie que toute personne qui, devant le tribunal, invoque données à caractère personnel ne peut pas invoquer de manière générale que ces données sont nécessaires à la défense de ses droits. Ce qui est déterminant, c'est de savoir si la Traitement repose sur une base juridique solide devant les tribunaux et que les autres principes relatifs à la protection des données soient respectés.
Pourquoi des données obtenues illégalement peuvent néanmoins être exploitables
La CJUE fonde sa décision principalement sur le droit à un procès équitable, tel que prévu à l’article 47 de la Charte des droits fondamentaux de l’Union européenne. En vertu de celui-ci, les parties à une procédure judiciaire doivent en principe être en mesure de présenter et d’étayer effectivement leurs prétentions ou leurs moyens de défense. Si chaque violation de la protection des données entraînait automatiquement l’invalidité des preuves, cela pourrait porter gravement atteinte à l’efficacité de la protection juridique.
Le droit à la protection des données ne s'inscrit donc pas isolément à côté du droit procédural. Il doit être concilié avec d'autres droits fondamentaux. Le droit à la protection des données à caractère personnel prévu aux articles 7 et 8 de la Charte est certes important, mais il ne s'agit pas d'un droit absolu. Il peut entrer en conflit avec le droit à la protection juridictionnelle.
La CJUE ne dit donc pas que les violations de la protection des données n’ont aucune importance. Elle affirme plutôt qu’une violation de la protection des données au stade de l’obtention des preuves n’entraîne pas automatiquement l’obligation pour le tribunal d’écarter cet élément de preuve. La décision judiciaire Traitement poursuit en effet un objectif légitime qui lui est propre : la conduite d'une procédure équitable et le règlement approprié du litige.
Ce n'est pas un blanc-seing pour la collecte illégale de données
Ce jugement ne doit toutefois pas être interprété à tort comme un blanc-seing. Les entreprises ne peuvent pas en déduire qu'elles données à caractère personnel peuvent recueillir n'importe quelles données, simplement parce qu'elles pourraient s'avérer utiles devant un tribunal par la suite.
La CJUE établit une distinction claire entre l'éventuelle illégalité de la collecte initiale des données et leur utilisation ultérieure dans le cadre d'une procédure judiciaire. Une collecte de données illicite peut continuer à avoir des conséquences. On peut notamment envisager des demandes de dommages-intérêts en vertu de l'article 82 RGPD, des mesures prises par les autorités de contrôle ou des amendes en vertu de l'article 83 RGPD. Les juridictions nationales peuvent également continuer à examiner, au cas par cas, s'il existe, en vertu du droit national, une interdiction d'utiliser certaines preuves.
Cette décision ne signifie donc pas que les données obtenues illégalement doivent toujours être exploitées. Elle signifie simplement que les RGPD ne prévoit pas d'interdiction générale et automatique de l'utilisation des preuves.
La minimisation des données reste également importante au cours du processus
Un autre point important de l'arrêt est le suivant : le tribunal doit continuer à respecter le principe de Minimisation des données à prendre en compte. Conformément à l'article 5, paragraphe 1, point c) RGPD Seules les données qui sont adéquates, pertinentes et nécessaires au regard de la finalité poursuivie peuvent être traitées.
La CJUE n'exige toutefois pas que les tribunaux, dans chaque cas particulier, Traitement procéder en outre à un examen approfondi de la proportionnalité. Au stade de l’examen visant à déterminer si un élément de preuve est recevable et pertinent, le tribunal est en principe autorisé à traiter les données nécessaires à cette fin. Toutefois, si le tribunal a déclaré les documents recevables et les a versés au dossier, ou s’il les a communiqués aux parties, à des tiers ou dans une décision, il doit vérifier si les données sont effectivement nécessaires dans cette mesure.
Cela a des conséquences pratiques. Un tribunal ne peut pas données à caractère personnel ne doivent pas être divulguées sans restriction ni reproduites dans une décision au seul motif qu’elles figurent dans un élément de preuve. Avant toute divulgation aux parties ou à des tiers, il convient de vérifier si ces données sont réellement nécessaires. Le cas échéant, des mesures de protection telles que le masquage, Anonymisation ou Pseudonymisation à prendre en considération.
Cela vaut en particulier lorsque les éléments de preuve contiennent également des données relatives à des tiers non concernés. Dans l'affaire en cause, des données d'acheteurs sur eBay auraient par exemple pu être concernées. La CJUE précise que, même lorsqu'elles traitent de telles informations relatives à des tiers, les juridictions doivent respecter les RGPD sont liés.
Les obligations d'information prévues à l'article 13 du RGPD n'empêchent pas automatiquement l'exploitation des données
La CJUE examine également la question de savoir si un Violation contraires à l'article 13 RGPD définies Obligations d'information ce qui a pour conséquence qu'un tribunal n'est pas autorisé à utiliser ces données. Là encore, la réponse est nuancée. Si une partie ou un tiers Obligations d'information Le non-respect des obligations en matière de collecte de données peut certes constituer une violation de la protection des données. Cela n'empêche toutefois pas automatiquement le tribunal d'utiliser ces données dans le cadre de son activité judiciaire.
Ce point s'inscrit lui aussi dans la ligne générale de l'arrêt. Les manquements à la réglementation en matière de protection des données constatés lors de la collecte initiale n'entraînent pas automatiquement une interdiction d'utilisation des données dans le cadre de la procédure.
Conséquences de l'arrêt de la CJUE pour les employeurs
Cet arrêt revêt une importance particulière pour les employeurs, car de nombreux litiges portés devant les tribunaux du travail reposent sur des traces numériques : e-mails, historiques de navigation, fichiers journaux, messages instantanés, journaux d'accès ou données de plateformes. Cet arrêt renforce la sécurité juridique dans les affaires où de tels éléments de preuve numériques données à caractère personnel sont incluses et dont la collecte est contestée au regard de la législation sur la protection des données.
Dans le même temps, cela accentue la pression exercée sur les entreprises pour qu'elles documentent de manière exhaustive les raisons pour lesquelles les données ont été collectées, la base juridique sur laquelle cette collecte s'est fondée et les raisons pour lesquelles les Traitement était nécessaire. Quiconque se procure des preuves de manière illégale s'expose toujours à des sanctions en matière de protection des données et à des demandes de dommages-intérêts. Par ailleurs, la question reste ouverte de savoir si les tribunaux nationaux peuvent, dans un cas concret, prononcer une interdiction d'utilisation des preuves pour d'autres motifs.
Dans la pratique, il est donc recommandé de procéder à un double contrôle : premièrement, avant la collecte des données, il convient de vérifier si la mesure est autorisée au regard de la législation sur la protection des données. Deuxièmement, au cours de la procédure, il faut vérifier quelles données sont réellement nécessaires et si les informations sensibles, superflues ou sans rapport avec le litige peuvent être masquées.
Source : Arrêt de la CJUE C-484/24 (NTH Haustechnik) du 18 juin 2026
Aristotelis Zervos est directeur de la rédaction chez 2B Advice, juriste et journaliste doté d'une expertise approfondie dans Protection des données, RGPD, la conformité IT et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, la conformité au RGPD et la gestion des risques. Pour en savoir plus sur lui, consultez son Page du profil de l'auteur.
German 
English 
Italian 
French