Responsabilité de l’employeur en cas de violation du RGPD et licenciement sans cause réelle – Cour d’appel de Limoges, 12 mars 2026, N° de RG 25/00368.

Décision analysée : Cour d’appel de Limoges, 12 mars 2026, N° de RG 25/00368
Thématiques : Licenciement pour inaptitude — Responsabilité de l’employeur

📘 L’essentiel

La responsabilité de l’employeur peut être engagée pour les fautes commises par ses préposés. La cour a retenu que la faute de la responsable des ressources humaines engageait la responsabilité civile de l’employeur. Ce dernier a également une obligation de sécurité envers ses salariés, constatée par un manquement lié à l’absence de mesures préventives après la révélation d’un fichier contenant des données personnelles. Le licenciement pour inaptitude est injustifié lorsque l’inaptitude résulte d’un manquement de l’employeur à son obligation de sécurité..


Source : Cour d’appel de Limoges, 12 mars 2026, N° de RG 25/00368

🧾 Résumé de l’affaire

🏛️ Source : Cour d’appel de Limoges, 12 mars 2026, N° de RG 25/00368

La société [2], gestionnaire d’autoroutes, a engagé un technicien péage en 2001. En février 2020, un article de presse a révélé l’existence d’un fichier contenant des informations personnelles sur 184 salariés, dont des commentaires négatifs. Ce fichier, créé par la responsable des ressources humaines, a été consulté par le technicien péage, qui a découvert des remarques dévalorisantes à son égard. Suite à cela, il a été placé en arrêt de travail pour accident du travail, reconnu par la CPAM.

Après plusieurs arrêts de travail et un avis d’inaptitude en mai 2023, la société [2] a convoqué le technicien à un entretien préalable et l’a licencié pour inaptitude en juin 2023. En parallèle, la responsable des ressources humaines a été condamnée pour traitement illégal de données personnelles, et le technicien a obtenu des dommages-intérêts pour préjudice moral.

En février 2024, le technicien a saisi le conseil de prud’hommes pour contester son licenciement et demander des indemnités. Le jugement de mai 2025 a reconnu la compétence du conseil pour traiter la demande indemnitaire liée à la violation du RGPD, mais a débouté le technicien de ses demandes, affirmant que la société [2] n’était pas responsable des fautes de sa préposée et qu’elle avait respecté ses obligations de sécurité.

En appel, le tribunal a reconnu la faute inexcusable de la société [2] et a condamné la CPAM à verser une provision au technicien. Le tribunal a également reconnu le lien entre la faute de la responsable des ressources humaines et l’inaptitude du technicien, déclarant le licenciement sans cause réelle et sérieuse. La société [2] a été condamnée à verser des dommages-intérêts au technicien pour licenciement injustifié, tout en confirmant la compétence du conseil de prud’hommes pour les demandes liées au RGPD.

📄 Accéder au texte intégral

Consulter cette jurisprudence

💡 Questions / réponses juridiques

Quelle est la règle de droit applicable en matière de responsabilité du commettant pour les fautes de son préposé ?

La responsabilité du commettant pour les fautes de son préposé est régie par l’, qui stipule que « on est responsable non seulement du dommage que l’on cause par son propre fait, mais encore de celui qui est causé par le fait des personnes dont on doit répondre ». En l’espèce, la cour a retenu que la faute pénale commise par la préposée engage la responsabilité civile de la société, en sa qualité de commettant.

Quelles sont les conditions d’application de l’obligation de sécurité de l’employeur ?

L’ impose à l’employeur de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs. Ces mesures doivent inclure des actions de prévention des risques professionnels, des actions d’information et de formation, ainsi qu’une organisation et des moyens adaptés. La cour a constaté que la société n’a pas pris de mesures adéquates pour protéger la santé mentale des salariés après avoir été informée de la publication imminente d’un article compromettant.

Quels sont les critères pour établir un licenciement sans cause réelle et sérieuse ?

Un licenciement est considéré comme sans cause réelle et sérieuse lorsque la rupture du contrat de travail trouve sa cause dans un manquement de l’employeur à ses obligations. En l’espèce, la cour a retenu que le licenciement du salarié était sans cause réelle et sérieuse, car il était lié à l’inaptitude résultant d’un manquement de l’employeur à son obligation de sécurité.

Quelle est la compétence du conseil de prud’hommes en matière de demande indemnitaire pour violation du RGPD ?

Le conseil de prud’hommes est compétent pour connaître des différends nés à l’occasion d’un contrat de travail, conformément à l’. La cour a confirmé que la juridiction prud’homale était compétente pour examiner la demande de dommages-intérêts pour violation du RGPD, car le différend était lié à la relation de travail entre le salarié et l’employeur.

Quels éléments déterminants ont été retenus par la juridiction pour conclure à la faute inexcusable de l’employeur ?

La cour a retenu que la société avait été informée de l’existence et du contenu du fichier compromettant avant sa publication et n’avait pas pris de mesures pour en limiter les répercussions psychologiques sur les salariés. Ce manquement à l’obligation de sécurité a été considéré comme une faute inexcusable, établissant un lien de causalité entre cette faute et l’accident du travail du salarié.

Quelle est la portée de la condamnation pénale de la préposée sur la responsabilité civile de l’employeur ?

La condamnation pénale de la préposée pour traitement de données à caractère personnel sans autorisation engage la responsabilité civile de l’employeur sur le fondement de l’. La cour a constaté que la société n’avait pas contesté sa qualité de commettant ni le principe de sa responsabilité, ce qui a conduit à la reconnaissance de sa responsabilité civile pour les actes de sa préposée.

🔎 Références