Un commissaire de justice exécute une ordonnance rendue sur le fondement de l’article 145 du code de procédure civile. Il copie des messageries, des fichiers clients, des bulletins de paie, des historiques de connexion. Chacun de ces éléments contient des données à caractère personnel : noms, adresses, rémunérations, adresses IP, parfois des données de santé. Pendant des années, cette évidence n’a produit aucun effet juridique. Ce temps est terminé : le RGPD est devenu un moyen à part entière du contentieux de l’article 145, en rétractation comme en cantonnement, et la Cour de cassation casse désormais d’office les décisions qui l’ignorent.
L’essentiel. La production ou la saisie de documents contenant des données personnelles, ordonnée par un juge, constitue un traitement de données soumis au RGPD (CJUE, 2 mars 2023, Norra Stockholm Bygg, aff. C-268/21). Le juge saisi d’une demande de communication de documents concernant des tiers doit vérifier la nécessité et la proportionnalité de la mesure, la cantonner au besoin, ordonner, au besoin d’office, l’occultation des données non indispensables et enjoindre aux parties de n’utiliser ces données qu’aux seules fins de l’action (Cass. 2e civ., 3 octobre 2024, n° 21-20.979, publié au Bulletin et au Rapport). Une ordonnance qui organise un traitement contraire à ces exigences n’est pas une mesure « légalement admissible » au sens de l’article 145 : elle s’expose à la rétractation, au cantonnement ou à l’occultation forcée. La violation du RGPD n’entraîne pas pour autant une rétractation automatique : le juge met en balance le droit à la preuve et la protection des données, et il arrive qu’il constate le manquement tout en validant la mesure.
Pourquoi le RGPD s’applique à toutes les mesures 145
Toute mesure d’instruction portant sur des documents met en jeu le RGPD, parce que la production en justice d’un document contenant des données personnelles est elle-même un traitement de données. La Cour de justice de l’Union européenne l’a jugé sans ambiguïté : constituent un traitement relevant du RGPD non seulement la création et la tenue d’un fichier, mais également « la production en tant qu’élément de preuve d’un document, numérique ou physique, contenant des données à caractère personnel, ordonnée par une juridiction dans le cadre d’une procédure juridictionnelle » (CJUE, 2 mars 2023, Norra Stockholm Bygg, aff. C-268/21, point 28).
Or la donnée personnelle se définit largement : toute information se rapportant à une personne physique identifiée ou identifiable (art. 4, 1), du RGPD). Un bulletin de paie, un courriel professionnel (Cass. soc., 18 juin 2025, n° 23-19.022, publié), une adresse IP, un historique de carrière, un agenda, un fichier de patients : tout ce que saisit concrètement un commissaire de justice en exécution d’une ordonnance 145 est saturé de données personnelles, le plus souvent celles de tiers qui n’ont rien demandé (salariés, clients, patients, correspondants).
La conséquence est mécanique. Le traitement qu’organise l’ordonnance doit être licite (art. 6 du RGPD) et respecter le principe de minimisation : des données « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités » (art. 5, § 1, c), du RGPD). Lorsque la production poursuit une autre finalité que celle de la collecte initiale, ce qui est presque toujours le cas d’une pièce produite en justice, elle doit en outre constituer une mesure nécessaire et proportionnée garantissant l’un des objectifs de l’article 23, § 1, du RGPD, parmi lesquels figurent la protection des procédures judiciaires (f) et l’exécution des demandes de droit civil (j). Le droit à la protection des données n’est pas absolu : il se met en balance avec le droit à la preuve, conformément au principe de proportionnalité (considérant 4 du RGPD ; Cass. soc., 8 mars 2023, n° 21-12.492, publié ; Cass. soc., 1er juin 2023, n° 22-13.238 et s., publié). Mais cette balance obéit désormais à une méthode précise, et c’est cette méthode qui arme le défendeur.
Quelles sont les conditions de l’article 145 CPC (instruction in futurum) ?
Une mesure contraire au RGPD n’est pas « légalement admissible »
L’article 145 n’autorise que des mesures d’instruction « légalement admissibles ». Cette condition recouvre une double exigence : des mesures « circonscrites dans le temps et dans leur objet » et « proportionnées à l’objectif poursuivi » (Cass. 2e civ., 25 mars 2021, n° 20-14.309 et n° 19-20.156), le juge devant vérifier qu’elles sont nécessaires à l’exercice du droit à la preuve du requérant et proportionnées aux intérêts antinomiques en présence (Cass. 2e civ., 10 juin 2021, n° 20-11.987 ; Cass. 2e civ., 24 mars 2022, n° 20-21.925 ; Cass. 1re civ., 14 septembre 2022, n° 20-19.314). C’est sur ce terrain que se jugent les mesures interdites : les écoutes téléphoniques, la « saisie » générale qui transforme la mesure d’instruction en perquisition civile exploratoire, la saisie-contrefaçon déguisée. Une mesure qui organise ou permet un traitement de données personnelles contraire au RGPD relève de la même catégorie : le règlement est un texte d’application directe, et une mesure d’instruction ne peut pas être « légalement admissible » si son exécution viole une norme européenne impérative.
Le raisonnement n’est pas une construction théorique. Il existe déjà, à l’identique, pour le secret des affaires : dès que la protection est invoquée, le juge saisi sur le fondement de l’article 145 doit mettre en œuvre le dispositif de l’article R. 153-1 du code de commerce, sans pouvoir y déroger, parce que le texte transpose une directive européenne d’ordre public. Le RGPD, règlement d’effet direct, appelle a fortiori la même discipline. La Cour de cassation en a tiré les conséquences.
L’arrêt-pivot : la check-list du 3 octobre 2024
Cass. 2e civ., 3 octobre 2024, n° 21-20.979 (publié au Bulletin et au Rapport, affaire Caisse fédérale de Crédit mutuel de Maine-Anjou Basse-Normandie) fixe la méthode. Après avis de la chambre sociale, la deuxième chambre civile juge qu’il appartient au juge saisi, « en référé ou au fond », d’une demande de communication de documents concernant des tiers à l’instance et contenant des données à caractère personnel :
- de rechercher si la communication est nécessaire à l’exercice du droit à la preuve et proportionnée au but poursuivi, puis si les éléments demandés sont de nature à porter atteinte aux droits fondamentaux des personnes concernées, en particulier leur droit à la protection des données ;
- de vérifier quelles mesures sont indispensables au droit à la preuve et, au besoin, de limiter la communication et la production des pièces ;
- de veiller au principe de minimisation, « en ordonnant, au besoin d’office, l’occultation, sur les documents à communiquer, de toutes les données à caractère personnel non indispensables à l’exercice du droit à la preuve » ;
- de faire injonction aux parties de n’utiliser les données personnelles des tiers « qu’aux seules fins de l’action » pour laquelle elles ont été sollicitées.
Un détail de procédure dit toute la puissance du moyen : la cassation est prononcée sur un moyen relevé d’office. La cour d’appel avait pourtant fait le contrôle classique, en retenant que la production était indispensable au droit à la preuve du salarié et proportionnée au but poursuivi. Cela ne suffit plus : faute d’avoir veillé à la minimisation et prononcé l’injonction d’usage limité, sa décision est cassée. Autrement dit, une mesure peut être parfaitement justifiée dans son principe et tomber quand même, parce que le juge n’a pas fait le travail RGPD. Pour le défendeur à une mesure 145, chaque étape omise de cette check-list est un moyen.
La méthode est transversale. La chambre sociale l’applique en matière de durée du travail et impose au juge d’explorer le cantonnement d’office avant de rejeter une demande pour généralité (Cass. soc., 24 juin 2026, n° 25-10.397, publié, qui rappelle au passage que l’article 145 ne s’efface pas devant le régime probatoire spécial de l’article L. 3171-4 du code du travail). Et la chambre commerciale a validé, à l’autre bout du spectre, une preuve construite précisément selon ces canons (voir plus bas l’affaire Orange du 17 juin 2026).
La grille de démolition : où attaquer, moyen par moyen
La check-list du juge se retourne en grille de lecture pour le défendeur. Trois moments de la vie de la mesure concentrent les moyens, auxquels s’ajoute une question de recevabilité que l’adversaire ne manquera pas de soulever.
La collecte du requérant était-elle licite ? Le moyen d’amont
Avant même de discuter l’ordonnance, examinez comment le requérant a constitué le dossier qui fonde sa requête. S’il a lui-même collecté des données personnelles en violation du RGPD, cette illicéité contamine sa demande. Le juge des référés parisien l’a jugé dans une affaire de contrefaçon en ligne : la société requérante, qui avait collecté massivement des adresses IP sans respecter les obligations du RGPD et sans démontrer la licéité de son traitement, s’est vu opposer un « empêchement légitime » à l’application de l’article 145, et sa demande de communication des éléments d’identification a été rejetée (TGI Paris, ord. réf., 2 août 2019, n° 19/53997, Mile High Distribution c/ Orange). Le même raisonnement vaut pour le requérant qui a aspiré des profils de réseaux sociaux, exporté un fichier clients ou fait copier une messagerie sans base légale : la licéité de la collecte amont est une condition implicite de la mesure.
Une précision d’honnêteté s’impose. Depuis l’assemblée plénière du 22 décembre 2023, l’illicéité ou la déloyauté dans l’obtention d’une preuve « ne conduit pas nécessairement à l’écarter des débats » : le juge met en balance le droit à la preuve et les droits antinomiques, la production devant être indispensable et l’atteinte strictement proportionnée (Ass. plén., 22 décembre 2023, n° 20-20.648, publié au Bulletin et au Rapport, affaire Abaque bâtiment services). Le moyen d’amont n’est donc plus une cause d’irrecevabilité automatique ; il reste un levier de rétractation et, au minimum, un élément qui pèse lourd dans la balance de proportionnalité, car le requérant qui a violé le RGPD pour bâtir sa requête aura du mal à soutenir que la voie judiciaire lui était indispensable. Sur le régime général de la preuve obtenue de manière contestable, voyez l’analyse consacrée à la preuve déloyale ou illicite.
L’ordonnance organise-t-elle la minimisation ? Le moyen central
C’est le cœur de la grille. Relisez l’ordonnance avec la check-list du 3 octobre 2024 en main et posez cinq questions.
Les mots-clés sont-ils eux-mêmes des données personnelles ? Une ordonnance qui autorise des recherches à partir des noms, prénoms, adresses ou, pire, de données de catégories particulières (art. 9 du RGPD : santé, opinions, appartenance syndicale) organise un traitement massif de données sensibles. Dans une affaire entre prestataires de santé, l’ordonnance prévoyait l’utilisation, au titre de mots-clés, des noms, prénoms, NIR, domiciles, diagnostics et traitements de 376 patients (CA Nîmes, 4e ch. com., 10 novembre 2023, RG n° 23/01298, Diabsanté c/ IDS ; sur l’issue de cette affaire, voir la section critique plus bas).
À l’inverse des mots-clés nominatifs, les mots-clés génériques capturent tout : la Cour de cassation censure la validation, sans vérification concrète, de recherches fondées sur des termes tels que « Google », « accord », « entente », « salarié », « avis », « Linkedin », combinés aux prénoms et noms des personnes visées, qui offraient un accès illimité aux dossiers clients du défendeur (Cass. 2e civ., 10 juin 2021, n° 20-11.987, publié, Thebaide c/ Neovia). Le réflexe de praticien, à ce stade : faire réaliser un contre-test informatique et le verser aux débats. Établir que le mot-clé litigieux renvoie des dizaines de milliers de résultats couvrant l’essentiel de la messagerie, dont une fraction infime concerne la période ou les personnes en cause, rend la disproportion tangible là où l’invocation abstraite du RGPD ne convainc pas. Rien n’interdisait au requérant de rechercher les fichiers par des critères réellement discriminants (références de contrats, combinaisons de mots-clés, périodes).
Le périmètre est-il cantonné ? Des recherches sur l’ensemble du système d’information, sans limite de période ni de supports, ne sont ni circonscrites ni proportionnées. Le cantonnement n’est pas une faveur : le juge doit l’envisager, au besoin d’office, avant tout rejet comme avant toute validation en l’état (Cass. 2e civ., 3 octobre 2024, précité ; Cass. soc., 24 juin 2026, précité). Le contrôle descend jusqu’à la composition du panel : ordonner la communication de documents concernant tous les salariés partageant un même diplôme et une certaine expérience, sans justifier de la comparabilité de chaque catégorie visée ni spécifier les données laissées apparentes, encourt la censure (Cass. soc., 17 septembre 2025, n° 22-22.902). Une ordonnance qui vise un périmètre global sans justification catégorie par catégorie offre donc prise à la contestation.
L’occultation et la pseudonymisation sont-elles prévues ? Une ordonnance qui organise la communication de documents bruts, sans occultation des données non indispensables ni pseudonymisation, méconnaît le principe de minimisation. La CJUE cite expressément la pseudonymisation, la limitation de l’accès au dossier et l’injonction de ne pas réutiliser les données parmi les mesures que la juridiction « doit envisager » lorsque seule une partie des données est nécessaire à la preuve (CJUE, 2 mars 2023, précité, point 56).
L’injonction d’usage limité figure-t-elle dans l’ordonnance ? Son absence est, à elle seule, un grief : c’est précisément l’une des deux omissions qui ont entraîné la cassation d’office du 3 octobre 2024.
Une dernière question, plus retorse : quelles données la mesure capture-t-elle par ricochet ? Une mission d’apparence commerciale peut emporter, par hypothèse, l’appréhension de données personnelles sensibles que la requête ne nomme jamais. La copie de l’intégralité des études de droits à la retraite d’un concurrent impliquait ainsi l’appréhension de l’état civil, de la situation familiale et du handicap éventuel des enfants des clients, sans que la mesure soit cantonnée aux clients communs : la décision qui valide une telle mesure sans rechercher concrètement sa proportionnalité est cassée (Cass. 2e civ., 10 juin 2021, n° 20-13.737, Défi Retraite c/ Néovia). Cartographier les données incidentes que l’ordonnance ne mentionne pas, et démontrer que le juge des requêtes n’a pas pu faire la balance faute d’en avoir été informé, est un moyen de rétractation à part entière.
Chacune de ces lacunes alimente le référé-rétractation, qui n’est enfermé dans aucun délai autre que la prescription de droit commun. Elles se cumulent avec les moyens classiques de la rétractation, au premier rang desquels le défaut de caractérisation des circonstances justifiant l’éviction du contradictoire, qui doit figurer dans la requête et dans l’ordonnance et ne se répare pas a posteriori (Cass. 2e civ., 3 mars 2022, n° 20-22.349, publié).
L’exécution respecte-t-elle le RGPD ? Le moyen que personne ne plaide
Même régulière sur le papier, la mesure peut déraper dans son exécution, et l’exécution est elle-même un traitement : collecte, copie, conservation sous séquestre, tri, restitution. Trois angles concrets.
Le tri des données protégées ne peut pas être confié à n’importe qui. Le commissaire de justice, cantonné aux constatations purement matérielles, n’a pas qualité pour identifier et trier lui-même des données médicales nominatives : le juge ne peut autoriser une mission portant atteinte au secret médical sans la subordonner à l’autorisation préalable du patient, ou sans prévoir l’intervention d’un professionnel habilité (Cass. 2e civ., 21 mai 2026, n° 22-19.299, cassation obtenue par l’auteur de ces lignes). Le raisonnement, forgé pour le secret médical, fournit un modèle pour toutes les catégories particulières de données de l’article 9 du RGPD.
145 et secret médical : un huissier peut-il saisir les données de santé ?
Les personnes dont les données et outils personnels sont visés doivent être traitées comme supportant l’exécution de la mesure. Lorsque la mission porte sur les ordinateurs, téléphones et messageries personnels d’un salarié, celui-ci est une personne à laquelle l’ordonnance est opposée au sens de l’article 495 du code de procédure civile, en raison de l’atteinte possible à sa vie privée : copie de la requête et de l’ordonnance doit lui être remise (Cass. 2e civ., 16 avril 2026, n° 23-12.123, publié, affaire Partner systèmes). L’omission ouvre une contestation propre, distincte du fond de la mesure.
Reste la question du régime du séquestre : durée de conservation des copies, sécurité, sort des données à l’issue. La qualité de responsable de traitement du commissaire de justice pendant les opérations, ou celle du requérant, n’a pas été clairement tranchée par la jurisprudence à notre connaissance ; en l’état, la prudence commande de faire encadrer ces points par l’ordonnance elle-même, et leur silence nourrit la discussion devant le juge de la rétractation ou de la levée du séquestre.
Qui peut invoquer le RGPD ? La fin de non-recevoir adverse
L’objection est systématique : les données saisies sont celles de tiers (salariés, patients, clients), donc seuls ces tiers pourraient se prévaloir du RGPD, et le défendeur à la mesure serait sans qualité pour le faire. L’argument a été soulevé dans l’affaire nîmoise. Il ne résiste pas à la jurisprudence de la Cour de cassation, pour une raison simple : le contrôle RGPD est un office du juge, qui doit cantonner et ordonner l’occultation « au besoin d’office » (Cass. 2e civ., 3 octobre 2024, précité). Ce qui relève de l’office du juge peut, a fortiori, être demandé par toute partie à l’instance en rétractation. La même décision ferme d’ailleurs la boucle : les tiers concernés n’ont pas à être appelés à l’instance, leur protection étant précisément garantie par le contrôle du juge. Si le défendeur ne pouvait pas provoquer ce contrôle, personne ne le ferait jamais : les tiers ignorent l’existence de la mesure. Le moyen tiré du RGPD est donc recevable dans la bouche du défendeur, non comme défense des droits d’autrui, mais comme contestation de la légale admissibilité de la mesure qu’il subit.
Rétractation, cantonnement, occultation : que demander concrètement
Le moyen RGPD se plaide en cascade, et la cascade doit apparaître dans le dispositif de vos conclusions.
À titre principal, la rétractation totale : l’ordonnance organise un traitement illicite (mots-clés nominatifs, périmètre exploratoire, données de catégories particulières sans garantie), la mesure n’était pas légalement admissible, elle ne pouvait pas être ordonnée.
À titre subsidiaire, le cantonnement : réduction de la période, suppression des mots-clés constituant des données personnelles, exclusion des supports personnels, limitation aux catégories de documents dont le lien avec le litige potentiel est démontré.
À titre infiniment subsidiaire, les garanties de minimisation : occultation des données non indispensables avant toute communication, pseudonymisation, maintien sous séquestre avec tri par un tiers qualifié, et injonction aux parties de n’utiliser les données qu’aux seules fins de l’action envisagée. Ce dernier étage a l’apparence d’une concession ; en réalité, il correspond au minimum que le juge devait ordonner d’office, et son silence sur ce point constitue un grief en soi, jusque devant la Cour de cassation.
Cette cascade tient compte d’une réalité de l’article 497 du code de procédure civile : le juge de la rétractation peut modifier l’ordonnance plutôt que la rétracter, et la jurisprudence l’invite à rechercher lui-même un cantonnement possible avant tout rejet. La rétractation totale suppose donc de démontrer un vice structurel : un litige potentiel lui-même trop indéterminé pour permettre un cantonnement, des mots-clés indissociables de la totalité de l’activité, une sélection qui exigerait du commissaire de justice une appréciation juridique qu’il n’a pas qualité pour porter, ou l’existence de moyens radicalement moins intrusifs. À défaut, le juge conservera vraisemblablement le principe de la mesure et en réécrira l’exécution. Cette réécriture peut d’ailleurs être puissante, y compris après l’exécution de la mesure : le juge de la rétractation peut limiter rétroactivement la conservation des pièces copiées à une période donnée, ordonner la destruction des autres dans un délai déterminé et interdire sous astreinte toute utilisation des éléments exclus (CA Orléans, ch. com., 17 septembre 2020, RG n° 20/00066, VLCH Val de Loire Contrôle Habitat c/ Préservation du Patrimoine français et a.).
Le point le plus vulnérable de toute mesure reste la remise directe au requérant. Une copie large peut se défendre lorsqu’elle demeure chiffrée, sous séquestre, inaccessible au requérant et suivie d’un tri contradictoire ; la remise immédiate du corpus au requérant, surtout lorsqu’il est un concurrent, crée en revanche une atteinte irréversible que ni la restitution ni la destruction ultérieures ne réparent. Concentrez le combat sur ce verrou : tant que le séquestre tient, rien n’est perdu.
Dernier réflexe, pour finir : le moyen ne s’éteint pas avec le référé-rétractation. La check-list du 3 octobre 2024 s’impose au juge saisi « en référé ou au fond » ; celui qui a subi la mesure sans la contester à temps peut encore obtenir, devant le juge du fond, le cantonnement de la production, l’occultation et l’injonction d’usage limité. Il ne faut toutefois pas s’y tromper : au fond, on obtient de la minimisation, rarement l’exclusion de la preuve (voir la stratégie temporelle exposée plus bas). Le moyen se plaide donc à chaque étape (requête, rétractation, levée de séquestre, production au fond), mais sa force décroît à mesure que les données circulent.
Mesure d’instruction 145 : comment réagir et s’y opposer ?
La grille en un tableau
| Le défaut constaté | Le moyen | Ce que vous pouvez obtenir |
|---|---|---|
| Collecte amont illicite par le requérant (adresses IP, aspiration de messagerie, scraping) | Empêchement légitime à l’application de l’article 145 | Rétractation, rejet de la demande de communication |
| Mots-clés nominatifs ou portant sur des données de catégories particulières | Traitement illicite, mesure non légalement admissible | Rétractation ou suppression des mots-clés |
| Mots-clés génériques capturant l’essentiel de l’activité | Défaut de circonscription et de proportionnalité (contre-test informatique à produire) | Rétractation ou cantonnement |
| Périmètre, période ou panel non justifiés ligne à ligne | Défaut de cantonnement, y compris d’office | Cantonnement, réduction du panel |
| Aucune occultation ni pseudonymisation prévue | Violation du principe de minimisation | Occultation avant toute communication, tri par un tiers qualifié |
| Aucune injonction d’usage limité | Omission du contrôle exigé par l’arrêt du 3 octobre 2024 | Injonction, limitation de finalité |
| Données incidentes dissimulées au juge des requêtes | Mise en balance rendue impossible | Rétractation |
| Tri de données protégées confié au commissaire de justice | Mission excédant les constatations matérielles | Rétractation ou réécriture de la mission |
| Copie de la requête non remise à la personne supportant l’exécution | Article 495 du code de procédure civile | Contestation propre de l’exécution |
| Remise directe au requérant sans séquestre | Absence de garantie contre l’appropriation irréversible | Maintien du séquestre, restitution, destruction sous astreinte |
Côté requérant : blinder sa requête contre le moyen RGPD
Le même corpus fournit le mode d’emploi inverse. La chambre commerciale a validé la production d’un rapport d’analyse fondé sur des données personnelles dans un litige relatif à l’élection de l’administrateur représentant les salariés actionnaires, en relevant que l’atteinte à la confidentialité des données était « extrêmement limitée » au regard des modalités des opérations : pseudonymisation intégrale des données par un tiers indépendant, destruction des données initiales, absence de contenu de courriels, analyse purement volumétrique, le tout constaté par commissaire de justice (Cass. com., 17 juin 2026, n° 25-11.499, publié, affaire Orange). Ces garanties, validées en matière de preuve, sont transposables à la rédaction d’une requête 145 : le requérant avisé les propose lui-même.
Concrètement : des mots-clés neutres plutôt que des noms de personnes physiques ; une période et des supports bornés et justifiés ligne à ligne par le litige envisagé (élément demandé, fait à démontrer, période, personnes concernées, données à occulter) ; le séquestre systématique entre les mains du commissaire de justice avec tri contradictoire ultérieur et exclusion des fichiers identifiés comme personnels ; l’intervention d’un tiers qualifié pour les données de catégories particulières ; et, dans le projet d’ordonnance annexé à la requête, l’occultation des données non indispensables, l’injonction d’usage limité et une durée de conservation des copies. La démarche paie : la communication de contrats, avenants et bulletins de salaire de douze salariés sur une longue période a été validée parce que les juges du fond avaient concrètement caractérisé la comparabilité des situations et les restrictions nécessaires (Cass. soc., 18 juin 2025, n° 23-23.471). Une requête qui intègre d’elle-même la grille de contrôle de la Cour de cassation prive le futur défendeur de son meilleur moyen de rétractation. Un modèle de requête est disponible dans l’article consacré à la requête aux fins de mesure d’instruction in futurum.
La limite du moyen : le juge peut constater la violation et valider quand même
Il faut le dire sans détour, parce que c’est l’angle mort de tout ce contentieux : la violation du RGPD n’emporte pas rétractation automatique, et certaines décisions le démontrent de manière troublante. Dans l’affaire des prestataires de santé déjà citée, la cour d’appel de Nîmes relève expressément des manquements au RGPD, à savoir le défaut d’information des patients quant à la transmission de leurs données à l’autorité judiciaire et au concurrent, ainsi que le défaut de consentement des patients à l’utilisation de leurs données en vue d’une action en justice. Elle refuse pourtant de rétracter l’ordonnance : la divulgation d’indications sur la santé des personnes concernées n’aurait pas porté une atteinte excessive à leurs droits au regard du but de manifestation de la vérité, dès lors que le requérant disposait d’un motif légitime, que les investigations ne lui ont pas appris sur ses anciens patients ce qu’il ne savait pas déjà, et que commissaire de justice et parties étaient soumis au secret (CA Nîmes, 4e ch. com., 10 novembre 2023, RG n° 23/01298).
Le résultat a de quoi choquer : les données de santé de 376 patients, qui n’ont jamais été informés, ont servi de mots-clés à une mesure d’instruction entre deux entreprises, et le manquement constaté ne produit aucun effet. La logique de la cour se comprend, il faut être honnête : la proportionnalité s’apprécie in concreto, et l’atteinte réelle était faible dès lors que le requérant connaissait déjà les données en cause.
Mais raisonner ainsi revient à vider le RGPD de sa fonction préventive : le défaut d’information conditionne l’exercice de tous les autres droits des personnes concernées, et le neutraliser au motif que « rien de neuf n’a été appris » récompense celui qui a méconnu le règlement. Cette décision est antérieure à l’arrêt du 3 octobre 2024 et à sa check-list ; la question de savoir si elle serait rendue à l’identique aujourd’hui, alors que le juge doit désormais veiller d’office à la minimisation, reste ouverte. Dans le doute, le défendeur a tout intérêt à structurer son argumentation sur les carences objectives de l’ordonnance (mots-clés, périmètre, occultation, injonction) plutôt que sur la seule violation des droits des personnes concernées, que les juges du fond acceptent encore de relativiser.
La limite vaut aussi, et surtout, en aval. La Cour de justice a jugé que le RGPD ne s’oppose pas, par principe, à ce qu’une juridiction utilise comme preuve des données personnelles obtenues en violation du règlement : le traitement opéré par le juge repose sur sa propre base de licéité, tirée du droit à un procès équitable, sous réserve de la mise en balance des intérêts et de la minimisation des données avant toute divulgation (CJUE, 18 juin 2026, NTH Haustechnik, aff. C-484/24). Combinée à l’assemblée plénière du 22 décembre 2023, cette décision dessine la véritable stratégie temporelle du moyen : le RGPD est puissant avant la remise des pièces (rétractation, cantonnement, maintien du séquestre) et beaucoup plus faible après, lorsque la preuve est déjà entre les mains de l’adversaire et que son exclusion n’a plus rien d’automatique. Attendre le procès au fond pour soulever l’illicéité RGPD, c’est plaider sur le terrain le moins favorable.
Le droit d’accès de l’article 15 RGPD : un « 145 sans juge » sous surveillance
Le RGPD n’est pas seulement un bouclier contre la mesure d’instruction : il est devenu une voie probatoire concurrente. Les courriels émis ou reçus par un salarié sont des données personnelles auxquelles il a, en principe, un droit d’accès direct auprès de son employeur, métadonnées et contenu compris (Cass. soc., 18 juin 2025, n° 23-19.022, publié). Un salarié qui prépare un contentieux peut donc obtenir une partie de ses preuves par une simple demande d’accès, sans requête ni juge.
Sur la sanction du refus, les juridictions du fond sont divisées. La cour d’appel de Versailles a jugé que le refus injustifié de l’employeur constitue un trouble manifestement illicite justifiant une injonction en référé, sous réserve d’occultation des données de tiers et d’un usage limité à l’instance (CA Versailles, ch. soc. 4-2, 17 juin 2026, RG n° 25/02730), tout en rejetant la demande de celui qui n’avait jamais exercé son droit d’accès avant de saisir le juge (CA Versailles, ch. soc. 4-2, 11 mars 2026, RG n° 25/00882). La cour d’appel de Paris oppose au contraire un garde-fou : pas de fouille intégrale de la messagerie sous couvert de l’article 15, un courriel professionnel n’étant pas intégralement une donnée personnelle, et les droits des tiers comme le secret des affaires pouvant justifier un refus partiel ou total face à une demande trop générale (CA Paris, 18 décembre 2025, RG n° 25/04270). La prudence commande de bâtir une demande d’accès ciblée et motivée, et de ne pas y voir un article 145 déguisé : le droit d’accès ne donne pas droit aux documents portant atteinte aux droits d’autrui (art. 15, § 4, du RGPD).
Pour la partie qui construit sa preuve, l’ordre des opérations mérite donc réflexion : demande d’accès d’abord, mesure 145 ensuite pour ce que le droit d’accès ne couvre pas (les documents qui ne sont pas ses propres données personnelles). Les modalités pratiques de la demande sont détaillées dans l’article consacré au droit d’accès de l’article 15 du RGPD.
Ce que le moyen RGPD exige en pratique
La règle est désormais lisible : le juge de l’article 145 est aussi un juge du RGPD, tenu à une méthode que la Cour de cassation sanctionne d’office. Le centre de gravité du contrôle s’est déplacé : il porte moins sur le principe de la mesure que sur son architecture (mots-clés, périmètre, occultations, sort des données après communication), et c’est sur cette architecture que se gagnent ou se perdent les rétractations. Mais tout se joue dans l’application : identifier, dans une ordonnance donnée, les mots-clés contestables, la carence de minimisation ou le vice d’exécution qui emportera la rétractation plutôt qu’un simple cantonnement ; ou, côté requérant, calibrer une mission qui résistera à ce feu. Les faits comptent autant que le droit, et c’est précisément là qu’intervient l’avocat.
Valentin Simonnet est avocat au Barreau de Paris. Il intervient en contentieux des affaires et en droit pénal des affaires.
