CJUE | CONCLUSIONS DU 16 OCTOBRE 2025 | C-484/24 | NTH HAUSTECHNIK │
RGPD & PREUVE AU TRAVAIL | L’AG SPIELMANN (C-484/24) CLARIFIE
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
I.
L’affaire C-484/24, NTH Haustechnik, soumise à la Cour de justice de l’Union européenne à titre préjudiciel, occupe une place singulière dans l’édifice jurisprudentiel du RGPD en ce qu’elle confronte directement, pour la première fois avec cette acuité, deux logiques a priori antinomiques : celle de la protection des données personnelles, articulée autour du principe de limitation de la conservation consacré à l’article 5, paragraphe 1, sous e), du règlement (UE) 2016/679, et celle de l’efficacité procédurale dans le cadre des litiges prud’homaux, gouvernée par l’autonomie procédurale des États membres. Les conclusions de l’Avocate générale, déposées le 16 octobre 2025 sous la référence ECLI:EU:C:2025:803, posent avec rigueur les termes d’une articulation qui intéresse au premier chef les employeurs responsables de traitement, les salariés personnes concernées, et les praticiens du droit du travail comme du droit des données personnelles.
Le renvoi préjudiciel trouve son origine dans un contentieux prud’homal opposant un employeur — la société NTH Haustechnik — à un salarié dont le licenciement pour manquement grave est contesté. L’employeur entend produire, à titre de preuve, des données à caractère personnel collectées dans le cadre de l’exécution du contrat de travail, spécifiquement en vue de démontrer la réalité du manquement reproché. La difficulté centrale réside dans le fait que certaines de ces données ont été collectées et conservées au-delà de la durée strictement nécessaire à la finalité initiale de leur traitement, suscitant ainsi une interrogation sur leur licéité au moment où l’employeur souhaite les exploiter à des fins probatoires, finalité distincte et non anticipée lors de la collecte.
La juridiction de renvoi interroge la Cour sur plusieurs dimensions indissociables : en premier lieu, si le droit de l’Union — et plus précisément le RGPD — s’oppose à ce qu’une juridiction nationale admette, dans le cadre d’une procédure prud’homale, des éléments de preuve obtenus en méconnaissance du principe de limitation de la conservation ; en deuxième lieu, dans quelle mesure l’autonomie procédurale des États membres permet-elle de maintenir ou d’exclure de tels éléments ; en troisième lieu, comment le principe de licéité du traitement, combiné au principe de minimisation des données et à celui de limitation des finalités, interagit-il avec l’exigence d’un procès équitable et du droit à la preuve.
II.
La licéité du traitement de données à des fins probatoires en matière de travail
Le cœur doctrinal de l’affaire repose sur la question de la base juridique mobilisable pour légitimer l’utilisation, à titre de preuve dans un litige, de données à caractère personnel collectées par l’employeur. L’article 6, paragraphe 1, du RGPD énumère les fondements de licéité du traitement, parmi lesquels figurent, en sous-paragraphes b), c) et f), respectivement l’exécution d’un contrat, le respect d’une obligation légale, et la poursuite d’un intérêt légitime. En matière probatoire, c’est en premier lieu l’article 6, paragraphe 1, sous f), qui est susceptible d’être invoqué par l’employeur, dès lors que la nécessité de prouver un manquement grave constitue un intérêt légitime dont la mise en balance avec les droits et libertés de la personne concernée doit être effectuée.
L’Avocate générale développe une analyse nuancée de cette mise en balance. Elle rappelle que la Cour a précisé, notamment dans l’arrêt Rigas satiksme (C-13/16), que le traitement fondé sur l’intérêt légitime exige que trois conditions soient cumulativement réunies : l’existence d’un intérêt légitime poursuivi par le responsable du traitement, la nécessité du traitement pour la réalisation de cet intérêt, et l’absence de prévalence des intérêts ou des libertés et droits fondamentaux de la personne concernée. Dans le contexte de l’affaire NTH Haustechnik, la démonstration d’un manquement grave susceptible de justifier un licenciement pour cause réelle et sérieuse, voire une faute grave, constitue sans nul doute un intérêt légitime de l’employeur. La nécessité du traitement probatoire est plus délicate à établir lorsque les données ont été collectées dans un cadre de conservation excédant les délais requis, car la nécessité doit s’apprécier au regard de la disponibilité d’autres moyens moins intrusifs.
Sur la question du principe de limitation des finalités, consacré à l’article 5, paragraphe 1, sous b), du RGPD, l’Avocate générale rappelle que l’utilisation de données à des fins de preuve judiciaire peut, conformément au considérant 50 du règlement, être regardée comme compatible avec la finalité initiale de collecte, dès lors qu’elle s’inscrit dans la défense ou l’exercice d’un droit en justice. Cette disposition d’interprétation n’est pas sans portée : elle consacre une exception au principe de limitation des finalités pour les traitements à des fins de contentieux, ce qui atténue significativement la rigueur du grief lié au détournement de finalité. Toutefois, cette compatibilité ne saurait valider a priori la violation du principe de limitation de la conservation, qui relève d’une logique distincte.
Le principe de limitation de la conservation, prévu à l’article 5, paragraphe 1, sous e), du RGPD, impose que les données ne soient pas conservées sous une forme permettant l’identification des personnes concernées pendant une durée excédant celle nécessaire au regard des finalités pour lesquelles elles sont traitées. L’Avocate générale prend soin de distinguer ce principe de celui de limitation des finalités : si la compatibilité de finalité peut être appréciée de manière souple pour les usages judiciaires, la violation du principe de conservation traduit en revanche un manquement objectif au droit de la protection des données, indépendant de la finalité ultérieure pour laquelle les données sont utilisées. La question qui se pose alors est celle de la conséquence procédurale d’une telle violation.
III.
Le traitement d’éléments de preuve obtenus de manière illicite et l’autonomie procédurale des États membres
L’enjeu procédural de l’affaire C-484/24 est peut-être le plus novateur au regard de la jurisprudence existante de la Cour. Il s’agit de déterminer si le droit de l’Union impose aux juridictions nationales d’écarter des éléments de preuve obtenus en méconnaissance du RGPD, ou si, à l’inverse, l’autonomie procédurale des États membres laisse à ces juridictions la liberté d’admettre de tels éléments en procédant à une mise en balance des intérêts en présence.
L’Avocate générale rappelle le principe fondamental selon lequel, en l’absence d’harmonisation des règles de procédure nationales, il appartient à l’ordre juridique interne de chaque État membre de régler les modalités procédurales, sous réserve du respect des principes d’équivalence et d’effectivité. Ce principe d’autonomie procédurale, constamment réaffirmé par la Cour depuis les arrêts Rewe et Comet de 1976, implique que les règles nationales de preuve — y compris les règles relatives à l’admissibilité de preuves illicitement obtenues — demeurent en principe dans le domaine réservé des États membres.
Cependant, l’Avocate générale identifie une tension irréductible entre ce principe et l’objectif d’assurer l’effet utile du RGPD. Si les juridictions nationales pouvaient systématiquement admettre des preuves recueillies en violation des principes fondamentaux du RGPD, cela reviendrait à priver d’effet la protection que ce règlement entend conférer aux personnes concernées, permettant aux employeurs de contourner leurs obligations en matière de conservation et de licéité du traitement avec l’assurance que les données ainsi indûment conservées pourront néanmoins être utilisées en justice. Une telle approche compromettrait l’effectivité du droit de l’Union au sens de la jurisprudence Unibet (C-432/05) et Impact (C-268/06).
La position proposée par l’Avocate générale s’inscrit dans une logique de mise en balance proportionnelle, inspirée de la jurisprudence de la Cour européenne des droits de l’homme sur l’article 6 de la CEDH, qui admet que l’utilisation de preuves illicites n’entraîne pas nécessairement l’iniquité de la procédure dans son ensemble, mais doit être appréciée au regard de l’ensemble du dossier et de la capacité des parties à contester efficacement ces éléments. Ainsi, l’autonomie procédurale des États membres ne serait pas supprimée, mais encadrée par une obligation de proportionnalité que les juridictions nationales devraient appliquer en tenant compte, d’une part, de la gravité de la violation du RGPD commise par l’employeur lors de la conservation des données, et d’autre part, de la nature et de la gravité du manquement allégué contre le salarié.
IV.
La mise en balance des droits fondamentaux en présence : droit à la preuve et protection des données
L’affaire NTH Haustechnik se situe au carrefour de plusieurs droits fondamentaux garantis par la Charte des droits fondamentaux de l’Union européenne. D’un côté, l’article 8 de la Charte consacre le droit à la protection des données à caractère personnel comme un droit fondamental autonome, dont le RGPD constitue l’expression législative principale. De l’autre, l’article 47 de la Charte garantit le droit à un recours effectif et à un procès équitable, qui inclut, dans sa composante procédurale, le droit pour les parties de faire valoir leurs preuves.
L’Avocate générale souligne que la mise en balance de ces droits ne peut se faire de manière abstraite ou au profit d’une hiérarchisation rigide, mais doit être effectuée in concreto, en tenant compte des circonstances propres à chaque espèce. Cette approche s’inscrit dans la ligne jurisprudentielle tracée par la Cour dans l’arrêt Google Spain (C-131/12), confirmée dans de nombreux arrêts ultérieurs, selon laquelle l’équilibre entre le droit à la protection des données et d’autres droits et intérêts légitimes est une appréciation casuistique qui ne souffre pas de règle absolue.
Dans le contexte du droit du travail, cette mise en balance revêt une dimension supplémentaire tenant au déséquilibre structurel de la relation employeur-salarié. L’Avocate générale relève que l’employeur se trouve dans une position d’asymétrie informationnelle significative vis-à-vis du salarié : il détient les données, il contrôle les systèmes de collecte, et il peut, en conservant indûment des informations, se constituer un capital probatoire irrégulier dont il pourrait tirer avantage lors de tout contentieux ultérieur. Admettre sans condition ces preuves irrégulières reviendrait à récompenser la violation des obligations RGPD de l’employeur, au détriment de la personne concernée.
À l’inverse, exclure systématiquement toute preuve collectée ou conservée en violation du RGPD pourrait conduire à des situations d’injustice manifeste, notamment lorsque le manquement grave du salarié est avéré et que la protection du droit à la preuve de l’employeur se justifie par des intérêts légitimes suffisamment importants. La proportionnalité commande donc une approche nuancée qui distingue la gravité de la violation du RGPD (durée de conservation excessive, absence de base juridique, défaut d’information de la personne concernée) et la gravité du manquement allégué du salarié, ainsi que la disponibilité d’autres moyens de preuve.
V.
Portée transversale de l’affaire : les enjeux pour le droit du travail et la pratique RGPD en entreprise
L’affaire C-484/24 présente une portée transversale considérable pour les praticiens du droit, qu’ils interviennent en droit du travail ou en droit des données personnelles. Pour l’employeur responsable de traitement, elle rappelle avec force que la tenue d’un registre des activités de traitement conforme à l’article 30 du RGPD, associée à une politique de conservation des données rigoureuse, n’est pas seulement une obligation formelle mais constitue un enjeu stratégique dans toute perspective contentieuse. L’employeur qui n’aura pas défini et respecté ses durées de conservation sera dans l’impossibilité d’exploiter en justice des données dont la conservation était illicite, sauf à s’exposer à leur irrecevabilité potentielle.
Pour les salariés et leurs représentants, l’affaire ouvre une voie procédurale nouvelle : contester la recevabilité d’éléments de preuve produits par l’employeur au motif de leur collecte ou conservation irrégulière au regard du RGPD. Cette stratégie de défense, encore peu explorée dans les juridictions prud’homales françaises, pourrait connaître un développement significatif à la suite de la décision de la Cour.
Pour les délégués à la protection des données (DPO), l’affaire souligne l’importance cruciale des politiques de purge et de gestion du cycle de vie des données, y compris — et peut-être surtout — les données relatives aux ressources humaines. La tentation, pour certains employeurs, de conserver indéfiniment des données sur les salariés au motif qu’elles pourraient être utiles en cas de contentieux constitue précisément l’hypothèse que l’affaire NTH Haustechnik entend encadrer juridiquement.
Sur le plan de l’architecture normative, l’affaire interroge également la complémentarité entre les dispositions nationales de transposition — notamment l’article 88 du RGPD qui permet aux États membres d’adopter des règles plus spécifiques pour le traitement des données dans le cadre des relations de travail — et le cadre harmonisé du règlement. La France a, par l’article L. 1222-4 du Code du travail et les dispositions relatives à la surveillance des salariés, consacré des règles spécifiques dont la compatibilité avec les exigences prétoriennes qui résulteront de la décision C-484/24 devra être réexaminée.
VI.
La jurisprudence afférente et le cadre normatif mobilisé par l’Avocate générale
Les conclusions de l’Avocate générale mobilisent un socle jurisprudentiel cohérent. Sur la question de l’admissibilité des preuves illicites dans le contexte du droit de l’Union, il convient de relever que la Cour n’a pas encore arrêté de règle générale mais a, dans diverses affaires, posé des jalons importants. L’arrêt Dzivev (C-310/16), relatif à l’admissibilité de preuves obtenues en violation du droit national dans le cadre de poursuites pénales, a établi que le droit de l’Union n’impose pas, dans ce contexte, d’écarter automatiquement des preuves illicites, mais que cela relève de l’appréciation des juridictions nationales dans le respect du principe d’effectivité.
Plus directement pertinent, l’arrêt Asociaţia de Proprietari bloc M5A-ScaraA (C-708/18), relatif à la vidéosurveillance dans un immeuble résidentiel, a précisé que la légitimité d’un traitement de données doit être appréciée en tenant compte de la finalité poursuivie et de la proportionnalité des mesures adoptées. Sur le principe de limitation de la conservation, les arrêts Sped-Pro (C-611/20) et, plus récemment, Österreichische Post (C-300/21) ont contribué à préciser les contours de la responsabilité du responsable de traitement.
L’article 5, paragraphe 2, du RGPD, consacrant le principe d’accountability (responsabilité), est également au cœur de l’analyse : l’employeur doit être en mesure de démontrer qu’il a respecté ses obligations en matière de conservation, faute de quoi il ne peut se prévaloir des données concernées. Cette responsabilité proactive est l’un des fils directeurs de l’affaire C-484/24 et l’un des apports potentiellement les plus structurants de la décision à venir.
Sur le terrain du droit du travail européen, l’Avocate générale prend appui sur les dispositions de la Directive 2002/14/CE établissant un cadre général relatif à l’information et la consultation des travailleurs, ainsi que sur les dispositions pertinentes de la Charte sociale européenne, pour souligner que la relation de travail est, dans le droit de l’Union, appréhendée comme une relation structurellement déséquilibrée méritant une protection renforcée.
VII.
Questions préjudicielles et architecture de la réponse proposée
La juridiction de renvoi a soumis à la Cour plusieurs questions préjudicielles articulées autour de trois axes principaux. Le premier axe porte sur la licéité du traitement de données personnelles collectées par l’employeur dans le but de prouver un manquement grave du salarié : dans quelle mesure les articles 5, paragraphe 1, sous b) et e), et 6, paragraphe 1, du RGPD doivent-ils être interprétés à la lumière de la spécificité des relations de travail ? Le deuxième axe concerne le traitement d’éléments de preuve obtenus de manière illicite : le RGPD, combiné à l’article 47 de la Charte, s’oppose-t-il à des règles nationales permettant à une juridiction prud’homale d’admettre et d’évaluer de tels éléments, ou à des règles nationales les excluant systématiquement ? Le troisième axe interroge l’autonomie procédurale des États membres : dans quelle mesure celle-ci est-elle compatible avec l’exigence d’effectivité du droit de l’Union en matière de protection des données ?
L’Avocate générale propose une réponse graduée à ces questions. Sur le premier axe, elle suggère que la collecte de données dans le cadre de l’exécution du contrat de travail peut être fondée sur l’article 6, paragraphe 1, sous b), du RGPD, mais que l’utilisation ultérieure à des fins probatoires requiert une base juridique distincte, généralement l’article 6, paragraphe 1, sous f), avec une mise en balance de l’intérêt légitime de l’employeur et des droits du salarié. La violation du principe de limitation de la conservation ne rend pas ipso facto illicite l’utilisation des données à des fins judiciaires, mais elle constitue un facteur aggravant lors de la mise en balance.
Sur le deuxième axe, l’Avocate générale refuse les deux solutions extrêmes — exclusion automatique des preuves illicites d’une part, admission inconditionnelle de l’autre — et propose une règle de proportionnalité : la juridiction nationale doit mettre en balance la gravité de la violation du RGPD commise par l’employeur, la gravité du manquement allégué du salarié, la disponibilité d’autres moyens de preuve, et les garanties procédurales offertes au salarié pour contester ces éléments.
Sur le troisième axe, l’Avocate générale confirme que l’autonomie procédurale demeure le principe, mais qu’elle est encadrée par les principes d’effectivité et d’équivalence, ainsi que par l’exigence de ne pas priver le RGPD de son effet utile. Une règle nationale qui permettrait systématiquement l’admission de preuves obtenues en violation du RGPD serait incompatible avec ces principes.
VIII.
Perspectives pour la pratique des responsables de traitement en matière RH
À ce stade de la procédure, et dans l’attente de la décision de la Cour, plusieurs enseignements pratiques peuvent d’ores et déjà être tirés de l’analyse conduite par l’Avocate générale. En premier lieu, les employeurs doivent impérativement aligner leurs politiques de conservation des données RH sur les exigences du RGPD, en définissant des durées de conservation documentées et justifiées pour chaque catégorie de données, notamment les données de gestion des ressources humaines, les données de surveillance, les données de contrôle de l’activité des salariés, et les données relatives aux manquements disciplinaires.
En deuxième lieu, lorsqu’un contentieux est prévisible, la tentation de conserver des données au-delà des délais légaux dans l’anticipation de leur utilisation future à des fins probatoires expose l’employeur à un risque RGPD significatif, qui se cumule avec un risque procédural d’irrecevabilité des preuves ainsi constituées. Le DPO doit être associé en amont à toute décision relative à la conservation de données dans un contexte de contentieux potentiel.
En troisième lieu, la mise en œuvre d’une politique de collecte et de traçabilité des données dans le cadre du droit disciplinaire — en anticipant leur éventuelle utilisation probatoire — doit être réfléchie de manière à satisfaire simultanément aux exigences du RGPD et aux besoins de la preuve judiciaire. Une analyse d’impact relative à la protection des données (AIPD), imposée par l’article 35 du RGPD pour les traitements susceptibles d’engendrer un risque élevé, peut s’avérer nécessaire dans le cadre de certains dispositifs de surveillance des salariés.
En quatrième lieu, les clauses relatives à la protection des données dans les contrats de travail et dans les chartes informatiques doivent être revues à la lumière de l’affaire C-484/24 pour s’assurer qu’elles informent suffisamment les salariés de la possibilité que des données collectées dans le cadre de l’exécution du contrat soient utilisées à des fins disciplinaires ou judiciaires, ce qui constitue un prérequis de la loyauté du traitement au sens de l’article 5, paragraphe 1, sous a), du RGPD.
POINTS ESSENTIELS
26.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats