CJUE | CONCLUSIONS DU 16 OCTOBRE 2025 | C-484/24 | NTH HAUSTECHNIK │
RGPD & PREUVE AU TRAVAIL | L’AG SPIELMANN (C-484/24) CLARIFIE: LA VIOLATION DU PRINCIPE DE LIMITATION DE LA CONSERVATION DES DONNÉES NE CONTRARIE PAS NÉCESSAIREMENT L’ADMISSIBILITÉ D’UNE PREUVE SE FONDANT SUR DE TELLES DONNÉES ILLICITES.
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
PRÉSENTATION GÉNÉRALE ET SIGNIFICATION DE L’AFFAIRE
L’affaire C-484/24 NTH Haustechnik constitue un renvoi préjudiciel d’une importance considérable pour l’articulation entre le droit de la preuve en matière prud’homale et les exigences du règlement général sur la protection des données (RGPD). La Cour de justice de l’Union européenne est saisie, à travers les conclusions de l’Avocat général Dean Spielmann présentées le 16 octobre 2025, d’une question qui touche au cœur des tensions structurelles inhérentes au RGPD : dans quelle mesure les données à caractère personnel collectées ou conservées en méconnaissance du principe de limitation de la conservation — consacré à l’article 5, §1, sous e), du RGPD — peuvent-elles néanmoins être produites et traitées en tant qu’éléments de preuve dans le cadre d’une procédure judiciaire nationale, en l’occurrence en matière de droit du travail ?
La question ainsi posée est d’une redoutable complexité, car elle met en présence deux logiques antagonistes que le législateur de l’Union n’a pas expressément arbitrées. D’un côté, le principe de limitation de la conservation, qui impose que les données à caractère personnel « conservées sous une forme permettant l’identification des personnes concernées [le soient] pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5, §1, sous e), du RGPD). De l’autre, l’autonomie procédurale des États membres, qui conserve en principe la maîtrise des règles gouvernant l’admissibilité de la preuve devant leurs juridictions, ainsi que les droits fondamentaux à une protection juridictionnelle effective et à un procès équitable, garantis par l’article 47 de la Charte des droits fondamentaux de l’Union européenne.
La réponse apportée par l’Avocat général à cette tension constitutive engage des implications pratiques de premier plan, tant pour les employeurs que pour les salariés et pour les juridictions nationales appelées à statuer sur des litiges dans lesquels l’employeur entend se prévaloir de données conservées au-delà de leur durée de conservation licite pour établir un manquement grave du salarié à ses obligations.
CADRE NORMATIF DE RÉFÉRENCE
1. LE PRINCIPE DE LIMITATION DE LA CONSERVATION
L’article 5, §1, sous e), du RGPD dispose que les données à caractère personnel doivent être
« conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, §1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ».
Ce principe est l’un des piliers cardinaux du système de protection des données institué par le RGPD. Il traduit une exigence de proportionnalité temporelle : les données ne doivent pas vivre plus longtemps que leur finalité légitime. Toute conservation au-delà de cette durée constitue, en elle-même, une violation du RGPD — indépendamment de toute utilisation ultérieure de ces données.
2. LES BASES DE LICÉITÉ DU TRAITEMENT
L’article 6, §1, du RGPD pose de manière limitative et exhaustive les fondements susceptibles de liciter un traitement. La jurisprudence de la Cour a constamment rappelé que « pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus audit article 6 » (arrêt du 22 juin 2021, Latvijas Republikas Saeima, C-439/19, EU:C:2021:504, point 96). Dans la présente affaire, la question se concentre sur la sous-question de savoir si le traitement de données initialement collectées ou conservées en méconnaissance de l’article 5, §1, sous e), peut trouver une base de licéité autonome au titre de l’article 6, §1, lorsqu’il intervient aux fins d’un usage probatoire en justice.
3. L’AUTONOMIE PROCÉDURALE DES ÉTATS MEMBRES ET SES LIMITES
Le RGPD ne comporte pas de dispositions harmonisant les règles nationales relatives à l’admissibilité des preuves dans les procédures juridictionnelles. Cette matière relève de l’autonomie procédurale des États membres, mais cette autonomie demeure encadrée par les principes d’équivalence et d’effectivité du droit de l’Union, ainsi que par les droits fondamentaux garantis par la Charte. Le Landesarbeitsgericht Niedersachsen s’interroge précisément sur la compatibilité des règles allemandes de droit de la preuve avec les exigences du RGPD, lorsque l’admissibilité d’éléments de preuve obtenus ou conservés illicitement au regard de ce règlement est en jeu.
ANALYSE DE SA PORTÉE
L’Avocat général précise d’emblée le périmètre de sa réponse :
« La question préjudicielle qui fait l’objet des présentes conclusions ciblées, conformément à la demande de la Cour, porte sur l’interprétation de l’article 5, §1, sous e), du règlement (UE) 2016/679. La Cour est en substance appelée à se pencher sur la question de savoir si et dans quelle mesure des données à caractère personnel produites en tant qu’éléments de preuve dans le cadre d’une procédure judiciaire nationale, qui ont été obtenues par le recours à d’autres données à caractère personnel initialement collectées ou conservées en méconnaissance du principe de limitation de la conservation, peuvent être traitées par le juge national de manière licite. » (§ 1 des Conclusions)
La portée de cette question est doublement remarquable. D’une part, elle ne porte pas sur l’ensemble de la licéité du traitement initial — qui est présupposée illicite au regard du principe de limitation de la conservation — mais sur la licéité du traitement ultérieur de ces données à des fins probatoires. D’autre part, elle met en jeu non seulement les droits du salarié concerné, mais également les intérêts légitimes de l’employeur qui entend démontrer devant la juridiction nationale un manquement grave à des obligations contractuelles, potentiellement constitutif d’un préjudice.
La configuration factuelle du litige au principal est éclairante à cet égard : la société NTH Haustechnik GmbH exerce une action en dommages et intérêts contre son ancienne employée au titre d’une vente en ligne non autorisée de biens lui appartenant. Pour établir cette faute, l’employeur entend produire des données à caractère personnel qui auraient été conservées au-delà des durées de conservation prescrites, en méconnaissance du principe posé à l’article 5, §1, sous e), du RGPD.
ANALYSE CRITIQUE DU RAISONNEMENT DE L’AVOCAT GÉNÉRAL
1. LA CONSTRUCTION D’UN RÉGIME DE LICÉITÉ AUTONOME DU TRAITEMENT PROBATOIRE
L’Avocat général développe une approche nuancée qui refuse autant le maximalisme protectionniste — qui conduirait à exclure systématiquement tout traitement probatoire de données dont la conservation initiale était illicite — que le pragmatisme juridictionnel non balisé — qui permettrait aux juridictions nationales de s’affranchir des exigences du RGPD au motif de la nécessité probatoire.
La clef de voûte du raisonnement repose sur la distinction entre, d’une part, la violation initiale du principe de limitation de la conservation lors de la collecte ou de la conservation des données, et, d’autre part, le traitement ultérieur de ces mêmes données à des fins probatoires dans le cadre d’une procédure judiciaire. Ces deux opérations de traitement doivent être appréciées de manière distincte au regard des articles 5 et 6 du RGPD, sans que l’illicéité du premier traitement entraîne nécessairement l’illicéité du second.
Cette construction est juridiquement cohérente avec la logique propre du RGPD, qui appréhende chaque opération de traitement de manière indépendante et exige pour chacune une base de licéité propre. Elle trouve un fondement textuel dans l’article 6, §1, sous f), du RGPD, qui permet un traitement fondé sur l’intérêt légitime du responsable du traitement, sous réserve que cet intérêt ne soit pas supplanté par les intérêts ou les libertés et droits fondamentaux de la personne concernée. Elle peut également trouver appui, selon les circonstances nationales, dans l’article 6, §1, sous c) ou e), lu en combinaison avec les dispositions nationales adoptées sur le fondement de l’article 88 du RGPD relatif au traitement dans le cadre des relations de travail.
2. LE RÔLE DE L’AUTONOMIE PROCÉDURALE NATIONALE ET SES LIMITES
L’Avocat général souligne que si la question de l’admissibilité des preuves relève de l’autonomie procédurale des États membres, cette autonomie ne saurait conduire à méconnaître les droits fondamentaux garantis par le RGPD et la Charte. En d’autres termes, les règles nationales d’admissibilité de la preuve — qu’elles soient issues de la loi ou de la jurisprudence — doivent être conformes aux exigences du droit de l’Union. Le juge national est ainsi tenu de mettre en balance, dans chaque espèce, la gravité de la violation des droits fondamentaux de la personne concernée résultant du traitement illicite initial, d’un côté, et l’intérêt légitime à la production de la preuve et à la protection juridictionnelle effective de l’autre. Cette mise en balance ne peut pas être opérée une fois pour toutes : elle requiert une appréciation concrète, au cas par cas, des circonstances de l’espèce.
3. LA PROPORTIONNALITÉ COMME GRILLE D’APPRÉCIATION INDISPENSABLE
L’analyse de l’Avocat général s’inscrit dans la continuité de la jurisprudence de la Cour relative au principe de proportionnalité, tel qu’il innerve l’ensemble du RGPD. Toute ingérence dans le droit fondamental à la protection des données doit être nécessaire, proportionnée et se limiter au strict nécessaire. Dans le contexte probatoire, cela signifie que le juge national doit vérifier : 1., si les données litigieuses sont indispensables à l’établissement du fait allégué ou si ce fait pourrait être prouvé par d’autres moyens moins intrusifs ; 2., si la gravité du manquement allégué justifie l’utilisation de ces données malgré la violation initiale ; 3., si les droits de la défense de la personne concernée sont préservés dans la procédure.
4. UNE CONTRIBUTION À LA JURISPRUDENCE EN DEVENIR SUR LES PREUVES ILLICITES ET LE RGPD
L’affaire C-484/24 s’inscrit dans une constellation jurisprudentielle dont elle constitue un maillon significatif. Elle prolonge et spécifie les apports antérieurs de la Cour, notamment :
— l’arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C-34/21, EU:C:2023:270), qui a précisé les conditions dans lesquelles les États membres peuvent adopter des règles plus spécifiques en matière de traitement des données des employés sur le fondement de l’article 88 du RGPD, en exigeant que ces règles visent à protéger les droits et libertés des employés et comportent des mesures appropriées et spécifiques pour protéger la dignité humaine ;
— l’arrêt du 4 mai 2023, Österreichische Post (C-300/21, EU:C:2023:370), qui a énoncé que la simple violation des dispositions du RGPD ne donne pas lieu, en elle-même, à un droit à réparation, et a précisé les trois conditions cumulatives nécessaires à l’ouverture d’un tel droit ;
— plus récemment, dans une perspective prospective, l’arrêt Brillen Rottler (C-526/24, EU:C:2026:216, 19 mars 2026), qui a rappelé l’exigence de mise en balance concrète entre les intérêts en présence et l’importance de ne pas permettre que le RGPD soit instrumentalisé à des fins étrangères à la protection des données.
La jurisprudence postérieure la plus directement pertinente sera celle que la Cour rendra en réponse aux questions préjudicielles dans des affaires connexes portant sur l’articulation entre le droit à la preuve en matière de travail et les droits fondamentaux à la protection des données, notamment dans le cadre des affaires C-458/25 (Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen) et C-416/25 (Freie und Hansestadt Hamburg), qui soulèvent des questions voisines relatives au traitement des données des salariés dans le cadre des relations de travail.
ÉVALUATION CRITIQUE ET PERSPECTIVE
1. LES MÉRITES DE L’APPROCHE RETENUE
L’approche de l’Avocat général mérite d’être saluée pour son refus de tout automatisme réducteur. Elle évite le double écueil symétrique : d’un côté, celui de faire du RGPD un instrument de neutralisation du droit à la preuve, permettant à tout salarié fautif de s’exonérer de sa responsabilité au motif que les données le mettant en cause ont été conservées trop longtemps ; de l’autre, celui de permettre aux employeurs de traiter des données en violation du RGPD et d’en tirer un bénéfice probatoire sans aucune contrainte, vidant ainsi le principe de limitation de la conservation de sa substance.
2. LES ZONES DE TENSION ET D’INCERTITUDE
Certaines zones de tension demeurent insuffisamment résolues par les conclusions. En particulier, la question du standard de preuve que doit atteindre le responsable du traitement pour démontrer la nécessité du recours aux données litigieuses reste ouverte. De même, l’articulation avec les dispositions nationales adoptées sur le fondement de l’article 88 du RGPD — et notamment la question de savoir si de telles dispositions peuvent valablement assouplir les conditions de licéité du traitement probatoire — mériterait un traitement plus approfondi.
Par ailleurs, la question de la sanction procédurale de la violation du principe de limitation de la conservation — exclusion des preuves, nullité de la procédure, ou simplement prise en compte dans la pondération des preuves — est renvoyée à l’appréciation du juge national, ce qui risque de générer des divergences significatives entre les États membres et de porter atteinte à l’objectif d’harmonisation que poursuit le RGPD.
3. CONTEXTUALISATION AU REGARD DES JURISPRUDENCES ANTÉRIEURES ET POSTÉRIEURES
Mise en perspective avec la jurisprudence de la Cour, l’affaire C-484/24 apparaît comme le premier jalon d’une évolution qui conduira nécessairement la Cour à préciser, dans un arrêt à venir, les conditions concrètes dans lesquelles le traitement probatoire de données illicitement conservées peut être admis. Cette évolution doit être rapprochée de la jurisprudence de la Cour européenne des droits de l’homme relative à l’article 8 de la Convention EDH dans le contexte de la surveillance des salariés — notamment les arrêts Bărbulescu c. Roumanie [GC] (requête n° 61496/08, 5 septembre 2017) et López Ribalda et autres c. Espagne [GC] (requêtes n° 1874/13 et 8567/13, 17 octobre 2019) — qui imposent une mise en balance des intérêts en présence selon une grille de proportionnalité rigoureuse que la Cour de justice devra intégrer dans son interprétation du RGPD.
POINTS ESSENTIELS
L’affaire C-484/24 NTH Haustechnik soumet à la Cour de justice, à travers les conclusions ciblées de l’Avocat général Dean Spielmann présentées le 16 octobre 2025, une question d’une acuité particulière pour l’articulation entre le RGPD et le droit de la preuve en matière prud’homale : dans quelle mesure des données à caractère personnel produites en tant qu’éléments de preuve dans une procédure judiciaire nationale en matière de travail, initialement collectées ou conservées en méconnaissance du principe de limitation de la conservation consacré à l’article 5, §1, sous e), du RGPD, peuvent-elles être traitées licitement par le juge national ?
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats