CJUE | Conclusions du 16 octobre 2025 | C-484/24 | NTH Haustechnik │ CONSEILS

---

CONSEILS AUX RESPONSABLES DE TRAITEMENT (EMPLOYEURS)

---

1. METTRE EN PLACE UNE POLITIQUE DOCUMENTÉE DE GESTION DES DURÉES DE CONSERVATION

 

L’enseignement le plus immédiat de l’affaire C-484/24 pour les employeurs est d’une clarté redoutable : la violation du principe de limitation de la conservation fragilise irrémédiablement la valeur probatoire des données conservées au-delà des durées licites. Si l’Avocat général Spielmann n’a pas exclu par principe toute admissibilité d’un traitement probatoire fondé sur des données illicitement conservées, il a subordonné cette admissibilité à des conditions strictes dont la première — la gravité de la violation initiale — constitue un facteur directement maîtrisable par l’employeur en amont de tout contentieux.

Il est donc impératif que tout employeur adopte et maintienne à jour une politique de gestion des durées de conservation formellement documentée, intégrée au registre des activités de traitement tenu en application de l’article 30 du RGPD. Cette politique doit définir, pour chaque catégorie de données traitées dans le contexte des relations de travail (données RH, données de connexion aux systèmes informatiques, messageries professionnelles, données de géolocalisation, données de vidéosurveillance, etc.), la durée de conservation applicable, les critères retenus pour la déterminer, et les modalités de suppression ou d’anonymisation à l’échéance.

---

2. DOCUMENTER LES BASES DE LICÉITÉ DE CHAQUE OPÉRATION DE TRAITEMENT

 

L’affaire C-484/24 rappelle que chaque opération de traitement doit reposer sur une base de licéité propre et identifiable au titre de l’article 6, §1, du RGPD. Pour les employeurs, cela implique de distinguer soigneusement :

— le traitement initial des données dans le cadre des relations de travail (exécution du contrat de travail au titre de l’article 6, §1, b) ; obligations légales au titre de l’article 6, §1, c) ; intérêt légitime au titre de l’article 6, §1, f)) ;

— le traitement ultérieur à des fins de contrôle ou de surveillance de l’activité des salariés, qui doit reposer sur une base distincte et faire l’objet d’une information préalable des salariés conformément à l’article 13 du RGPD ;

— le traitement probatoire en cas de contentieux, qui suppose d’identifier, au moment où le litige naît ou est prévisible, la base de licéité applicable — en pratique l’intérêt légitime (article 6, §1, f)) ou, si le droit national le prévoit, une disposition spécifique adoptée sur le fondement de l’article 88 du RGPD.

---

3. INSTAURER UNE PROCÉDURE DE CONSERVATION PRÉVENTIVE À DES FINS CONTENTIEUSES (LEGAL HOLD)

 

À la lumière des conclusions de l’Avocat général, il est fortement recommandé aux employeurs de mettre en place une procédure de conservation préventive à des fins contentieuses (legal hold), distincte de la conservation ordinaire des données. Dès lors qu’un litige est imminent ou prévisible avec un salarié ou un ancien salarié, l’employeur doit :

—-identifier les données susceptibles d’être pertinentes pour la procédure judiciaire envisagée ;
—-formaliser la décision de conserver ces données au-delà de leur durée de conservation ordinaire, en documentant la base de licéité applicable (article 17, §3, e) du RGPD — constatation, exercice ou défense de droits en justice) ;
—-informer le délégué à la protection des données (DPO) de cette décision et, le cas échéant, réaliser une analyse d’impact relative à la protection des données si le traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes concernées (article 35 du RGPD) ;
—-limiter l’accès à ces données aux personnes strictement habilitées à les traiter dans le cadre de la procédure judiciaire.

Cette procédure permet de transformer une conservation initialement licite — ou de remédier à une conservation initialement illicite en la faisant basculer vers un fondement juridique nouveau — de sorte que le traitement probatoire ultérieur repose sur une base solide et documentée.

---

4. APPRÉCIER LA PROPORTIONNALITÉ DU RECOURS AUX DONNÉES DANS LE CADRE DU CONTENTIEUX

 

Avant de produire des données à caractère personnel en tant qu’éléments de preuve dans une procédure judiciaire, l’employeur doit s’interroger sur la proportionnalité du recours à ces données. La grille d’appréciation proposée par l’Avocat général Spielmann impose de vérifier :

—-La nécessité : les données envisagées sont-elles indispensables à l’établissement du fait allégué, ou d’autres éléments de preuve licites (témoignages, factures, relevés bancaires, documents contractuels) sont-ils disponibles et suffisants ?
—-La pertinence : les données produites sont-elles directement en lien avec le manquement allégué, ou constituent-elles une sur-divulgation d’informations sans rapport direct avec l’objet du litige ?
—-La gravité de la violation initiale : si les données ont été conservées en méconnaissance du principe de limitation de la conservation, cette violation est-elle susceptible d’être qualifiée de mineure (dépassement de quelques semaines ou mois d’une durée de conservation raisonnablement fixée) ou de grave (conservation délibérée et systématique de données à des fins de surveillance) ?

Cette appréciation doit être conduite avant toute décision de produire les données en justice et, idéalement, en concertation avec le conseil juridique de l’entreprise et le DPO.

---

5. NE PAS INSTRUMENTALISER LE RGPD COMME OUTIL DE DÉFENSE DILATOIRE

 

L’affaire C-484/24 met en lumière le risque symétrique que représente, pour les salariés et anciens salariés, l’invocation du RGPD comme argument dilatoire visant à faire écarter des preuves qui établissent pourtant des manquements réels et graves. La jurisprudence Brillen Rottler (C-526/24, EU:C:2026:216) a d’ores et déjà sanctionné l’usage abusif des droits conférés par le RGPD. Cette logique anti-abus trouvera nécessairement à s’appliquer, dans l’arrêt à venir, au contexte probatoire.

---

CONSEILS AUX PERSONNES CONCERNÉES (SALARIÉS ET ANCIENS SALARIÉS)

---

1. EXERCER LE DROIT D’ACCÈS POUR IDENTIFIER LES DONNÉES CONSERVÉES

 

Avant tout contentieux avec l’employeur, ou dès lors qu’un litige est prévisible, le salarié ou l’ancien salarié a un intérêt stratégique à exercer son droit d’accès aux données à caractère personnel le concernant, en application de l’article 15 du RGPD. Cette démarche lui permet :

—-d’identifier l’ensemble des données que l’employeur détient à son sujet ;
—-de vérifier si ces données ont été collectées pour des finalités déterminées et légitimes ;
—-d’apprécier si leur durée de conservation est conforme aux dispositions du RGPD et à la politique interne de l’entreprise ;
—-de constituer un dossier documentaire fondant une éventuelle demande d’effacement ou une réclamation auprès de l’autorité de contrôle compétente.

Le droit d’accès doit être exercé par écrit, avec accusé de réception, en précisant les catégories de données sur lesquelles porte la demande. L’employeur dispose d’un délai d’un mois pour répondre (article 12, §3 du RGPD), éventuellement prorogé de deux mois pour les demandes complexes.

---

2. DEMANDER L’EFFACEMENT DES DONNÉES CONSERVÉES AU-DELÀ DES DURÉES LICITES

 

Dès lors que la personne concernée a connaissance de la conservation de données au-delà des durées prévues, elle peut exercer son droit à l’effacement prévu à l’article 17 du RGPD. L’article 17, §1, sous a), prévoit explicitement que la personne concernée a le droit d’obtenir l’effacement de ses données « lorsque les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ». L’exercice préventif de ce droit, avant que les données soient produites en justice, constitue une stratégie défensive pertinente.

Il convient toutefois d’être attentif à l’exception prévue à l’article 17, §3, sous e), qui exclut le droit à l’effacement « pour la constatation, l’exercice ou la défense de droits en justice ». Cette exception — précisément celle que l’employeur pourrait invoquer pour justifier le maintien des données litigieuses — doit être interprétée strictement : elle ne peut couvrir que des données strictement nécessaires à la procédure judiciaire envisagée et ne saurait justifier une conservation générale et indifférenciée de l’ensemble des données de l’ancien salarié.

---

3. DÉPOSER UNE RÉCLAMATION AUPRÈS DE L’AUTORITÉ DE CONTRÔLE

 

Indépendamment de toute procédure judiciaire, la personne concernée peut déposer une réclamation auprès de l’autorité de contrôle compétente (en France, la CNIL ; en Allemagne, l’autorité de protection des données compétente au niveau du Land concerné) en application de l’article 77 du RGPD, afin de faire constater la violation du principe de limitation de la conservation et d’obtenir que l’autorité de contrôle ordonne à l’employeur de mettre fin à la violation et, le cas échéant, lui inflige une sanction administrative.

Cette démarche peut être conduite parallèlement à la procédure judiciaire nationale, sans qu’il soit nécessaire d’attendre l’issue de celle-ci. Elle présente un intérêt stratégique particulier : une décision de l’autorité de contrôle constatant la violation du RGPD par l’employeur pourra être utilement invoquée devant la juridiction du travail pour étayer la demande d’irrecevabilité des preuves litigieuses.

---

4. CONTESTER L’ADMISSIBILITÉ DES PREUVES DEVANT LA JURIDICTION NATIONALE

 

Devant la juridiction nationale saisie du litige, la personne concernée doit soulever l’exception d’irrecevabilité des données produites en tant qu’éléments de preuve, en invoquant la violation du principe de limitation de la conservation. Elle doit démontrer :

—-que les données ont été conservées au-delà de leur durée de conservation licite au regard des finalités initiales du traitement ;
—-que l’employeur ne peut identifier aucune base de licéité autonome justifiant le traitement probatoire de ces données ;
—-que le traitement probatoire envisagé n’est pas strictement nécessaire à l’établissement du fait allégué, soit parce que d’autres preuves licites sont disponibles, soit parce que la preuve du fait allégué ne peut pas être raisonnablement obtenue à partir des données litigieuses.

La mise en balance des droits fondamentaux en présence, telle que l’impose la grille d’appréciation proposée par l’Avocat général Spielmann, doit être opérée par le juge national de manière concrète et individualisée. La personne concernée doit fournir au juge tous les éléments factuels et juridiques de nature à établir la gravité de la violation initiale et le caractère disproportionné du traitement probatoire envisagé.

---

5. ENGAGER UNE ACTION EN RÉPARATION DU PRÉJUDICE SUBI

 

Indépendamment de la question de l’admissibilité des preuves dans la procédure principale, la personne concernée peut engager une action en réparation du préjudice subi du fait de la conservation illicite des données, en application de l’article 82 du RGPD. L’arrêt Österreichische Post (C-300/21, EU:C:2023:370) a précisé les trois conditions cumulatives de cette action : une violation du RGPD, un dommage matériel ou moral, et un lien de causalité entre la violation et le dommage. La violation du principe de limitation de la conservation constitue une violation du RGPD susceptible de fonder cette action, sous réserve de la démonstration d’un dommage effectif et d’un lien de causalité.

---

 
 
 

---

POINTS ESSENTIELS

---

L’affaire C-484/24 NTH Haustechnik soumet à la Cour de justice, à travers les conclusions ciblées de l’Avocat général Dean Spielmann présentées le 16 octobre 2025, une question d’une acuité particulière pour l’articulation entre le RGPD et le droit de la preuve en matière prud’homale : dans quelle mesure des données à caractère personnel produites en tant qu’éléments de preuve dans une procédure judiciaire nationale en matière de travail, initialement collectées ou conservées en méconnaissance du principe de limitation de la conservation consacré à l’article 5, §1, sous e), du RGPD, peuvent-elles être traitées licitement par le juge national ?