La protection des données personnelles dans le cadre d’une enquête interne

La protection des données personnelles dans le cadre d’une enquête interne

Des enquêtes internes sont fréquemment mises en œuvre au sein des entreprises en cas de signalement (harcèlement, discrimination, …).

Le Défenseur des Droits est d’ores et déjà intervenu par une décision-cadre en date du 5 février 2025 afin d’harmoniser les pratiques en la matière : Le défenseur des droits au secours des droits de la défense du salarié mis en cause

Toutefois, la question de la protection des données personnelles collectées et exploitées dans le cadre desdites enquêtes restait en suspens.

Il est ainsi fait application du Règlement Général de Protection des Données, un texte européen qui vient renforcer les règles relatives à la protection des données personnelles.

Une décision récente du Conseil d’État du 1er décembre 2025 est venue préciser le cadre applicable aux traitements de données mis en œuvre dans le cadre de ces enquêtes internes.

Contrairement à ce qui était soutenu en l’espèce, le traitement des données personnelles des salariés au cours d’une enquête interne ne repose pas sur une obligation légale, mais sur l’intérêt légitime de l’entreprise au sens du RGPD (article 6).

L’employeur ne peut d’ailleurs se contenter d’invoquer l’intérêt de l’entreprise de manière abstraite. Il doit démontrer, concrètement, que le traitement est nécessaire et proportionné au regard de l’objectif poursuivi.

Cette qualification n’est pas neutre puisqu’elle a pour conséquence de permettre aux salariés d’exercer un droit d’opposition. Le salarié peut ainsi contester l’utilisation de ses données personnelles dans le cadre de l’enquête.

Le seul moyen pour l’employeur de s’opposer à l’exercice de ce droit d’opposition est de démontrer l’existence de motifs impérieux justifiant la poursuite du traitement, comme la nécessité de prévenir des risques graves ou de faire cesser des comportements illicites.

Par ailleurs, les salariés concernés par l’enquête interne peuvent user de leur droit d’accès aux données personnelles. Ils peuvent alors obtenir communication des informations les concernant.

Afin de mieux comprendre ce qu’implique le droit d’accès à ses données personnelles, notamment en matière de droit à la preuve : Droit d’accès aux données personnelles et droit à la preuve

L’employeur ne peut s’opposer à cette communication que dans des cas limités par le RGPD, notamment lorsque la demande est excessive ou lorsqu’il est nécessaire de préserver les droits et libertés des tiers.

Toutefois, cela ne signifie pas que le salarié peut accéder à l’intégralité d’un rapport d’enquête lorsque l’employeur ne se trouve pas dans l’un de ses cas.

Ce droit d’accès est limité aux données qui le concernent, ce qui peut se traduire sous forme d’extraits en occultant certaines informations susceptibles de porter atteinte aux droits d’autres salariés. Par exemple, le salarié peut demander la production d’échanges de mails utilisés dans le cadre de l’enquête dès lors qu’il en est l’auteur.

Ainsi, le Conseil d’État met en avant le rôle de l’employeur dans la recherche d’un équilibre entre la confidentialité des enquêtes internes et le respect des droits des salariés en matière de protection des données personnelles.