Cour d'appel, 7ème Ch Prud'homale, 27 février 2025, n° 24/02772

Motivation

MOTIFS DE LA DÉCISION : En préambule, il convient, pour la clarté des débats de rappeler les faits suivants: >Par courriel du 6 février 2023, Mme [K] a fait part à son employeur qu'elle souhaitait " obtenir une copie, en langage clair, de l'ensemble des données me concernant figurant dans vos fichiers informatisés ou manuels, en application de l'article 15 du Règlement général sur la protection des données (RGPD) ; exercer un droit d'accès à mes courriels, aussi, vous voudrez me fournir tant les métadonnées (horodatage, destinataires') que le contenu desdits courriels - la communication d'une copie desdits courriels serait de nature à vous permettre de satisfaire ma demande. Je vous remercie de me faire parvenir votre réponse dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception de ma demande (article 12.3. du RGPD). A défaut de réponse de votre part dans les délais impartis ou en cas de réponse incomplète, je me réserve la possibilité de saisir la CNIL d'une réclamation. "; >la société Engie green France lui répondait le 8 février 2023, par le voie de M. [O], Directeur général de Engie Green : " Nous vous confirmons que nous allons, prendre attache auprès de notre service informatique, afin d'opérer les extractions nécessaires à la communication de vos données personnelles et notamment l'extraction de vos courriers électroniques dont la communication ne porte pas atteinte au secret des affaires, à la propriété intellectuelle ou plus globalement aux droits et libertés d'autrui. Toutefois, nous vous informons que, compte tenu de l'importance de votre demande, du volume de données qu'elle représente et de la complexité de traitement de ces données, nous entendons bénéficier de la prolongation du délai prévue par l'article 12 du RGPD de deux mois supplémentaires. Nous vous remercions également de bien vouloir nous préciser les données personnelles dont vous sollicitez la communication pour faciliter le traitement de votre demande qui est à ce jour relativement large, dès lors que vous réclamez (outre vos courriers électroniques) "l'ensemble des données vous concernant figurant dans nos fichiers informatisés ou manuels" ". >par courriel du 21 février 2023, Mme [K] apportait les précisions suivantes : " Je vous précise, suite à votre demande, que dans un premier temps, la communication : - d'une copie de l'ensemble de mes courriels Outlook et messagerie Teams (dont j'étais émettrice ou destinataire), sur 3 années plus l'année en cours - autrement dit une copie de ma boite mail sur 2020, 2021, 2022 et 2023, en ce compris les mails archivés, - d'une copie de mon agenda Outlook sur les années 2020, 2021, 2022 et 2023, - ainsi qu'une copie de mon dossier RH (extrait de mon dossier OneHR, toutes données concernant mon recrutement, l'historique de ma carrière, ma rémunération, l'évaluation de mes compétences, mes entretiens annuels et professionnels, mon dossier disciplinaire, les données me concernant au titre de mon appartenance au programme ENGIE UP!, mon contrat de travail, ses annexes et avenants, mes fiches de poste, les relevés de l'outil GTA, mes notes de frais), depuis le 1er juin 2019, - et d'un relevé de mes connections au moyen de mon identifiant sur 2020, 2021, 2022 et 2023, serait de nature à vous permettre de satisfaire ma demande." >Par courriel du 12 avril 2023, la société Engie Green France en la personne de M. [L], répondait en ces termes : " En réponse à votre demande d'exercice des droits émise le 6 février dernier, nous te prions de trouver une copie des éléments demandés : Copie de votre dossier RH comprenant vos entretiens annuels, la copie de votre contrat de travail, ses annexes et avenants, copies de vos relevés de l'outil GTA (pour la période 2019 à 2023), les copies de vos notes de frais. Concernant la copie de vos logs, nous reviendrons vers vous dans un mail prochain. Concernant votre demande d'une copie de l'ensemble de vos courriels Outlook et messagerie Teams sur les trois précédentes années plus l'année en cours, cela représente plus de 214.000 mails à traiter ainsi qu'une volumétrie importante pour la messagerie Teams. ('). Nous avons l'obligation d'analyser le contenu de l'ensemble de vos messages professionnels Outlook et Teams. En effet, le droit d'accès porte sur les données personnelles et l'exercice de ce droit ne peut pas se faire au détriment du droit des tiers (secret des affaires et de la propriété intellectuelle, droit à la vie privée, secret des correspondances) - article 15.4. du RGPD. Nous allons devoir identifier ces contenus afin de supprimer, ou pseudonymiser les données concernant des tiers ou portant atteinte à un secret pour pouvoir faire droit à votre demande. (') Aussi, pour répondre au mieux à votre d'accès sur votre messagerie Outlook et Teams, nous souhaiterions obtenir les précisions suivantes de votre part sur : *les destinataires des mails ; *les expéditeurs des mails ; *la période couverte par votre demande ; *les thématiques concernées. " >, la société Engie Green France relançait Mme [K] par courriel du 27 avril 2023 et l'informait, par courriel du 27 juin 2023 : " Nous sommes restés sans réponse de ta part depuis le mail du 27 avril. Pourrais-tu stp prendre le temps de répondre pour que nous puissions faire le nécessaire. Sans réponse de ta part dans un délai de 2 mois, nous estimerons cette demande clôturée. " >par courriel du 4 octobre 2023 adressé à la société Engie Green France, Mme [K] réitérait sa demande de production de l'ensemble des données la concernant figurant dans le fichiers informatisés ou manuels d'Engie Green France en application de l'article 15 du RGPD sous 8 jours, à défaut de quoi elle saisira la CNIL. Elle rappelait qu'après avoir précisé sa demande par courriel du 4 octobre 2023, " je n'ai reçu aucun retour à part un mail confus en date du 27 avril, qui contenait quelques pièces inexploitables, et une nouvelle demande de précision du périmètre à laquelle mon mail du 13 février répondait déjà. Il mentionnait en outre que concernant la copie de mes logs, l'on me reviendrait dans " un mail prochain ". Je n'ai reçu aucun mail depuis lors " ; >par courrier adressé à la société Engie Green France le 16 mai 2024, la CNIL l'informait qu'elle avait reçu une réclamation de la part d'un usager rencontrant des difficultés dans l'exercice des droits dont il dispose sur ses données à caractère personnel, lui rappelait la procédure et les délais applicables précisant: " Si vous ne donnez pas une suite favorable à sa demande, vous devez l'informer des motifs de votre inaction, de la possibilité d'introduire une réclamation auprès de la CNIL et de former un recours juridictionnel (article 12.4 du RGPD). Par conséquent, je vous remercie de bien vouloir répondre à la demande de l'usager. L'usager va être informé de la présente intervention et être invité à revenir vers la CNIL s'il ne reçoit pas de réponse satisfaisante de votre part. A ce stade, ce courrier n'appelle pas de réponse de votre part auprès de la CNIL " ; >par courrier du 24 mai 2024, la société Engie Green France précisait à la CNIL la teneur des échanges précédents entre elle et Mme [K] et précisait: " Compte tenu du poste de Directrice juridique occupé par Mme [K], le contenu des courriels envoyés ou reçus par celle-ci est particulièrement sensible pour Engie Green en ce qu'il peut contenir des informations protégées par le secret commercial ou des affaires, la propriété intellectuelle, des échanges protégées par le secret professionnel de l'avocat (correspondances entre avocats et Engie Green) ou encore des informations qui pourraient nuire à la vie privée ou aux droits de tiers. Compte tenu du volume de données concernées, il n'est pas raisonnablement possible pour Engie Green de procéder à la revue de chacun de ces courriels afin de procéder à un tri ou d'appliquer des mesures d'anonymisation ou de pseudonymisation. Afin de ne pas refuser totalement la demande de Mme [K], Engie Green à dès lors demandé des précisions complémentaires. Mme [K] n'a jamais répondu à cette demande de précisions complémentaires, malgré deux relances effectuées par courriels des 27 avril et 27 juin 2023 et s'est contentée de réitérer à l'identique sa demande initiale, par courriel du 4 octobre 2023. Dans ces circonstances, contrairement à ce que Mme [K] vous a indiqué, notre société a répondu à sa demande et attend toujours de cette dernière qu'elle lui apporte les précisions qui permettront à Engie Green d'éventuellement compléter sa réponse. " &&&&& L'article 8 de la Charte des droits fondamentaux de l'Union européenne dispose que : " 1. Toute personne a droit à la protection des données à caractère personnel la concernant. 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi. Toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la rectification. 3. Le respect de ces règles est soumis au contrôle d'une autorité indépendante." L'article 15 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, prévoit que : " Droit d'accès de la personne concernée La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel [Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Mais, parce qu'elles concernent des personnes, celles-ci doivent en conserver la maîtrise. Une personne physique peut être identifiée : directement (exemple : nom et prénom) ; indirectement (exemple : par un numéro de téléphone ou de plaque d'immatriculation, un identifiant tel que le numéro de sécurité sociale, une adresse postale ou courriel, mais aussi la voix ou l'image)],ainsi que les informations suivantes: a) les finalités du traitement [un traitement de données est une opération, ou ensemble d'opérations, portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement organisation, conservation, adaptation, modification, extraction consultation, utilisation, communication par transmission ou diffusion ou toute autre forme de mise à disposition, rapprochement). Un traitement de données personnelles n'est pas nécessairement informatisé : les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions. Un traitement de données doit avoir un objectif, une finalité déterminée préalablement au recueil des données et à leur exploitation ; synonyme : utilisation de données]. b) les catégories de données à caractère personnel concernées [Les catégories de données personnelles sont les types d'informations recueillies, telles que l'identité, la situation familiale, économique ou financière, les données bancaires, les données de connexion, les données de localisation, etc']; c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales; d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée; e) l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement; f) le droit d'introduire une réclamation auprès d'une autorité de contrôle; g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source; h) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d'être informée des garanties appropriées, en vertu de l'article 46, en ce qui concerne ce transfert. Le responsable du traitement [c'est-à-dire la personne morale (entreprise, commune, etc.) ou physique qui détermine les finalités et les moyens d'un traitement, c'est à dire l'objectif et la façon de le réaliser ; il s'agit de la personne morale incarnée par son représentant légal] fournit une copie des données à caractère personnel faisant l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d'usage courant, à moins que la personne concernée ne demande qu'il en soit autrement. Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d'autrui. Le considérant n°63 sous l'article 15 du RGPD prévoit que : " Considérant 63 (63) Une personne concernée devrait avoir le droit d'accéder aux données à caractère personnel qui ont été collectées à son sujet et d'exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d'en vérifier la licéité. Cela inclut le droit des personnes concernées d'accéder aux données concernant leur santé, par exemple les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d'examens, des avis de médecins traitants et tout traitement ou intervention administrés. En conséquence, toute personne concernée devrait avoir le droit de connaître et de se faire communiquer, en particulier, les finalités du traitement des données à caractère personnel, si possible la durée du traitement de ces données à caractère personnel, l'identité des destinataires de ces données à caractère personnel, la logique qui sous-tend leur éventuel traitement automatisé et les conséquences que ce traitement pourrait avoir, au moins en cas de profilage. Lorsque c'est possible, le responsable du traitement devrait pouvoir donner l'accès à distance à un système sécurisé permettant à la personne concernée d'accéder directement aux données à caractère personnel la concernant. Ce droit ne devrait pas porter atteinte aux droits ou libertés d'autrui, y compris au secret des affaires ou à la propriété intellectuelle, notamment au droit d'auteur protégeant le logiciel. Cependant, ces considérations ne devraient pas aboutir à refuser toute communication d'informations à la personne concernée. Lorsque le responsable du traitement traite une grande quantité de données relatives à la personne concernée, il devrait pouvoir demander à celle-ci de préciser, avant de lui fournir les informations, sur quelles données ou quelles opérations de traitement sa demande porte. " L'article 12 du même règlement " Transparence des informations et des communications et modalités de l'exercice des droits de la personne concernée " prévoit que : Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l'article 11, paragraphe 2, le responsable du traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. Aucun paiement n'est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l'article 34. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut : a) exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées; ou b) refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. Sans préjudice de l'article 11, lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée. Les informations à communiquer aux personnes concernées en application des articles 13 et 14 peuvent être fournies accompagnées d'icônes normalisées afin d'offrir une bonne vue d'ensemble, facilement visible, compréhensible et clairement lisible, du traitement prévu. Lorsque les icônes sont présentées par voie électronique, elles sont lisibles par machine. La Commission est habilitée à adopter des actes délégués en conformité avec l'article 92, aux fins de déterminer les informations à présenter sous la forme d'icônes ainsi que les procédures régissant la fourniture d'icônes normalisées." &&&&& Sur la demande fondée sur l'article 15 du règlement général sur la protection des données 2016/679/UE Sur la compétence et les pouvoirs du juge des référés pour ordonner la communication des données personnelles : À titre liminaire, il convient de rappeler que la formation de référé du conseil de prud'hommes dispose des pouvoirs suivants : - Dans tous les cas d'urgence, ordonner toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou qui justifient l'existence d'un différend (article R. 1455-5 du code du travail) ; - En cas de " dommage imminent " ou de " trouble manifestement illicite ", prescrire les mesures pour le prévenir ou le faire cesser (article R. 1455-6 du code du travail) ; - Si l'existence de l'obligation n'est pas sérieusement contestable, accorder une provision au demandeur ou ordonner l'exécution de l'obligation même s'il s'agit d'une obligation de faire (article R. 1455-7 du code du travail). Les conditions (urgence, absence de contestation sérieuse, dommage imminent, trouble manifestement illicite) posées par les articles R. 1455-5 et R. 1455-6 du code du travail définissent les pouvoirs de la formation de référé en tant que juridiction et non sa compétence. En outre, il est constant que la condition d'urgence prévue à l'article R.1455-5 du code du travail n'est pas requise lorsqu'il est sollicité, en application de l'article R. 1455-7 du même code, le paiement d'une provision ou que soit ordonnée l'exécution d'une obligation de faire. Il est seulement exigé en pareille hypothèse la constatation de ce que l'obligation n'est pas sérieusement contestable. L'article 15 du règlement général sur la protection des données 2016/679/UE dispose que toute personne concernée a un droit d'accès à ses données à caractère personnel détenues par le responsable du traitement. L'alinéa 3 de l'article 15 précise que la personne concernée a le droit d'obtenir une copie des données à caractère personnel. Aux termes de l'article 79 du RGPD " Droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant " Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d'introduire une réclamation auprès d'une autorité de contrôle au titre de l'article 77, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d'un traitement de ses données à caractère personnel effectué en violation du présent règlement. Toute action contre un responsable du traitement ou un sous-traitant est intentée devant les juridictions de l'État membre dans lequel le responsable du traitement ou le sous-traitant dispose d'un établissement. Une telle action peut aussi être intentée devant les juridictions de l'État membre dans lequel la personne concernée a sa résidence habituelle, sauf si le responsable du traitement ou le sous-traitant est une autorité publique d'un État membre agissant dans l'exercice de ses prérogatives de puissance publique. " Aux termes de l'article 49 de la loi n°78-17 relative à l'informatique, aux fichiers et aux libertés tel que modifié par l'ordonnance n° 2018-1125 du 12 déc. 2018, " Le droit d'accès de la personne concernée s'exerce dans les conditions prévues à l'article 15 du règlement (UE) 2016/679 du 27 avril 2016. En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. " En application des articles L1411-1 et suivants du code du travail la juridiction prud'homale est compétente pour trancher les litiges dans les relations de travail. Il résulte de l'application combinée de ces dispositions légales et réglementaires que le juge des référés est compétent pour ordonner, la communication de pièces relatives aux données à caractère personnel du salarié, détenues par l'employeur. Sur la recevabilité de la demande de Mme [K] : Au soutien de la fin de non-recevoir tirée du défaut d'intérêt né et actuel à agir au sens de l'article 32 du code de procédure civile de Mme [K], la société Engie Green France fait valoir que lorsqu'elle a saisi, le 16 janvier 2024, la formation de référé du CPH de [Localité 5], la salariée n'avait pas répondu aux demandes de précision que lui avait adressé la société les 12 avril, 27 avril et 27 juin 2023, conformément aux dispositions de l'article 15 et du Considérant 63 du RGPD, de sorte que le délai de 3 mois, prévu à l'article 12 du RGPD, à l'issue duquel elle pouvait saisir la CNIL ou une juridiction de son choix, n'avait pas commencé à courir. En réplique, Mme [K] relève que la société Engie Green France n'a communiqué aucune des données personnelles qu'elle réclamait dans son courriel du 6 février 2023, alors qu'en application de l'article 12.3 du RGPD, elle devait répondre au plus tard le 6 mai 2023, notamment en s'abstenant de remettre les journaux de connexion qu'elle annonçait et de fournir les agendas Outlook. Elle estime donc avoir un intérêt légitime à agir pour obtenir la communication de ses données. Le CPH de [Localité 5] a omis de statuer sur cette fin de non-recevoir. La cour observe que, contrairement à ce que soutient la société Engie Green France, Mme [K], en réponse à la demande de son ex-employeur a précisé sa demande dans un courriel du 21 février 2023 reproduit plus haut. Pour autant, la société, plutôt que de communiquer à Mme [K], par exemple, un tableau récapitulatif comprenant la liste des messages conservés dont la demanderesse était l'expéditrice, et celle dont elle était destinataire, a préféré l'inviter de nouveau à mentionner : *les destinataires des courriers électroniques dont elle souhaitait obtenir la copie ; *les expéditeurs des courriers électroniques dont elle souhaitait obtenir la copie; *la période couverte par sa demande ; *les thématiques concernées par ces correspondances ; alors que Mme [K] avait justement circonscrit sa requête s'agissant de ces trois premiers items. Dès lors, l'action de Mme [K], qui disposait d'un intérêt à agir, doit être déclarée recevable, étant rappelé, au surplus et surabondamment, qu'il n'est nul besoin pour le requérant de justifier d'un motif (en ce sens, CJUE, 26 octobre 2023, C-307/22 § 38 : " Force est de constater que ni le libellé de l'article 12, paragraphe 5, du RGPD ni celui de l'article 15, paragraphes 1 et 3, de ce règlement ne conditionnent la fourniture, à titre gratuit, d'une première copie des données à caractère personnel à l'invocation, par ces personnes, d'un motif visant à justifier leurs demandes. Ces dispositions ne donnent donc pas au responsable du traitement la possibilité d'exiger de motifs de la demande d'accès présentée par la personne concernée. " § 43 " Dès lors que, ainsi qu'il résulte du point 38 du présent arrêt, la personne concernée n'est pas tenue de motiver la demande d'accès aux données, la première phrase du considérant 63 ne saurait être interprétée en ce sens que cette demande doit être rejetée si elle vise un objectif autre que celui de prendre connaissance du traitement des données et d'en vérifier la licéité. Ce considérant ne saurait en effet restreindre la portée de l'article 15, paragraphe 3, du RGPD, tel que rappelé au point 35 du présent arrêt. ") - si bien qu'un responsable de traitement n'est pas autorisé à se prévaloir même d'une simple suspicion que les données personnelles communiquées soient utilisées à son encontre, y compris dans la perspective d'un contentieux prud'homal à la suite d'un licenciement (EDPB, Guidelines 01/2022 on data subject rights - Right of access, v.2.0, 28 March 2023, pt 2.1, p. 9, [sect] 13. - V) -, et notamment pas d'un " motif légitime " tel que prévu à l'article 145 du code de procédure civile. Sur le fond : La société Engie Green France soutient qu'elle a déjà transmis à Mme [K] : *ses entretiens annuels, *la copie de son contrat de travail, ses annexes et avenants ; *la copie des relevés de l'outils GTA pour la période 2019 à 2023 ; *les copies de ses notes de frais. Outre qu'aucune pièce n'est jointe au mail du 12 avril 2023 tel qu'il est versé aux débats, et que la société Engie Green France ne justifie pas, dans le cadre de la présente instance, les avoir adressées dans leur intégralité à Mme [K], cette dernière a relevé, par courriel du 4 octobre 2023 en réponse à son employeur " qu'elle n'a eu que quelques pièces inexploitables, accompagnées d'une nouvelle demande de précision du périmètre ". La cour observe que la société Engie Green France ne développe aucun moyen opposant à la communication des catégories de données personnelles visées ci-dessus et pas davantage en ce qui concerne les relevés de connexion (ou "copie des logs "), et l'agenda Outlook des années 2020 à 2023. En réalité, les contestations de la société Engie Green France se focalisent sur les courriels et la messagerie Teams qui sont seuls en litige. Pour infirmation de l'ordonnance entreprise, Mme [K] fait valoir que: -s'il est exact que la communication des données personnelles doit se concilier avec le droit des tiers comme le prévoit le considérant 63 sous l'article 15 du RGPD, il résulte de l'analyse de la CNIL (sa fiche du 5 janvier 2022) et du guide du droit d'accès du Comité européen de protection des données du 28 mars 2023, que le responsable du traitement ne peut opposer un refus a priori, qu'il lui appartient d'établir ces droits des tiers, que, lorsque la demande d'un salarié porte sur des courriels dont il a été l'émetteur ou le destinataire, la communication des courriels est présumée respectueuse des droits des tiers ; en tout état de cause, l'employeur peut toujours supprimer, anonymiser ou pseudonymiser les données concernant des tiers ; -s'agissant du volume des données à communiquer, c'est au responsable du traitement de démontrer le caractère excessif ou manifestement infondé de la demande, comme l'a rappelé la CNIL dans sa délibération du 27 mai 2021, ce que la société intimée ne fait pas ; en réponse à la demande de Mme [K] d'obtenir ses données personnelles (courriels et messages Teams sur la période 2020-2023), la société Engie Green France ne pouvait ajouter des conditions additionnelles faisant obstacle à l'exercice de son droit et alors qu'elle a déjà disposé des deux mois supplémentaires (soit 4 mois au total) ; -les données personnelles qu'elle sollicite ont pour seule vocation d'être utilisées dans le cadre du contentieux prud'homal qui l'oppose à la société Engie Green France et en particulier de répondre à son obligation de présenter des éléments suffisamment précis quant aux heures supplémentaires dont elle entend demander le paiement d'une part, et de démontrer que l'insuffisance professionnelle alléguée par son ancien employeur n'est pas établie ; la cour peut toujours ordonner d'office le cantonnement en lui faisant injonction de n'utiliser ces données " courriels " qu'aux seules fins de son action prud'homale contre la société Engie Green France. Concernant les données personnelles dont la salariée demande la transmission, la société fait valoir, reprenant l'argumentation développée dans les échanges avec Mme [K], que ces données: >représentaient 214.000 courriers électroniques et une volumétrie considérable de messages TEAMS ; elle n'en justifie cependant par aucune pièce ; >contenaient nécessairement, compte tenu du poste qu'elle occupait de "Directrice Juridique ", des données extrêmement sensibles et confidentielles relatives notamment au secret des affaires, à la propriété intellectuelle ou plus globalement aux droits et libertés et de tiers, ici encore sans en justifier par la moindre pièce ; >que Mme [K] n'a pas répondu à sa demande de précision afin de pouvoir vérifier que ces données ne portaient pas atteinte au secret des affaires, à la propriété intellectuelle ou plus globalement aux droits et libertés de tiers. Elle en conclut que c'est à bon droit que le CPH a considéré que la demande de Mme Grosso se heurtait à une contestation sérieuse. A titre liminaire, il convient de rappeler que les courriels sont des traitements de données à caractère personnel ce qui n'est pas discuté. Par ailleurs, la société intimée n'invoque aucune durée de conservation de nature à faire obstacle à la communication à Mme [K] de ses données personnelles sur la période en cause (2020-2023). Les articles 15 et 12 du RGPD doivent être interprétés à la lumière de l'analyse qu'en font tant le Comité européen de protection des données (Lignes directrices 01/2022 sur les droits des personnes concernées adoptées le 28 mars 2023) que la Commission Nationale Informatique et Libertés (sa délibération n°2021-070 du 27 mai 2021) : >L'article 12 alinéa 5 b) du RGPD énonce que lorsque les demandes d'une personne concernée sont "manifestement" infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable de traitement peut refuser de donner suite à ces demandes. Le caractère manifestement infondé ou excessif d'une demande doit faire l'objet d'une appréciation au cas par cas par le responsable de traitement détenteur des données, et le terme manifestement implique que le caractère infondé soit indéniable et évident. La quantité de données faisant l'objet de la demande ne constitue pas une justification suffisante pour considérer qu'une demande est excessive. Autrement dit le droit d'accès ne comporte aucune réserve générale quant à la proportionnalité en ce qui concerne les efforts que le responsable du traitement doit prendre pour répondre à la demande des personnes concernées au titre de l'article 15 du RGPD. En définitive, le caractère manifestement infondé ou excessif d'une demande de communication de données à caractère personnel ne peut être retenu que lorsque les exigences de l'article 15 du RGPD ne sont pas remplies, à savoir que: *les informations sollicitées ne constituent pas des données personnelles ; *qu'elles ne font pas l'objet d'un traitement ; *qu'elles ne sont pas relatives au demandeur, mais se rapportent exclusivement à des tiers ; Il est acquis aux débats que tel n'est pas le cas en l'espèce. Il appartient en tout état de cause au responsable du traitement de rapporter la preuve que la demande est excessive ; au cas présent, la société Engie Green France est totalement défaillante dans cette démonstration. >Le droit d'accès porte uniquement sur les données personnelles et non pas sur des documents. Si " document " et " donnée personnelle " sont deux notions différentes, il n'est pas interdit à l'organisme de communiquer les documents contenant les données plutôt que les seules données ; tel est le cas pour des courriels. La CJUE a en effet dit pour droit que, si la fourniture d'une copie d'extraits de documents voire de documents entiers est indispensable pour permettre à la personne concernée d'exercer effectivement ses droits, alors le droit d'obtenir la copie implique qu'il soit remis à la personne concernée une reproduction fidèle et intelligible de l'ensemble de ces données étant souligné qu'il doit être tenu compte, à cet égard, des droits et libertés d'autrui. (CJUE, 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C 487/21, point 45). Ainsi, lorsqu'une personne concernée souhaite exercer son droit d'accès à des courriels, l'employeur doit fournir tant les métadonnées (horodatage, destinataires') que les données personnelles contenues dans les courriels. Dans cette situation, la communication d'une copie des courriels peut apparaître comme la solution la plus aisée pour que l'organisme puisse satisfaire la demande. >L'exercice du droit d'accès ne doit pas porter atteinte aux droits des tiers mais ne peut pas fonder un refus général : L'organisme doit permettre un accès aux seules données dont la communication ne porte pas une atteinte disproportionnée aux droits d'autrui, sans toutefois refuser de satisfaire à la demande de manière générale. En matière de droit d'accès à des données contenues dans des courriels professionnels, le respect du droit à la vie privée, le secret des affaires, le secret des correspondances et le droit de la propriété intellectuelle peuvent parfois faire obstacle à la communication de certaines données personnelles au demandeur - étant rappelé que le droit d'accès ne porte que sur les données à caractère personnel contenues dans les courriels. Ces arguments ne pourront pas être invoqués par l'employeur sans justification étayée auprès du demandeur : le responsable du traitement doit être en mesure de démontrer que, dans la situation concrète, les droits ou libertés d'autrui seraient en fait affectés. Ici encore, la société Engie Green France échoue dans cette démonstration faute d'articuler quelque moyen que ce soit à l'appui de cette thèse et de produire la moindre pièce à cet égard. Au cas présent, Mme [K] limite sa demande aux courriels professionnels dont elle est soit l'expéditrice soit la destinataire. Or, dans cette hypothèse, c'est pertinemment qu'elle fait valoir, dans le droit fil de la position adoptée par la CNIL que, dans la mesure où elle a déjà eu, connaissance des informations contenues dans les messages visés par la demande, la communication des courriels est présumée respectueuse des droits des tiers de sorte que l'anonymisation ou la pseudonymisation des informations relatives aux tiers constitue une bonne pratique, et non une condition préalable à la transmission des communications sollicitées. Dans ces conditions, et en l'absence de contestation sérieuse, il convient de faire droit à la demande de Mme [B] [K]. La société Engie Green France devra transmettre à Mme [K], dans un délai de deux mois à compter de la signification du présent arrêt, la copie des documents suivants détenus par l'entreprise : -son dossier Ressources humaines comprenant toutes données relatives à son recrutement, à son historique de carrière, à l'évaluation de ses compétences professionnelles, à sa rémunération, à son dossier disciplinaire, à son appartenance au programme Engie Up !, ses fiches de poste, ses relevés de l'outil informatique du contrôle du temps de travail GTA, depuis le 1er juin 2019 ; - les relevés de connexion au moyen de son identifiant, c'est-à-dire les dates et heures de connexion au réseau interne de l'entreprise et d'utilisation de l'ordinateur mis à sa disposition pour les années 2020, 2021, 2022 et 2023, - son agenda Outlook, pour les années 2020, 2021, 2022 et 2023. -l'ensemble des courriels de sa messagerie professionnelle Outlook et de sa messagerie Teams, exclusivement ceux dont elle était l'émettrice ou la destinataire principale, et, pour cette dernière catégorie en excluant ceux où elle figurait seulement en copie, pour les années 2020, 2021, 2022 et 2023 ; La cour précise que : >les informations seront fournies sous une forme électronique d'usage courant, (dans la mesure où Mme [K] a présenté sa demande par voie électronique), à savoir dans un format structuré, couramment utilisé et lisible, conforme aux formats habituels utilisés dans le domaine d'activité des parties, via un processus de téléchargement de documents qui en assurera la pérennité et dans des conditions de sécurité satisfaisantes ; >le cas échéant les pièces seront anonymisées en vue de respecter le droit à la vie privée des tiers, le secret des affaires et le droit de la propriété intellectuelle. >les éléments fournis par la société Engie Green France ne pourront exclusivement être utilisés que dans le cadre d'un éventuel contentieux prud'homal entre Mme [K] et la société Engie Green France. Sur la demande d'astreinte Il sera fait droit à la demande d'astreinte, pour assurer l'effectivité de la transmission des documents. Elle sera fixée à 50 euros par jour de retard, à l'expiration du délai de 60 jours suivant la notification de la présente décision, et pour une durée de 90 jours. La cour se réserve la liquidation de l'astreinte. Sur les dépens et les frais irrépétibles La société Engie Green France sera condamnée à payer à Mme [K] la somme de 2.500 euros sur le fondement de l'article 700 du code de procédure civile pour les frais irrépétibles exposés en première instance et en appel, l'employeur étant débouté de sa propre demande à ce titre. La société Engie Green France sera condamnée aux dépens de première instance et d'appel.