La preuve technique face au RGPD : la Cour de cassation consacre la pseudonymisation comme standard de conciliation entre le droit à la preuve et la protection des données

Le 17 juin 2026, la chambre commerciale de la Cour de cassation a rendu un arrêt publié au Bulletin qui, sous l’apparence d’un litige électoral interne à la société Orange, consacre une méthodologie dont la portée dépasse très largement le droit des sociétés. En validant la production en justice d’un rapport d’analyse technique fondé sur des données personnelles pseudonymisées, la Haute juridiction trace une voie concrète pour concilier l’exercice du droit à la preuve, protégé par l’article 6, § 1, de la Convention européenne des droits de l’homme, avec les exigences du Règlement général sur la protection des données (RGPD). Cet arrêt (pourvoi n° 25-11.499 Cass. com., 17 juin 2026, n° 25-11.499) s’inscrit dans une lignée jurisprudentielle dense, initiée par l’Assemblée plénière du 22 décembre 2023, qui a profondément renouvelé le régime de la preuve illicite ou déloyale en procès civil. Il en constitue l’application la plus aboutie au contentieux des données personnelles.

I. La loyauté de la preuve à l’ère du RGPD : un équilibre redessiné

A. De l’interdiction de principe à la balance des intérêts

Le droit de la preuve a connu, sous l’impulsion de la Cour de cassation et de la Cour européenne des droits de l’homme, une mutation profonde au cours des deux dernières décennies. Le principe de loyauté dans l’administration de la preuve, consacré par l’Assemblée plénière dans son arrêt du 7 janvier 2011 (pourvois n° 09-14.316 et 09-14.667 Ass. plén., 7 janv. 2011, n° 09-14.316), avait initialement conduit à écarter des débats toute preuve recueillie à l’insu de la personne ou obtenue par une manœuvre ou un stratagème. Cette solution, d’une rigueur certaine, trouvait son fondement dans la protection de la vie privée et le respect du contradictoire.

Par ailleurs, la chambre sociale avait, dès 2008, précisé que si l’employeur peut contrôler l’activité de ses salariés, il ne peut mettre en œuvre un dispositif de surveillance clandestin, et que les preuves ainsi obtenues sont irrecevables (Cass. soc., 18 mars 2008, n° 06-40.852). La chambre commerciale avait, quant à elle, rappelé le principe dans un arrêt du 10 novembre 2021 (pourvoi n° 20-14.669 Cass. com., 10 nov. 2021, n° 20-14.669), en écartant des enregistrements clandestins produits dans un litige entre associés.

Or, cette jurisprudence a été substantiellement infléchie par l’arrêt d’Assemblée plénière du 22 décembre 2023 (pourvoi n° 20-20.648 Ass. plén., 22 déc. 2023, n° 20-20.648), qui constitue désormais la décision de principe en la matière. La Cour y énonce que « l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats. Le juge doit, lorsque cela lui est demandé, apprécier si une telle preuve porte une atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit à la preuve et les droits antinomiques en présence, le droit à la preuve pouvant justifier la production d’éléments portant atteinte à d’autres droits à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi. »

La chambre sociale avait anticipé ce mouvement dans trois arrêts remarqués du 8 mars 2023. Dans la première espèce (pourvoi n° 21-17.802 Cass. soc., 8 mars 2023, n° 21-17.802), elle approuvait les juges du fond d’avoir écarté des enregistrements de vidéosurveillance irrégulière, après avoir constaté que « l’employeur ne produisait pas l’audit dont il faisait également état dans la lettre de licenciement », de sorte que la production des enregistrements n’était pas indispensable à l’exercice du droit à la preuve. Dans la seconde espèce (pourvoi n° 20-21.848 Cass. soc., 8 mars 2023, n° 20-21.848), elle précisait qu’« il appartient à la partie qui produit une preuve illicite de soutenir, en substance, que son irrecevabilité porterait atteinte au caractère équitable de la procédure dans son ensemble », faisant ainsi peser sur celui qui invoque le droit à la preuve la charge d’en solliciter le bénéfice.

La première chambre civile a repris cette formulation dans deux arrêts du 4 mars 2026, tous deux publiés au Bulletin. Le premier (pourvoi n° 24-12.114 Cass. 1re civ., 4 mars 2026, n° 24-12.114) reprochait à une cour d’appel d’avoir écarté des enregistrements effectués à l’insu de l’autre parent dans un contentieux familial, sans avoir procédé au contrôle de proportionnalité, au motif que « le juge doit s’assurer que ces enregistrements sont indispensables à l’exercice du droit à la preuve de celui qui les produit et, dans l’affirmative, que l’atteinte au droit au respect de la vie privée des personnes enregistrées qui en résulte est strictement proportionnée au but poursuivi ». Le second (pourvoi n° 25-17.582 Cass. 1re civ., 4 mars 2026, n° 25-17.582) réitérait ce principe dans un litige familial à dimension internationale.

Dès lors, le paysage probatoire a été intégralement recomposé : là où la preuve illicite ou déloyale était naguère frappée d’une irrecevabilité de principe, elle est désormais soumise à un test de proportionnalité dont les trois critères — indispensable, proportionnée, équitable — constituent le nouveau standard.

B. La spécificité du RGPD dans l’office du juge

L’irruption du RGPD dans le contentieux civil a ajouté une strate de complexité à ce contrôle. Le règlement européen du 27 avril 2016, entré en application le 25 mai 2018, consacre un droit à la protection des données à caractère personnel qui, sans être absolu, impose à toute personne traitant des données de respecter des principes de licéité, de finalité et de minimisation. L’article 4, point 5, du RGPD définit la pseudonymisation comme « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires ».

La chambre sociale avait, dès le 1er juin 2023, posé les premiers jalons de cette articulation dans l’affaire Renault Trucks (pourvoi n° 22-13.238 Cass. soc., 1er juin 2023, n° 22-13.238). Elle y jugeait que « le droit à la protection des données à caractère personnel n’est pas un droit absolu et doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité » et que le juge, saisi d’une demande de communication de pièces sur le fondement de l’article 145 du code de procédure civile, doit « vérifier quelles mesures sont indispensables à l’exercice du droit à la preuve et proportionnées au but poursuivi ».

L’arrêt le plus structurant sur ce point est celui rendu par la deuxième chambre civile le 3 octobre 2024 (pourvoi n° 21-20.979 Cass. 2e civ., 3 oct. 2024, n° 21-20.979), publié au Bulletin et au Rapport. La Cour y énonce une méthodologie en plusieurs étapes : « il appartient au juge saisi, en référé ou au fond, d’une demande de communication de documents concernant des tiers à l’instance et contenant des données à caractère personnel : de rechercher, d’abord, si cette communication n’est pas nécessaire à l’exercice du droit à la preuve et proportionnée au but poursuivi, ensuite, si les éléments dont la communication est demandée sont de nature à porter atteinte aux libertés et droits fondamentaux des personnes physiques concernées, et en particulier leur droit à la protection des données à caractère personnel ; de vérifier quelles mesures sont indispensables au droit à la preuve et proportionnées au but poursuivi et, au besoin, de limiter la communication et la production des pièces ; enfin, de veiller au principe de minimisation des données à caractère personnel, en ordonnant, au besoin d’office, l’occultation, sur les documents à communiquer, de toutes les données à caractère personnel non indispensables à l’exercice du droit à la preuve et proportionnées au but poursuivi. »

En application de ces principes, plusieurs cours d’appel ont eu à se prononcer sur la recevabilité de preuves techniques impliquant des données personnelles, non sans divergences d’appréciation. La cour d’appel de Paris, dans un arrêt du 12 février 2025, a ainsi admis la production de pièces obtenues par l’employeur après avoir procédé à la balance des intérêts exigée par la jurisprudence. La cour d’appel de Grenoble, dans une ordonnance de mise en état du 9 janvier 2025 (RG 22/02589), a, de manière remarquable, fait expressément référence à la jurisprudence de la Cour de justice de l’Union européenne (CJUE, 2 mars 2023, Norra Stockholm Bygg, C-268/21) pour apprécier la licéité d’une production de données personnelles en justice au regard du RGPD.

Cet édifice jurisprudentiel, patiemment construit, laissait toutefois subsister une zone d’incertitude : le test de proportionnalité et le principe de minimisation étaient-ils suffisants pour permettre la production en justice de données personnelles lorsqu’aucune voie alternative n’était réellement praticable ? L’arrêt du 17 juin 2026 apporte une réponse concrète et opératoire.

II. L’arrêt Orange du 17 juin 2026 : une méthodologie désormais éprouvée

A. La pseudonymisation comme clé de conciliation

Les faits de l’espèce méritent d’être rappelés avec précision. Le conseil d’administration de la société Orange, société mère du groupe éponyme, est composé de quinze membres, dont un administrateur représentant les salariés actionnaires. À l’issue d’un scrutin interne dont les résultats ont été contestés, la direction de la société a confié au cabinet EY une mission d’analyse technique. Ce cabinet a procédé à la pseudonymisation de l’ensemble des données personnelles utilisées, détruit les données initiales — lesquelles ne comportaient pas le contenu de courriers électroniques — puis réalisé une analyse purement volumétrique des données pseudonymisées, sans établir aucun fichier nominatif. Cinq constats dressés par un commissaire de justice les 18, 19, 20, 27 mars et 5 avril 2024 ont attesté de ces opérations.

La cour d’appel de Versailles, dans son arrêt du 10 décembre 2024, avait admis la production de ce rapport d’analyse technique, en considérant que le droit à la preuve de la société Orange justifiait une telle production. Le syndicat CFE-CGC Orange et les candidats du binôme adverse formaient un pourvoi en cassation, contestant notamment l’atteinte portée à la confidentialité des données personnelles des salariés et à la liberté syndicale.

La chambre commerciale rejette le pourvoi par une motivation qui, loin de se limiter à un contrôle restreint de l’appréciation souveraine des juges du fond, consacre une véritable méthode. Elle énonce, dans le droit fil de l’Assemblée plénière de 2023, que « dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats. Le juge doit, lorsque cela lui est demandé, apprécier si une telle preuve porte une atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit à la preuve et les droits antinomiques en présence. »

Puis, appliquant ce standard à l’espèce, la Cour relève que « le droit à la preuve le justifiant comme étant nécessaire à la défense de la société et proportionnée à l’atteinte extrêmement limitée à la confidentialité des données protégées par le Règlement général sur la protection des données et à la liberté syndicale résultant des modalités des opérations d’analyse. »

À cet égard, le raisonnement de la Cour de cassation identifie quatre caractéristiques du dispositif mis en œuvre par Orange qui, cumulativement, emportent la validation : la pseudonymisation intégrale des données par un tiers indépendant, la destruction des données initiales, l’absence de contenu de courriels, et le caractère purement volumétrique de l’analyse. La présence d’un commissaire de justice pour constater ces opérations constitue un cinquième élément, bien que la Cour n’en fasse pas une condition explicite de la validation.

En conséquence, l’arrêt du 17 juin 2026 ne se borne pas à appliquer un standard déjà connu ; il en fournit l’illustration la plus aboutie dans un contexte où les droits antagonistes — protection des données personnelles d’un côté, droit à la preuve de l’autre — atteignent leur tension maximale. La pseudonymisation, couplée à la supervision d’un tiers et à une analyse exclusivement quantitative, constitue le point d’équilibre que la chambre commerciale valide solennellement.

Cette solution trouve un écho dans la jurisprudence de la Cour de justice de l’Union européenne, qui a précisé dans l’arrêt Norra Stockholm Bygg du 2 mars 2023 (C-268/21) que l’article 6, § 3 et 4, du RGPD s’applique à la production en tant qu’élément de preuve d’un registre de personnel dans le cadre d’une procédure juridictionnelle civile. La cour d’appel de Grenoble, dans une ordonnance du 9 janvier 2025 (RG 22/02589), a fait application de cette jurisprudence européenne pour ordonner la communication de données sous pseudonymisation partielle.

L’innovation majeure de l’arrêt du 17 juin 2026 réside dans la combinaison de trois garanties cumulatives que la Cour de cassation valide implicitement comme suffisantes : l’externalisation du traitement à un tiers qualifié, la pseudonymisation intégrale avant analyse, et la destruction des données sources. Cette triple exigence, si elle devait être systématisée par les juridictions du fond, constituerait un standard technique opératoire que les directions juridiques d’entreprise pourraient intégrer dans leurs protocoles d’investigation interne, en amont de tout contentieux.

B. Les conséquences pratiques pour la stratégie probatoire

Cet arrêt emporte des conséquences pratiques considérables pour l’ensemble des contentieux dans lesquels la preuve repose, au moins partiellement, sur des données à caractère personnel. Il s’agit d’abord du contentieux prud’homal, où la question de la production de données de salariés aux fins de comparaison est récurrente, comme l’illustrait déjà l’arrêt de la deuxième chambre civile du 3 octobre 2024. Il s’agit ensuite du contentieux commercial, où les litiges entre associés ou entre sociétés mettent fréquemment en jeu des données personnelles de dirigeants, de salariés ou de clients. Il s’agit enfin du contentieux familial, où la production d’enregistrements ou de communications électroniques pose des questions aiguës de vie privée, comme l’a rappelé la première chambre civile le 4 mars 2026.

Pour le praticien, l’arrêt du 17 juin 2026 offre désormais une feuille de route opérationnelle. La partie qui souhaite produire une preuve impliquant des données personnelles doit, en premier lieu, s’assurer que cette preuve est indispensable à l’exercice de son droit, c’est-à-dire qu’elle ne peut atteindre un résultat probatoire équivalent par d’autres moyens plus respectueux des droits des personnes concernées. En deuxième lieu, elle doit démontrer que l’atteinte portée aux droits protégés — vie privée, protection des données, secret des correspondances — est strictement proportionnée au but poursuivi. En troisième lieu, elle doit mettre en œuvre, en amont de la production en justice, les mesures techniques de nature à réduire cette atteinte au minimum nécessaire.

La pseudonymisation, telle que définie par l’article 4, point 5, du RGPD, constitue à cet égard la mesure technique de référence. Elle doit être réalisée par un tiers indépendant, sous le contrôle d’un commissaire de justice, et conduire à une analyse qui ne permette pas la réidentification des personnes concernées. L’analyse purement volumétrique ou statistique des données, sans accès au contenu des communications ni établissement de fichiers nominatifs, satisfait à cette exigence.

La partie adverse qui conteste la recevabilité d’une telle preuve doit, conformément à l’enseignement de la chambre sociale du 8 mars 2023, invoquer expressément l’atteinte au caractère équitable de la procédure, faute de quoi le juge ne serait pas tenu de procéder d’office au contrôle de proportionnalité. Le débat probatoire se déplace ainsi du terrain de l’irrecevabilité de principe vers celui de la discussion technique des garanties mises en œuvre.

Par ailleurs, la solution dégagée dans l’arrêt Orange présente une articulation remarquable avec le régime de la preuve en matière pénale. Si le principe de loyauté de la preuve s’impose aux autorités publiques avec une rigueur que la Cour de cassation a rappelée avec constance, le procès civil obéit à une logique distincte, commandée par l’égalité des armes entre parties privées. L’article 6, § 1, de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales impose au juge de garantir que chaque partie dispose d’une possibilité raisonnable de présenter sa cause, ce qui peut justifier, comme en l’espèce, l’admission d’une preuve dont l’obtention initiale n’était pas exempte de toute critique.

La décision de la chambre commerciale s’inscrit ainsi dans une dynamique plus large de transformation du droit de la preuve, sous l’influence conjuguée de la Cour européenne des droits de l’homme, de la Cour de justice de l’Union européenne et du législateur européen. Le règlement général sur la protection des données, loin de constituer un obstacle dirimant à toute production de données personnelles en justice, appelle au contraire une conciliation équilibrée dont le juge est le garant. L’arrêt du 17 juin 2026 en administre la démonstration la plus convaincante à ce jour.

L’enseignement le plus précieux de cette décision est d’ordre méthodologique. La Cour de cassation ne se contente pas d’énoncer un principe ; elle décrit, en creux, la procédure que toute partie souhaitant produire une preuve fondée sur des données personnelles devrait suivre pour maximiser ses chances d’en voir reconnaître la recevabilité. L’intervention d’un tiers indépendant — en l’espèce le cabinet EY — assure une garantie d’impartialité dans le traitement des données. La pseudonymisation, définie à l’article 4, point 5, du RGPD, garantit que « les données à caractère personnel ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires ». La destruction des données initiales, enfin, constitue une sécurité supplémentaire contre tout risque de réidentification ou d’utilisation détournée. Ces trois garanties, cumulativement exigées, forment un standard que les juridictions du fond ne manqueront pas d’appliquer.

Ce standard trouve d’ailleurs une assise textuelle dans les dispositions du RGPD lui-même, dont l’article 6, § 1, soumet tout traitement de données à caractère personnel à l’une des conditions de licéité qu’il énumère, et dont le considérant 4 rappelle que « le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ». L’arrêt Orange illustre précisément cette mise en balance, en faisant prévaloir le droit à la preuve sans sacrifier la protection des données, au moyen d’un dispositif technique qui minimise l’atteinte à son strict nécessaire.

Conclusion

L’arrêt rendu par la chambre commerciale le 17 juin 2026 constitue bien davantage qu’une décision d’espèce : il offre aux praticiens un mode d’emploi de la preuve technique conforme au RGPD. La pseudonymisation intégrale, l’intervention d’un tiers indépendant, la destruction des données sources, l’analyse exclusivement quantitative et la supervision par un commissaire de justice forment les cinq piliers d’une méthodologie que les juridictions du fond ne manqueront pas d’appliquer dans les contentieux à venir. La charge de la preuve s’en trouve substantiellement aménagée : il appartient désormais à la partie qui produit une preuve technique impliquant des données personnelles non plus seulement d’établir son caractère indispensable, mais également de justifier des mesures techniques mises en œuvre pour minimiser l’atteinte aux droits des personnes concernées. Cette évolution, qui s’inscrit dans la lignée de l’Assemblée plénière du 22 décembre 2023 et des arrêts subséquents des chambres sociale, civile et commerciale, confère au juge un office renforcé dans le contrôle de proportionnalité, tout en offrant aux justiciables un cadre prévisible pour la construction de leur stratégie probatoire.

Le cabinet Kohen Avocats, fort de son expertise en droit pénal et en contentieux des affaires, assiste les entreprises et les particuliers confrontés à des litiges dans lesquels la preuve numérique et la protection des données personnelles constituent des enjeux déterminants. Pour toute question relative à la recevabilité d’une preuve dans le cadre d’un procès civil ou pénal, vous pouvez contacter Maître Hassan KOHEN au 06 89 11 34 45 ou par courrier électronique à l’adresse [email protected]. Le formulaire de contact en ligne est également accessible à l’adresse https://kohenavocats.com/contactez-nous/.

Cet article traite de questions générales de droit de la preuve et de protection des données. Pour approfondir les enjeux de droit pénal des affaires, vous pouvez consulter nos pages consacrées à l’escroquerie et à l’abus de confiance, infractions souvent liées aux contentieux de données numériques. L’avocat en fraude fiscale intervient également dans des dossiers où la preuve numérique occupe une place centrale.