Droit Vivant · Jurisprudence UE & preuve numérique · 28 août 2026

Son ancien employeur s'est connecté à son compte eBay privé avec son identifiant et son mot de passe : la Cour de justice vient de dire que le juge peut quand même utiliser ces preuves

Principe-clé : une donnée personnelle obtenue en violation du RGPD n'est pas, pour cette seule raison, écartée des débats — le juge qui la traite dispose de sa propre base légale, tirée de son obligation légale de statuer sur l'admissibilité de la preuve et du droit à un procès équitable ; l'illicéité de la collecte et l'irrecevabilité de la preuve sont deux questions distinctes.

Textes de référence

art. 5, §1, c) RGPD — minimisation : données adéquates, pertinentes et limitées à ce qui est nécessaire
art. 5, §1, e) RGPD — limitation de la conservation
art. 6, §1, c) et §3 RGPD — licéité tirée d'une obligation légale du responsable de traitement ; la liste de l'article 6, §1, est exhaustive et limitative
art. 17, §3, e) RGPD — pas d'obligation d'effacement lorsque les données sont nécessaires à la constatation, l'exercice ou la défense d'un droit en justice
art. 7, 8, 47 et 52, §1, Charte — vie privée, protection des données, droit à un recours effectif et à un procès équitable, conditions de limitation des droits
art. 6, §1, CEDH — procès équitable, fondement du « droit à la preuve »
art. 323-1 code pénal — accès frauduleux à un système de traitement automatisé de données (droit français)
Cass. ass. plén., 22 déc. 2023, n° 20-20.648 et n° 21-11.330 — contrôle de proportionnalité de la preuve déloyale devant le juge civil français

L'affaire

CJUE, cinquième chambre, 18 juin 2026, NTH Haustechnik, C-484/24, sur renvoi préjudiciel du Landesarbeitsgericht Niedersachsen (cour d'appel du travail de Basse-Saxe, Allemagne) ; conclusions de l'avocat général Dean Spielmann présentées le 16 octobre 2025.

NTH Haustechnik GmbH, entreprise de chauffage et de climatisation, met fin au contrat de travail de EM, qui conserve néanmoins l'accès aux locaux et aux ordinateurs qui s'y trouvent. Trois ans plus tard, NTH découvre que EM a vendu, via la plateforme eBay, des biens dont l'entreprise revendique la propriété.

NTH a pris connaissance de ces ventes en accédant au compte eBay privé de EM au moyen de son identifiant et de son mot de passe. La juridiction de renvoi n'exclut pas que cette collecte ait été illicite — et demande si elle peut malgré tout prendre la preuve en considération.

La Cour répond en cinq temps. 1) L'admissibilité et l'appréciation des preuves relèvent du droit national. 2) Mais le juge qui extrait des données personnelles de pièces transmises par une partie accomplit lui-même un acte de collecte : il est responsable de traitement. 3) L'article 17, §3, e), n'est pas une base de licéité alternative. 4) La minimisation n'oblige pas le juge à un contrôle de proportionnalité pour chaque traitement pris isolément. 5) Ni la Charte ni le RGPD ne s'opposent à ce que le juge utilise une preuve obtenue en violation de la vie privée et de la protection des données — mais, avant de divulguer ces données aux parties ou à des tiers, il doit vérifier qu'elles se limitent au nécessaire et réduire autant que possible l'atteinte.

Pourquoi c'est important

C'est la fin d'un raisonnement très répandu en entreprise comme en contentieux : « la preuve a été obtenue en violation du RGPD, donc elle est nulle ». La Cour dissocie nettement deux plans. Sur le plan de la conformité, celui qui se connecte au compte d'autrui reste pleinement exposé — sanction administrative, responsabilité civile, et en France l'incrimination d'accès frauduleux à un système de traitement automatisé de données. Sur le plan probatoire, en revanche, le juge n'est pas tenu d'écarter la pièce : son propre traitement repose sur une base autonome, l'obligation légale de statuer sur l'admissibilité, adossée à un objectif d'intérêt général — le procès équitable de l'article 47 de la Charte. Le droit à la protection des données n'est pas absolu ; il se met en balance.

La solution converge avec l'évolution du droit français : depuis les arrêts d'assemblée plénière du 22 décembre 2023, le juge civil ne rejette plus par principe une preuve déloyale, il apprécie si son usage porte atteinte au caractère équitable de la procédure prise dans son ensemble. Pour qui conçoit ou audite des systèmes, deux conséquences pratiques. D'abord, la journalisation d'authentification devient la pièce maîtresse des deux procès à la fois : elle établit l'intrusion et elle documente la provenance de la preuve. Ensuite, la vraie garantie déplacée par l'arrêt n'est plus l'exclusion, mais la minimisation au moment de la divulgation — caviardage, restriction du périmètre versé aux débats, protection des données de tiers non parties, dont la Cour précise qu'elles doivent être traitées conformément au RGPD sans que les parties puissent, en principe, se prévaloir de l'atteinte qui leur est faite.

Mini-glossaire

Renvoi préjudiciel: Procédure par laquelle une juridiction nationale interroge la Cour de justice sur l'interprétation du droit de l'Union avant de trancher le litige ; la réponse s'impose ensuite à elle et fait autorité dans toute l'Union.
Base de licéité: L'un des six fondements de l'article 6, §1, du RGPD (consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime). La liste est exhaustive : aucune autre disposition du règlement ne peut en tenir lieu — d'où le refus de faire de l'article 17, §3, e), une base alternative.
Minimisation: Principe de l'article 5, §1, c) : ne traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire. Ici, elle ne conditionne pas l'usage de la preuve mais encadre sa divulgation aux parties et aux tiers.
Preuve déloyale ou illicite: Preuve obtenue par un procédé contraire au droit (illicite) ou à la loyauté (stratagème, enregistrement clandestin). Ni le droit de l'Union ni, depuis 2023, le droit civil français ne l'écartent automatiquement : le juge procède à une mise en balance.