# Quand la preuve est volée mais reste utilisable : ce que la Cour de justice a jugé le 18 juin 2026 dans l'affaire NTH Haustechnik

## Le point de départ : une intuition très répandue, et fausse

Il existe, dans la pratique des entreprises comme dans celle de beaucoup de juristes, une intuition confortable : si une preuve a été obtenue en violation du Règlement général sur la protection des données, elle serait nulle, écartée, inutilisable. L'idée paraît logique. Elle est pourtant inexacte, et la Cour de justice de l'Union européenne vient de le dire avec une clarté rare, dans un arrêt du 18 juin 2026 rendu par sa cinquième chambre, l'affaire C-484/24, *NTH Haustechnik*.

L'histoire est banale, presque domestique. NTH Haustechnik GmbH est une entreprise allemande de chauffage et de climatisation. Elle met fin au contrat de travail d'une salariée désignée dans la procédure par les initiales EM. Fait notable, et qui en dit long sur l'état réel de la gestion des accès dans beaucoup d'organisations : après la rupture du contrat, EM conserve l'accès aux locaux de l'entreprise et aux ordinateurs qui s'y trouvent. Trois ans passent. NTH découvre alors que EM a vendu, par l'intermédiaire de la plateforme de vente en ligne eBay, des biens dont l'entreprise revendique la propriété.

Comment l'entreprise l'a-t-elle découvert ? En se connectant au compte eBay privé de son ancienne salariée, au moyen de l'identifiant et du mot de passe de celle-ci. La juridiction allemande saisie du litige, le Landesarbeitsgericht Niedersachsen — la cour d'appel du travail de Basse-Saxe —, n'exclut pas que cette collecte de données ait été illicite. Elle ne tranche pas la question ; elle la pose. Et elle demande à la Cour de justice si, dans cette hypothèse, elle peut malgré tout prendre ces éléments en considération pour juger.

La Cour a rendu son arrêt le 18 juin 2026, après les conclusions de l'avocat général Dean Spielmann présentées le 16 octobre 2025. La réponse mérite d'être comprise dans le détail, parce qu'elle réorganise une matière que l'on croyait stabilisée.

## Premier temps : ce qui relève du droit national, et ce qui n'en relève pas

La Cour commence par une concession importante. En l'état actuel du droit de l'Union, il appartient au droit national de déterminer les règles relatives à l'admissibilité et à l'appréciation des faits et des preuves. Le RGPD n'est pas un code de procédure ; il ne dit pas au juge allemand, français ou italien ce qu'il doit accepter dans son dossier.

Mais la Cour ajoute immédiatement une observation qui change tout le raisonnement. Chaque transmission de données à un responsable de traitement distinct du précédent emporte, du côté du destinataire, un acte de collecte correspondant. Or, lorsqu'un juge recueille, à partir de documents électroniques qu'une partie lui a transmis, certaines données personnelles qui s'y trouvent, il accomplit précisément un tel acte de collecte. Autrement dit : le juge qui lit une pièce contenant des données personnelles devient, pour ce traitement, responsable de traitement au sens du RGPD. Le règlement s'applique à son office juridictionnel.

C'est le pivot de toute la décision. Le débat ne porte plus sur la licéité de la collecte initiale — celle qu'a opérée l'employeur — mais sur la licéité du traitement propre au juge. Deux traitements distincts, deux appréciations distinctes.

## Deuxième temps : l'article 17, paragraphe 3, sous e), n'est pas une porte dérobée

La juridiction de renvoi avait suggéré une voie élégante. L'article 17, paragraphe 3, sous e), du RGPD prévoit que le droit à l'effacement ne s'applique pas lorsque le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice. Ne pourrait-on pas y voir un fondement autonome permettant de traiter licitement des données à des fins contentieuses ?

La Cour refuse. Cette exception au droit à l'effacement ne constitue pas une condition de licéité alternative, pour une raison structurelle : le RGPD énonce, à son article 6, paragraphe 1, premier alinéa, une liste exhaustive et limitative des cas dans lesquels un traitement de données personnelles peut être regardé comme licite. On ne fabrique pas une base légale supplémentaire en empruntant une disposition écrite pour autre chose. La rigueur de cette réponse mérite d'être soulignée : elle vaut bien au-delà du contentieux probatoire, et condamne un raisonnement fréquemment tenté par les responsables de traitement pour justifier une conservation prolongée « au cas où ».

## Troisième temps : la minimisation n'est pas un contrôle de proportionnalité opération par opération

Troisième question, plus technique. Le principe de minimisation — l'article 5, paragraphe 1, sous c), selon lequel les données traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités — impose-t-il au juge de vérifier, pour chaque traitement qu'il opère, le respect du principe de proportionnalité ?

La Cour répond par la négative, avec une argumentation soignée. La minimisation donne « expression » au principe de proportionnalité, mais elle ne le met pas en œuvre à elle seule. Les exigences qu'elle pose garantissent que le choix d'utiliser certaines données plutôt que d'autres satisfait aux deux premières conditions découlant de la proportionnalité : la poursuite effective d'un objectif d'intérêt général reconnu par l'Union, et la limitation des ingérences à ce qui est strictement nécessaire. Quant à la troisième condition — l'absence d'ingérence disproportionnée au regard des objectifs poursuivis —, elle est satisfaite par une analyse combinée de plusieurs dispositions du règlement : l'article 5, paragraphe 1, sous c), et l'article 6, paragraphes 1 et 3. Le juge n'a donc pas à refaire, à chaque geste, un test de proportionnalité complet.

## Quatrième temps : le cœur de l'arrêt

Vient alors la question qui intéresse tout le monde. Le RGPD et la Charte des droits fondamentaux s'opposent-ils à ce qu'une juridiction nationale utilise une preuve contenant des données personnelles obtenues en violation du droit au respect de la vie privée et du droit à la protection des données personnelles ?

La Cour construit sa réponse en trois pas.

D'abord, le traitement opéré par une juridiction sur les données personnelles contenues dans les preuves offertes par les parties est, en principe, nécessaire au respect d'une obligation légale qui incombe à cette juridiction : celle de statuer sur l'admissibilité de cette preuve et, lorsqu'elle a été déclarée admissible au regard des critères fixés par le droit national, d'en tenir compte pour rendre sa décision. C'est la base de licéité de l'article 6, paragraphe 1, sous c), lu en combinaison avec l'article 6, paragraphe 3.

Ensuite, cette obligation légale doit être regardée comme poursuivant un objectif d'intérêt général et comme étant de nature à le réaliser, puisqu'elle se rattache au respect du droit à un procès équitable consacré à l'article 47 de la Charte. Et la Cour ajoute une précision remarquable : même dans l'hypothèse où les données concernées auraient été obtenues illicitement, et où l'intérêt légitime de la partie qui les transmet ne l'emporterait pas sur le simple intérêt à produire la preuve dont elle se prévaut, aucune autre mesure n'apparaît capable d'atteindre cet objectif aussi efficacement que de permettre aux juridictions de traiter les données personnelles contenues dans les pièces produites.

Enfin, la Cour rappelle que le droit à la protection des données personnelles n'est pas un droit absolu : il doit être mis en balance avec le droit à un procès équitable. Compte tenu de la fonction essentielle que ce dernier joue dans une société démocratique, exiger d'un juge qu'il tienne compte d'une preuve obtenue en violation du RGPD n'apparaît pas de nature à causer une ingérence disproportionnée dans le droit à la vie privée et à la protection des données garantis par les articles 7 et 8 de la Charte.

Conclusion : ni la Charte ni le RGPD ne s'opposent à ce qu'une juridiction nationale utilise une preuve obtenue par une partie en violation de ces droits, lorsque l'intérêt légitime de cette partie à un tel traitement ne l'emporte pas sur le simple intérêt à faire valoir les faits qu'elle invoque.

## Là où la garantie se déplace : la divulgation

Il serait erroné de conclure que la protection des personnes disparaît. Elle change de place, et c'est probablement l'apport le plus opérationnel de l'arrêt.

La Cour précise en effet que, **avant de divulguer de telles données aux parties ou à des tiers**, la juridiction doit examiner si ces données sont limitées à ce qui est nécessaire au regard des finalités poursuivies et, le cas échéant, prendre des mesures destinées à réduire autant que possible l'entrave au droit à la protection des données personnelles qu'une telle divulgation est susceptible d'entraîner. Le contrôle ne porte donc plus sur l'entrée de la pièce dans le dossier, mais sur l'étendue de ce qui en sort vers les parties et vers le public.

Un dernier point concerne les tiers. Lorsqu'elle traite des données relatives à des personnes qui ne sont pas parties à l'instance, la juridiction agissant dans l'exercice de sa fonction juridictionnelle est tenue de respecter le RGPD. Mais le droit de l'Union n'exige pas, en principe, que les parties à la procédure puissent se prévaloir d'une violation du règlement préjudiciable à des personnes qui n'y sont pas parties. Autrement dit : une partie ne peut pas se retrancher derrière l'atteinte faite aux données d'un tiers pour faire écarter une pièce qui la gêne.

## Le miroir français : le revirement du 22 décembre 2023

La solution européenne ne tombe pas dans un vide. Elle rejoint une évolution française déjà accomplie. Le 22 décembre 2023, l'assemblée plénière de la Cour de cassation, dans deux arrêts publiés au bulletin — pourvois n° 20-20.648 et n° 21-11.330 —, a abandonné le principe d'exclusion automatique de la preuve déloyale devant le juge civil. Désormais, lorsque le droit à la preuve, garanti par l'article 6, paragraphe 1, de la Convention européenne des droits de l'homme, entre en conflit avec d'autres droits et libertés, en particulier le droit au respect de la vie privée, le juge doit apprécier si l'utilisation d'une preuve obtenue de manière illicite ou déloyale porte atteinte au caractère équitable de la procédure prise dans son ensemble, en mettant en balance le droit à la preuve et les droits antinomiques en présence.

Les deux jurisprudences se répondent : la Cour de cassation a ouvert la porte du prétoire, la Cour de justice confirme que le RGPD ne la referme pas. Le second arrêt du 22 décembre 2023 apporte d'ailleurs une nuance utile, en rappelant qu'une conversation privée qui n'était pas destinée à être rendue publique ne peut pas caractériser un manquement du salarié à ses obligations contractuelles — la recevabilité de la preuve ne préjuge donc pas de sa force probante ni de la qualification des faits.

## Ce que l'arrêt ne dit pas

Il faut être précis sur les limites. La Cour ne juge pas que la collecte opérée par NTH était licite. Elle ne le juge pas davantage illicite : la juridiction de renvoi n'excluait pas l'illicéité, et c'est à elle qu'il reviendra de trancher. Surtout, la Cour ne dit à aucun moment que l'accès au compte d'autrui serait sans conséquence.

En droit français, une telle connexion relèverait de l'article 323-1 du code pénal, qui réprime l'accès et le maintien frauduleux dans un système de traitement automatisé de données. S'y ajoutent la responsabilité civile envers la personne concernée, et l'exposition à l'action de l'autorité de contrôle. Le message de l'arrêt est donc précisément celui-ci : l'illicéité de la collecte et l'irrecevabilité de la preuve sont deux questions distinctes, qui se plaident devant des juges différents et se règlent selon des logiques différentes. Gagner le procès prud'homal grâce à une pièce obtenue par intrusion n'immunise pas contre le procès pénal ou la sanction administrative qui peut suivre.

## Ce que cela change pour qui conçoit et audite des systèmes

Trois déplacements concrets méritent d'être retenus.

Le premier concerne la gestion des accès. Le fait, relevé par la Cour, qu'une ancienne salariée ait conservé pendant trois ans l'accès aux locaux et aux ordinateurs de l'entreprise n'est pas un détail pittoresque : c'est la description d'un défaut de processus de départ, celui-là même que les référentiels de sécurité désignent comme l'un des risques les plus élémentaires et les plus persistants.

Le deuxième concerne la journalisation d'authentification. Elle devient une pièce à double usage : elle établit l'intrusion dans le compte, et elle documente la provenance de la preuve produite. Un même artefact technique nourrit désormais deux contentieux de sens opposé.

Le troisième concerne la préparation des pièces. Puisque le contrôle s'est déplacé de l'admission vers la divulgation, l'effort de conformité se concentre sur le périmètre effectivement versé aux débats : caviardage, extraction ciblée plutôt que versement d'exports bruts, traitement séparé des données de personnes non parties. Produire une base de données entière quand trois lignes suffisent n'est plus seulement maladroit ; c'est désormais l'endroit précis où le juge doit intervenir.

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Voici cinq angles possibles pour orienter la conversation audio. Choisissez celui qui correspond à votre besoin du moment et collez-le tel quel dans le champ de personnalisation.

**Angle 1 — Audit offensif : le compte survivant et la chaîne de départ.** Concentre-toi sur le fait qu'une ancienne salariée a conservé trois ans l'accès aux locaux et aux ordinateurs de l'entreprise, et sur la connexion au compte eBay au moyen d'un identifiant et d'un mot de passe. Déroule les points de contrôle qu'un audit offensif viserait en priorité : processus de révocation au départ (comptes, badges, postes, VPN, SaaS non gouvernés), réutilisation de mots de passe entre sphère professionnelle et sphère privée, absence d'authentification multifacteur sur les comptes personnels grand public, et traces exploitables côté plateforme. Explique en quoi chacun de ces points devient, une fois le litige né, un élément de preuve pour l'une ou l'autre partie.

**Angle 2 — Architecture : le juge comme responsable de traitement.** Prends au sérieux l'affirmation selon laquelle une juridiction qui extrait des données personnelles de pièces électroniques accomplit un acte de collecte et devient responsable de traitement. Décris ce que cela impliquerait concrètement pour une chaîne de production de pièces numériques : formats versés, métadonnées embarquées dans les exports, journalisation des consultations au greffe, durées de conservation des dossiers, et mécanismes de caviardage avant transmission aux parties. Discute des architectures qui permettraient de produire une pièce probante tout en respectant l'obligation de minimisation au stade de la divulgation.

**Angle 3 — Comparaison avec les autres régimes déjà traités dans le dépôt.** Mets cet arrêt en regard des modules précédents de Droit Vivant, en particulier ceux consacrés à la preuve numérique et aux accès détournés : la compromission d'EncroChat et la question du contradictoire face au secret de la défense nationale, le maintien frauduleux dans un système de traitement automatisé de données au sens de l'article 323-1 du code pénal, et l'arrêt C-340/21 sur la charge de la preuve du caractère approprié des mesures de sécurité. Montre que la ligne commune n'est pas la licéité de l'accès mais l'usage qui en est fait, et compare les conséquences procédurales dans chaque régime — pénal, civil, administratif.

**Angle 4 — Veille réglementaire automatisée sur la preuve numérique.** Propose une méthode concrète pour construire une veille continue sur cette question : sources à surveiller (flux CURIA et EUR-Lex sur les articles 5, 6 et 17 du RGPD, Judilibre pour l'assemblée plénière et la chambre sociale, HUDOC pour l'article 6 de la Convention européenne, communiqués de la Cour de cassation), mots-clés de filtrage, fréquence utile, et déclencheurs d'alerte pertinents — nouvelle décision sur l'admissibilité d'une preuve issue d'une violation de données, application de C-484/24 par une juridiction nationale, extension du raisonnement au contentieux pénal.

**Angle 5 — Prospective contentieuse : preuves issues de fuites de données et d'outils automatisés.** Projette le raisonnement de la Cour sur les scénarios qui viennent. Une partie peut-elle produire en justice des éléments extraits d'une base publiée sur un forum criminel après une violation de données ? Un rapport d'investigation généré par un outil automatisé ayant collecté au-delà de son périmètre autorisé subit-il le même sort ? Que devient l'équilibre lorsque la partie qui produit la pièce est aussi celle qui a organisé la collecte illicite, et comment le critère de la mise en balance — intérêt légitime contre simple intérêt à faire valoir les faits — s'appliquerait-il à une collecte industrialisée plutôt qu'à un geste isolé ?