RGPD et preuve illicite : ce que le juge peut utiliser

Introduction

Une preuve collectée en violation du RGPD peut-elle malgré tout être utilisée devant un tribunal ? La Cour de justice de l’Union européenne a apporté une réponse nuancée à cette question, qui engage la responsabilité du juge lui-même dans le traitement qu’il fait des données produites.

Les faits à l’origine de la décision

Une entreprise poursuivait un ancien salarié pour revente de biens professionnels sur une plateforme de vente en ligne. Elle a présenté comme preuve des données extraites du compte privé du salarié, obtenues via l’accès à l’historique de navigation d’un ordinateur professionnel et à des identifiants stockés sur le serveur de l’entreprise. Cette collecte constituait très probablement une violation du RGPD.

Le principe posé par la CJUE

Dans son arrêt du 18 juin 2026, la Cour de justice de l’Union européenne a jugé que le RGPD n’interdit pas, de manière générale et absolue, aux juges d’utiliser des données issues d’un traitement antérieurement illicite. Le juge lui-même doit cependant respecter le règlement lors de son propre traitement de ces données, en disposant d’une base légale appropriée et en respectant le principe de minimisation.

Les conséquences pratiques de cette décision

Le juge ne peut donc pas écarter une preuve au seul motif qu’elle provient d’une collecte illicite. Le traitement judiciaire de ces données trouve sa propre base légale dans l’obligation de statuer équitablement sur le litige. Une anonymisation partielle ou totale doit néanmoins être envisagée si les données ne sont pas strictement nécessaires à la décision à rendre.

La vigilance requise lors de la publication du jugement

Des mesures de pseudonymisation doivent être appliquées lors de la publication de la décision elle-même, afin de limiter la diffusion de données personnelles qui ne seraient pas strictement indispensables à la compréhension du jugement rendu.

Ce que cette décision change pour les entreprises

Cette clarification ne dispense pas les entreprises de respecter le RGPD lors de la collecte de preuves, mais elle limite le risque qu’une preuve pertinente soit purement et simplement écartée en raison d’un vice dans sa collecte initiale.

Sécuriser la collecte de preuves numériques

Anticiper la conformité RGPD de toute collecte de preuves, tout en connaissant les marges de manœuvre laissées au juge en cas de vice constaté, permet d’aborder un contentieux avec plus de sérénité. Notre expertise en droit du numérique accompagne cette anticipation.

En résumé

• Le RGPD n’interdit pas de manière absolue au juge d’utiliser une preuve issue d’une collecte illicite.
• Le juge doit néanmoins respecter lui-même le RGPD dans le traitement qu’il fait de ces données.
• Une anonymisation partielle des données peut être requise si elles ne sont pas strictement nécessaires.
• La publication du jugement doit s’accompagner de mesures de pseudonymisation appropriées.