Phán quyết của phòng xã hội của Tòa giám đốc thẩm ngày 18 tháng 6 năm 2025 đánh dấu một bước ngoặt. Từ giờ trở đi, bất kỳ email chuyên nghiệp nào chứa thông tin trực tiếp hoặc gián tiếp nhận dạng một thể nhân đều cấu thành dữ liệu cá nhân theo nghĩa của GDPR. Hậu quả pháp lý lớn là người sử dụng lao động chịu trách nhiệm xử lý dữ liệu này và nhân viên có quyền truy cập vào dữ liệu này, cho dù anh ta vẫn đang làm việc hay đã rời công ty được vài tháng hoặc vài năm.
Đối với Maître Cécile Nause, luật sư tại Tòa án ở Agen, phạm vi rất rộng. “Người lao động có thể yêu cầu người sử dụng lao động căn cứ vào Điều 15 của GDPRTHE email được anh ấy phát hành và nhận qua email chuyên nghiệp của mình.” Luật sư bổ sung thêm một thông tin làm rõ quan trọng. “Về nguyên tắc, nhân viên cũng có thể yêu cầu quyền truy cập vào dữ liệu cá nhân liên quan đến anh ấy trong các email từ bên thứ ba, kể cả khi anh ấy không phải là người gửi cũng như người nhận trực tiếp.” Phạm vi thay đổi cuộc chơi trong các tranh chấp sau khi bị sa thải và tranh chấp chấm dứt hợp đồng.
Dữ liệu nào bị ảnh hưởng?
Yêu cầu có thể liên quan đến ba loại riêng biệt. Email được nhận và gửi từ địa chỉ chuyên nghiệp của bạn, siêu dữ liệu liên quan (dấu thời gian, người nhận, bản sao, chủ đề) và email từ bên thứ ba đề cập đến bạn ngay cả khi bạn không được liệt kê là người nhận. Tuy nhiên, CNIL cho phép linh hoạt với khối lượng lớn. “Để đảm bảo việc liên lạc này, nhà tuyển dụng có thể cung cấp bảng tóm tắt chứa siêu dữ liệu và dữ liệu cá nhân có trong email thay vì bản sao đầy đủ.Maître Cécile buồn nôn giải thích.
MỘT sự khác biệt việc giải thích vẫn còn giữa CNIL và Tòa án giám đốc thẩm. “CNIL, bằng cách chỉ nhắm mục tiêu vào dữ liệu cá nhân có trong email, áp dụng một phân tích hạn chế hơn so với phòng xã hội của Tòa giám đốc thẩm, nơi mà quyền truy cập cũng bao gồm nội dung của email.chỉ định luật sư. Trên thực tế, người sử dụng lao động tuân theo bảng siêu dữ liệu và dữ liệu cá nhân sẽ tôn trọng nghĩa vụ CNIL của mình nhưng sẽ có thể bị kiện tụng trước tòa án công nghiệp nếu nhân viên cho rằng nội dung đó là do anh ta.
Mất bao lâu để yêu cầu dữ liệu của tôi?
Về thời hạn, khuôn khổ rất nghiêm ngặt. Kể từ ngày yêu cầu, người sử dụng lao động có một tháng để phản hồi, dù tích cực hay tiêu cực nhưng phải nêu lý do từ chối. Có thể gia hạn thêm hai tháng trong trường hợp phức tạp hoặc khối lượng lớn, với điều kiện là nhân viên phải được thông báo trong thời hạn ban đầu về lý do trì hoãn.
Việc từ chối chỉ được phép trong hai trường hợp được giám sát chặt chẽ. Yêu cầu vô căn cứ hoặc quá mức (cụ thể là lặp đi lặp lại) theo Điều 12 của GDPR hoặc vi phạm một cách không cân xứng các quyền và quyền tự do của người khác theo Điều 15.
Hạn chế và biện pháp khắc phục
Nhà tuyển dụng có thể hạn chế liên lạc một cách hợp pháp khi email chứa thông tin chiến lược, tài chính hoặc kỹ thuật nhạy cảm, phản ánh các phân tích pháp lý được bảo vệ bởi bí mật nghề nghiệphoặc bao gồm dữ liệu cá nhân của người khác (đồng nghiệp, khách hàng, nhân chứng).
Những cân nhắc này có thể biện minh cho việc che giấu, ẩn danhhoặc việc cung cấp một phần bảng. Họ không cho phép từ chối chung chung. CNIL đã nêu rõ quan điểm này, quyền truy cập vẫn là một nguyên tắc và chỉ những thông tin liên lạc cụ thể mới có thể bị hạn chế tùy theo từng trường hợp cụ thể.
Tôi nên làm gì nếu chủ lao động của tôi từ chối?
Trong trường hợp bị từ chối liên tục, có ba cách kháng cáo. Ở đó giới thiệu đến CNIL vẫn là lựa chọn có tính thuyết phục nhất đối với người sử dụng lao động do các khoản tiền phạt phải chịu. “Các biện pháp trừng phạt của CNIL có tính răn đe cao nhất đối với các cơ cấu do những tác động của tiền phạt.Maître Cécile Buồn nôn xác nhận.
Tranh chấp tòa án công nghiệp có thể đưa ra bản án để truyền đi, nhưng với điều kiện tương xứng, thẩm phán phải cân bằng giữa quyền chứng minh và quyền bảo vệ dữ liệu. Cuối cùng, hành động trong thiệt hại thường trở thành con đường còn lại khi các phương pháp khác thất bại.
Thiệt hại gì?
Số tiền dự kiến vẫn còn khiêm tốn dựa trên tình trạng án lệ. Trong vụ án dẫn đến phán quyết tham chiếu ngày 18 tháng 6 năm 2025, Tòa án giám đốc thẩm đã xác nhận mức án chỉ bồi thường thiệt hại 500 euro. “vẫn sẽ cần thiết rằng định kiến của nhân viên có tính chất đặc thù, có nguy cơ hạn chế số lượng đối với nhiều nhân viên”làm phiền luật sư.
Do đó, phạm vi thực tế của quyền truy cập vẫn là trên hết thử việc. Nội dung được truy xuất, khi có được, có thể được sử dụng để hỗ trợ cho một vụ án lao động sa thải không công bằng, quấy rối hoặc phân biệtnơi mà tuyến đường truyền thống sẽ không bao giờ cho phép tiếp cận những khu vực này.
Điều 15 của GDPR quy định quyền truy cập vào dữ liệu cá nhân, tuân theo các giới hạn vi phạm quyền của bên thứ ba (điều 12 và điều 15 của GDPR). Người sử dụng lao động có một tháng để phản hồi, có thể gia hạn thêm hai tháng trong trường hợp phức tạp. Án lệ đang phát triển nhanh chóng về chủ đề này và một số tình huống nhất định có thể biện minh cho việc nhờ đến luật sư luật xã hội hoặc CNIL trước đó. Số tiền thiệt hại được trích dẫn chỉ mang tính biểu thị và phụ thuộc vào thiệt hại thực tế xảy ra trước tòa án.
