POUVOIR JUDICIAIRE
C/11294/2022 ACJC/1388/2025
ARRÊT
DE LA COUR DE JUSTICE
Chambre civile
DU MARDI 7 OCTOBRE 2025
Entre
A______ SA, sise ______ [GE], appelante d'un jugement rendu par la 12ème Chambre du Tribunal de première instance de ce canton le 25 juin 2024, représentée par Me Matteo INAUDI, avocat, JUNOD HALPERIN, avenue Léon-Gaud 5, case postale 490, 1211 Genève 12,
et
Monsieur B______, domicilié ______ [GE], intimé, représenté par Me Giorgio CAMPA, avocat, avenue Pictet-de-Rochemont 7, 1207 Genève.
EN FAIT
A. Par jugement JTPI/8188/2024 rendu le 25 juin 2024, notifié à A______ SA le 1er juillet 2024, le Tribunal de première instance (ci-après, le Tribunal) a, statuant par voie de procédure simplifiée, déclaré irrecevable la conclusion additionnelle n° 4 formée lors de l'audience de débats d'instruction du Tribunal du vendredi 11 novembre 2022 par B______ (chiffre 1 du dispositif), ordonné à A______ SA de permettre à B______ d'accéder gratuitement à l'adresse de messagerie B______@D______.ch, pour consulter et sauvegarder les courriels entrants et sortants, à l'exclusion des échanges postérieurs au 15 novembre 2021 dont le contenu porte exclusivement sur des relations d'affaires entre A______ SA et des tiers, et de consulter et sauvegarder les contacts attachés à cette adresse de messagerie (ch. 2), arrêté les frais judiciaires à 2'000 fr., compensés avec l'avance de frais versée par B______ et répartis par moitié entre celui-ci et A______ SA, condamné cette dernière à verser à B______ 1'000 fr. à titre de restitution de l'avance de frais (ch. 3), dit qu'il n'était pas alloué de dépens (ch. 4) et débouté les parties de toutes autres conclusions (ch. 5).
B. a. Par acte expédié le 2 septembre 2024 au greffe de la Cour de justice (ci-après, la Cour), A______ SA a formé appel de ce jugement et sollicité l'annulation du jugement entrepris. Cela fait, elle a conclu au déboutement de B______ de toutes ses conclusions, sous suite de frais judiciaires et dépens.
b. B______ a conclu au déboutement de A______ SA, sous suite de frais judiciaires et dépens.
c. Les parties ont répliqué, respectivement dupliqué, et persisté dans leurs conclusions.
d. Par avis du 14 février 2025, la Cour a informé les parties de ce que la cause était gardée à juger.
C. Les faits pertinents suivants résultent du dossier :
a. A______ SA (jusqu'en décembre 2022, C______ SA; antérieurement D______ SA) est une société anonyme ayant son siège à Genève. Elle est active dans le domaine du conseil, la fourniture de services et expertises en matière comptable, fiscale et de gestion d'entreprise.
Depuis sa fondation en 1987, B______ était l'unique administrateur et actionnaire de la précitée, au travers de la société E______ SA.
Il utilisait l'adresse électronique B______@D______.ch pour sa correspondance tant professionnelle que privée.
b. Par convention de vente d'actions du 2 juillet 2020, E______ SA a vendu à F______ SA, dont G______ était l'administrateur vice-président et délégué, l'intégralité du capital-actions de A______ SA, avec transfert immédiat de propriété.
G______ est devenu administrateur président de A______ SA, avec signature collective à deux. Les parties ont convenu que B______ conserverait son poste d'administrateur de la société pour les exercices 2021 à 2023 et pourrait disposer d'un bureau dans les locaux de la société, ainsi que de l'infrastructure de celle-ci, notamment informatique.
c. Par la suite, des différends, qu'il est inutile de résumer ici, ont émaillé les relations entre les parties.
d. Le 15 novembre 2021, B______ a démissionné, avec effet immédiat, du conseil d'administration de A______ SA.
Après la fin de son mandat d'administrateur, il a néanmoins continué, sur procuration de A______ SA, de mener à terme les mandats dont il avait la responsabilité pour le compte de cette dernière.
e. Le 24 décembre 2021, A______ SA a coupé à B______ l'accès à son adresse de messagerie B______@D______.ch.
Une réponse automatique a été mise en place indiquant que l'adresse de messagerie en cause n'était plus valable mais que les courriels étaient redirigés, lus et traités par A______ SA.
Les communications adressées à l'adresse B______@D______.ch ont été déviées sur l'adresse de messagerie H______@F______.ch appartenant à F______ SA, de manière à pouvoir être lues par G______.
f. Par acte du 3 mars 2022, B______ a requis le prononcé de mesures superprovisionnelles et provisionnelles concluant à ce que le Tribunal lui permette d'accéder à la messagerie B______@D______.ch, sans possibilité d'envoyer des courriels; à ce qu'il soit fait interdiction à A______ SA, avec effet immédiat et sous la menace de la peine prévue à l'article 292 CP, d'accéder à l'adresse électronique B______@D______.ch et de consulter, de quelque manière que ce soit, les données s'y trouvant, notamment les courriels entrants et sortants, ainsi que le carnet d'adresses; et à ce qu'il soit ordonné à A______ SA de supprimer la déviation vers une messagerie tierce des courriels entrants sur l'adresse électronique précitée, ainsi que la réponse automatique adressée aux expéditeurs de ceux-ci.
g. Par ordonnance du même jour, le Tribunal a rejeté la requête de mesures superprovisionnelles, notamment au motif que B______ ne rendait pas vraisemblable l'existence d'un préjudice difficilement réparable.
h. Par ordonnance du 6 mai 2022, le Tribunal, statuant sur mesures provisionnelles, a notamment ordonné à A______ SA de permettre à B______ d'accéder à la messagerie B______@D______.ch, sans possibilité d'envoyer des courriels, dans le seul but d'accéder aux contacts attachés à cette messagerie et de les copier (ch. 2), imparti à B______ un délai de trente jours dès notification de l'ordonnance pour faire valoir son droit en justice (ch. 3) et dit que celle-ci déployait ses effets jusqu'à droit jugé ou accord entre les parties (ch. 4).
i. Le 10 juin 2022, B______ a déposé au greffe du Tribunal une action en exécution du droit d'accès aux données personnelles concluant, sous suite de frais, à ce que le Tribunal ordonne à A______ SA de lui permettre d'accéder gratuitement à l'adresse électronique B______@D______.ch afin de pouvoir sauvegarder l'intégralité de ses données personnelles qui y sont contenues, notamment le carnet des contacts attachés à ladite adresse électronique ainsi que l'intégralité des courriels entrants et sortants, sous la menace de la peine d'amende prévue par l'article 292 CP.
Par la suite, dans le cadre d'une audience de débats d'instruction, B______ a formulé une conclusion additionnelle (n° 4) visant à ce que le Tribunal ordonne à A______ SA de procéder à la suppression définitive de l'adresse B______@D______.ch, avec effet immédiat, sans aucun message de réponse automatique ni redirection à aucune autre adresse de messagerie sous menace des peines de l'art. 292 CP.
j. Dans sa réponse, A______ SA a conclu au déboutement de B______ avec suite de frais et dépens à charge de ce dernier.
k. En cours d'instance, la Cour a annulé l'ordonnance du 6 mai 2022 rendue sur mesures provisionnelles et, statuant à nouveau, débouté B______ des fins de sa requête formée le 3 mars 2022 à l'encontre de A______ SA (ACJC/1229/2022 du 15 septembre 2022).
l. Par jugement JTPI/671/2023 rendu le 19 janvier 2023, le Tribunal a déclaré irrecevable la demande de B______ déposée le 10 juin 2022.
Statuant sur un appel contre ce jugement, la Cour a jugé que l'action en exécution du droit d'accès aux données personnelles, déposée le 10 juin 2022 en validation des mesures provisionnelles prononcées par ordonnance du 6 mai 2022, était recevable quand bien même les mesures provisionnelles en question avaient été annulées dans l'intervalle. Cela fait, elle a renvoyé la cause au Tribunal pour suite d'instruction et décision sur le fond (ACJC/1212/2023 du 19 septembre 2023).
m. En audience du Tribunal, B______, soit pour lui son avocat, a déclaré qu'il n'avait pas conservé une copie de ses courriels "en local" sur son ordinateur avant qu'on lui coupe l'accès à sa boîte de messagerie.
A______ SA a maintenu que B______ disposait sur son ordinateur portable de "ses emails jusqu'à la coupure de l'accès". Postérieurement à la suppression de son droit d'accès à l'adresse de messagerie B______@D______.ch, B______ ne disposait d'aucun droit à accéder à sa messagerie professionnelle. Les courriels professionnels reçus à l'adresse électronique litigieuse avaient été traités puisqu'ils étaient en lien avec l'entreprise que B______ avait vendue.
n. Le Tribunal a procédé à l'audition du témoin I______, informaticien qui s'occupait de l'infrastructure informatique de A______ SA.
Le témoin a expliqué qu'un ordinateur avait été mis à disposition de B______, sur lequel son compte Outlook était installé "ce qui lui permettait d'accéder à la boîte aux lettres de la société. Par définition, il avait accès à tous les messages qui lui étaient envoyés à l'adresse de la société". Il a précisé que l'application Outlook conservait, par défaut, les messages "en local" pour une durée de trois mois ce qui signifiait que "lorsque l'ordinateur portable n'était pas connecté, il y a[vait] dans le cache de l'ordinateur portable les messages des trois derniers mois". Une modification de cette durée était possible mais, en l'occurrence, il ignorait comment B______ avait configuré son compte Outlook sur son ordinateur. Il était également possible, en tout temps, de programmer son compte Outlook pour avoir accès à tout l'historique de la boîte de messagerie "en local", à condition d'avoir accès à internet et que le compte ne soit pas désactivé. S'agissant de l'agenda et des contacts reliés à l'adresse de messagerie, ils étaient toujours sauvegardés par défaut.
Sans examiner l'ordinateur portable de B______ au moment de son départ de la société – ce qu'il n'avait pas fait – le témoin n'avait aucun moyen de connaître la quantité de courriels conservés "en local" sur l'ordinateur de celui-ci ni la période concernée. Depuis le 23 décembre 2021, B______ ne pouvait plus se connecter sur le "serveur de messagerie" et ne pouvait plus utiliser son adresse de messagerie. Cela signifiait aussi que, depuis cette date, il ne pouvait plus récupérer l'historique de ses courriels s'il ne l'avait pas fait au préalable.
o. La cause a été gardée à juger à l'issue de l'audience de plaidoiries finales du 8 mars 2024.
D. Dans le jugement entrepris, le Tribunal a considéré que les messages entrants et sortants, ainsi que le carnet d'adresse, de l'adresse B______@D______.ch constituaient des données personnelles au sens de la LPD. A______ SA avait accès à cette messagerie et avait pris connaissance de son contenu, de sorte qu'il s'agissait d'un traitement de données. B______ bénéficiait donc d'un droit d'accès à ses données personnelles, peu importait que le nom de domaine appartînt à A______ SA. Les recommandations du Préposé fédéral à la protection des données et à la transparence (PFPDT) en matière de droit du travail étaient applicables par analogie : il aurait fallu donner l'occasion à B______ de prélever copie de ses données privées et de les supprimer avant de lui bloquer l'accès. Que l'intéressé ait dû s'attendre à un tel blocage et prendre l'initiative de le faire était sans pertinence. De plus, il n'avait pas pu avoir accès "en local" aux informations pertinentes, puisque celles-ci n'étaient conservées que durant trois mois. Seuls les éléments postérieurs à la rupture des relations contractuelles, soit le 15 novembre 2021, et portant uniquement sur des relations d'affaires entre A______ SA et des tiers étaient exclus du droit d'accès.
EN DROIT
1.2 S'agissant de la LPD, le premier juge a retenu à raison que la LPD entrée en vigueur le 1er septembre 2023 était applicable au présent litige, dès lors que l'art. 70 LPD ne prévoit pas d'exception à l'application immédiate du nouveau droit dans le cas présent (Métille / Di Tria, Commentaire Romand - LPD, 2023, n. 5 ad art. 70 LPD).
1.3 L'appel est dirigé contre une décision finale (art. 308 al.1 let. a CPC), rendue dans le cadre d'un litige concernant le droit d'accès à des données personnelles (art. 25 LPD), soit une affaire de nature non pécuniaire (arrêt du Tribunal fédéral 4A_406/2014 du 12 janvier 2015 consid. 2.1 non publié in ATF 141 III 119).
Déposé en temps utile et selon la forme prescrite (art. 130, 131, 142 al. 3, 145 al. 1 let. a et 311 CPC), il est recevable.
1.4 L'instance d'appel revoit la cause en fait et en droit avec un plein pouvoir d'examen (art. 310 CPC), mais uniquement dans la limite des griefs suffisamment motivés qui sont formulés (ATF 142 III 413 consid. 2.2.4; arrêt du Tribunal fédéral 5A_111/2016 du 6 septembre 2016 consid. 5).
La procédure simplifiée est applicable (243 al. 2 let. d CPC).
1.5 Dans le cadre d'un litige portant sur le droit d'accès, le juge établit les faits d'office (art. 247 al. 2 let. a cum art. 243 al. 2 let. d CPC).
La maxime inquisitoire simple (ou sociale) n'oblige pas le juge à instruire d'office le litige lorsqu'un plaideur renonce à expliquer sa position. En revanche, elle le contraint à interroger les parties et à les informer de leur devoir de collaborer à l'instruction et de fournir des preuves (ATF 139 III 13 consid. 3.2). Toutefois, lorsque les parties sont représentées par un avocat, le tribunal peut et doit faire preuve de retenue, comme dans un procès soumis à la procédure ordinaire (ATF 141 III 569 consid. 2.3).
2.1 Selon l'art. 5 LPD, constituent des données (personnelles) toutes les informations se rapportant à une personne identifiée ou identifiable (let. a). Par traitement, il faut comprendre toute opération relative à des données personnelles - quels que soient les moyens et procédés utilisés - notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données (let. d). Tout traitement de données doit être licite, et effectué conformément aux principes de la bonne foi et de la proportionnalité (art. 6 al. 1 et 2 LPD). Une atteinte à la personnalité est illicite à moins d'être justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi (art. 31 al. 1 LPD; cf. aussi art. 28 al. 2 CC; arrêt du Tribunal fédéral 4A_518/2020 du 25 août 2021 consid. 4.2.1 : portant, notamment, sur une messagerie WhatsApp d'un employé consultée par un employeur).
2.2 En l'espèce, il n'est pas contesté que la boîte de courriels litigieuse comporte des données à la fois personnelles et professionnelles de l'intimé. De plus, l'appelante conserve le contenu de cette boîte de courriels et le carnet d'adresses liés et les a consultés.
Il s'ensuit que l'on est bien en présence d'un traitement de données, ce qui n'est, au demeurant, pas contesté par les parties.
Un droit d'accès de l'intimé à ses données au sens de l'art. 25 LPD n'est pas contesté par les parties, seules les restrictions à celui-ci étant l'objet de l'appel.
L'appelante fait ainsi grief au Tribunal d'avoir omis de peser les intérêts des parties, notamment le caractère abusif de la requête de l'intimé.
4.1 4.1.1 A teneur de l'art. 26 al. 1 let. c LPD, le responsable du traitement peut refuser, restreindre ou différer la communication des renseignements, notamment, lorsque la demande d'accès est manifestement infondée notamment parce qu'elle poursuit un but contraire à la protection des données ou est manifestement procédurière.
La première restriction ("un but contraire à la protection des données") concerne les cas typiques d'abus de droit au sens de l'art. 2 al. 2 CC, soit l'exercice d'un droit à des fins étrangères à son but. Le fardeau de la preuve des circonstances permettant de conclure à l'abus de droit incombe à celui qui l'invoque, soit en l'occurrence au débiteur du droit d'accès. Cela est le cas, lorsque le débiteur rend vraisemblable que le requérant utilise le droit d'accès dans le but de lui nuire ou de découvrir ses secrets commerciaux ou industriels (espionnage économique). Cela concerne également les demandes visant (uniquement) à obtenir des moyens de preuve en vue de préparer un procès futur n'ayant aucun lien avec la protection des données, ce qui pose la question délicate de la recherche de preuve en vue d'un procès, mais avant l'ouverture d'une procédure (Benhamou, Commentaire Romand - LPD, 2023, n. 17 ad art. 26 LPD).
La seconde restriction ("manifestement procédurière") a été intégrée lors de la révision totale de la LPD et est empruntée aux règles procédurales. Une demande manifestement procédurière s'entend comme une demande introduite par pur esprit de chicane dans le but de tracasser l'adversaire et de le solliciter inutilement (par exemple par des demandes répétées ou en sachant qu'il ne traite aucune donnée). Toutefois, toute restriction au droit d'accès devant s'analyser de manière restrictive, cette exception ne peut être soulevée que dans les cas particulièrement choquants et dûment avérés (Benhamou, op. cit., n. 18 ad art. 26 LPD).
4.1.2 Afin de limiter les atteintes à la personnalité des travailleurs dans le cadre du traitement de leurs données personnelles, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a émis une recommandation en lien avec l'accès à la messagerie d'un collaborateur ou d'une collaboratrice en cas de résiliation des rapports de travail (Site de la Confédération Suisse, https://www.edoeb.admin.ch/ fr/acces-a-la-messagerie-dun-collaborateur-ou-dune-collaboratrice). Ainsi, lorsqu'un employé quitte une entreprise, il doit, avant son départ, transférer à qui de droit les affaires et les courriers électroniques en suspens et certifier, par une déclaration remise à l'entreprise, qu'il lui a remis tous les documents de nature professionnelle. A contrario, l'employeur doit lui offrir la possibilité de copier ses messages électroniques et autres documents privés sur un support privé, mais aussi de les effacer des serveurs de l'entreprise. Les éléments de nature professionnelle qui peuvent encore servir à l'entreprise ou qui sont en cours de traitement doivent être transmis au suppléant du collaborateur qui s'en va ou au supérieur compétent. Au plus tard le dernier jour de travail, les droits d'accès à sa messagerie électronique doivent être supprimés et sa boîte de messagerie effacée.
En matière de messagerie électronique (qu'il s'agisse de courriels, de fils de discussions ou de messages sur le téléphone, de messages vocaux etc.), la doctrine approuve la distinction selon que l'employeur a interdit, autorisé ou toléré l'utilisation de la messagerie électronique et du téléphone portable professionnels à des fins privées : la marge de manœuvre de l'employeur est ainsi plus large lorsque l'employeur a interdit l'utilisation privée de ces moyens de communication, puisqu'il est alors légitimé à contrôler si l'employé respecte ses directives. Cela dit, même en cas d'interdiction, l'employeur doit en principe s'abstenir de prendre connaissance du contenu des courriels privés ou des conversations téléphoniques privées de l'employé, puisqu'une donnée du travailleur ne perd pas son caractère privé du fait que son utilisation n'a pas été conforme aux directives de l'employeur. Le critère pratique est, selon la doctrine, la désignation par le travailleur lui-même des contenus comme "privés" ou "personnels". En effet, dans le cas où le travailleur désigne des contenus comme privés, il est clair qu'il ne consent pas à ce qu'ils soient lus par autrui. Pour faire le tri entre des messages privés "innocents" et ceux qui relèveraient de la loi pénale (hypothèse qui légitime un traitement des données par l'employeur), l'employeur doit en premier lieu clarifier la situation avec le travailleur concerné lui-même. Lorsque cela n'est pas possible (p. ex. parce que le travailleur est absent ou en conflit avec l'employeur), il semble que la personnalité du travailleur dont on accède aux données personnelles est mieux protégée si l'enquête est menée par une personne neutre telle qu'un conseiller à la protection des données au sens de l'art. 10 LPD ou une personne présentant de semblables compétences et garanties de neutralité. L'autorité de contrôle préconise quant à elle l'établissement par l'employeur d'un règlement interne précisant l'utilisation admise des outils informatiques. Les messages électroniques liés à l'exécution du travail ne présentent en principe pas de caractère personnel et ne contiennent pas de données personnelles au travailleur qui les traite, de sorte que l'employeur peut librement en prendre connaissance. Sont réservées les situations particulières, par exemple dans le contexte d'un échange au sujet d'une absence pour cause d'atteinte à la santé (Wyler / Heinzer / Witzig, Droit du travail, 5ème éd. 2024, p. 446 et suivante).
Selon le Tribunal fédéral, se référant à l'art. 328b CO qui concrétise les principes de proportionnalité et de finalité ancrés à l'art. 6 aLPD (actuel art. 8 LPD), les traitements de données sont en principe licites lorsqu'ils portent "sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat" et tant qu'ils respectent les principes de bonne foi et de proportionnalité (ATF 130 II 425 consid. 3.3). Lorsque le traitement de données n'entre pas dans ce cadre, il est présumé illicite et doit pouvoir se fonder sur un autre motif justificatif au sens de l'art. 13 LPD (arrêt du Tribunal fédéral 4A_518/2020 du 25 août 2021 consid. 4.2.4).
Dans ce cadre, le Tribunal fédéral a analysé la prise de connaissance de communications électroniques de l'employé échangés sur des supports professionnels (téléphone portable et ordinateur appartenant à l'employeur) en tenant compte des raisons de l'employeur et de la manière dont celui-ci avait pris connaissance et diffusé les données (souci de trouver des preuves susceptibles d'accabler l'employé, accès de rage avec intention de "pourrir la vie" de celui-ci, jeter "en pâture jusque dans son recours des pans de la vie intime de l'employé pour défendre ses intérêts financiers" ; arrêt du Tribunal fédéral 4A_518/2020 du 25 août 2021 consid. 4.2.4)
À la fin des rapports de travail, il est en principe attendu de l'employeur qu'il offre au travailleur la possibilité de récupérer ses messages électroniques privés sur un support adapté, avant de les effacer définitivement des serveurs de l'entreprise, pour autant que l'usage privé ait été préalablement autorisé. Dans le cas inverse, l'employeur peut, de son propre chef, détruire ou archiver les messages du travailleur, sauf à ne pas prendre connaissance de ceux qui relèvent malgré tout de sa sphère privée (Wyler / Heinzer / Witzig, op. cit., p. 448).
4.2 En l'espèce, l'appelante, sous l'angle de l'abus de droit qu'elle soutient être consacré par la décision entreprise, soutient que l'intimé avait pu, avant son départ de l'entreprise, sauvegarder copie de ses courriels et des adresses, ce qu'il n'avait sciemment pas fait, puis avait abusé de cette adresse pour lui nuire. Il ne pouvait donc être comparé à un employé licencié soudainement. De plus, il avait consciemment mêlé des éléments privés et professionnels dans ses courriels.
Ces éléments ne permettent pas de démontrer le caractère abusif de la démarche de l'intimé.
Certes, l'intimé n'était pas un "simple" employé dans la mesure où il était le fondateur, administrateur et actionnaire de la société, avant de la céder et de démissionner du conseil d'administration. Il a continué à œuvrer pour la société, avant que les accès à sa messagerie ne lui soient coupés et qu'il soit vraisemblablement exclu des locaux. Il s'ensuit qu'il apparaît adéquat de lui appliquer les principes développés ci-dessus en lien avec les employés, dès lors qu'au moment où ses accès à sa messagerie ont été coupés, il ne disposait plus de pouvoir décisionnel au sein de la société. La simple possibilité qu'il ait pu sauvegarder ses courriels de sa propre initiative avant son départ de l'entreprise n'est pas suffisant : comme l'écrit le PFPDT, il faut que l'employeur propose à l'employé de le faire avant de couper les accès. Or, ici, les accès ont été supprimés sans avertissement préalable le 24 décembre 2021, comme se plaît à le souligner l'appelante. Cela se concilie mal avec une possibilité qui aurait été laissée à l'intimé de préserver ses données personnelles, voire d'opérer un tri de celles-ci. Qu'il ait pu avoir postérieurement un accès "en local" à ses données ne change rien, puisque l'appelante ne l'a jamais invité à le faire. De toute manière, cet accès "en local" était limité, comme l'a décrit le témoin entendu par le Tribunal.
Quant à l'abus de l'adresse de courriel en question pour nuire à l'appelante, cela paraît sans pertinence : que l'intimé ait pu ou non formuler des courriels nuisibles à l'appelante depuis son adresse ne justifie pas de l'empêcher à accéder et à sauvegarder des éléments à caractère privé par exemple. Il s'agit de deux problématiques liés à des sources de droit différentes : des obligations de fidélité contractuelles, d'une part, et des droits d'accès de la protection des données, d'autre part. Il ne saurait être retenu comme admissible de "punir" l'employé ou le cocontractant indélicat en lui interdisant d'accéder à ses données. Il s'agit de ne pas confondre l'exigence d'un comportement irréprochable du requérant, d'une part, au droit d'accès, d'autre part, même dans le cadre de l'examen de l'interdiction de l'abus de droit reposant sur l'art. 2 al. 2 CC et concrétisé à l'art. 26 al. 1 let. c LCD. Or, c'est précisément ce que suggère de faire ici l'appelante en interdisant à l'intimé d'accéder à ses données au titre de sanction pour les comportements qu'il aurait commis, ce qui ne peut être cautionné.
Le fait d'avoir mélangé des données privées et professionnelles est courant et envisagé par le droit, comme cela ressort expressément des recommandations du PFPDT. Il est, ici encore, injustifié de refuser l'accès aux données pour cette raison dénuée de fondement juridique. Il peut d'autant moins être reproché à l'intimé d'avoir ainsi mêlé ses courriels privés et professionnels, puisqu'il contrôlait lui-même la société pendant la majeure partie de la période pertinente et ne violait aucune disposition contractuelle. De plus, l'appelante ne prétend pas même qu'une directive ou une clause contractuelle aurait interdit à l'intimé de rédiger et recevoir des courriels personnels sur sa messagerie professionnelle.
Le délai écoulé depuis la fin des rapports professionnels entre les parties est sans incidence, ce d'autant moins que l'intimé a, quelques mois après son départ de l'entreprise, entrepris des démarches pour obtenir accès à ses données, ce qui apparaît comme une durée relativement brève.
Il s'ensuit que l'on ne discerne pas, en relation avec les limitations qui vont être posées au consid. 5. ci-après, quel abus l'intimé pourrait commettre en consultant ses données personnelles traitées par l'appelante.
Ainsi, le principe de l'accès aux données accordé par le premier juge à l'intimé ne résulte pas d'une demande abusive de celui-ci.
5.1 A teneur de l'art. 26 al. 2 let. a LPD; il est au surplus possible de refuser, de restreindre ou de différer la communication des renseignements, lorsque le responsable du traitement est une personne privée et que les conditions suivantes sont remplies : ses intérêts prépondérants l'exigent (ch. 1) et il ne communique pas les données à un tiers (ch. 2).
L'intérêt prépondérant peut, par exemple, être de protéger ses secrets d'affaires, d'éviter des efforts de recherche disproportionnés ou de garder la confidentialité de sa stratégie pour un litige passé ou futur (Benhamou, op. cit., n. 19 ad art. 26 LPD) ou la protection de l'inventaire des biens concernés par des vols commis par la personne soupçonnée, de données personnelles ou de secrets de fabrications, voire des intérêts financiers (Husi-Stämpfli, Datenschutzgesetz (DSG), Bundesgesetz vom 25. September 2020 über den Datenschutz (DSG), 2ème éd. 2023, n. 21 ad art. 26 LPD) ou encore d'éviter l'espionnage économique et la mise en danger des propres droits de la personnalité du responsable du traitement (Beugger, Das Auskunftsrecht im Datenschutzrecht, 2025, p. 64).
5.2 En l'espèce, le jugement entrepris ne distingue pas, pour la période antérieure au 15 novembre 2021, qui est seule encore litigieuse, les courriels à caractère professionnel de ceux à caractère privé. L'appelante le lui reproche.
Ce grief apparaît comme fondé.
En effet, on ne discerne pas en quoi les courriels à caractère professionnel que l'intimé a envoyé ou reçu sur sa messagerie professionnelle, au cours de son activité au sein de l'appelante, devraient lui être remis. Comme cela ressort des développements au consid. 4. ci-dessus, le travailleur, auquel est assimilé l'intimé in casu, possède un droit d'accès limité à ses échanges de courriels privés.
D'ailleurs, l'intimé ne le conteste pas et ne requiert, dans sa réponse à l'appel, que l'accès à ses messages privés et à son carnet d'adresse.
Il s'ensuit que le grief est fondé et que seul l'accès aux courriels privés de l'intimé et à son carnet d'adresse doit lui être accordé. Il incombera à l'appelante, dans la forme prévue par les dispositions applicables (voir notamment les art. 16 et suivants de l'ordonnance sur la protection des données - OPDo), de fournir ces données à l'intimé.
Le jugement sera donc réformé en ce sens (art. 318 al. 1 let. b CPC).
Au vu des considérants qui précèdent, il apparaît que les griefs en fait de l'appelante sont sans pertinence. En effet, il faut dissocier un éventuel environnement conflictuel qui aurait entouré la fin des rapports contractuels entre les parties du droit fondé sur la protection des données dont bénéficie l'intimé. Celui-ci peut donc consulter ses courriels et son carnet d'adresse conformément à ce qui précède, sans qu'il soit nécessaire, comme le souhaite l'appelante, d'approfondir les faits liés à cet environnement de conflit.
Compte tenu de l'annulation de la décision querellée, il y a lieu d’examiner la répartition des frais et dépens effectuée par le Tribunal (art. 318 al. 3 CPC).
7.1 Le Tribunal a arrêté les frais judiciaires de première instance à 2'000 fr. et les a répartis par moitié entre les parties.
La réforme de la décision entreprise par le présent arrêt ne commande pas de modifier cette solution : en effet, la cause est non pécuniaire (cf. consid. 1.3 supra) et aucune des parties n'obtient entièrement gain de cause (art. 106 al. 2 CPC).
Pour les mêmes motifs, la décision du Tribunal de ne pas allouer de dépens sera confirmée.
Ainsi, le jugement sera confirmé en tant qu'il statue sur les frais de première instance.
7.2 Les frais judiciaires d'appel seront arrêtés à 1'000 fr. (art. 18 et 35 RTFMC), mis à la charge des parties à raison d'une moitié chacune, vu le sort de l'appel qui est partiellement admis (art. 106 al. 2 CPC) et compensés avec l'avance versée par l'appelante qui demeure acquise à l'Etat de Genève (art. 111 al. 1 1ère phr. aCPC).
L'intimé sera condamné à verser 500 fr. à l'appelante à titre de remboursement des frais judiciaires d'appel (art. 111 al. 1 2nde phr. aCPC).
Il ne sera pas alloué de dépens d'appel pour les raison déjà exposées ci-dessus.
PAR CES MOTIFS, La Chambre civile :
A la forme :
Déclare recevable l'appel interjeté le 2 septembre 2024 par A______ SA contre le jugement JTPI/8188/2024 rendu le 25 juin 2024 par le Tribunal de première instance dans la cause C/11294/2022.
Au fond :
Annule le chiffre 2 du dispositif du jugement entrepris, cela fait, statuant à nouveau :
Ordonne à A______ SA de donner accès gratuitement à B______ à ses courriels privés et à son carnet d'adresse à l'adresse de messagerie B______@D______.ch.
Confirme pour le surplus le jugement entrepris.
Déboute les parties de toutes autres conclusions.
Sur les frais :
Arrête les frais judiciaires d'appel à 1'000 fr., les met à la charge des parties à raison d'une moitié chacune et les compense avec l'avance de même montant versée par A______ SA.
Condamne B______ à payer 500 fr. à A______ SA à titre de remboursement des frais judiciaires d'appel.
Dit qu'il n'est pas alloué de dépens d’appel.
Siégeant :
Madame Jocelyne DEVILLE-CHAVANNE, présidente; Madame Verena PEDRAZZINI RIZZI, Madame Nathalie LANDRY-BARTHE, juges; Madame Sandra CARRIER, greffière.
Indication des voies de recours :
Conformément aux art. 72 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF; RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification avec expédition complète (art. 100 al. 1 LTF) par-devant le Tribunal fédéral par la voie du recours en matière civile.
Le recours doit être adressé au Tribunal fédéral, 1000 Lausanne 14.
Valeur litigieuse des conclusions pécuniaires au sens de la LTF supérieure ou égale à 30'000 fr.