La conformité RGPD des SPSTI se joue d’abord sur un fichier : le dossier médical en santé au travail (DMST), conservé quarante ans après la dernière visite du salarié. Chaque service de prévention et de santé au travail interentreprises (SPSTI) y consigne ainsi des informations de santé, des expositions et des avis médicaux pour tous les salariés de ses entreprises adhérentes. Depuis la loi du 2 août 2021, la protection de ces données figure aussi parmi les points examinés pour la certification du service.
La Commission nationale de l’informatique et des libertés (CNIL) a publié le 15 décembre 2023 un guide pratique dédié aux SPST. Cette page sur la conformité RGPD des SPSTI s’appuie sur ce guide, sur le code du travail et sur le règlement général sur la protection des données (RGPD). Elle s’adresse aux directions, aux médecins du travail et aux référents des SPSTI. Chaque règle renvoie à sa source, listée en fin de page. Pour l’offre de DPO dédiée aux services de santé au travail, consultez notre page DPO des SPST.
RGPD : pourquoi un SPSTI doit désigner un DPO
L’article 9 du RGPD interdit en principe le traitement des données concernant la santé. Il prévoit toutefois des exceptions. Le point h du paragraphe 2 vise précisément les traitements nécessaires « aux fins de la médecine préventive ou de la médecine du travail, de l’appréciation de la capacité de travail du travailleur ». Votre service traite donc légalement ces données sans consentement du salarié, car le code du travail lui confie le suivi de l’état de santé.
L’article 37 ajoute ensuite une obligation. Un délégué à la protection des données (DPO) doit être désigné lorsque les activités de base de l’organisme consistent en un traitement à grande échelle de données de santé. Or un SPSTI remplit cette condition par nature, ce qui impose un DPO pour piloter la conformité RGPD des SPSTI. Le guide de la CNIL l’écrit sans détour : le SPST interentreprises « se trouve dans l’obligation de désigner un DPO », puisque son activité de base consiste en l’utilisation à grande échelle de données sensibles.
SPST autonome ou SPSTI : la même logique RGPD
Un service autonome relève en revanche de l’employeur qui l’héberge. La CNIL rappelle qu’une entreprise dotée d’un SPST autonome compte plus de 500 salariés et doit déjà désigner un DPO. Les questions du service remontent alors vers ce délégué, et le RGPD s’applique de la même façon qu’au SPSTI. Pour le détail de l’obligation et des missions, lisez pourquoi le DPO est obligatoire en SPST.
En pratique, la désignation se fait uniquement par le téléservice de la CNIL. Le DPO peut être un salarié ou un prestataire, sous contrat de service (article 37, paragraphe 6). Par ailleurs, la CNIL précise sur sa page de désignation que le niveau d’expertise attendu dépend de la sensibilité et du volume des données traitées. Un SPSTI choisit ainsi un DPO qui connaît le DMST, le secret médical et les logiciels métier. Vérifiez aujourd’hui la désignation enregistrée auprès de la CNIL et la publication des coordonnées du DPO dans vos notices d’information.
Le DMST, cœur de la conformité RGPD SPSTI
L’article L4624-8 du code du travail définit le dossier : il retrace, « dans le respect du secret médical », l’état de santé du travailleur, ses expositions et les avis du médecin du travail. Le guide de la CNIL ajoute toutefois un point souvent mal compris. Le SPST, représenté par sa direction, est le responsable du traitement du DMST. En revanche, le médecin du travail reste responsable du contenu et garant de la confidentialité au quotidien.
Le contenu fixé par le décret du 15 novembre 2022
Le décret n° 2022-1434 encadre ce que le dossier peut contenir : identité et données médico-administratives, coordonnées du médecin traitant, risques et expositions, informations de santé recueillies en visite, correspondances entre professionnels de santé, avis et propositions. Le dossier mentionne enfin l’information du travailleur sur ses droits, son accord ou son opposition à la télésanté et à la transmission de son DMST.
La CNIL insiste d’abord sur la minimisation. Tout ce que le salarié confie en consultation n’a pas vocation à entrer dans le dossier. Par exemple, la religion, l’orientation sexuelle ou les opinions politiques n’y figurent pas, sauf circonstance particulière comme une discrimination subie. De même, le nom des collègues avec qui le salarié est en conflit n’y a en principe pas sa place. Relisez donc vos champs libres avec vos médecins.
Qui accède au dossier, et qui en est exclu
Les professionnels de santé du service (médecins du travail, collaborateurs médecins, internes, infirmiers) consultent et alimentent tout le dossier. En revanche, les autres membres de l’équipe pluridisciplinaire, ergonomes ou assistants par exemple, accèdent seulement à l’identité, aux données médico-administratives, au médecin traitant et aux risques professionnels. Leur accès passe alors par une délégation du médecin du travail, sous sa responsabilité.
Ainsi, la direction et le personnel administratif n’y accèdent pas. L’employeur non plus : le guide qualifie cette interdiction de « principe fondamental ». Enfin, l’article R4624-45-5 impose de tracer chaque action sur le dossier, avec la date, l’heure et l’identité du professionnel. Demandez à votre éditeur une extraction de ces traces : si elle prend plus d’une journée, votre contrôle des accès reste théorique.
Le partage avec le médecin traitant et le DMP
Le DMST comporte d’abord les coordonnées du médecin traitant. Depuis la loi de 2021, les éléments utiles à la prévention et à la continuité des soins sont versés dans un volet santé au travail du dossier médical partagé (DMP). Ce versement suppose le consentement du travailleur, préalablement informé. Ensuite, ce volet reste consultable par les professionnels de santé qui le soignent, toujours sous réserve de son accord.
Le médecin du travail peut aussi accéder au DMP du salarié et alimenter ce volet, avec son consentement exprès. D’après le guide, le refus du salarié ne constitue pas une faute et n’est pas porté à la connaissance de l’employeur. De même, pour une téléconsultation, le travailleur consent à chaque acte et, le cas échéant, à la participation de son médecin traitant. Consignez ces accords dans le DMST, comme le prévoit le guide.
Durées de conservation prévues par le code du travail
L’article R4624-45-9 fixe la règle générale : quarante ans à compter de la dernière visite ou du dernier examen, dans la limite de dix ans après le décès. Par exemple, tout recours mettant en cause la responsabilité médicale du service suspend ces délais. Enfin, les expositions particulières allongent la durée, selon le tableau du guide de la CNIL.
| Situation | Durée | Texte |
|---|---|---|
| Règle générale | 40 ans après la dernière visite ou le dernier examen, dans la limite de 10 ans après le décès | Article R4624-45-9 |
| Agents biologiques | Jusqu’à 40 ans après la cessation de l’exposition connue | Article R4426-9 |
| Chimiques, amiante | 50 ans après la fin de la période d’exposition | Article R4412-55 |
| Rayonnements | Jusqu’aux 75 ans du travailleur, et au moins 50 ans après la fin de l’exposition | Article R4451-83 |
Paramétrez donc ces durées dans le logiciel avant toute purge. Ensuite, documentez chaque destruction : notre article sur la destruction des DMST et sa traçabilité détaille les vérifications.
INS, NIR, hébergement HDS et logiciels métier
L’identifiant du DMST est l’identifiant national de santé (INS), selon l’article L4624-8. Le guide de la CNIL précise sa composition : le NIR, c’est-à-dire le numéro de sécurité sociale, puis les noms, prénoms, sexe, date et lieu de naissance. Votre service peut donc collecter le NIR pour identifier le dossier. En revanche, son usage reste strictement encadré par le code de la santé publique et par le référentiel INS de 2021.
En pratique, le risque vient des outils périphériques. Par exemple, une plateforme de convocation ou un service de SMS n’a aucune raison de recevoir le NIR. Recensez donc les flux qui le transportent, puis supprimez ceux qui ne servent pas à l’identification du dossier.
Hébergeur certifié et référentiels de sécurité
L’article R4624-45-9 laisse deux options : conserver les informations au sein du service, ou les déposer chez un hébergeur dans le respect de l’article L1111-8 du code de la santé publique. Dès qu’un prestataire stocke le DMST sur ses serveurs, il doit donc être certifié hébergeur de données de santé (HDS). De plus, l’article L4624-8-2 impose aux logiciels utilisés par les professionnels de santé les référentiels d’interopérabilité et de sécurité de l’Agence du numérique en santé. Cette conformité conditionne aussi la certification du service.
Par ailleurs, le choix du logiciel ne relève pas de la seule direction. Le guide cite le Conseil national de l’ordre des médecins, pour qui ce choix se décide en accord avec le médecin utilisateur. Le guide rapporte aussi la recommandation de la Haute Autorité de santé : confier la gestion des accès au médecin du travail, administrateur du logiciel. Avant tout renouvellement de contrat, passez votre outil au cahier des charges publié en annexe 5 du guide : niveaux d’accès, extraction pour le droit d’accès, journalisation, sauvegardes.
Certification des SPSTI : le volet RGPD
L’article L4622-9-3 du code du travail soumet chaque SPSTI à une certification réalisée par un organisme indépendant. Les référentiels portent ainsi sur cinq points. Deux d’entre eux concernent directement le DPO. Le 4° vise la conformité du traitement des données personnelles au RGPD et à la loi Informatique et Libertés. Le 5° vise ensuite la conformité des systèmes d’information aux référentiels d’interopérabilité et de sécurité. La conformité RGPD des SPSTI devient donc un critère de certification.
Le décret n° 2022-1031 du 20 juillet 2022 fixe les principes du cahier des charges. Ensuite, l’arrêté du 27 juillet 2023 a fixé ce cahier des charges. Le référentiel technique s’appelle AFNOR SPEC 2217. Publié en août 2023, il compte 40 pages, et sa consultation est libre sur la boutique de l’AFNOR. Enfin, les organismes certificateurs sont accrédités par le Comité français d’accréditation (Cofrac), selon son document CERT CPS REF 53.
Préparer les preuves de conformité RGPD SPSTI
En pratique, l’auditeur juge sur pièces. Pour la conformité RGPD d’un SPSTI, le registre, les AIPD, les contrats de sous-traitance et la procédure des habilitations forment le socle du dossier. Le suivi des demandes de droits et le journal des violations le complètent. Nous recommandons de les tenir à jour tout au long de l’année. Pour structurer ce travail, lisez comment structurer votre conformité RGPD pour la SPEC 2217.
Registre RGPD, AIPD et violations dans un SPSTI
L’article 30 du RGPD impose le registre des activités de traitement. L’exemption prévue pour les organismes de moins de 250 salariés ne s’applique pas lorsque le traitement porte sur des données de santé. Votre SPSTI tient donc un registre complet, quelle que soit sa taille. De plus, le guide de la CNIL en fournit deux modèles en annexe 3, pour les DMST et pour la base des adhérents.
L’analyse d’impact du DMST
L’article 35 exige aussi une analyse d’impact relative à la protection des données (AIPD) pour un traitement de santé à grande échelle. Le guide en tire donc la conséquence : l’AIPD est nécessaire pour la gestion des DMST. Elle ne l’est pas, en revanche, pour le fichier des prestataires ou des adhérents. En pratique, l’analyse décrit le traitement, évalue sa nécessité, étudie les risques et fixe les mesures. Le DPO donne aussi son avis pendant sa réalisation (article 35, paragraphe 2). Ensuite, mettez-la à jour à chaque changement de logiciel, d’hébergeur ou de circuit de transmission.
Violations : documenter, notifier, informer
En cas de violation, l’article 33 prévoit une notification à la CNIL dans les meilleurs délais, si possible sous 72 heures. Selon la page de la CNIL sur les violations, tout incident est documenté en interne. Un risque pour les personnes entraîne la notification ; un risque élevé impose aussi d’informer les salariés concernés. Enfin, après une cyberattaque, la CNIL conseille de porter plainte.
Le guide ajoute aussi un point propre au DMST : un accès hors de la procédure d’habilitation peut être qualifié de violation. Un salarié de l’accueil qui ouvre un dossier médical déclenche donc la même analyse qu’un piratage. Entraînez-vous sur un scénario avec votre DPO, puis relisez notre tutoriel de notification.
Traitements RGPD d’un SPSTI : bases légales et vigilance
Le tableau suivant reprend les traitements décrits par le guide de la CNIL. La base légale détermine les droits ouverts au salarié : un traitement fondé sur l’obligation légale ne permet pas l’opposition, contrairement à un traitement fondé sur l’intérêt légitime. Comparez-le ensuite à votre registre.
| Traitement | Base légale | Point de vigilance |
|---|---|---|
| Gestion du DMST | Obligation légale ; article 9, paragraphe 2, point h | Accès limités selon la profession, traçabilité de chaque action, AIPD, conservation de 40 ans ou plus. |
| Fiche d’entreprise | Obligation légale | Transmise à l’employeur sous forme anonymisée, en principe. Un effectif exposé très faible permet de reconnaître un salarié. |
| Études internes | Intérêt légitime | Aucune formalité CNIL si l’étude reste interne. Inscription au registre et information préalable des salariés. |
| Études multicentriques | Intérêt légitime | Engagement de conformité à la MR-004, ou demande d’autorisation déposée auprès de la Plateforme des données de santé. |
| Fichier des adhérents | Intérêt légitime (le contrat ne convient pas) | Contacts des entreprises adhérentes. Droit d’opposition applicable. Aucune AIPD exigée. |
| Personnel du SPSTI | Intérêt légitime | Référentiel CNIL de gestion du personnel ; bulletins de paie archivés cinq ans. |
| Télésanté | Non précisée par le guide ; le SPST est responsable du traitement | Consentement du travailleur à chaque acte, consigné au DMST. Aucune formalité CNIL. |
Les bases légales de ce tableau suivent ainsi celles retenues par la CNIL dans son guide. Si votre registre RGPD de SPSTI en indique d’autres, demandez donc à votre DPO de justifier l’écart par écrit.
Droits RGPD des salariés suivis par un SPSTI
D’abord, le salarié suivi peut accéder à ses données, les faire rectifier et demander la limitation de leur traitement. L’article L4624-8 lui permet aussi de demander la communication de son dossier ; après son décès, les personnes autorisées par le code de la santé publique le peuvent. Le service répond alors dans un délai d’un mois. Ce délai passe à trois mois pour une demande complexe, si le demandeur en est informé.
Toutefois, le droit à l’effacement trouve ici sa limite. L’article 17 du RGPD l’écarte pour les traitements nécessaires à la médecine du travail ou au respect d’une obligation légale. Le service peut donc refuser la suppression du DMST. L’effacement reste possible pour une donnée collectée illicitement, par exemple une information sans lien avec le suivi. Le salarié peut, en revanche, s’opposer à l’accès du médecin praticien correspondant ou des autres professionnels de santé du service, selon l’article R4624-45-6. Enfin, ne réclamez pas une pièce d’identité par réflexe : la CNIL juge cette demande inutile quand l’identité ressort déjà du canal utilisé.
Ce que l’entreprise adhérente reçoit
L’employeur reçoit ainsi les avis d’aptitude, les mesures d’aménagement du poste et les préconisations de reclassement. En revanche, il ne reçoit jamais le diagnostic qui les justifie. Les données d’exposition ne sont pas davantage communiquées à un employeur auprès duquel le salarié postule. Le guide cite par exemple la liste de salariés jugés « fragiles » transmise à l’employeur avant une restructuration. Ce fichier constitue un traitement illicite et viole le secret professionnel.
Pour les relations avec les adhérents, la CNIL conseille de préciser dans le contrat les responsabilités de chacun. Le portail adhérents mérite aussi le niveau de sécurité du logiciel médical. Sur ce sujet, lisez donc ce que l’employeur peut obtenir du SPSTI.
Sensibiliser les équipes et outiller la conformité
Le guide de la CNIL recommande fortement de sensibiliser le personnel aux règles de sécurité et de confidentialité. De plus, le code de la santé publique va plus loin pour le médecin : l’article R4127-72 l’oblige à veiller à ce que les personnes qui l’assistent connaissent le secret professionnel. Assistants, secrétaires médicales et intervenants en prévention doivent donc être formés, et la formation doit laisser une trace.
Focus RGPD, plateforme de sensibilisation du groupe DPO FRANCE, propose ainsi 400 vidéos et réalise plus de 3 000 sensibilisations par mois. Ensuite, DPO Suite centralise le registre, les violations, les demandes de droits, les sous-traitants et les AIPD. Son module d’AIPD est guidé par IA. Ces outils aident donc à rassembler les preuves de conformité RGPD attendues chez un SPSTI lors de l’audit.
L’accompagnement de DPO PARTAGE
DPO PARTAGE exerce comme DPO à temps partagé depuis 2018. Plus de 40 services de prévention et de santé au travail l’ont désigné DPO, et le cabinet intervient sur toute la France. Le DPO relit et valide vos registres, AIPD, notices et procédures, puis vous donne des pistes de correction. Vos équipes gardent ainsi la main sur la rédaction. Le détail de l’offre figure aussi sur la page DPO des SPST. Pour un premier état des lieux, demandez un Audit Flash gratuit.
Nos analyses pour les SPSTI
Le site publie une veille régulière sur la santé au travail et le RGPD des SPSTI. Ces analyses approfondissent donc chaque obligation de cette page : DPO, DMST, certification, sécurité et droits des salariés.
DPO, audit et certification : la conformité RGPD des SPSTI
DMST, habilitations, INS et hébergement
Sécurité, droits et relations avec les adhérents
Sources
La CNIL présente son guide dans l’actualité La CNIL publie un guide pour les services de prévention et de santé au travail (SPST), datée du 15 décembre 2023.
Le texte intégral figure dans le Guide pratique RGPD – Services de prévention et de santé au travail, publié par la CNIL en novembre 2023.
Les articles 9, 17, 30, 33, 35 et 37 sont cités d’après le règlement (UE) 2016/679 sur EUR-Lex.
Les articles du code du travail viennent du Code du travail numérique du ministère du Travail : article L4624-8, article L4624-8-2, article L4622-9-3, article R4624-45-5, article R4624-45-6 et article R4624-45-9.
Le cadre de la certification et la liste des textes figurent dans le document du Cofrac CERT CPS REF 53, exigences spécifiques d’accréditation des organismes procédant à la certification des services de santé au travail.
La fiche du référentiel figure sur la page AFNOR SPEC 2217 de la boutique AFNOR.
Les règles de désignation du DPO sont décrites sur la page Désigner un délégué à la protection des données (DPO) ou modifier une désignation de la CNIL.
La conduite à tenir en cas d’incident figure sur la page Notifier une violation de données personnelles de la CNIL.