Un ancien salarié demande son dossier médical en santé au travail. Le dossier a été détruit à l’issue de sa durée de conservation. Le service doit pouvoir expliquer ce qui s’est passé, sans avoir conservé, dans un autre fichier, les informations médicales qu’il devait supprimer.
Une trace de destruction peut répondre à ce besoin. Mon conseil est de la préparer avant la campagne de tri, en même temps que les règles de sélection des dossiers. Les deux sujets vont ensemble.
Vérifier d’abord la date à partir de laquelle on compte
La mention « dossier de plus de cinquante ans » ne suffit pas. L’année d’ouverture n’est pas le point de départ de toutes les durées. Il faut retrouver la dernière visite ou le dernier examen, vérifier les expositions qui appellent une règle particulière et rechercher les éventuels motifs de suspension.
La règle générale figure à l’article R. 4624-45-9 du Code du travail : quarante ans après la dernière visite ou le dernier examen au sein du service, dans la limite de dix ans après le décès. Le même texte prévoit toutefois la suspension en cas de recours mettant en cause la responsabilité médicale, ainsi que la prolongation jusqu’aux échéances particulières liées à certaines expositions.
Ces règles de conservation s’appliquent aussi aux dossiers plus anciens, y compris lorsque le travailleur n’était plus suivi lors de la publication du décret de novembre 2022.
- Pour les agents chimiques dangereux pour la santé, dont l’amiante, la conservation prévue est d’au moins cinquante ans après la fin de la période d’exposition.
- Pour les rayonnements ionisants, elle va jusqu’aux soixante-quinze ans du travailleur, atteints ou théoriques, et, dans tous les cas, au moins cinquante ans après la fin de l’activité professionnelle impliquant cette exposition.
- Pour les agents biologiques concernés par les maladies à longue incubation, une durée pouvant aller jusqu’à quarante ans après la fin de l’exposition connue est prévue.
Un dossier ancien peut donc rester à conserver. Exemple de méthode : si le délai lié à la dernière visite est écoulé, mais que celui lié à une exposition ne l’est pas, le dossier reste dans le lot à conserver. Si la date de fin d’exposition manque, une date d’ouverture ancienne ne permet pas de combler cette absence.
Avant toute élimination, mettez aussi à part les dossiers concernés par une demande d’accès en cours ou une procédure susceptible de justifier leur maintien. Faites examiner ces situations. Si les dossiers relèvent des archives publiques, vérifiez également les règles d’élimination et les visas requis.
Limiter la liste à ce qui permet de retrouver la destruction
L’objectif est simple : retrouver la personne et le lot détruit. Une liste interne peut comporter les éléments suivants, lorsque chacun est nécessaire :
- le nom, les prénoms et, si besoin pour distinguer les homonymes, la date de naissance ;
- les années utiles pour identifier la période du dossier ;
- la date de destruction, le numéro du lot et la référence du certificat correspondant.
Je recommande d’écarter le numéro de sécurité sociale, les coordonnées, les employeurs et tout contenu médical. Le motif d’exposition n’a pas à figurer dans cette liste de recherche. Il risquerait de révéler une information sensible et de recréer une partie du dossier supprimé.
Le document remis par le prestataire peut, lui, ne porter que les numéros de lots ou de contenants. Le lien nominatif reste dans le service. Ainsi, le certificat prouve la destruction d’un lot sans devenir une seconde liste de personnes.
Même réduite à quelques colonnes, la liste interne reste un traitement de données personnelles. Sa qualification, notamment au regard des données de santé, dépend du contenu et du contexte. La suppression des diagnostics ne permet pas de considérer automatiquement le fichier comme anodin. Les principes de minimisation, de limitation de la conservation et de sécurité du RGPD continuent de s’appliquer.
Choisir une durée propre à la trace de destruction
La durée du DMST ne donne pas automatiquement celle du bordereau nominatif. Il faut définir le besoin auquel cette trace répond, sa base juridique et le temps pendant lequel elle reste utile, puis documenter le choix dans le registre.
Une durée de dix ans après la destruction peut être étudiée par le service. Ce serait une décision à justifier et à valider, pas une obligation réglementaire ni une durée valable pour tous les SPST.
Il faut notamment éviter un raccourci : l’article 2226 du Code civil prévoit, en matière de dommage corporel, un délai de dix ans à compter de la consolidation du dommage initial ou aggravé. Il ne fait pas courir ce délai à la date de destruction du dossier. Il ne suffit donc pas, à lui seul, à justifier dix ans de conservation du bordereau.
À l’échéance retenue, supprimez la liste nominative selon une procédure prévue à l’avance. Si le service conserve des chiffres de suivi, ils doivent être réellement anonymes, sans permettre de retrouver une personne par recoupement.
Organiser une destruction que le service pourra expliquer
En pratique, je recommande un fichier de référence unique, dans un espace sécurisé à accès restreint. Les personnes chargées des demandes d’accès et les professionnels désignés doivent pouvoir le consulter selon leurs missions. Le DPO n’a pas besoin d’un accès nominatif permanent pour vérifier la procédure.
Évitez les copies dans les messageries et les dossiers partagés ouverts à tous. Prévoyez les sauvegardes, la suppression à l’échéance et la gestion des éventuelles restaurations. Lorsqu’un prestataire détruit les dossiers pour le compte du service, encadrez cette prestation conformément à l’article 28 du RGPD et demandez une preuve datée de l’opération.
Avant de lancer la campagne, faites valider les critères de tri, contrôlez un échantillon de dossiers et attribuez un responsable à chaque étape. Le service doit pouvoir relier la décision de détruire, le lot remis et le certificat reçu.
Une réponse à une personne pourra alors indiquer, après vérification : « Le dossier correspondant à la période [période] a été détruit le [date], à l’issue de la durée de conservation applicable. Nous ne sommes plus en mesure de vous en communiquer une copie. » Évitez d’affirmer que le service ne détient plus aucune donnée sur elle si des données administratives subsistent.
Le point à vérifier dès maintenant est concret : si une demande arrive après la prochaine destruction, qui saura retrouver la preuve et expliquer la décision ?
