Un salarié en litige avec son employeur demande à son service de prévention et de santé au travail la date à laquelle il a été déclaré au service. Il demande aussi quand l’entreprise a adhéré. Le secrétariat peut hésiter : faut-il répondre, attendre le juge ou ouvrir une demande de dossier médical ?
Le bon point de départ est le contenu de la demande. Le salarié peut accéder aux données qui le concernent. Le contexte prud’homal ne supprime pas ce droit et ne transforme pas le SPST en arbitre du conflit.
Communiquer les données qui concernent le salarié
La date d’inscription d’un salarié, son historique de rattachement à un employeur ou les données administratives relatives à ses convocations sont des informations qui peuvent le concerner personnellement. Si elles sont détenues par le service et visées par sa demande, elles relèvent du droit d’accès de l’article 15 du RGPD.
Le salarié n’a pas à expliquer l’usage qu’il compte en faire. La CJUE l’a confirmé dans l’affaire C-307/22 : le droit d’accès peut être exercé pour un motif étranger à la vérification du traitement, notamment pour examiner une responsabilité. La CNIL précise aussi qu’un contentieux prud’homal ne fait pas obstacle au droit d’accès.
Pour une demande portant sur une date, un extrait lisible et contextualisé peut suffire. Indiquez ce que la date représente dans votre logiciel : création de la fiche, déclaration reçue de l’employeur, début de rattachement ou autre événement. Ces dates ne sont pas nécessairement interchangeables.
Si plusieurs événements existent, expliquez-les sans reconstituer un historique que le service ne détient pas. Une formulation possible est : « Notre outil enregistre votre déclaration par l’employeur le [date]. Cette date correspond à [événement enregistré]. » Ne la transformez pas en attestation d’embauche ou en conclusion sur un éventuel retard de l’employeur.
La réponse comprend aussi les informations prévues par l’article 15, notamment les finalités, les catégories de données, les destinataires, la durée de conservation ou ses critères, les droits et la source des données lorsqu’elles n’ont pas été recueillies auprès du salarié. La première copie est en principe gratuite.
Examiner séparément la date d’adhésion de l’entreprise
Une information qui concerne uniquement la personne morale adhérente n’entre pas, en tant que telle, dans le droit d’accès du salarié. Une demande portant sur son inscription ne lui donne donc pas un accès général au contrat de l’entreprise, aux cotisations ou aux échanges commerciaux.
Mais la présence du nom de l’entreprise ne suffit pas à exclure une information. Il faut vérifier si la donnée concerne aussi le salarié, par son contenu, sa finalité ou ses effets. C’est l’approche retenue par la CJUE dans l’arrêt Nowak pour apprécier la notion de donnée personnelle.
Exemple : une date figurant seulement sur la fiche contractuelle de la société appelle une analyse différente d’une date intégrée à l’historique individuel du salarié et utilisée pour expliquer sa prise en charge. La réponse se décide après cette vérification, sans refus automatique.
Si le service conclut que la date demandée ne concerne pas le salarié, il explique cette limite. Tout refus, même partiel, doit être motivé et mentionner la possibilité de saisir la CNIL et d’exercer un recours juridictionnel, conformément à l’article 12 du RGPD. Une demande à l’employeur ou une production ordonnée par le juge peut alors être envisagée. Les articles 138 et suivants du Code de procédure civile organisent la production de pièces détenues par un tiers. Si une décision est reçue, le service en vérifie le périmètre et les modalités avant de répondre.
Les données d’autres salariés doivent être protégées. Lorsque des informations sont mêlées, examinez si un extrait ou une occultation permet de satisfaire la demande. La protection des tiers ne justifie pas, à elle seule, de refuser toute communication.
Prendre en compte une demande faite par téléphone
Le salarié n’a pas besoin de citer le RGPD ni d’utiliser un formulaire particulier. Une demande orale suffisamment claire doit être enregistrée comme telle. Notez sa date de réception, son objet et les coordonnées utiles ; vous pouvez proposer une confirmation écrite sans en faire une condition systématique.
Le délai de réponse est en principe d’un mois à compter de la réception. Une prolongation de deux mois est possible si la complexité ou le nombre de demandes le justifie, à condition d’en informer la personne dans le premier mois et d’expliquer les raisons.
En cas de doute raisonnable sur l’identité, demandez rapidement les éléments nécessaires et proportionnés. Une copie de pièce d’identité n’est pas exigée par défaut. L’article 77 du décret du 29 mai 2019 prévoit la suspension du délai lorsque le service sollicite des éléments supplémentaires nécessaires pour confirmer l’identité, jusqu’à réception des éléments suffisants. Tracez cette demande et sa résolution ; cette possibilité ne doit pas servir à retarder une réponse sans raison.
Pour ce type de demande, je recommande une réponse écrite par un canal dont le destinataire a été vérifié. Cela facilite la preuve de ce qui a été communiqué et limite les erreurs d’interlocuteur. Il s’agit d’une précaution d’organisation : le RGPD permet aussi une réponse orale, à la demande de la personne, lorsque son identité est établie par d’autres moyens.
Traiter le volet médical avec son propre circuit
Une demande de date administrative ne nécessite pas de transmettre tout le dossier médical en santé au travail. Si la personne demande aussi son DMST, orientez cette partie de la demande vers les professionnels habilités, sans lui imposer de tout recommencer.
L’article L. 4624-8 du Code du travail reconnaît au travailleur un droit de communication de son DMST. Pour l’accès aux informations de santé, l’article L. 1111-7 du Code de la santé publique prévoit notamment une communication au plus tôt après quarante-huit heures et au plus tard sous huit jours ; le délai peut être porté à deux mois pour les informations datant de plus de cinq ans. Il faut donc qualifier chaque partie de la demande dès l’arrivée, plutôt que d’appliquer indistinctement le délai d’un mois.
Donner au secrétariat une marche à suivre
- Enregistrer la demande dès réception, même orale, et distinguer les informations administratives du contenu médical.
- Vérifier l’identité de façon proportionnée et choisir un canal de réponse adapté.
- Rechercher les données détenues, vérifier le sens des dates et isoler les informations concernant des tiers.
- Répondre dans le délai applicable, avec les explications utiles et sans appréciation sur le comportement de l’employeur.
- Conserver la trace de la demande et de la réponse selon la procédure du service.
La neutralité du SPST se traduit par une réponse factuelle. Elle permet au salarié d’obtenir les informations auxquelles il a droit, tout en laissant au juge le soin d’apprécier le litige.
Centraliser les demandes dans DPO Suite
Reste un problème très concret : une demande peut arriver au secrétariat, dans la boîte mail d’un médecin ou par le site internet. Si elle reste isolée, il devient difficile de savoir qui la traite et quand la réponse est attendue. DPO Suite rassemble les demandes d’exercice des droits dans un registre unique et permet d’organiser leur traitement.
Les formulaires peuvent être intégrés au site internet, à l’intranet ou à d’autres points d’entrée. Ils alimentent le même registre. Les demandes reçues par e-mail ou par téléphone restent possibles et sont à intégrer au même suivi : le formulaire facilite la réception, il ne devient pas une condition pour exercer ses droits.
Chaque SPST configure son circuit de traitement : intervention du référent RGPD ou du DPO, étapes soumises à validation et étapes de gestion validées automatiquement selon les règles choisies. Les décisions qui demandent une appréciation, notamment le contenu à communiquer et la protection des tiers, restent à examiner par les personnes habilitées.
Les rappels d’échéance deviennent plus fréquents à mesure que le délai approche. Ce suivi aide à relancer au bon moment, à clarifier les responsabilités et à limiter les demandes oubliées dans une boîte mail.
DPO Suite peut aussi fournir des consignes de réponse adaptées à la configuration du SPST. Pour une demande d’un salarié suivi, elles indiquent où rechercher les informations selon son objet : messageries, rapports, logiciel métier, DMST ou autres données personnelles. Le volet médical reste confié aux professionnels habilités, avec ses règles d’accès et ses délais propres. L’objectif est de guider la recherche et la préparation de la réponse, sans élargir les accès aux données.
J’accompagne plus de quarante SPST. DPO Suite a été conçu pour les besoins des SPST et peut être utilisé par leur DPO ou leur référent RGPD, avec notre accompagnement ou avec leur propre DPO. Il n’est pas nécessaire de changer de DPO pour l’utiliser. Cette organisation des demandes est également utile aux entreprises d’autres secteurs : un registre commun, des responsabilités définies et des échéances suivies.
