En avril 2026, 1 324 professionnels des services de prévention et de santé au travail ont répondu à la première enquête nationale sur le RGPD au quotidien, conduite par DPO PARTAGE et le réseau DPO FRANCE. Médecins du travail, secrétaires médicaux, IPRP, infirmiers, assistants et fonctions support ont décrit leurs gestes réels. Leurs réponses montrent une culture de la protection des données bien installée et des circuits concrets encore fragiles. La deuxième édition est ouverte : elle dira si l’écart s’est réduit en un an.
Le rapport 2026 : 13 pages, 8 constats, 7 priorités d’action.
Une enquête menée au plus près du terrain
Le questionnaire comptait 37 questions, diffusées en ligne en avril 2026. Neuf métiers sont représentés. Les médecins du travail et leurs collaborateurs forment le premier groupe (35 %), devant le secrétariat médical (22 %), les IPRP (15 %) et les fonctions administratives, informatiques et de direction (15 %).
L’échantillon est expérimenté : 57 % des répondants exercent en SPST depuis plus de dix ans. 76 % travaillent dans un service certifié SPEC 2217 et 15 % dans un service en cours de démarche.
L’équipe de l’enquête signale elle-même ses limites. Les répondants sont volontaires, donc probablement plus sensibilisés que la moyenne. Les taux de pratiques à risque sont des planchers.
Une culture déclarée, des circuits mal connus
78 % des professionnels décrivent un RGPD régulièrement abordé dans leur service, et 74 % ont lu la politique de protection des données. Les circuits suivent mal. 61 % ne savent pas ce qu’est le registre des activités de traitement, 49 % ignorent la procédure de gestion des demandes de droits, et 9 % seulement connaissent la finalité d’une AIPD.
L’enquête établit un lien net entre savoir et prudence. Un professionnel qui ne maîtrise aucune procédure cumule en moyenne 2,6 pratiques à risque sur 8. À partir de trois procédures connues, il tombe à 1,1. L’hypothèse d’une sur-confiance des répondants n’est pas confirmée : les plus confiants sont aussi les plus prudents.
Quatre profils de professionnels
En croisant la maîtrise des procédures et les pratiques à risque, le rapport dessine quatre profils. Un répondant sur quatre (26 %) cumule faible maîtrise et pratiques à risque. 39 % connaissent les circuits et les appliquent.
La répartition varie fortement selon le métier : 37 % des médecins du travail se classent dans le profil exposé, contre 17 % du secrétariat médical. Les deux profils exposés ne prennent pas les mêmes risques, et le rapport en tire des réponses distinctes pour chacun.
Le DMST, point le plus fragile
Quand un salarié demande la copie de son dossier médical en santé au travail, 40 % des répondants décrivent la procédure complète. 27 % transmettent la demande au médecin, 17 % au secrétariat, et 10 % remettent le dossier sans enregistrement.
Le délai pose aussi question. Parmi ceux qui en citent un, 29 % retiennent un mois, délai général du RGPD. Le DMST relève du Code de la santé publique (article L1111-7, via l’article L4624-8 du Code du travail) : 8 jours, deux mois pour les informations de plus de cinq ans.
41 % des professionnels déclarent consulter le DMST d’un autre salarié que celui qu’ils reçoivent. Une partie de ces accès est légitime : préparation d’une visite, suivi pluridisciplinaire, classement. Le chiffre mesure une exposition, que seule la revue des journaux d’accès permet de qualifier.
Des incidents qui ne laissent pas de trace
19 % des répondants ont vécu ou observé un incident touchant des données. Le résultat le plus inattendu de l’enquête les concerne : 10 % d’entre eux savent aujourd’hui qui prévenir, contre 39 % de ceux qui n’en ont jamais connu. L’incident est traité sur le moment, sans retour vers les personnes qui l’ont vécu, alors que le délai de 72 heures de notification à la CNIL court dès sa connaissance.
Messageries, équipements personnels, IA
Les usages devancent le cadre. 24 % des professionnels partagent des données de santé par courriel, SMS ou messagerie instantanée, et 26 % disposent d’une messagerie sécurisée de santé sans l’utiliser. 28 % travaillent sur un équipement personnel. 43 % utilisent des outils d’intelligence artificielle, et 75 % chez les IPRP. Près d’un répondant sur deux (48 %) ne sait pas ou suppose seulement que les données de santé sont hébergées chez un hébergeur certifié HDS.
La SPEC 2217, moteur reconnu
61 % des répondants attribuent le renforcement des pratiques à la certification SPEC 2217, loin devant l’action du DPO (14 %) ou une prise de conscience personnelle (14 %). L’effet s’émousse pourtant chez certains : 27 % des répondants de services certifiés décrivent un relâchement après l’audit, et cumulent davantage de pratiques à risque. Le rapport livre une observation sur les services en cours de démarche qui mérite d’être lue par toutes les directions.
Dans le rapport complet
L’article s’arrête ici. Le rapport va plus loin, métier par métier.
Quel métier partage le plus de données de santé par un canal non sécurisé ? Lequel consulte le plus d’autres dossiers ? La carte des risques par métier figure en page 10 du rapport.
Chaque groupe professionnel a sa zone de risque propre. Le rapport en tire une conclusion directement utile aux directions et aux référents formation : une sensibilisation unique pour tous manque ces zones, alors qu’un module par métier vise juste pour un temps de formation égal.
Sept priorités d’action, classées selon la gravité d’un manquement pour les salariés suivis. Les trois premières sont visibles ici, les quatre suivantes sont détaillées en page 11.
Le rapport présente aussi les résultats sur la sensibilisation. 91 % des professionnels ont été sensibilisés, la moitié jugent la session éclairante sans effet sur leurs habitudes, et le moment de l’intégration ressort comme celui où la sensibilisation porte le plus. Les définitions des deux indices construits pour l’étude figurent en annexe.
Édition 2027 : un an après, où en sont les SPST ?
Une première mesure ne vaut que par la suivante. L’édition 2027 reprend les questions de 2026 pour suivre l’évolution d’une année sur l’autre : le droit d’accès au DMST est-il mieux maîtrisé, les incidents donnent-ils lieu à un retour d’expérience, la messagerie sécurisée a-t-elle gagné du terrain ?
Elle ouvre aussi les sujets apparus depuis la première édition :
- l’identité nationale de santé et l’identification du salarié ;
- les visites de pré-reprise ;
- la double authentification et les accès à distance ;
- l’usage de l’intelligence artificielle dans le service.
Le questionnaire s’adresse à tous les professionnels d’un SPST, quel que soit leur métier ou leur ancienneté : médecins du travail, collaborateurs médecins, infirmiers en santé au travail, secrétaires et assistants médicaux, IPRP, assistants de santé au travail, équipes informatiques, administratives et de direction. Il ne s’agit pas d’un audit, et aucune réponse n’est jugée : il suffit de décrire ce que l’on fait réellement.
Répondre demande 15 à 20 minutes. Le questionnaire peut être interrompu et repris plus tard sur le même appareil. Il ne demande ni nom ni nom de service, et aucun résultat n’est publié pour un groupe de moins de 10 répondants. En fin de questionnaire, une adresse e-mail facultative, transmise séparément des réponses, permet de recevoir le rapport 2027 dès sa parution.
Plus les métiers seront nombreux à répondre, plus la lecture par profession sera fine. Les infirmiers en santé au travail (4 % des répondants en 2026) et les assistants de santé au travail (9 %) sont particulièrement attendus. Directions et référents RGPD peuvent relayer le lien auprès de leurs équipes.
