études et enquêtes réalisées au sein du SPSTi

A lire aussi sur DPO PARTAGE

Les professionnels de santé au travail, notamment les médecins, mènent des études pour évaluer l’impact des conditions de travail sur la santé des employés.
L’utilisation de données personnelles dans ces études est strictement encadrée par la loi, notamment la loi « Informatique et Libertés » et les articles 72 et suivants dédiés à la recherche en santé.
Selon le type d’étude, des formalités auprès de la CNIL peuvent être nécessaires. La responsabilité du traitement des données repose sur le responsable du fichier ou de la base de données utilisée.

En Pratique

Avant de lancer une étude, les Services de Prévention en Santé au Travail (SPSTi) doivent identifier leur périmètre et la nature des informations à utiliser.
Si l’étude est « interne » au SPSTi, aucune formalité auprès de la CNIL n’est nécessaire.
Si l’étude est multicentrique ou implique des tiers, une formalité auprès de la CNIL est requise.

Formalités CNIL

Pour les études internes, aucune formalité n’est nécessaire.
Pour les études multicentriques, une demande d’autorisation doit être déposée auprès de la CNIL.

Règles de droit

Les médecins du travail et autres professionnels de santé s’interrogent régulièrement sur le lien entre les pathologies observées sur les travailleurs et leurs conditions de travail. Aussi, mènent-ils ou participent-ils à l’échelle d’une entreprise ou au niveau local, régional ou national à des recherches, des études, des évaluations et des enquêtes leur permettant de fournir des indicateurs en santé au travail, d’identifier des affections pouvant être provoquées ou aggravées par une activité professionnelle, de déterminer les actions de santé au travail à mettre en œuvre pour préserver la santé physique et mentale des travailleurs, etc.

L’utilisation d’informations personnelles (fichiers, bases de données) à de telles fins dans le domaine de la santé font l’objet d’un encadrement juridique particulier pour des raisons éthiques et du fait de la nature des informations utilisées, de l’ordre de l’intime.

Selon le périmètre et la nature des recherches, études, évaluations ou enquêtes (désignées ci-après sous le terme d’études), certaines formalités devront être réalisées auprès de la CNIL, préalablement à leur mise en œuvre, par le responsable du fichier ou de la base de données utilisée (par exemple : Service de Prévention en Santé au Travail (SPSTi), établissement de santé souhaitant mener une recherche sur l’origine professionnelle d’une maladie particulière, etc.).

Ainsi, l’utilisation d’informations personnelles sur la santé des travailleurs pour mener des études relevant du champ des missions des SPSTi doit respecter les articles 72 et suivants de la loi « Informatique et Libertés » dédiés à la recherche en santé. Tel sera le cas par exemple, pour une étude portant sur l’influence d’une pathologie sur le parcours professionnel des travailleurs, sur les effets de certains matériaux sur la santé et la sécurité des travailleurs, sur le maintien dans l’emploi des travailleurs en situation de handicap, ou encore sur les troubles musculosquelettiques, etc. Si les fichiers concernés ne comportent pas d’informations personnelles sur la santé des travailleurs, les articles dédiés à la recherche en santé ne s’appliqueront pas.

ATTENTION !

Il conviendra de bien identifier la responsabilité de traitement (responsabilité du fichier, de la base de données, etc.) dans le cas des études menées dans la mesure où les obligations pèsent sur le responsable du fichier. Selon les cas de figure, le responsable du fichier peut être le SPSTi, un établissement ou professionnel de santé, le comité social et économique, etc. Pour plus d’informations sur la responsabilité de traitement, nous vous invitons à consulter la fiche n° 2.

ATTENTION !

La présente fiche ne s’attache pas aux particularités des recherches impliquant la personne humaine, qui semblent peu courantes au sein des SPSTi. Elle se focalise donc sur les études qualifiées de « recherches n’impliquant pas la personne humaine » (RNIPH), par exemple menées à partir des informations personnelles figurant dans les DMST.

Pour avoir une vue d’ensemble des différentes catégories de recherches, nous vous invitons à consulter la fiche thématique « Recherche médicale : quel est le cadre légal ? » (https://www.cnil.fr/fr/recherche-medicale-quel-est-le-cadre-legal).

En pratique

Avant de lancer des études, les SPSTi doivent précisément identifier leur périmètre afin d’apprécier la nécessité de réaliser des formalités auprès de la CNIL ainsi que la nature des informations à délivrer.

Pour définir les formalités à accomplir, deux cas de figure doivent ainsi être distingués, selon le périmètre de l’étude :

L’étude peut être « interne » au SPSTi.

L’étude est « interne », si elle est menée cumulativement :

à partir des informations recueillies dans le cadre du suivi du travailleur ;

par les personnels assurant ce suivi (médecin du travail, médecin collaborateur, interne, du Service de Prévention en Santé au Travail, etc.) ;

pour leur usage exclusif.

Exemple :

Une étude menée par le médecin du travail sur les risques professionnels d’une entreprise déterminée (par exemple : lombalgie, chutes, exposition à des maladies, etc.), à partir des informations inscrites dans le DMST des travailleurs suivis par le SPSTi au sein duquel il exerce, pour mettre en place des actions préventives, est une recherche interne.

Quelles formalités accomplir ?

Aucune formalité auprès de la CNIL n’est nécessaire dans la mesure où l’article 65 de la loi « Informatique et Libertés » exclut du champ des formalités préalables « les traitements permettant d’effectuer des études à partir des données recueillies en application du 1° de l’article 44 de la présente loi lorsque ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif ». Le SPSTi devra inscrire ce fichier au sein du registre des activités de traitement.

Le SPSTi doit mettre en place une information auprès des travailleurs concernés pour les informer de la réutilisation de leurs données à des fins de recherche. Il doit pouvoir leur fournir une note d’information individuelle sur l’étude préalablement à sa réalisation, afin que les personnes concernées puissent s’y opposer. L’information individuelle peut également être réalisée via une page web dédiée, dont la personne a été préalablement informée.

Quelle durée de conservation retenir ?

Les informations personnelles relatives aux travailleurs se prêtant à la recherche et professionnels intervenant dans la recherche sont conservées pendant une durée définie par le responsable du fichier en base active et en archivage intermédiaire. Cette durée ne doit pas excéder celle nécessaire à la réalisation des objectifs de l’étude et doit être justifiée par le responsable du fichier. Pour plus d’informations sur la durée de conservation des données, nous vous invitons à consulter la fiche n° 9.

L’étude est multicentrique ou implique que des informations personnelles soient rendues accessibles à des personnes en dehors de l’équipe du SPSTi.

Exemples :

– l’étude est menée à partir des informations recueillies auprès de l’ensemble des SPSTi présents au sein d’une même région ;

– des professionnels de santé non rattachés au Service de Prévention en Santé au Travail (les spécialistes d’une pathologie particulière exerçant au sein d’un établissement de santé, d’un centre de lutte contre le cancer, etc.) consultent les informations présentes dans les DMST pour mener une étude ;

– les informations du DMST sont appariées avec des informations présentes dans d’autres sources (questionnaires, dossier médical libéral, etc.).

Quelles formalités accomplir ?

Une formalité auprès de la CNIL est nécessaire :

le responsable du fichier est invité à mettre en œuvre son étude conformément aux référentiels dédiés aux recherches en santé n’impliquant pas la personne humaine (méthodologie de référence – MR 004) et à réaliser un engagement de conformité à la MR-004 auprès de la CNIL ;
si le fichier n’est pas conforme à la MR-004, une demande d’autorisation doit être déposée par le responsable du fichier auprès de la plateforme des données de santé (avis CESREES + autorisation de la CNIL).

Une information individuelle portant sur le projet d’étude devra être délivrée auprès de chaque personne dont les informations vont être utilisées :

il appartient au responsable du fichier d’informer les travailleurs concernés par l’étude. Dès lors, l’information peut être réalisée par le SPSTi intervenant pour le compte du responsable du fichier, sur la base d’un modèle défini par le responsable du fichier ;
à titre tout à fait exceptionnel, notamment pour les recherches menées à partir des informations personnelles présentes dans le DMST des travailleurs ayant quitté leur emploi, il est possible de ne pas informer individuellement le travailleur lorsque l’information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs de l’étude.

Dans cette hypothèse, des mesures appropriées devront être mises en place, notamment la diffusion de la note d’information sur le site web, un affichage dans les locaux, une communication au sein de l’entreprise, etc.

ATTENTION !

Pour être en conformité avec une MR, le responsable du fichier doit notamment :

être en mesure de mettre en place une information individuelle sur le fichier utilisé pour la réalisation de l’étude, à destination de l’ensemble des personnes concernées ;
n’utiliser que des informations pseudonymisées ou codées (pas de nom / prénom) des travailleurs pour son étude. Pour plus d’informations sur la notion de données pseudonymes, nous vous invitons à consulter le glossaire ;
être en mesure de justifier la pertinence scientifique des informations qu’il utilise.

L’engagement de conformité à une MR ne vaut pas pour une unique recherche : il peut être réalisé pour l’ensemble des fichiers du SPSTi entrant dans le champ de la MR. Il faut être conforme en tous points à la MR.

Si la recherche est conforme à la MR004, la saisine de la Plateforme des données de santé (PDS) ou de la CNIL n’est pas requise mais des informations relatives à l’étude menée dans le cadre de ces MR devront être enregistrées dans le répertoire public de la PDS.

ATTENTION !

Le SPSTi n’a pas à informer l’employeur que tel travailleur a participé ou non à une étude. L’employeur n’a accès qu’aux résultats des études sous réserve que ceux-ci ne permettent pas de réidentifier directement ou indirectement les travailleurs concernés.

Pour plus d’informations sur la notion de données anonymes, nous vous invitons à consulter le glossaire.

Le schéma ci-dessous synthétise les formalités applicables aux fichiers déployés au sein des SPSTi :

Quelle durée de conservation retenir ?

NATURE DE LA FORMALITÉ	NATURE DES DONNÉES	DUREE DE CONSERVATION EN BASE ACTIVE	DUREE DE CONSERVATION EN ARCHIVAGE INTERMEDIAIRE
Déclaration de conformité à la MR-004	Informations personnelles concernant les travailleurs se prêtant à la recherche	Conservation dans les systèmes d’information du fichier, du centre participant ou du professionnel intervenant dans la recherche jusqu’à deux ans après la dernière publication En l’absence de publication : conservation jusqu’à la signature du rapport final de la recherche	Archivage sur un support papier ou informatique pour une durée conforme à la réglementation en vigueur ou pour une durée de 20 ans maximum
Déclaration de conformité à la MR-004	Informations personnelles concernant les professionnels intervenant dans la recherche	15 ans au maximum, à compter de la fin de la dernière recherche à laquelle les professionnels ont participé	Archivage sur support papier ou informatique pour une durée conforme à la réglementation en vigueur
Demande d’autorisation « recherche »	Informations personnelles concernant les travailleurs se prêtant à la recherche et les professionnels intervenant dans la recherche	Conservation des informations des personnes concernées pendant une durée définie par le responsable du fichier et n’excédant pas celle nécessaire à la réalisation de la recherche	Archivage sur support papier ou informatique pour une durée conforme à la réglementation en vigueur

Références

Pour aller plus loin

Qui est responsable du fichier ?

Le responsable du fichier peut varier selon le contexte de l’étude. Il peut s’agir du Service de Prévention en Santé au Travail (SPSTi), d’un établissement de santé, ou d’un autre organisme. Ce responsable est chargé de veiller au respect des obligations légales en matière de protection des données.

Quel est le périmètre de la recherche ?

Le périmètre de la recherche peut être soit « interne » au SPSTi, soit « multicentrique », impliquant plusieurs entités ou des tiers.

Quelle est la nature de la recherche ?

La recherche peut être de type RNIPH (Recherches N’Impliquant Pas la Personne Humaine) ou RIPH (Recherches Impliquant la Personne Humaine). La nature de la recherche détermine les obligations légales à respecter.

L’objectif de la recherche est-il clairement défini ?

Il est crucial que l’objectif de la recherche soit clairement défini pour s’assurer que toutes les données collectées sont pertinentes et nécessaires à la réalisation de cet objectif.

Des formalités auprès de la CNIL sont-elles nécessaires ?

Oui, selon le type et le périmètre de la recherche, des formalités auprès de la CNIL peuvent être requises.

Les informations utilisées sont-elles strictement nécessaires ?

Toutes les données collectées doivent être strictement nécessaires à la réalisation de l’objectif de la recherche.

Durée de conservation des données

Une durée de conservation des données doit être définie et ne doit pas excéder celle nécessaire à la réalisation des objectifs de la recherche.

Information des travailleurs

Les travailleurs concernés doivent être informés avant le début de la recherche. Cette information peut être délivrée via divers moyens, y compris une note d’information ou une page web dédiée.