La fiche 1 du guide pratique de la CNIL pour les SPST rappelle que chaque traitement du service poursuit une finalité déterminée, explicite et légitime, rattachée aux missions que le code du travail lui confie. Le registre des traitements décrit ces finalités une à une, avec leur base, leurs données, leurs destinataires et leurs durées.
La liste des missions s’est allongée cet été. La loi n° 2026-668 du 27 juillet 2026, publiée au Journal officiel du 28 juillet et souvent appelée loi Neuder, ajoute à la visite de mi-carrière une sensibilisation aux facteurs de risque cardio-neuro-vasculaires et la proposition d’un dépistage précoce. Elle fait aussi entrer dans l’offre socle la participation du service à des campagnes de vaccination et de dépistage. Pour le registre, cela fait une finalité de plus, avec ses propres règles.
Ce qui change
Le dépistage figure désormais à l’article L. 4624-2-2, 4°, du code du travail, parmi les objets de la visite de mi-carrière. L’article L. 4622-2, 5°, ajoute de son côté la participation à des campagnes de vaccination et de dépistage à l’offre socle. Ces deux dispositions créent des traitements de données de santé. Leur base se trouve dans la mission de médecine du travail, au sens de l’article 9.2.h du RGPD. Le dépistage est proposé, le salarié suivi reste libre de le refuser, mais le traitement des données issues du dépistage accepté repose sur la mission légale du service.
La loi prévoit aussi un rapport au Parlement sous trois ans sur le nombre de personnes dépistées et sensibilisées. Le service devra donc produire des chiffres. Le texte n’impose aucune transmission nominative : un comptage agrégé suffit. Mieux vaut le prévoir dès le lancement du dépistage, plutôt que de devoir extraire en urgence des données du dossier médical le jour où le chiffre sera demandé.
La même loi ouvre des partenariats de promotion de la santé avec des mutuelles, des associations ou d’autres organismes de prévention. Ce volet relève de la fiche 2 du guide : aucun partenaire ne devient destinataire de résultats individuels.
Ce que cela implique pour un SPST
- Une fiche de traitement dédiée au dépistage et à la sensibilisation de mi-carrière, distincte du suivi individuel général. Les catégories de données (résultats du dépistage, facteurs de risque relevés), les personnes habilitées et la durée de conservation y sont décrites pour ce seul usage.
- Une mise à jour, ou une fiche distincte, pour les campagnes de vaccination et de dépistage de l’offre socle, en particulier si elles touchent des travailleurs en dehors des visites programmées.
- Une base clairement identifiée : la mission de médecine du travail (article 9.2.h du RGPD et article L. 4624-2-2 du code du travail).
- Une minimisation réelle : seuls les éléments utiles au dépistage et à son suivi entrent dans le dossier médical en santé au travail.
- Un comptage agrégé, sans identifiant, construit pour le rapport prévu par la loi.
- Une mention d’information complétée (fiche 6 du guide) pour signaler le dépistage proposé lors de la visite de mi-carrière.
Le dépistage s’adresse à une population large, puisque tous les salariés suivis arrivant à la mi-carrière sont concernés. Le volume de données de santé traitées augmente d’autant. Si le service s’appuie pour ce dépistage sur un outil, un appareil connecté ou un prestataire nouveau, l’analyse d’impact du dossier médical doit être relue à la lumière de ce changement.
Comment le traiter dans DPO SUITE
- Dans le registre des traitements, créez la fiche « Dépistage et sensibilisation cardio-neuro-vasculaires à la visite de mi-carrière ». Renseignez la finalité, la base légale, les catégories de données et de personnes, les destinataires internes et les mesures de sécurité.
- Demandez à ALIX une proposition de rédaction à partir des articles L. 4624-2-2 et L. 4622-2 du code du travail, puis validez ou corrigez chaque champ avant de soumettre le traitement à validation.
- Si le service appartient à un groupe mutualisé, rattachez la fiche au groupe : les autres services partent ainsi du même socle et l’adaptent.
- Dans le registre des délais de conservation, qualifiez les documents issus du dépistage (compte rendu, résultats) : nom, point de départ, base légale, durée alignée sur celle du dossier médical en santé au travail, localisation.
- Si un logiciel ou un prestataire intervient, inscrivez-le au registre des logiciels ou au registre des sous-traitants et rattachez-le au traitement. Pour un prestataire, envoyez le questionnaire d’audit des sous-traitants.
- Ouvrez l’AIPD du dossier médical, ajoutez un scénario de risque lié au volume supplémentaire de données de dépistage, et inscrivez au plan d’actions la mise en place du comptage agrégé.
- Créez une tâche datée pour la mise à jour de la mention d’information et rattachez la nouvelle version comme preuve depuis le drive du service.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Loi n° 2026-668 du 27 juillet 2026 (JO du 28 juillet 2026)
- Code du travail, articles L. 4624-2-2, 4°, et L. 4622-2, 5°
- Règlement (UE) 2016/679 (RGPD), article 9.2.h
- Guide CNIL SPST, fiche 1
