La fiche 1 du guide pratique de la CNIL pour les SPST rappelle que chaque traitement doit poursuivre une finalité déterminée, explicite et légitime, inscrite au registre. Le décret n° 2026-503 du 12 juin 2026, en vigueur depuis le 15 juin, ajoute une finalité que peu de services ont encore documentée : informer l’employeur de l’organisation d’une visite de pré-reprise.
Cette information est désormais prévue même lorsque le médecin du travail n’a pas recommandé la visite. Le même décret touche aussi la visite de reprise, avec une dispense dont la mise en œuvre repose sur des données du dossier médical. Les deux mesures ont des effets directs sur le registre.
Ce qui change
Le décret n° 2026-503 pose deux règles. La première organise l’information de l’employeur sur la tenue d’une visite de pré-reprise, sans condition de recommandation médicale. La seconde dispense de visite de reprise lorsque deux conditions sont réunies : une visite de pré-reprise a eu lieu dans les 30 jours précédant la reprise, et le médecin a conclu à l’absence de besoin d’aménagement.
Sous l’angle du RGPD, la première règle crée un flux sortant vers l’employeur, avec une finalité propre : préparer le retour du salarié dans l’entreprise. Cette finalité se distingue du suivi individuel de l’état de santé et doit apparaître comme telle au registre (article 30 du RGPD), avec sa base de licéité, ses destinataires, ses catégories de données et sa durée de conservation. Le principe de limitation des finalités (article 5.1.b) interdit d’utiliser ce flux pour transmettre autre chose que l’organisation de la visite.
Le travailleur peut s’opposer à cette information (voir fiche 7). Le traitement doit donc enregistrer l’opposition et en tirer la conséquence : aucune information ne part vers l’employeur.
La seconde règle pose une question de preuve. Pour chaque reprise sans visite, le service doit pouvoir montrer que la pré-reprise date de moins de 30 jours et que le médecin a conclu à l’absence d’aménagement. Ces éléments restent dans le dossier médical, sous secret, et n’ont pas à circuler hors de l’équipe soignante.
Ce que cela implique pour un SPST
Le registre doit porter une finalité nouvelle, rédigée de façon précise : « information de l’employeur sur l’organisation d’une visite de pré-reprise ». Les données transmises se limitent à l’identité du salarié et au fait que la visite est organisée. Aucun motif, aucun diagnostic, aucun élément du dossier ne figure dans le message.
Le libellé « pré-reprise » révèle à lui seul l’existence d’un arrêt de travail. L’information envoyée doit donc rester sobre, passer par un canal sécurisé et n’être adressée qu’à l’interlocuteur désigné chez l’employeur.
Le logiciel métier doit permettre de saisir l’opposition du travailleur et de bloquer l’envoi. Un paramétrage absent ou incomplet expose le service à une transmission contraire à la volonté du salarié, qui pourrait être qualifiée de violation de données.
Il faut enfin fixer des durées de conservation pour deux traces : celle de l’information adressée à l’employeur et celle de l’opposition. Et la mention d’information remise aux travailleurs doit être complétée (fiche 6), faute de quoi le droit d’opposition reste théorique.
Comment le traiter dans DPO SUITE
Ouvrez le registre des traitements et créez une fiche dédiée, ou complétez la fiche du suivi individuel de l’état de santé si le service préfère une fiche unique. Renseignez la finalité, citez le décret n° 2026-503 comme fondement de la base légale, ajoutez l’employeur parmi les destinataires en précisant que seule l’information d’organisation lui parvient, et listez les catégories de données concernées : identité, date de la visite, opposition éventuelle. Dans les mesures de sécurité, décrivez le canal d’envoi retenu.
Dans le registre des délais de conservation, qualifiez deux documents : la trace de l’information adressée à l’employeur et la trace de l’opposition du travailleur. Indiquez pour chacun le point de départ, la base légale, la durée et la localisation, puis interrogez le responsable de la donnée pour qu’il valide les délais proposés.
Si le service fait partie d’un groupe mutualisé, portez la modification sur le traitement mutualisé : tous les services du groupe partent alors de la même rédaction.
Dans le registre des logiciels, vérifiez que le logiciel métier est bien rattaché au traitement. Créez une tâche pour contrôler avec l’éditeur le paramétrage de l’opposition et du blocage d’envoi. Si le contrôle révèle un écart, ouvrez une non-conformité et associez-lui une action corrective datée.
ALIX peut proposer une rédaction de la finalité et des catégories de données à partir du texte du décret. Chaque proposition se relit, puis se valide ou se rejette avant d’entrer au registre. Terminez par la validation de la fiche de traitement.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Décret n° 2026-503 du 12 juin 2026, en vigueur le 15 juin 2026 (visites de pré-reprise et de reprise)
- RGPD, article 5.1.b (limitation des finalités) et article 30 (registre des activités de traitement)
- Guide CNIL SPST, fiche 1
