La fiche 10 du guide CNIL pour les SPST décrit les règles applicables au dossier médical en santé au travail (DMST). Le dossier traite à grande échelle des données de santé : il relève de l’analyse d’impact relative à la protection des données prévue par l’article 35 du RGPD.
Trois chantiers vont modifier le dossier dans les années qui viennent : le versement de données dans le dossier médical partagé (projet de loi), le nouveau référentiel d’hébergement HDS 2.1 et les thésaurus harmonisés 2027, que Présanse a livrés aux éditeurs fin septembre. Un dossier traité en octobre montre comment l’analyse d’impact peut servir de document de référence pour ces évolutions.
Ce qui change
Les Informations mensuelles de Présanse de septembre, publiées le 16 octobre, indiquent que les thésaurus harmonisés sont un élément central des travaux de la DGT et de l’ANS sur un référentiel national d’interopérabilité. À l’échelle européenne, les règlements d’exécution (UE) 2026/2083 et 2026/2098, relatifs à la plateforme MyHealth@EU et aux métadonnées des jeux de données, sont entrés en vigueur le 11 octobre, pour une application en mars 2027 et mars 2029.
Aucune échéance ne tombe en 2026. Un dossier qui doit un jour échanger avec d’autres systèmes doit être décrit avec exactitude : ce qu’il contient, où il est hébergé, qui y accède, avec quelles interfaces.
Dans un service, l’analyse d’impact du dossier a été rédigée en octobre en projet complet, selon la méthode de la CNIL, sur revue documentaire et registres arrêtés au 4 octobre, pour servir de support à l’audit du lendemain. Le périmètre couvrait le dossier lui-même et ses interfaces (prise de rendez-vous, archives numérisées, extractions), dans les seules limites décrites. Les risques n’ont pas encore été acceptés : l’avis formel du délégué, les preuves de déploiement des mesures et les arbitrages du responsable de traitement restent à produire, et aucune consultation de la CNIL n’a été simulée.
Ce que cela implique pour un SPST
L’analyse d’impact est lue par plusieurs publics : l’auditeur de certification, l’hébergeur, l’éditeur, et demain les acteurs de l’interopérabilité. Elle doit décrire ce que le dossier est réellement.
- Le périmètre doit inclure les interfaces du dossier, souvent oubliées : prise de rendez-vous, portail salarié, archives numérisées, extractions pour les études.
- Les sources doivent être datées. Une analyse fondée sur des registres arrêtés à une date précise se met à jour plus facilement.
- Le statut de chaque étape doit être clair : projet, avis du délégué, acceptation des risques résiduels par le responsable de traitement.
- Les mesures doivent être prouvées. Une mesure annoncée mais non déployée ne réduit pas le risque.
- Les évolutions à venir (thésaurus 2027, HDS 2.1, versement au DMP si le texte est adopté) doivent figurer au plan d’actions comme points de révision.
La consultation préalable de la CNIL, prévue par l’article 36, n’intervient que si les risques résiduels restent élevés après les mesures. Elle se décide sur une analyse aboutie.
Comment le traiter dans DPO SUITE
Ouvrez le module AIPD et créez une session sur le dossier médical en santé au travail. Décrivez le périmètre en incluant chaque interface, et rattachez les fiches du registre des traitements et du registre des logiciels concernées. Datez les sources utilisées.
Renseignez les scénarios de risques : accès illégitime, modification non désirée, disparition des données. Pour chacun, indiquez les mesures existantes et rattachez leur preuve depuis le drive du client connecté. Les mesures non prouvées vont au plan d’actions, avec un responsable et une échéance.
Ajoutez au plan d’actions les points de révision liés aux thésaurus 2027 et au référentiel HDS 2.1. Exportez enfin la session au format PIA pour la transmettre à l’auditeur, après recueil de l’avis du délégué et des arbitrages de la direction.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 35 et 36 du RGPD
- Règlements d’exécution (UE) 2026/2083 et 2026/2098
- Informations mensuelles Présanse n° 154
- Article L. 4624-8 du code du travail, legifrance.gouv.fr
- Guide CNIL SPST, fiche 10
