La fiche 10 du guide CNIL pour les SPST fixe les règles applicables au dossier médical en santé au travail : contenu, conservation, hébergement, secret. Le sujet majeur du semestre porte sur l’externalisation de l’archivage et de la numérisation des dossiers chez un prestataire.
Une analyse de risque conduite sur un projet de ce type a donné lieu à une question posée à la CNIL. Sa réponse clarifie le régime applicable selon le support, et ce que la numérisation permet ou non.
Ce qui change
La CNIL confirme que l’article L. 1111-8 du code de la santé publique s’applique dès qu’un tiers héberge des données de santé. Elle distingue selon le support :
- pour le papier, l’hébergeur doit être agréé par le ministère de la Culture (article R. 1111-16) ;
- pour le numérique, il doit être certifié HDS par un organisme accrédité par le COFRAC (certification prévue à l’article R. 1111-10, l’article R. 1111-9 définissant l’hébergement).
La numérisation, prise isolément et pour une courte durée, est exclue du régime de l’hébergement (article R. 1111-8-8). Cette exclusion ne lève ni le secret médical (article L. 1110-4) ni les règles d’accès au dossier.
Les durées restent celles du code du travail : 40 ans pour le dossier médical (article R. 4624-45-9) et 50 ans après exposition aux agents chimiques dangereux (article R. 4412-55). La prestation doit tenir sur toute cette durée.
Ce que cela implique pour un SPST
L’argumentaire commercial d’un prestataire ne vaut pas analyse de conformité. Les pièges fréquents sont connus : présenter l’exclusion du régime HDS comme une autorisation d’accéder au contenu ; qualifier la supervision médicale d' »encouragée » alors qu’elle est nécessaire ; opposer au service la propre analyse d’impact du prestataire, qui ne décharge pas le responsable de traitement.
En données de santé, le principe est l’interdiction sauf exception (article 9.1 du RGPD), et la charge de la preuve pèse sur le service. Le contrôle qualité de la numérisation impose de voir le contenu des dossiers : l’accès des opérateurs doit donc être encadré.
Le projet appelle une analyse d’impact pilotée par le service (article 35). Le contrat de sous-traitance (article 28) doit être complété de clauses propres aux données de santé : accès, restitution, destruction, gestion des incidents. Un médecin superviseur doit être désigné.
Les personnes concernées doivent être informées. L’information est individuelle pour les travailleurs joignables. Pour les anciens travailleurs injoignables, une publication sur le site du service s’appuie sur l’exception de l’article 14.5.b du RGPD.
Avant de conclure à une non-conformité du prestataire, il faut vérifier s’il est réellement non certifié ou si l’information manque seulement dans le registre.
Comment le traiter dans DPO SUITE
Ouvrez une session d’AIPD pour le projet d’externalisation. Décrivez le traitement, puis créez les scénarios de risques : accès des opérateurs au contenu, perte de dossiers pendant le transport, défaut de restitution, hébergement non agréé. Construisez le plan d’actions et exportez l’analyse au format PIA si besoin.
Dans le registre des sous-traitants, créez la fiche du prestataire avec ses contacts, ses sous-traitants ultérieurs et la localisation de stockage. Envoyez-lui le questionnaire d’audit pour obtenir l’agrément du ministère de la Culture ou le certificat HDS, et les clauses demandées. Rattachez-le au traitement du dossier médical dans le registre des traitements, et mettez à jour les destinataires et les mesures de sécurité de la fiche.
Dans le registre des délais de conservation, vérifiez que les dossiers confiés portent les durées de 40 ans et de 50 ans après exposition, avec la localisation chez le prestataire. Interrogez le responsable de la donnée pour valider ces délais.
Si l’audit du prestataire révèle un défaut d’agrément ou de certification, ouvrez une non-conformité et une action corrective. Créez enfin une tâche pour l’information des personnes et une réunion de comité de direction avant toute signature.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Code de la santé publique, articles L. 1110-4, L. 1111-8, R. 1111-8-8, R. 1111-9, R. 1111-10 et R. 1111-16
- Code du travail, articles R. 4624-45-9 et R. 4412-55 ; décret n° 2022-1434 (DMST)
- RGPD, articles 9.1, 14.5.b, 28, 32 et 35
- Guide CNIL SPST, fiche 10
