La fiche 10 du guide pratique de la CNIL pour les SPST présente les règles applicables au dossier médical en santé au travail (DMST) : son contenu, défini par les articles R. 4624-45-3 et suivants du code du travail, sa tenue par les professionnels de santé et son hébergement.
Le contenu du dossier s’est élargi d’une ligne, discrète mais structurante. Depuis sa modification du 30 avril 2026, l’article R. 4624-45-4 prévoit que le dossier comporte le consentement ou l’opposition du travailleur pour les situations des articles L. 4622-2-1, L. 4624-1 et L. 4624-8. Le décret n° 2026-321 le confirme pour les échanges avec le contrôle médical : l’accord recueilli en visite est conservé dans le dossier (article D. 4622-4-1).
Ce qui change
Le DMST devient le registre des accords et des oppositions du travailleur. Les situations visées sont précises :
- les échanges avec le service du contrôle médical au titre de la prévention de la désinsertion professionnelle (article L. 4622-2-1) ;
- le suivi à distance (article L. 4624-1) ;
- le versement d’éléments au dossier médical partagé (article L. 4624-8).
S’y ajoute en pratique l’opposition à l’information de l’employeur sur l’organisation d’une visite de préreprise, créée par le décret n° 2026-503 du 12 juin 2026, qui gagne à être consignée au même endroit.
Pour le RGPD, cette évolution répond à une exigence connue : le responsable de traitement doit pouvoir démontrer le consentement (article 7.1) et permettre son retrait (article 7.3). Le code du travail fixe désormais le lieu de cette démonstration.
Ce que cela implique pour un SPST
La question se pose d’abord au logiciel métier. Un dossier qui doit comporter des accords et des oppositions doit les enregistrer de façon exploitable.
- Un champ dédié pour chaque situation, plutôt qu’une note libre, afin de retrouver l’état de l’accord sans relire tout le dossier.
- Une date et un auteur pour chaque saisie, et un historique qui conserve les états successifs : accord, retrait, nouvel accord.
- Une restitution lisible lors d’une demande d’accès du travailleur, qui doit pouvoir constater ce qu’il a accepté ou refusé.
- Une impossibilité, ou au moins une alerte, lorsqu’une transmission est préparée alors que l’accord a été retiré.
- Une absence de communication de ces éléments à l’employeur : un refus de versement au dossier médical partagé, par exemple, ne lui est pas communicable.
Les accords et oppositions suivent la durée de conservation du dossier lui-même. Les supports papier de recueil, s’il en existe, sont numérisés dans le dossier pour éviter une double conservation.
La question doit être posée par écrit à l’éditeur. Sa réponse conditionne la conformité du service, puisque le texte s’applique depuis le 30 avril 2026.
Comment le traiter dans DPO SUITE
- Ouvrez la fiche du traitement « Dossier médical en santé au travail » dans le registre et ajoutez les accords et oppositions du travailleur aux catégories de données, avec les articles qui les prévoient.
- Dans le registre des logiciels, ouvrez la fiche du logiciel métier et notez la manière dont il enregistre ces éléments : champ dédié, date, historique.
- Dans le registre des sous-traitants, envoyez à l’éditeur un questionnaire d’audit centré sur ces fonctions et conservez sa réponse.
- Si le logiciel ne permet pas un enregistrement daté et historisé, créez une non-conformité et une action corrective avec une échéance.
- Dans le registre des délais de conservation, qualifiez les accords, oppositions et retraits comme documents du dossier, avec la durée du dossier, puis interrogez le médecin responsable pour valider ces délais.
- Demandez à ALIX une proposition de mise à jour de la fiche du traitement à partir de l’article R. 4624-45-4, puis validez-la.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Code du travail, articles R. 4624-45-3 à R. 4624-45-9, dont l’article R. 4624-45-4 modifié le 30 avril 2026
- Code du travail, articles L. 4622-2-1, D. 4622-4-1, L. 4624-1 et L. 4624-8
- Décret n° 2026-321 du 28 avril 2026 ; décret n° 2026-503 du 12 juin 2026
- Règlement (UE) 2016/679 (RGPD), articles 7.1 et 7.3
- Guide CNIL SPST, fiche 10
