La fiche 10 du guide CNIL pour les SPST rappelle que le dossier médical en santé au travail reste sous la maîtrise du service, responsable de traitement, et sous le secret des professionnels de santé. Une question est revenue souvent ce semestre : peut-on laisser des dossiers médicaux papier chez l’employeur adhérent, dans une armoire fermée à clé ?
La réponse est non. La pratique se rencontre encore dans des services où les équipes se déplacent dans les entreprises et où les dossiers ont été stockés sur place pour des raisons logistiques.
Ce qui change
L’accès au dossier est réservé aux soignants (article R. 4624-45-5 du code du travail) et protégé par le secret médical (article L. 1110-4 du code de la santé publique) : l’employeur n’a pas à y accéder.
Le dossier laissé chez l’adhérent passe sous le contrôle physique d’un tiers non autorisé. Le service, responsable de traitement, perd la main sur la sécurité des données (article 32 du RGPD) et ne peut plus garantir leur confidentialité.
L’hébergement de dossiers papier par un tiers relève de l’agrément du ministère de la Culture (article R. 1111-16 du code de la santé publique). L’adhérent n’est pas un hébergeur agréé.
L’armoire fermée ne règle rien. Elle ne confère ni l’autorisation d’accès, ni la qualité d’hébergeur, ni le respect du secret médical. La personne qui détient la clé, chez l’employeur, a matériellement accès au contenu.
Ce que cela implique pour un SPST
Le service doit d’abord savoir où se trouvent ses dossiers. Un recensement des dossiers dispersés, centre par centre et adhérent par adhérent, constitue la première étape. Il faut y inclure les dossiers d’anciens salariés, souvent oubliés dans les mêmes armoires.
Le service établit ensuite un plan de rapatriement : retour au service, ou dépôt chez un hébergeur agréé. Le transport doit être sécurisé, et chaque dossier rapatrié tracé.
L’opération s’inscrit au registre. Elle modifie la localisation des données, les mesures de sécurité et, si un hébergeur intervient, la liste des sous-traitants.
Les personnes concernées doivent être informées. Leurs données ont été conservées dans des conditions non conformes ; l’opération de rapatriement ou de dépôt doit leur être expliquée.
Si un accès de l’employeur au contenu est établi ou probable, la situation doit être examinée comme une violation de données au sens de l’article 4.12 du RGPD, avec l’appréciation de l’obligation de notification dans les 72 heures (article 33).
Enfin, les équipes itinérantes doivent recevoir une consigne claire : aucun dossier médical ne reste dans les locaux d’un adhérent.
Comment le traiter dans DPO SUITE
Dans le module des locaux, créez une fiche pour chaque site d’adhérent où des dossiers sont stockés et renseignez la conformité des locaux : nature du stockage, personne détenant la clé, volume estimé. Ce recensement donne la carte des dossiers dispersés.
Pour chaque site, ouvrez une non-conformité et associez-lui une action corrective de rapatriement, avec un responsable et une échéance. Créez une procédure « Rapatriement des dossiers médicaux », approuvez-la et suivez son plan de tâches : inventaire, transport, contrôle à l’arrivée, information des personnes.
Ouvrez la fiche du traitement du dossier médical dans le registre des traitements et mettez à jour la localisation et les mesures de sécurité. Si un hébergeur agréé reçoit les dossiers, créez sa fiche dans le registre des sous-traitants et envoyez-lui le questionnaire d’audit.
Lorsqu’un accès de l’employeur est suspecté, déclarez un incident de sécurité : DPO SUITE aide à qualifier la violation et calcule le délai de 72 heures.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Code du travail, article R. 4624-45-5 (accès au dossier médical)
- Code de la santé publique, article L. 1110-4 (secret médical) et article R. 1111-16 (agrément pour l’hébergement des dossiers papier)
- RGPD, article 4.12, article 32 et article 33
- Guide CNIL SPST, fiche 10
