La fiche 10 du guide pratique de la CNIL pour les SPST présente les règles applicables au dossier médical en santé au travail : contenu, finalité, accès, conservation. Ce cadre reste national et ne change pas en septembre 2026 ; le projet de décret ouvrant aux médecins du travail un volet santé au travail du dossier médical partagé reste en concertation, sans calendrier.
Le cadre européen avance en revanche. Trois règlements d’exécution du règlement (UE) 2025/327 sur l’espace européen des données de santé ont été publiés au Journal officiel de l’Union européenne les 21 et 22 septembre 2026.
Ce qui change
- Le règlement d’exécution (UE) 2026/2083 fixe le cadre technique, organisationnel et de sécurité de la plateforme d’échange transfrontière MyHealth@EU. Il s’applique au 26 mars 2027, avec des échanges par paliers en 2029 et 2031.
- Le règlement d’exécution (UE) 2026/2098 définit les métadonnées que les détenteurs de données de santé devront fournir pour décrire leurs jeux de données en usage secondaire. Il s’applique au 26 mars 2029.
- Le règlement d’exécution (UE) 2026/2099 organise l’identification et l’authentification transfrontières des personnes, des professionnels et des prestataires de santé. Il s’applique au 26 mars 2027, les États membres devant préciser les informations d’identification avant le 26 mars 2028.
Ces règlements complètent le RGPD sans le remplacer. L’usage secondaire des données de santé (recherche, statistique, politiques publiques) reste soumis aux principes de l’article 5 et aux conditions de l’article 9.
Ce que cela implique pour un SPST
Pour un service, l’échéance utile est 2029. À cette date pourraient s’appliquer la qualification éventuelle de détenteur de données de santé et l’obligation de décrire ses jeux de données. Cette application reste sous réserve des exemptions prévues et de la loi française d’adaptation, qui n’est pas publiée.
Rien n’est à faire avant 2029 au titre de ces règlements. Une préparation se fait toutefois sans coût particulier : la description des jeux de données s’appuiera sur ce que le registre contient déjà. Un registre précis sur les catégories de données, les volumes, les sources et les durées facilitera cette description.
- Tenir le registre au niveau de précision qu’exigera la description des jeux de données : catégories, origine, période couverte, format.
- Distinguer, dans le registre, les données du dossier médical et les données agrégées produites pour des études.
- Suivre la publication de la loi française d’adaptation et les éventuelles exemptions.
- Noter que l’identification transfrontière (règlement 2026/2099) s’articulera avec le référentiel INS (fiche 3).
Les échanges MyHealth@EU concernent d’abord les soins transfrontières. Leur portée pour la santé au travail dépendra de la place que la loi française donnera au dossier médical en santé au travail.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche du dossier médical en santé au travail et celle des études et statistiques. Vérifiez que les catégories de données, les catégories de personnes, l’origine des données et les durées sont renseignées avec précision. Ces champs serviront de base à la future description des jeux de données.
Dans le registre des délais de conservation, vérifiez que chaque document du dossier est qualifié avec son point de départ, sa base légale, sa durée et sa localisation. Dans le registre des logiciels, rattachez le logiciel métier à chaque fiche concernée pour savoir quel système détient quel jeu de données.
Créez une tâche dans la liste des to-do pour suivre la loi française d’adaptation, avec une revue au rapport annuel du DPO. Lorsqu’un usage secondaire des données est envisagé, ouvrez une session d’AIPD pour en évaluer les risques avant tout engagement. ALIX peut proposer une première description des jeux de données à partir des fiches du registre, à relire et valider.
Pour préparer un registre assez précis pour 2029, testez la création de votre registre.
Repères
- Règlement (UE) 2025/327 relatif à l’espace européen des données de santé
- Règlements d’exécution (UE) 2026/2083, 2026/2098 et 2026/2099, publiés au JOUE les 21 et 22 septembre 2026
- Code du travail, articles L. 4624-8 et R. 4624-45-3 à R. 4624-45-9
- RGPD, articles 5 et 9
- Guide CNIL SPST, fiche 10
