La fiche 10 du guide pratique de la CNIL pour les SPST encadre le dossier médical en santé au travail, y compris sa transmission lorsqu’un travailleur change de service. Le dossier ne circule qu’entre professionnels de santé et dans le respect du secret médical.
Présanse a présenté le 30 juillet 2026, dans ses Informations mensuelles n° 153, plusieurs chantiers numériques. L’un d’eux porte sur une interopérabilité entre logiciels métier, pour localiser le service qui détient le dossier d’un salarié et connaître l’état de son suivi. Il est conduit en lien avec la Direction générale du travail, qui travaille à un cadre d’interopérabilité pour la transmission des dossiers entre services et à la création d’un volet santé au travail dans le dossier médical partagé.
Ce qui change
Aucun texte n’est publié sur ce cadre à ce jour. La recommandation de la HAS du 16 mars 2023 sur le volet santé au travail du dossier médical partagé reste inchangée. Le chantier annonce pourtant un traitement nouveau : un annuaire des dossiers, interrogeable par les services.
Un tel annuaire soulève des questions de protection des données qui se règlent en amont. Qui interroge l’annuaire, et avec quelle identité du salarié ? Quelles informations l’annuaire révèle-t-il : la seule existence d’un dossier, ou aussi l’état du suivi ? Qui décide de la transmission, et le salarié en est-il informé, voire consulté ? Ces questions relèvent de la protection des données dès la conception (article 25 du RGPD) et, compte tenu de l’échelle et de la nature des données, d’une analyse d’impact (article 35).
Ce que cela implique pour un SPST
L’annuaire n’existe pas encore, mais les demandes de transmission entre services existent déjà. Tant que le cadre d’interopérabilité n’est pas publié, une règle transitoire s’impose.
- La transmission d’un dossier à un autre service se fait à la demande du travailleur ou avec son accord.
- Elle passe par une messagerie sécurisée de santé, entre professionnels de santé.
- Elle se trace dans le dossier : date, destinataire, éléments transmis, fondement.
- Une demande de l’employeur ne suffit pas : l’envoi d’un dossier à un autre service sur simple demande de l’employeur n’a aucune base.
Le service a intérêt à écrire cette règle dans une procédure et à la faire connaître aux secrétariats, souvent destinataires des demandes. Les fusions et les changements d’adhésion d’entreprises multiplient ces situations.
Pour l’avenir, le service peut préparer la future analyse d’impact : recenser les flux actuels de transmission, leur volume et leurs canaux, pour disposer d’un point de départ le jour où le cadre sera publié.
Comment le traiter dans DPO SUITE
- Dans le registre des traitements, ouvrez la fiche « Dossier médical en santé au travail » et décrivez la transmission entre services dans la rubrique des destinataires, avec la condition d’accord du travailleur et le canal.
- Créez une procédure « Transmission d’un dossier médical à un autre service », faites-la approuver et générez son plan de tâches pour les secrétariats et les médecins.
- Ouvrez une session d’AIPD préparatoire consacrée à l’interopérabilité, et notez les scénarios de risque déjà identifiables (interrogation abusive de l’annuaire, erreur d’identité, transmission sans accord).
- Si des dossiers ont été transmis sur simple demande de l’employeur, ouvrez une non-conformité et une action corrective.
- Créez une tâche de veille sur la publication du cadre d’interopérabilité, avec une échéance de revue.
- Rattachez au traitement, dans le registre des logiciels, la messagerie sécurisée de santé utilisée pour ces transmissions.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Présanse, Informations mensuelles n° 153 (30 juillet 2026)
- Code du travail, articles L. 4624-8 et R. 4624-45-3 à R. 4624-45-9
- Recommandation HAS du 16 mars 2023 sur le volet santé au travail du DMP
- Règlement (UE) 2016/679 (RGPD), articles 25 et 35
- Guide CNIL SPST, fiche 10
