La fiche 11 du guide pratique de la CNIL pour les SPST impose la traçabilité des accès au dossier médical en santé au travail. Les journaux de connexion servent à détecter les accès anormaux et à prouver qui a consulté quoi.
Un dossier traité au cours de l’été 2026, présenté ici de façon anonyme, pose la question de l’usage de ces journaux à d’autres fins : la direction d’un service souhaitait les consulter pour fonder une procédure disciplinaire.
Ce qui change
La position retenue distingue selon l’usage. La consultation des journaux par le service informatique et par la direction est licite pour la sécurité. Elle l’est aussi pour un contrôle ciblé annoncé dans la charte informatique. En revanche, exploiter des journaux tenus à des fins de sécurité pour un contrôle individuel non prévu constitue un détournement de finalité, au sens de l’article 5.1.b du RGPD. La preuve ainsi obtenue devient illicite.
Le plan d’action comprend :
- l’ajout d’une finalité secondaire aux fiches du registre concernées ;
- une procédure d’une page : demande écrite motivée, périmètre limité, trace, information du DPO ;
- la mise à jour de la charte informatique, soumise au CSE.
L’information préalable des salariés du service (article 13 du RGPD) et la consultation du CSE conditionnent l’usage des journaux comme moyen de contrôle de l’activité.
Ce que cela implique pour un SPST
Les journaux du logiciel métier sont tenus pour la sécurité du dossier médical. La tentation existe de s’en servir quand un comportement individuel pose problème : consultation d’un dossier sans lien avec la mission, horaires, volume d’activité. Cet usage n’est possible que s’il a été prévu à l’avance.
- Inscrire au registre, sur les fiches concernées, la finalité de contrôle ciblé des accès, en plus de la finalité de sécurité.
- Rédiger une procédure qui encadre toute consultation à des fins individuelles : demande écrite motivée, périmètre limité dans le temps et aux données utiles, trace, information du DPO.
- Mettre à jour la charte informatique pour annoncer ce contrôle, et la soumettre au CSE.
- Informer les salariés du service de l’existence de ce contrôle.
Le service agit ici comme employeur de ses propres salariés. La règle protège aussi le salarié du service suivi par un collègue : un accès injustifié à son dossier pourra être établi par une procédure régulière.
Une procédure disciplinaire fondée sur une preuve illicite risque d’être écartée par le juge, avec la sanction qu’elle fondait. La procédure d’une page coûte moins cher que ce risque, et elle se rédige une fois.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche « journalisation des accès au système d’information » et, le cas échéant, celle du dossier médical. Ajoutez la finalité secondaire de contrôle ciblé des accès, avec sa base légale, les destinataires (direction, service informatique), la durée de conservation des journaux et les mesures de sécurité. Soumettez les fiches à la validation des traitements.
Dans le registre des délais de conservation, qualifiez les journaux de connexion : point de départ, base légale, durée, localisation. Interrogez le responsable de la donnée, en général le responsable informatique, pour valider la durée.
Dans le module procédures, créez la procédure « consultation des journaux à des fins individuelles » avec son plan de tâches : réception de la demande écrite, vérification du motif, extraction limitée, trace, information du DPO. Faites-la approuver. La charte informatique reste dans les documents du service ; rattachez sa version mise à jour et l’avis du CSE comme preuves depuis le drive du client. Planifiez la présentation au CSE dans le module réunions.
Si des journaux ont déjà été exploités sans ce cadre, créez une non-conformité et une action corrective. ALIX peut proposer une rédaction de la procédure, à relire et valider.
Pour encadrer vos finalités secondaires, testez la création de votre registre.
Repères
- RGPD, articles 5.1.b, 13 et 32
- Retour d’expérience anonymisé, été 2026
- Guide CNIL SPST, fiche 11
