La fiche 13 du guide pratique de la CNIL pour les SPST traite de la télésanté au travail. Le cadre reste celui du décret n° 2022-679 du 26 avril 2022 : l’acte à distance est décidé par le professionnel de santé, et le consentement du travailleur est recueilli avant l’acte puis consigné.
Ce consentement figure désormais expressément parmi les éléments du dossier médical en santé au travail. L’article R. 4624-45-4 du code du travail, modifié le 30 avril 2026, prévoit que le dossier comporte le consentement ou l’opposition du travailleur dans plusieurs situations, dont le suivi à distance prévu par l’article L. 4624-1.
Ce qui change
La règle de fond ne bouge pas. Sa traduction documentaire est désormais fixée par le texte. Le consentement à une visite ou à un examen réalisé à distance doit se retrouver dans le dossier, au même titre que les autres accords et oppositions du travailleur (échanges avec le contrôle médical, versement au dossier médical partagé).
Pour le RGPD, cette précision facilite la démonstration exigée par l’article 7.1 : le service doit pouvoir prouver que le travailleur a accepté l’acte à distance, à la date de l’acte. Un consentement donné oralement en début de téléconsultation, sans trace, ne permet pas cette démonstration.
Présanse cite par ailleurs la téléconsultation et une application mobile de prévention parmi les innovations des services. Chaque déploiement de ce type crée ou modifie un traitement de données de santé, à grande échelle et avec des outils nouveaux, ce qui appelle une analyse d’impact au titre de l’article 35 du RGPD.
Ce que cela implique pour un SPST
- Le logiciel de téléconsultation ou le logiciel métier doit permettre d’enregistrer le consentement dans le dossier, avec la date, l’heure et le professionnel qui l’a recueilli.
- Le refus doit être enregistré avec la même rigueur, et la visite organisée en présentiel sans conséquence pour le travailleur.
- L’outil de téléconsultation doit être hébergé chez un hébergeur certifié pour les données de santé, au sens de l’article L. 1111-8 du code de la santé publique. Les enregistrements, s’il en existe, sont soumis aux mêmes exigences.
- La mention d’information du service doit décrire le suivi à distance : outil utilisé, données traitées, consentement, possibilité de refuser.
- Les conditions techniques de la visite doivent préserver la confidentialité : lien de connexion personnel, absence de tiers, poste de travail du professionnel sécurisé.
- Toute nouvelle application ou plateforme de prévention à distance fait l’objet d’une analyse d’impact avant son déploiement.
Le consentement suit la durée de conservation du dossier lui-même. Il n’a pas à être conservé dans l’outil de téléconsultation, qui ne doit pas devenir une seconde base de données de santé.
Comment le traiter dans DPO SUITE
- Dans le registre des traitements, ouvrez ou créez la fiche « Télésanté au travail » et précisez le recueil et la consignation du consentement dans le dossier, avec les articles L. 4624-1 et R. 4624-45-4 du code du travail.
- Inscrivez l’outil de téléconsultation au registre des logiciels et son éditeur ou hébergeur au registre des sous-traitants, avec la localisation cloud et la certification HDS. Envoyez le questionnaire d’audit des sous-traitants.
- Ouvrez une session d’AIPD pour la télésanté, avec des scénarios propres à la visite à distance (interception, présence d’un tiers, erreur de destinataire du lien), et exportez-la au format PIA.
- Dans le registre des délais de conservation, qualifiez le consentement comme document du dossier, avec la durée du dossier.
- Si le consentement n’est pas tracé aujourd’hui, créez une non-conformité et une action corrective adressée à l’éditeur.
- Demandez à ALIX une proposition de paragraphe sur le suivi à distance pour la mention d’information, puis validez-le.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Décret n° 2022-679 du 26 avril 2022
- Code du travail, articles L. 4624-1 et R. 4624-45-4 (modifié le 30 avril 2026)
- Code de la santé publique, article L. 1111-8
- Règlement (UE) 2016/679 (RGPD), articles 7.1 et 35
- Guide CNIL SPST, fiche 13
