La fiche 2 du guide CNIL pour les SPST pose une règle simple : le service, en tant qu’entité, est responsable de traitement. La direction porte la conformité, tandis que le médecin du travail conserve son indépendance et le secret médical. Cette règle reste valable.
Une situation de terrain l’a toutefois mise à l’épreuve ce semestre : le service qui met des infirmiers ou des médecins à disposition d’un centre autonome de l’employeur. Dans ce montage, la qualification du service dépend de qui décide réellement de l’usage du dossier.
Ce qui change
Le guide ne traite pas expressément la mise à disposition de personnel. La qualification se fait au cas par cas, selon les critères habituels du RGPD : qui détermine les finalités et les moyens du traitement (article 4.7). Quatre configurations se rencontrent.
- Le centre autonome gère le dossier sur ses propres moyens et le service se borne à prêter du personnel. Le centre autonome, donc l’employeur, est responsable de traitement. Les professionnels exercent sous son autorité, avec leur indépendance médicale, et le service ne répond que de ses propres traitements.
- Le service continue de gérer le dossier sur ses systèmes. Il reste pleinement responsable et applique le guide.
- Finalités et moyens sont déterminés ensemble. La responsabilité est conjointe (article 26) et une convention répartit les rôles.
- Le service agit pour le compte d’un autre organisme, sur ses instructions. Il est alors sous-traitant (article 28), configuration rare en médecine du travail en raison de l’indépendance du médecin.
La même analyse conduit à un second constat, absent du guide : les sociétés d’archivage externes auxquelles un service confie ses dossiers sont des sous-traitants au sens de l’article 28.
Ce que cela implique pour un SPST
Chaque mise à disposition doit être précédée d’une qualification écrite. Sans elle, le service ignore s’il doit tenir le traitement dans son registre, s’il répond des violations de données survenues dans le centre, et qui traite les demandes d’accès des salariés suivis.
La convention de mise à disposition doit couvrir, au minimum, les rôles de chacun, les finalités, les accès, les mesures de sécurité et le sort des données à la fin de la mise à disposition. En cas de responsabilité conjointe, elle doit aussi répartir les obligations prévues par l’article 26, et son contenu essentiel doit être mis à la disposition des personnes concernées.
Le point le plus sensible tient à l’accès de l’employeur. Lorsque le dossier est hébergé dans un centre autonome, le risque d’un accès indu de l’employeur au contenu médical augmente. Les habilitations doivent être bornées pour que seuls les professionnels de santé accèdent au dossier.
Pour l’archivage externalisé, la qualification de sous-traitant impose un contrat conforme à l’article 28, avec des clauses adaptées aux données de santé (voir fiche 10).
Comment le traiter dans DPO SUITE
Ouvrez le registre des traitements et créez, pour chaque mise à disposition, une fiche ou une mention dans la fiche existante qui indique le rôle retenu : responsable, responsable conjoint ou absence de traitement propre. Décrivez les finalités, les catégories de données, les destinataires et les mesures qui empêchent l’accès de l’employeur au dossier. Validez la fiche une fois la qualification arrêtée.
Créez une procédure « Qualification et convention de mise à disposition de personnel », approuvez-la et suivez son plan de tâches pour chaque nouveau centre. La convention elle-même reste chez le service, sur son drive ; connectez ce drive à DPO SUITE pour y rattacher la convention signée comme preuve.
Dans le registre des sous-traitants, créez une fiche pour chaque société d’archivage externe, avec ses contacts, ses sous-traitants ultérieurs et la localisation de son stockage. Envoyez-lui le questionnaire d’audit des sous-traitants pour vérifier son contrat et ses garanties, puis rattachez le sous-traitant aux traitements concernés.
Planifiez une réunion avec la direction et les médecins concernés avant toute nouvelle mise à disposition, et consignez les décisions prises. Si une mise à disposition existante fonctionne sans convention, ouvrez une non-conformité et une action corrective avec une échéance.
ALIX peut proposer une qualification à partir de la description du montage. La proposition se relit et se valide ou se rejette : la décision reste au service.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- RGPD, article 4.7 (définition du responsable de traitement), article 26 (responsables conjoints) et article 28 (sous-traitant)
- Guide CNIL SPST, fiche 2
