La fiche 3 du guide pratique de la CNIL pour les SPST décrit les données que le service collecte, en distinguant les données administratives, les données relatives à l’emploi et les données de santé. Cette distinction commande le niveau de protection, les personnes habilitées et les documents qui peuvent sortir du service.
Le 14 juillet 2026, la Cour de justice de l’Union européenne a précisé la frontière dans l’affaire C-474/24, à propos de sanctions antidopage publiées en ligne. Une information n’est une donnée de santé que si elle révèle, même indirectement, un état de santé. La qualification s’apprécie au cas par cas.
Ce qui change
L’arrêt ne crée pas de catégorie nouvelle. Il confirme une méthode : partir du contenu de l’information et de ce qu’elle permet de déduire. La mention d’une substance associée à une sanction révèle quelque chose de l’état de santé de la personne ; une donnée purement administrative ne le fait pas.
Transposée au quotidien d’un SPST, la méthode donne des repères nets. Le libellé d’une visite de reprise révèle qu’un arrêt de travail a eu lieu, et souvent sa durée minimale : il s’agit d’une donnée de santé. Une visite de préreprise ou une demande de visite à l’initiative du salarié suivent le même raisonnement. À l’inverse, la date d’une visite périodique, sans autre précision, ne révèle aucun état de santé.
La qualification compte parce que l’article 9 du RGPD interdit en principe le traitement des données de santé, sauf exception comme la médecine du travail (article 9.2.h). Une donnée de santé qui sort du circuit des professionnels de santé, vers l’employeur ou vers un portail ouvert aux adhérents, quitte le cadre de cette exception.
Ce que cela implique pour un SPST
- Relire les documents et les écrans destinés à l’employeur ou à l’adhérent : convocations, listes de rendez-vous, historiques consultables sur le portail adhérents, factures détaillées. Un type de visite affiché en clair (reprise, préreprise, visite à la demande) peut constituer une donnée de santé.
- Vérifier les courriels de convocation : un objet de message du type « Visite de reprise » lu dans une boîte partagée de l’entreprise révèle une information de santé.
- Classer correctement les catégories de données dans chaque fiche du registre. Une fiche « Gestion des adhérents » qui contient des types de visite traite en réalité des données de santé et doit le dire.
- Ajuster les habilitations : un personnel administratif qui voit des types de visite accède à des données de santé, ce qui suppose une justification et un engagement de confidentialité.
- Adapter les exports statistiques vers les adhérents et les branches : des effectifs par type de visite dans une petite entreprise peuvent permettre d’identifier une personne.
Ces vérifications touchent aussi la sécurité. Un portail adhérents compromis qui expose un historique de visites avec leur type expose des données de santé, avec les conséquences qui s’attachent à cette qualification pour la notification d’une violation.
Comment le traiter dans DPO SUITE
- Dans le registre des traitements, passez en revue les fiches « Gestion des adhérents », « Convocations » et « Portail adhérents » et corrigez les catégories de données lorsque des types de visite y figurent.
- Demandez à ALIX une relecture des catégories de données de ces fiches au regard du critère retenu par la Cour, puis validez ou écartez chaque proposition.
- Dans le registre des logiciels, ouvrez la fiche du portail adhérents et de l’outil d’envoi des convocations, et notez les champs affichés à l’adhérent.
- Si un type de visite apparaît sur un document ou un écran destiné à l’employeur, créez une non-conformité et une action corrective adressée à l’éditeur, avec une échéance.
- Ouvrez l’AIPD du portail adhérents, si elle existe, et réévaluez la gravité des scénarios de fuite en tenant compte de la qualification de donnée de santé.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Cour de justice de l’Union européenne, 14 juillet 2026, affaire C-474/24
- Règlement (UE) 2016/679 (RGPD), articles 4.15, 9.1 et 9.2.h
- Guide CNIL SPST, fiche 3
