La fiche 4 du guide CNIL pour les SPST détermine qui peut recevoir les données du service. Elle distingue les destinataires internes, habilités selon leur fonction, et les tiers, qui n’accèdent aux données de santé que dans les cas prévus par un texte et, le plus souvent, avec l’accord du salarié.
Le projet de loi de financement de la sécurité sociale pour 2027, déposé le 1er octobre, contient un article 20 qui créerait un nouveau cadre d’échange entre le médecin traitant, le médecin du contrôle médical et le médecin du travail. Le texte a été rejeté en première lecture à l’Assemblée nationale. Il reste en discussion au Sénat.
Ce qui change
L’article 20 du projet de loi n° 3211 créerait un article L. 323-4-2 du code de la sécurité sociale. Pour toute interruption de travail de plus de trente jours, si l’assuré présente un risque de désinsertion professionnelle, le médecin traitant ou spécialiste, le médecin du service du contrôle médical et le médecin du travail pourraient tenir une réunion de concertation, à l’initiative de l’un d’eux. La réunion suppose l’accord de la personne, préalablement informée.
Par dérogation à l’article L. 1110-4 du code de la santé publique, ces médecins et les autres professionnels de santé du contrôle médical et du service de santé au travail présents pourraient échanger, pendant et après la réunion, les informations strictement nécessaires à l’évaluation de la situation, à la préparation du retour à l’emploi ou à l’orientation vers un accompagnement.
Le même article prévoit :
- un décret en Conseil d’État, pris après avis de la CNIL, pour fixer les conditions de l’échange ;
- le versement de l’identifiant et des coordonnées du médecin du travail dans le dossier médical partagé ;
- une contribution de la cellule de prévention de la désinsertion professionnelle à ces réunions, par un 6° ajouté à l’article L. 4622-8-1 du code du travail ;
- une entrée en vigueur au 1er juillet 2027.
L’Assemblée nationale a rejeté le texte le 23 octobre, partie recettes rejetée par 115 voix contre 1, sans examiner la partie dépenses. Le Sénat l’examine à partir du 9 novembre dans sa version initiale. Rien n’est acquis.
Ce que cela implique pour un SPST
Tant que l’article 20 n’est pas voté, les règles actuelles s’appliquent. Les échanges entre le médecin du travail et le médecin-conseil se font deux à deux, sur accord du salarié, et chaque échange est consigné au dossier médical en santé au travail. Une réunion à trois sur la situation d’un salarié reste soumise au secret dans ses termes actuels.
Si le texte est adopté, plusieurs points de conformité devront être traités avant juillet 2027 :
- une finalité nouvelle au registre, avec ses destinataires (contrôle médical, médecin traitant), sa base légale et ses durées ;
- une mention d’information spécifique, remise avant le recueil de l’accord ;
- une traçabilité de l’accord et des informations échangées dans le dossier ;
- une définition des professionnels du service autorisés à participer, puisque le texte vise les « autres professionnels de santé » présents ;
- une analyse de l’impact sur l’AIPD du dossier médical, qui devra intégrer ce nouveau flux.
Le décret d’application sera soumis à l’avis de la CNIL. Son contenu fixera les modalités concrètes, et rien ne doit être activé avant sa publication.
Comment le traiter dans DPO SUITE
Créez dans le registre des traitements une fiche « Réunions de concertation sur les arrêts de plus de trente jours » et laissez-la en brouillon. Renseignez les finalités prévues par le projet, les destinataires, la base légale envisagée (article L. 323-4-2 du code de la sécurité sociale en projet) et les catégories de données, sans la soumettre à validation. ALIX peut proposer une première rédaction à partir du texte de l’article 20 ; relisez chaque proposition.
Dans le module des procédures, préparez une procédure de recueil et de traçabilité de l’accord du salarié, sans l’approuver. Dans le module des tâches, créez un rappel de suivi du vote au Sénat et de la publication du décret, avec le médecin coordonnateur et la cellule de prévention de la désinsertion professionnelle comme interlocuteurs.
Ouvrez enfin la session AIPD du dossier médical et ajoutez au plan d’actions une action « Intégrer le flux de concertation si l’article 20 est adopté ». Vous disposerez ainsi d’un dossier prêt le jour où le texte sera définitif, sans avoir rien activé avant.
Tester la création de votre registre dans DPO SUITE.
Repères
- Projet de loi n° 3211 de financement de la sécurité sociale pour 2027, article 20 (articles L. 323-4-2 du code de la sécurité sociale, L. 1111-15 du code de la santé publique et L. 4622-8-1 du code du travail en projet)
- Article L. 1110-4 du code de la santé publique, legifrance.gouv.fr
- Décrets n° 2026-320 et n° 2026-321 du 28 avril 2026
- Articles 9.2.h et 13 du RGPD
- Guide CNIL SPST, fiche 4
