La fiche 4 du guide pratique de la CNIL pour les SPST délimite les destinataires des données. L’employeur reçoit les avis et les préconisations du médecin du travail ; il ne reçoit aucune information médicale sur le salarié suivi.
Depuis le 1er septembre 2026, les décrets n° 2026-498 et n° 2026-499 du 12 juin 2026 modifient la prescription des arrêts de travail. Le motif médical devient obligatoire sur la prescription. Ce changement ne touche pas le circuit de l’employeur, mais il risque de faire naître des demandes que le service doit savoir refuser.
Ce qui change
Les deux décrets plafonnent la durée des arrêts de travail : 31 jours pour la première prescription, 62 jours par prolongation, hors accident du travail et maladie professionnelle, sauf dérogation motivée par le prescripteur. Ils imposent le Cerfa sécurisé pour les prescriptions papier. Ils rendent obligatoire la mention d’un motif médical sur la prescription, dans le téléservice ou sur le volet 1 du formulaire.
Ce motif reste dans le circuit de l’Assurance Maladie. L’employeur reçoit uniquement le volet 3, sans diagnostic, comme le prévoit l’article L. 321-2 du code de la sécurité sociale. Aucune disposition de ces décrets ne vise le médecin du travail. Les articles L. 162-4-1 et R. 162-1-7-1 du code de la sécurité sociale encadrent la prescription.
Plusieurs cabinets ont signalé un risque : des employeurs pourraient demander le motif au salarié ou au service. Sous l’angle du RGPD, le motif d’un arrêt est une donnée concernant la santé au sens de l’article 9. Le service ne le reçoit pas par les décrets et n’est pas un destinataire autorisé à le communiquer à l’employeur.
Ce que cela implique pour un SPST
La réponse à un employeur qui demande « de quoi souffre le salarié » ne change pas : le service ne détient pas le motif de l’arrêt et ne communique que les avis et les préconisations. Si le motif apparaît dans un document remis par le salarié, il reste au dossier médical et ne sort pas.
Les équipes d’accueil et les secrétariats reçoivent ces appels en premier. Ils doivent disposer d’une formulation simple et identique pour tous. La demande elle-même mérite d’être notée : sa répétition chez un même adhérent signale un besoin d’information.
- Rédiger une réponse type aux demandes de motif d’arrêt, pour l’accueil, les secrétariats et les chargés de relation adhérents.
- Noter les demandes reçues, sans données de santé, pour repérer les adhérents à informer.
- Mettre à jour la fiche du registre qui décrit les échanges avec l’employeur, en précisant ce qui est transmis et ce qui ne l’est jamais.
- Préparer une note d’information aux adhérents sur ce qu’ils peuvent et ne peuvent pas demander au service depuis le 1er septembre.
Pour les services qui suivent des agents publics, le décret n° 2026-705 du 29 juillet 2026 applique depuis le 1er septembre des règles comparables aux arrêts des agents (Cerfa sécurisé, plafonds). La même réponse vaut pour les employeurs publics.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche qui décrit les échanges avec les adhérents employeurs. Dans les destinataires, précisez la nature exacte des informations communiquées (avis, préconisations, attestations) et ajoutez dans les mesures de sécurité la règle d’absence de toute donnée de santé dans ces échanges. Soumettez la fiche à la validation des traitements.
Dans le module procédures, créez ou complétez la procédure « réponse aux demandes d’un employeur ». Ajoutez la réponse type au motif d’arrêt et une tâche de suivi des demandes répétées au plan de tâches, puis faites approuver la procédure. Le document lui-même reste dans le drive du service ; DPO SUITE en porte la méthode et la trace d’approbation.
Créez une tâche dans la liste des to-do pour la rédaction de la note aux adhérents, avec une échéance. Si une communication du motif à un employeur est constatée, ouvrez un incident de sécurité et qualifiez la violation : une divulgation de donnée de santé à un tiers non autorisé peut appeler une notification dans les 72 heures, dont l’application calcule le délai. ALIX peut proposer une première rédaction de la réponse type, à relire et valider.
Pour cadrer vos échanges avec les adhérents, testez la création de votre registre.
Repères
- Décrets n° 2026-498 et n° 2026-499 du 12 juin 2026, applicables au 1er septembre 2026
- Code de la sécurité sociale, articles L. 162-4-1, R. 162-1-7-1 et L. 321-2
- Décret n° 2026-705 du 29 juillet 2026
- RGPD, article 9
- Guide CNIL SPST, fiche 4
