La fiche 4 du guide pratique de la CNIL pour les SPST recense les destinataires des données traitées par le service et rappelle la règle qui protège le travailleur : vers l’employeur, seules circulent les informations nécessaires à la prévention, jamais le diagnostic.
Depuis le 1er août 2026, un destinataire nouveau s’ajoute à la liste. Le décret n° 2026-321 du 28 avril 2026 permet au service de transmettre au service du contrôle médical de l’Assurance Maladie ou de la Mutualité sociale agricole, avec l’accord du travailleur, des informations relatives au maintien en emploi. Le texte précise aussi le canal à utiliser.
Ce qui change
Le contrôle médical peut recevoir, sous consentement du travailleur, les propositions d’aménagement du poste et les informations essentielles d’un avis d’inaptitude (article D. 4622-4-1 du code du travail). La transmission intervient dans les trente jours, par messagerie sécurisée de santé au sens de l’article L. 1470-5 du code de la santé publique.
Le canal fait partie de la règle. Un envoi par messagerie ordinaire, même chiffré, ne respecte pas le texte. Les DREETS invitent les services à créer une adresse fonctionnelle de messagerie sécurisée de santé dédiée à la cellule de prévention de la désinsertion professionnelle, plutôt que de faire transiter ces échanges par des boîtes nominatives.
Dans l’autre sens, le service reçoit du contrôle médical, pour les arrêts d’au moins six mois, des données dont le consentement a été recueilli par l’Assurance Maladie (décret n° 2026-320). Le service les intègre au dossier sans nouvelle formalité de consentement, mais il en trace la réception.
Le principe applicable à l’employeur ne bouge pas : seules les préconisations d’aménagement lui sont adressées, dans le cadre des articles L. 4624-3 et L. 4624-4 du code du travail. Le diagnostic et les éléments médicaux restent dans le service.
Ce que cela implique pour un SPST
- Le registre des destinataires doit mentionner le service du contrôle médical, pour le seul traitement lié à la prévention de la désinsertion professionnelle, avec la nature des informations transmises et la condition de l’accord du travailleur.
- La boîte de messagerie sécurisée de santé de la cellule doit être ouverte, documentée et gérée : titulaires, suppléants, règles de consultation, conservation des messages.
- Le délai de trente jours suppose un suivi. Une demande ou un accord recueilli sans transmission dans le délai doit pouvoir être repéré.
- Les flux vers l’employeur sont à contrôler à cette occasion : un avis d’inaptitude transmis au contrôle médical contient des informations essentielles qui ne doivent pas, par un effet de copie, se retrouver dans le courrier adressé à l’employeur.
- La réception des données venues du contrôle médical doit laisser une trace dans le dossier : date, émetteur, nature des informations.
La sécurité du canal relève de l’article 32 du RGPD. Une adresse fonctionnelle bien gérée limite le risque d’erreur de destinataire, l’une des causes les plus fréquentes de violation de données dans les échanges médicaux.
Comment le traiter dans DPO SUITE
- Ouvrez la fiche du traitement « Échanges avec le service du contrôle médical » dans le registre des traitements et ajoutez le contrôle médical de l’Assurance Maladie et de la Mutualité sociale agricole aux destinataires, avec la condition d’accord du travailleur.
- Dans le registre des logiciels, créez une fiche pour la messagerie sécurisée de santé de la cellule et rattachez-la au traitement.
- Créez une procédure « Transmission au contrôle médical par messagerie sécurisée de santé » précisant le délai de trente jours et la traçabilité de la réception, faites-la approuver et générez son plan de tâches.
- Ajoutez une tâche récurrente de contrôle des transmissions en attente, attribuée au responsable de la cellule.
- Si des échanges sont déjà passés par une messagerie ordinaire, ouvrez une non-conformité et une action corrective. Si un envoi a atteint un mauvais destinataire, déclarez un incident de sécurité et laissez le module qualifier la violation et calculer le délai de 72 heures.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Décret n° 2026-321 du 28 avril 2026, en vigueur le 1er août 2026
- Décret n° 2026-320 du 28 avril 2026
- Code du travail, articles D. 4622-4-1, L. 4624-3 et L. 4624-4
- Code de la santé publique, article L. 1470-5
- Règlement (UE) 2016/679 (RGPD), article 32
- Guide CNIL SPST, fiche 4
