La fiche 4 du guide CNIL pour les SPST dresse la liste des destinataires des données et fixe une limite constante : vers l’employeur, seules les préconisations d’aménagement de poste circulent, jamais le diagnostic. Cette limite ne bouge pas.
La liste, en revanche, s’enrichit de trois acteurs ce semestre. Chacun appelle une mise à jour du registre, avec des conditions de transmission différentes.
Ce qui change
Le premier destinataire nouveau est le téléservice du passeport de prévention, opéré par la Caisse des Dépôts. Un service qui dispense des formations en santé et sécurité au travail y déclare les formations suivies par les salariés (voir fiche 1).
Le deuxième est le DMP, au sein de Mon espace santé, opéré par l’Assurance Maladie. Le dossier médical en santé au travail peut l’alimenter, dans son volet santé au travail, lorsque le travailleur y consent. La recommandation de la HAS du 16 mars 2023 fixe les catégories d’informations concernées (voir fiche 10).
Le troisième est l’employeur, destinataire d’une information renforcée sur l’organisation des visites. Le décret n° 2026-503 du 12 juin 2026 prévoit notamment son information sur l’organisation d’une visite de pré-reprise, à laquelle le travailleur peut s’opposer (fiche 7).
La veille relève aussi un oubli fréquent : les sociétés d’archivage externes. Elles reçoivent des dossiers médicaux et doivent figurer au registre comme sous-traitants (article 28 du RGPD).
Ce que cela implique pour un SPST
L’article 30 du RGPD impose de mentionner au registre les catégories de destinataires. Chacun des trois nouveaux flux doit donc être rattaché au bon traitement, avec ses conditions propres.
Le passeport de prévention relève d’une obligation réglementaire. Les données transmises se limitent aux formations concernées et ne comportent aucune donnée de santé.
Le versement au DMP repose sur le consentement du travailleur. Le service doit pouvoir prouver ce consentement, et le recueillir de façon éclairée et explicite. Sans consentement, aucun versement.
L’information de l’employeur reste limitée aux éléments non médicaux : l’organisation de la visite, puis, le cas échéant, les préconisations d’aménagement. Les flux vers l’employeur méritent un contrôle régulier, car un libellé de visite ou une pièce jointe mal choisie suffit à faire sortir une donnée de santé indirecte.
Les sociétés d’archivage, enfin, doivent être distinguées des destinataires. Un sous-traitant traite les données pour le compte du service, sous contrat article 28 ; un destinataire comme la Caisse des Dépôts reçoit les données pour ses propres missions. Confondre les deux conduit à des contrats inadaptés.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche du suivi individuel de l’état de santé et ajoutez le DMP parmi les destinataires, en précisant la condition de consentement et le périmètre fixé par la recommandation HAS. Ajoutez l’employeur pour l’information sur l’organisation des visites, en indiquant que les données transmises sont non médicales et que l’opposition du travailleur bloque l’envoi.
Ouvrez ou créez la fiche consacrée au passeport de prévention et renseignez le téléservice opéré par la Caisse des Dépôts comme destinataire. Validez chaque fiche modifiée.
Dans le registre des sous-traitants, créez une fiche pour chaque société d’archivage externe, avec ses contacts, ses sous-traitants ultérieurs et la localisation de son stockage. Rattachez-la au traitement du dossier médical, puis envoyez-lui le questionnaire d’audit des sous-traitants.
Pour contrôler les flux vers l’employeur, créez une tâche récurrente de revue des modèles de courriers et de messages envoyés par le logiciel métier. Un écart constaté, par exemple un motif de visite visible dans un message, donne lieu à une non-conformité et à une action corrective. Si une donnée de santé est déjà partie vers un employeur, déclarez un incident de sécurité : DPO SUITE qualifie la violation et calcule le délai de notification de 72 heures.
ALIX peut repérer, dans les fiches existantes, celles qui ne mentionnent pas encore ces destinataires et proposer une mise à jour, à valider ou rejeter.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Décret n° 2026-503 du 12 juin 2026 (information de l’employeur sur la pré-reprise)
- Recommandation HAS du 16 mars 2023 sur le volet santé au travail du DMP
- RGPD, article 28 (sous-traitant) et article 30 (registre)
- Guide CNIL SPST, fiche 4
