La fiche 5 du guide pratique de la CNIL pour les SPST fixe les durées de conservation des données du service, à commencer par celles du dossier médical en santé au travail. Aucun texte de l’été ne modifie ces durées.
Une question nouvelle se pose pourtant : où conserver, et combien de temps, la preuve de l’accord donné par le travailleur aux échanges avec le service du contrôle médical, ouverts depuis le 1er août 2026 par le décret n° 2026-321 ? Le code du travail y répond désormais directement.
Ce qui change
L’article D. 4622-4-1 du code du travail, créé par le décret n° 2026-321, prévoit que l’accord du travailleur à la transmission d’informations au contrôle médical est conservé dans le dossier médical en santé au travail. L’article R. 4624-45-4, modifié le 30 avril 2026, va dans le même sens : le dossier comporte le consentement ou l’opposition du travailleur dans plusieurs situations, dont ces échanges.
Il en découle une règle de conservation simple. La preuve de l’accord suit la durée du dossier médical en santé au travail. Elle ne vit pas dans un classeur à part, ni dans un tableur de la cellule de prévention de la désinsertion professionnelle, avec une durée propre.
L’accord est retirable à tout moment auprès du service. Le retrait se trace lui aussi dans le dossier, avec sa date. L’historique compte : il permet de démontrer qu’une transmission antérieure au retrait reposait bien sur un accord valable, et qu’aucune transmission n’a eu lieu après.
Cette exigence rejoint l’article 7.1 du RGPD, qui impose au responsable de traitement de pouvoir démontrer le consentement, et l’article 7.3, qui garantit son retrait.
Ce que cela implique pour un SPST
- Le logiciel métier doit offrir un emplacement dédié à l’accord, daté et historisé. Une note libre dans le dossier se retrouve mal et ne garde pas la trace des changements.
- Les supports papier de recueil, s’il en existe, sont numérisés dans le dossier puis détruits selon la procédure du service, afin d’éviter deux versions de la preuve avec deux durées différentes.
- Le retrait doit pouvoir être enregistré par toute personne du service habilitée à recevoir la demande, et la cellule doit en être informée sans délai pour bloquer une transmission en cours.
- Les tableaux de suivi de la cellule, s’ils existent, ne doivent pas devenir une seconde base de preuves. Ils servent au pilotage et suivent une durée courte, définie et documentée.
- La durée retenue pour la preuve de l’accord figure dans la fiche de traitement concernée, avec un renvoi à la durée du dossier.
Le même raisonnement vaut pour les autres accords et oppositions désormais rangés dans le dossier : suivi à distance, versement au dossier médical partagé, opposition à l’information de l’employeur sur l’organisation d’une visite de préreprise.
Comment le traiter dans DPO SUITE
- Dans le registre des délais de conservation, créez un document « Accord du travailleur aux échanges avec le contrôle médical » : point de départ, base légale (article D. 4622-4-1 du code du travail), durée identique à celle du dossier médical, localisation dans le logiciel métier.
- Créez de la même façon les documents « Retrait de l’accord » et, le cas échéant, « Tableau de suivi de la cellule », ce dernier avec une durée courte.
- Interrogez le responsable de la donnée, en général le médecin coordonnateur ou le responsable de la cellule, pour valider ces délais depuis le registre.
- Ouvrez la fiche du traitement « Échanges avec le service du contrôle médical » et vérifiez que la durée de conservation renvoie bien à celle du dossier.
- Si le logiciel métier ne propose pas de champ daté et historisé, créez une non-conformité et une action corrective adressée à l’éditeur.
- Demandez à ALIX une proposition de qualification pour les autres accords et oppositions du dossier, puis validez celles qui correspondent aux pratiques du service.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Décret n° 2026-321 du 28 avril 2026
- Code du travail, articles D. 4622-4-1 et R. 4624-45-4 (modifié le 30 avril 2026)
- Règlement (UE) 2016/679 (RGPD), articles 5.1.e, 7.1 et 7.3
- Guide CNIL SPST, fiche 5
