La fiche 6 du guide CNIL pour les SPST rappelle que les travailleurs suivis doivent être informés des traitements de leurs données, dans les conditions des articles 13 et 14 du RGPD. La mention d’information remise aux salariés et l’affichage en salle d’attente doivent suivre l’évolution des traitements.
Ce semestre, la mention gagne à couvrir des éléments nouveaux. Chacun découle d’une évolution traitée dans les autres fiches : le décret sur la pré-reprise, le passeport de prévention et le versement au DMP.
Ce qui change
Le premier élément concerne la visite de pré-reprise. Le décret n° 2026-503 du 12 juin 2026 prévoit l’information de l’employeur sur l’organisation de cette visite. Le travailleur peut s’y opposer. La mention doit le dire, sinon le droit d’opposition reste inconnu de ceux qui en bénéficient.
Le deuxième concerne l’alimentation du passeport de prévention, lorsque le service dispense des formations en santé et sécurité au travail. Certaines données de formation sont déclarées au passeport, sans que cette déclaration dépende de l’accord du salarié.
Le troisième concerne le versement éventuel de tout ou partie du dossier au DMP, dans Mon espace santé. Ce versement est soumis au consentement du travailleur.
La veille propose une rédaction type :
« Lorsqu’une visite de pré-reprise est organisée, votre employeur en est informé afin de préparer votre retour. Vous pouvez vous opposer à cette information. Certaines de vos données de formation à la sécurité peuvent être déclarées à votre passeport de prévention, et tout ou partie de votre dossier peut être versé à votre DMP avec votre consentement. »
Ce que cela implique pour un SPST
L’article 13 du RGPD impose d’indiquer les finalités, la base de licéité, les destinataires et l’existence des droits. Chacun des trois éléments touche au moins l’un de ces points : un nouveau destinataire pour la pré-reprise, une base d’obligation légale pour le passeport, une base de consentement pour le DMP.
La mention doit rester cohérente avec le registre. Une mention qui annonce un flux absent du registre, ou un registre qui décrit un flux absent de la mention, crée une incohérence visible lors d’un contrôle ou d’un audit SPEC 2217.
Le support compte autant que le texte. La notice remise au salarié, l’affichage en salle d’attente, la page du site internet et, le cas échéant, les écrans du portail salarié doivent porter la même version. Une version ancienne affichée dans un centre suffit à rendre l’information incomplète.
Le vocabulaire doit être lisible par un salarié qui n’est pas spécialiste. La rédaction type va dans ce sens : des phrases courtes, un droit d’opposition formulé clairement, et la mention explicite du consentement pour le DMP.
Enfin, l’information sur le droit d’opposition doit correspondre à une procédure réelle. Le salarié qui s’oppose doit savoir à qui s’adresser, et le service doit pouvoir enregistrer l’opposition avant l’envoi de l’information à l’employeur.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements les fiches concernées : suivi individuel de l’état de santé, information de l’employeur sur la pré-reprise, passeport de prévention. Vérifiez que chaque fiche décrit le flux mentionné dans la nouvelle notice, avec sa base légale et ses destinataires. Corrigez puis validez les fiches.
Créez une procédure « Mise à jour de la mention d’information », approuvez-la et suivez son plan de tâches : rédaction, validation par la direction et le médecin coordonnateur, remplacement des affichages dans chaque centre, mise à jour du site. La notice reste chez le service ; rattachez la version en vigueur depuis le drive connecté.
Dans le module des locaux, ouvrez chaque centre et utilisez la conformité des locaux pour tracer la présence de l’affichage à jour en salle d’attente. Un centre où l’ancienne version demeure donne lieu à une non-conformité et à une action corrective.
ALIX peut proposer une rédaction de la mention à partir des fiches du registre. La proposition se relit, puis se valide ou se rejette.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Décret n° 2026-503 du 12 juin 2026 (information de l’employeur et droit d’opposition)
- RGPD, articles 13 et 14 (information des personnes)
- Guide CNIL SPST, fiche 6
