La fiche 6 du guide pratique de la CNIL pour les SPST traite de l’information des personnes. Le service informe les travailleurs suivis et les adhérents des traitements qu’il met en œuvre, de leurs finalités, de leurs destinataires et des droits dont ils disposent, en application des articles 12 et 13 du RGPD.
Les textes publiés au printemps et à l’été 2026 ajoutent des éléments que la mention d’information gagne à couvrir : les échanges avec le service du contrôle médical (décret n° 2026-321, en vigueur le 1er août 2026), le dépistage proposé à la visite de mi-carrière et les partenariats de promotion de la santé (loi n° 2026-668 du 27 juillet 2026), ainsi que l’opposition du travailleur à l’information de l’employeur sur l’organisation d’une visite de préreprise (décret n° 2026-503 du 12 juin 2026).
Ce qui change
Les échanges avec le contrôle médical reposent sur l’accord du travailleur, donné en visite après information sur les objectifs et le contenu des informations transmises. La mention doit dire que ce flux existe, qu’il suppose un accord, qu’un refus reste sans conséquence et que l’accord peut être retiré à tout moment auprès du service.
Le dépistage des maladies cardio-neuro-vasculaires est proposé à la visite de mi-carrière. Les partenariats de promotion de la santé ne donnent lieu à aucune transmission de données individuelles : le dire rassure le travailleur, en particulier lorsque le partenaire est une mutuelle ou un assureur.
Enfin, le décret n° 2026-503 prévoit que le médecin du travail informe l’employeur de l’organisation d’une visite de préreprise, sauf opposition du travailleur. Une opposition dont la personne ignore l’existence reste théorique : l’affichage et la notice doivent la mentionner.
Selon la presse spécialisée, la CNIL a insisté, dans son avis sur les décrets de printemps, sur la clarté de l’information et la liberté du consentement. Le texte de l’avis reste à vérifier, mais l’orientation rejoint l’article 7 du RGPD.
Ce que cela implique pour un SPST
La notice d’information, le panneau d’affichage dans les centres et la page du site consacrée à la protection des données doivent être mis à jour ensemble. Un modèle de paragraphe peut servir de base :
« Si vous êtes en arrêt de travail et exposé à un risque de désinsertion professionnelle, le service peut, avec votre accord, échanger avec le médecin conseil de votre caisse d’assurance maladie sur les aménagements de votre poste. Le professionnel de santé vous explique, en visite, ce qui serait transmis et pourquoi. Vous pouvez refuser sans conséquence et retirer votre accord à tout moment auprès du service. Lors de votre visite de mi-carrière, un dépistage des maladies cardio-neuro-vasculaires vous est proposé. Les actions de prévention organisées avec des partenaires ne donnent lieu à aucune transmission de vos données individuelles. »
Il faut y ajouter une phrase sur la visite de préreprise : l’employeur est informé de son organisation, sauf si le travailleur s’y oppose.
- Le support de recueil de l’accord utilisé par la cellule de prévention de la désinsertion professionnelle doit reprendre les mêmes termes que la notice.
- Les versions successives de la notice sont datées et conservées, pour démontrer l’information donnée à une date donnée.
- Les professionnels de santé doivent disposer d’une formulation orale cohérente avec l’écrit.
Comment le traiter dans DPO SUITE
- Ouvrez les fiches des traitements concernés dans le registre (suivi individuel, échanges avec le contrôle médical, dépistage de mi-carrière, actions de prévention) et vérifiez que les informations à délivrer correspondent aux finalités et destinataires renseignés.
- Demandez à ALIX une proposition de mention d’information à partir de ces fiches, puis relisez et validez le texte. Le document final reste chez le service : rattachez sa nouvelle version comme preuve depuis le drive.
- Créez une procédure « Mise à jour de l’information des personnes », faites-la approuver et générez son plan de tâches : notice, affichage dans chaque centre, site internet, support de recueil de la cellule.
- Attribuez les tâches aux responsables de centre avec une échéance, et suivez leur réalisation dans la liste des tâches.
- Inscrivez la mise à jour dans la campagne annuelle et dans le rapport annuel du DPO, au titre des actions de l’année.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Décret n° 2026-321 du 28 avril 2026 (article D. 4622-4-1 du code du travail)
- Loi n° 2026-668 du 27 juillet 2026
- Décret n° 2026-503 du 12 juin 2026 (article R. 4624-30 du code du travail)
- Règlement (UE) 2016/679 (RGPD), articles 7, 12 et 13
- Guide CNIL SPST, fiche 6
