La fiche 7 du guide pratique de la CNIL pour les SPST traite du droit d’accès du travailleur à ses données et à son dossier médical en santé au travail. Ce droit s’exerce sans condition de motif : le service n’a pas à savoir pourquoi la personne demande son dossier.
Le 8 juillet 2026, la chambre sociale de la Cour de cassation a rappelé, dans un arrêt n° 25-15.008, que le juge doit tenir compte des documents médicaux produits par le salarié. La portée pratique pour les SPST est directe : les demandes d’accès au dossier formées dans un contexte contentieux, en particulier devant le conseil de prud’hommes, vont continuer d’augmenter.
Ce qui change
L’arrêt ne modifie pas les règles d’accès. Il renforce l’intérêt, pour un salarié en litige avec son employeur, de produire des pièces médicales, dont des éléments de son dossier médical en santé au travail. Le service sera donc plus souvent sollicité par des salariés, ou par leurs conseils, avec des délais serrés liés à la procédure.
Le RGPD s’applique pleinement à ces demandes. L’article 15 ouvre l’accès aux données ; l’article 12.3 impose une réponse dans le mois, prolongeable de deux mois en cas de complexité ou de nombre de demandes, à condition d’en informer la personne dans le premier mois. Le contexte contentieux ne change rien à ces règles et ne permet pas de refuser l’accès.
Le service garde en revanche la maîtrise de deux points : la vérification de l’identité du demandeur, proportionnée, et la remise par l’intermédiaire d’un médecin, qui permet d’accompagner la lecture du dossier.
Ce que cela implique pour un SPST
- Une demande formée par un avocat au nom du salarié appelle une vérification du mandat et de l’identité du salarié. La remise se fait au salarié lui-même ou dans les conditions prévues pour les données de santé.
- Une demande de l’employeur visant le dossier d’un salarié, pour se défendre dans le même litige, n’a aucune base : le dossier ne lui est pas communicable.
- Les pièces remises doivent être complètes au regard de la demande. Un dossier incomplet ou expurgé sans justification expose le service à une réclamation devant la CNIL, et à des questions du juge.
- La traçabilité devient plus importante : date de réception, vérifications faites, date et mode de remise. En cas de contestation, le service doit pouvoir démontrer sa réponse.
- Les professionnels de santé doivent savoir orienter toute demande, y compris orale en visite, vers le circuit de traitement des droits.
Le volume compte aussi. Un service qui recevait quelques demandes par an peut en recevoir davantage, avec des échéances liées aux audiences. Le circuit doit tenir la charge sans dépasser le délai.
Comment le traiter dans DPO SUITE
- Enregistrez chaque demande d’accès dans le module demandes d’exercice de droits, en précisant si elle émane du salarié ou d’un mandataire. Le suivi du délai et le tableau de bord évitent les dépassements.
- Mettez à jour la procédure « Réponse aux demandes d’accès au dossier médical » pour y intégrer la vérification du mandat d’un avocat et le refus des demandes de l’employeur. Faites-la approuver et générez son plan de tâches.
- Rattachez au dossier de chaque demande, depuis le drive du service, l’accusé de réception et la preuve de remise.
- Créez une tâche de revue trimestrielle des demandes pour suivre leur évolution et ajuster les moyens du circuit.
- Demandez à ALIX un modèle de réponse pour une demande d’accès présentée par un mandataire, puis adaptez-le avant validation.
- Reprenez les volumes et les délais de réponse dans le rapport annuel du DPO.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Cour de cassation, chambre sociale, 8 juillet 2026, n° 25-15.008
- Règlement (UE) 2016/679 (RGPD), articles 12.3 et 15
- Guide CNIL SPST, fiche 7
