La fiche 7 du guide pratique de la CNIL pour les SPST détaille l’exercice des droits par les travailleurs suivis, au premier rang desquels le droit d’accès à leurs données et à leur dossier médical en santé au travail. Le service répond dans un délai d’un mois, prolongeable dans les conditions de l’article 12.3 du RGPD.
Le 6 juillet 2026, la CNIL a fait le point sur sa procédure de sanction simplifiée. Depuis janvier, elle a prononcé vingt-trois sanctions selon cette procédure, pour un montant cumulé de 133 750 euros. Huit d’entre elles visent des demandes d’accès ou d’effacement restées sans réponse.
Ce qui change
La procédure simplifiée permet à la CNIL de sanctionner rapidement des manquements simples à établir. L’absence de réponse à une demande d’exercice de droits en fait partie : il suffit de constater qu’une demande a été reçue et qu’aucune réponse n’a été apportée dans le délai.
Le communiqué précise que certaines sanctions visent des médecins et des avocats qui n’avaient pas non plus répondu aux courriers de la CNIL. Le défaut de réponse à l’autorité aggrave la situation : il prive l’organisme de la possibilité d’expliquer sa position et fait apparaître un défaut de coopération au sens de l’article 31 du RGPD.
Le bilan du 6 juillet cite aussi d’autres manquements, comme des caméras filmant des salariés en continu. Pour un SPST, l’enseignement principal concerne les droits : le silence devient la faute la plus coûteuse, parce qu’elle est la plus facile à constater.
Ce que cela implique pour un SPST
Une demande d’accès au dossier médical est un droit, que le travailleur exerce sans avoir à se justifier. Le service peut vérifier l’identité du demandeur et organiser la remise par un médecin ; il ne peut pas s’abstenir de répondre.
- Un circuit unique de réception des demandes, connu des secrétariats, des centres et du standard, avec transmission immédiate au référent.
- Un accusé de réception sous une semaine, qui rappelle le délai de réponse et, si besoin, demande un justificatif d’identité proportionné.
- Une remise du dossier sous un mois, avec une prolongation motivée et notifiée au demandeur lorsque la demande est complexe.
- Un registre des demandes, que l’auditeur SPEC 2217 ou la CNIL peuvent demander à consulter : date de réception, nature, réponse, date de clôture.
- Un traitement prioritaire de tout courrier de la CNIL, avec une personne désignée pour y répondre et un suivi des échéances fixées par l’autorité.
Les demandes d’effacement appellent une réponse elle aussi, même lorsqu’elle consiste à expliquer pourquoi les données du dossier médical doivent être conservées pendant la durée réglementaire.
Comment le traiter dans DPO SUITE
- Enregistrez chaque demande dans le module demandes d’exercice de droits dès sa réception. Le module suit le délai d’un mois et alerte avant l’échéance ; le tableau de bord affiche les demandes ouvertes et leur avancement.
- Créez ou mettez à jour la procédure « Réponse aux demandes d’accès au dossier médical », avec l’accusé de réception, la vérification d’identité et la remise par un médecin. Faites-la approuver et générez son plan de tâches.
- Suivez toute saisine ou tout courrier de la CNIL dans le module incidents de sécurité, prévu aussi pour les saisines, afin d’en garder l’historique et les échéances.
- Si une demande est restée sans réponse dans le délai, créez une non-conformité et une action corrective, puis répondez sans attendre.
- Rattachez les accusés de réception et les réponses comme preuves depuis le drive du service, et reprenez les indicateurs dans le rapport annuel du DPO.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Communiqué de la CNIL du 6 juillet 2026 sur les sanctions simplifiées
- Règlement (UE) 2016/679 (RGPD), articles 12, 15, 17 et 31
- Guide CNIL SPST, fiche 7
