La fiche 7 du guide pratique de la CNIL pour les SPST décrit les droits des personnes : accès, rectification, opposition, limitation. Lorsque le traitement repose sur un accord du travailleur, s’y ajoute le droit de retirer cet accord à tout moment, prévu par l’article 7.3 du RGPD.
Les accords et les oppositions se multiplient, et le code du travail dit désormais où ils se rangent. L’article R. 4624-45-4, modifié le 30 avril 2026, prévoit que le dossier médical en santé au travail comporte le consentement ou l’opposition du travailleur pour les échanges avec le contrôle médical (article L. 4622-2-1), le suivi à distance (article L. 4624-1) et le versement au dossier médical partagé (article L. 4624-8).
Ce qui change
Le lieu de consignation est fixé : le dossier lui-même. Les situations à suivre figurent ci-dessous.
- Échanges du service vers le contrôle médical (articles L. 4622-2-1 et D. 4622-4-1) : consentement recueilli en visite par un professionnel de santé après information, retirable à tout moment auprès du service.
- Visite ou examen réalisé à distance (article L. 4624-1 et décret n° 2022-679) : consentement recueilli avant l’acte par le professionnel de santé.
- Versement d’éléments au dossier médical partagé (article L. 4624-8) : consentement explicite ; le refus n’est pas communicable à l’employeur.
- Information de l’employeur sur l’organisation d’une visite de préreprise (article R. 4624-30, décret n° 2026-503) : opposition du travailleur, à recueillir et à tracer avant l’information de l’employeur.
- Données reçues du contrôle médical pour les arrêts d’au moins six mois (article R. 315-8 du code de la sécurité sociale) : consentement recueilli par l’Assurance Maladie ; le service trace la réception, sans nouveau recueil.
Pour les échanges avec le contrôle médical, le retrait de l’accord est expressément prévu. L’article 7.3 du RGPD ajoute qu’il doit être aussi simple de retirer son consentement que de le donner. Un accord recueilli oralement en visite ne peut pas exiger, pour son retrait, un courrier recommandé.
Ce que cela implique pour un SPST
- Pour chaque situation, la procédure de gestion des droits précise le moment du recueil, la personne qui recueille, le champ du dossier où l’accord ou l’opposition se consigne et la manière de le retirer.
- Le retrait peut être reçu par un secrétariat, un infirmier ou un médecin. Chacun doit savoir l’enregistrer le jour même et prévenir la cellule ou le professionnel concerné.
- Le logiciel métier doit offrir un champ dédié, daté et historisé, plutôt qu’une note libre. L’historique permet de démontrer l’état de l’accord à la date d’une transmission.
- Le retrait n’a pas d’effet rétroactif sur les transmissions déjà faites, mais il interdit toute transmission ultérieure. Le circuit doit permettre d’arrêter un envoi en préparation.
- L’affichage dans les centres et la notice d’information mentionnent la possibilité de retrait et la façon de l’exercer.
Comment le traiter dans DPO SUITE
- Créez ou mettez à jour la procédure « Gestion des droits des personnes » en y intégrant chaque situation, faites-la approuver et générez son plan de tâches.
- Dans le module demandes d’exercice de droits, enregistrez chaque retrait d’accord reçu comme une demande : suivi, délai, réponse. Le tableau de bord donne une vue d’ensemble des demandes en cours.
- Ouvrez la fiche du logiciel métier dans le registre des logiciels et notez la présence, ou l’absence, d’un champ dédié et historisé. En cas d’absence, créez une non-conformité et une action corrective adressée à l’éditeur.
- Dans le registre des délais de conservation, qualifiez les accords, oppositions et retraits comme documents du dossier médical, avec la durée du dossier.
- Demandez à ALIX de vérifier la cohérence entre la procédure et les fiches de traitement concernées, puis validez les corrections proposées.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Code du travail, articles R. 4624-45-4 (modifié le 30 avril 2026), L. 4622-2-1, D. 4622-4-1, L. 4624-1, L. 4624-8 et R. 4624-30
- Décret n° 2022-679 du 26 avril 2022 ; décret n° 2026-503 du 12 juin 2026
- Code de la sécurité sociale, article R. 315-8
- Règlement (UE) 2016/679 (RGPD), articles 7.3 et 12
- Guide CNIL SPST, fiche 7
