La fiche 7 du guide CNIL pour les SPST décrit les droits des personnes et, en premier lieu, le droit d’accès. Pour un service, ce droit s’exerce selon deux régimes : l’article 15 du RGPD pour l’ensemble des données, et l’article L. 1111-7 du code de la santé publique pour le dossier médical en santé au travail.
Le 20 octobre 2026, le Conseil d’État a précisé la portée du droit d’accès prévu par le RGPD. La décision clarifie ce qu’un responsable de traitement doit remettre, et ce qu’il peut refuser, lorsqu’une personne réclame « tous ses documents ».
Ce qui change
Dans sa décision n° 511155 du 20 octobre 2026, le Conseil d’État examine le cas d’une banque qui avait donné à sa cliente l’accès à l’ensemble de ses données personnelles. La cliente réclamait en réalité des duplicatas de relevés et de documents contractuels. La CNIL avait clos sa plainte.
Le Conseil d’État valide cette clôture. Le droit d’accès impose de fournir une copie des données personnelles. La reproduction à l’identique des documents relève, elle, du contrat.
La décision, inédite au recueil, se lit avec l’arrêt de la Cour de justice de l’Union européenne du 4 mai 2023 (C-487/21). La Cour y juge que des extraits de documents, voire des documents entiers, restent dus lorsqu’ils sont nécessaires pour permettre à la personne de comprendre ses données et d’exercer ses droits.
Ce que cela implique pour un SPST
La distinction ne joue que pour les données administratives du service : courriers, factures, contrats d’adhésion, échanges avec l’employeur. Elle ne touche pas le dossier médical. Le salarié y accède en tant que tel, pièces comprises, selon l’article L. 1111-7 du code de la santé publique et l’article R. 4624-45-4 du code du travail.
Concrètement, un salarié qui demande « tout ce que le service a sur lui » obtient deux choses :
- son dossier médical en santé au travail, qu’il peut consulter et copier en entier, dans un délai de huit jours après un délai de réflexion de quarante-huit heures, ou de deux mois pour les informations datant de plus de cinq ans ;
- une copie de ses données administratives, dans le délai d’un mois prévu par l’article 12 du RGPD, sans obligation de reproduire chaque courrier ou chaque facture à l’identique.
La limite fixée par la Cour de justice reste déterminante. Pour tout élément qui éclaire une donnée (un avis, un courrier adressé à l’employeur, une préconisation), l’extrait se fournit. Refuser un duplicata en invoquant la décision du 20 octobre n’est envisageable que pour des documents purement contractuels dont la personne détient déjà les données.
Les demandes d’accès risquent de se multiplier dans les contentieux sur l’inaptitude et le harcèlement, où les écrits du service deviennent des pièces. La réponse doit donc distinguer clairement les deux volets et leurs délais, pour éviter qu’une copie partielle soit lue comme un refus.
Comment le traiter dans DPO SUITE
Ouvrez le module des demandes d’exercice de droits. Pour chaque demande d’accès reçue, qualifiez séparément le volet « dossier médical » et le volet « données administratives », afin que leurs délais respectifs soient suivis dans le tableau de bord. Le délai d’un mois est calculé automatiquement à partir de la date de réception.
Dans le module des procédures, mettez à jour la procédure de réponse aux demandes d’accès : distinction des deux volets, liste des documents dont l’extrait est toujours fourni, cas dans lesquels un duplicata peut être refusé. Faites approuver la nouvelle version et planifiez son appropriation par les secrétariats et les médecins dans le plan de tâches. Le modèle de réponse reste dans votre environnement ; rattachez-le depuis le drive du client connecté.
Dans le registre des traitements, vérifiez que la fiche de chaque traitement administratif (adhésion, facturation, relation adhérents) indique la procédure d’accès applicable.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 12 et 15 du RGPD
- Conseil d’État, 20 octobre 2026, n° 511155, conseil-etat.fr
- CJUE, 4 mai 2023, C-487/21
- Article L. 1111-7 du code de la santé publique et article R. 4624-45-4 du code du travail, legifrance.gouv.fr
- Guide CNIL SPST, fiche 7
