La fiche 7 du guide CNIL pour les SPST présente les droits des personnes, parmi lesquels celui de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs (article 22 du RGPD). Ce droit est rarement mobilisé dans les services. Il pourrait le devenir avec l’arrivée d’indices calculés par les logiciels métiers.
Le 8 octobre 2026, l’autorité néerlandaise de protection des données a prononcé l’une des plus lourdes sanctions jamais infligées au titre du RGPD, pour des décisions automatisées prises à l’égard de travailleurs.
Ce qui change
L’autorité néerlandaise a infligé 824,99 millions d’euros d’amende à Uber pour la désactivation automatisée de comptes de chauffeurs. Les manquements retenus portent sur l’article 22 du RGPD, relatif aux décisions individuelles automatisées, et sur l’article 13, relatif à l’information des personnes. La CNIL avait transmis 171 plaintes françaises à son homologue.
La décision vise une situation où un algorithme décide, sans intervention humaine réelle, d’une mesure qui affecte l’activité professionnelle d’une personne. Elle reproche aussi l’insuffisance de l’information donnée sur la logique sous-jacente et sur les conséquences de ce traitement.
Ce que cela implique pour un SPST
Un SPST manipule de plus en plus de scores calculés automatiquement à partir du dossier. Aux Journées Santé Travail d’octobre a été présenté un indice de risque de désinsertion professionnelle, calculé par les logiciels métiers directement depuis le dossier, dont la diffusion aux éditeurs est prévue au printemps 2027.
Un tel indice peut orienter des décisions qui affectent le salarié : priorisation d’une visite, signalement à la cellule de prévention de la désinsertion professionnelle, proposition d’accompagnement. L’article 22 impose des garde-fous.
- Aucune décision à l’égard d’un salarié ne doit reposer sur le seul score. Un professionnel de santé doit examiner la situation et pouvoir s’écarter de l’indice.
- L’intervention humaine doit être réelle : un médecin ou un infirmier qui valide systématiquement la proposition du logiciel ne suffit pas.
- L’information des salariés doit mentionner l’existence du calcul, sa logique générale et ses effets possibles, conformément aux articles 13 et 14.
- Le salarié doit pouvoir présenter son point de vue et contester une orientation fondée sur l’indice.
- Seuls les professionnels de santé en charge du suivi doivent voir l’indice, ce qui relève des habilitations du logiciel.
D’autres automatismes existent déjà : priorisation automatique des convocations, alertes de suivi renforcé, tris de dossiers. Ils méritent le même examen, même lorsqu’ils semblent purement organisationnels.
La mention d’information remise aux salariés suivis doit être relue sous cet angle. Si un calcul automatisé intervient dans l’organisation du suivi, la mention le dit, explique en termes simples à quoi il sert et indique à qui s’adresser pour obtenir un examen par un professionnel de santé. Le droit d’accès de l’article 15 couvre aussi l’existence d’une prise de décision automatisée et les informations utiles sur sa logique.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche du dossier médical en santé au travail et, le cas échéant, créez une fiche dédiée au calcul d’indices ou de scores. Décrivez la logique du calcul, les données utilisées, les professionnels destinataires et la nature de l’intervention humaine, puis soumettez la fiche à validation.
Dans le registre des logiciels, rattachez la fonction de calcul au logiciel métier et à son éditeur. Lancez un audit de l’éditeur par questionnaire, avec des questions sur la documentation de l’algorithme, les habilitations d’affichage et la possibilité de désactiver la fonction.
Si l’indice doit être déployé, ouvrez une session AIPD sur ce périmètre. Ajoutez un scénario de risque « décision fondée sur le seul score » et inscrivez au plan d’actions la procédure d’examen humain. Dans le module des procédures, créez cette procédure, faites-la approuver par la direction médicale et suivez sa diffusion dans le plan de tâches.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 13, 14, 15 et 22 du RGPD, texte sur cnil.fr
- Décision de l’autorité néerlandaise de protection des données du 8 octobre 2026 (Uber)
- Guide CNIL SPST, fiche 7
