La fiche 7 du guide pratique de la CNIL pour les SPST encadre l’exercice des droits par les salariés suivis. Le droit d’accès de l’article 15 du RGPD couvre toutes les données qui concernent la personne, au-delà du seul dossier médical.
Deux demandes traitées entre juillet et septembre 2026 dans des services suivis, présentées ici de façon anonyme, montrent l’étendue réelle de ce droit et les failles d’organisation qu’il révèle.
Ce qui change
Une demande portant sur le dossier et sur tous les échanges
Une salariée suivie, engagée dans un dossier de maladie professionnelle, demande son dossier médical, tous les courriels et notes où elle est citée (y compris les échanges avec son employeur et la caisse), l’avis motivé transmis au comité régional et les métadonnées des messages : dates, expéditeurs, destinataires.
La réponse a été construite en deux délais. Huit jours pour le dossier médical, dont fait partie l’avis motivé (article L. 1111-7 du code de la santé publique). Un mois pour le reste (articles 12 et 15 du RGPD). Elle s’appuie sur une grille de tri des messages, un inventaire des sources (logiciel métier, messageries, messagerie sécurisée, papier, outil d’envoi) et une règle d’occultation limitée aux tiers privés. Le médecin conseil et les interlocuteurs de l’employeur agissent dans leurs fonctions et restent nommés.
Une demande reçue pendant une vacance de poste
Une demande d’accès arrive sur deux boîtes génériques, pendant la vacance du poste de directeur et après la démission du médecin en charge de l’entreprise. Elle parvient au DPO six jours après réception, sur un délai de huit. Les écarts relevés portent sur le routage des demandes, la continuité en l’absence du professionnel référent, le canal de réception non sécurisé et l’absence de personne habilitée à décider pendant la vacance. Une alerte a été adressée au président du conseil d’administration.
Ce que cela implique pour un SPST
Le droit d’accès porte sur des données dispersées. Un service qui ne connaît que le logiciel métier oubliera les messageries, les outils d’envoi, les sauvegardes ou les listes administratives. La demande d’accès oblige à savoir où se trouvent les données.
- Tenir un inventaire des sources à explorer pour toute demande d’accès.
- Prévoir une grille de tri des courriels et une règle d’occultation des tiers.
- Séparer le délai du dossier médical et celui des autres données dès l’accusé de réception.
- Router toute demande, quelle que soit la boîte de réception, vers un point unique le jour même.
- Désigner une personne habilitée à décider en cas de vacance ou d’absence du professionnel référent.
Les métadonnées des messages font partie des données de la personne lorsqu’elles la concernent. Elles se communiquent au même titre que le contenu, sous réserve des droits des tiers.
Comment le traiter dans DPO SUITE
Enregistrez chaque demande dans le module des demandes d’exercice de droits dès sa réception, avec la date de réception réelle, même si la demande arrive en retard au référent. Le suivi calcule les délais et le tableau de bord rend visible tout retard de routage. Pour une demande mixte, créez deux suivis liés : communication du dossier médical et accès RGPD.
Dans le registre des logiciels et le module infrastructure, vérifiez que chaque source (logiciel métier, messageries, messagerie sécurisée, outil d’envoi, serveurs de sauvegarde) est recensée : cet inventaire sert de liste de recherche. Dans le module procédures, ajoutez à la procédure de gestion des droits la grille de tri, la règle d’occultation et une règle de suppléance en cas de vacance, puis faites approuver la procédure.
Pour chaque écart constaté, créez une non-conformité et une action corrective, avec un responsable et une échéance. Une réunion avec la direction peut être planifiée dans le module réunions pour arrêter la règle de suppléance. ALIX peut proposer une grille de tri adaptée aux sources recensées, à valider avant usage.
Pour organiser vos réponses aux demandes d’accès, testez la création de votre registre.
Repères
- RGPD, articles 12 et 15
- Code de la santé publique, article L. 1111-7
- Code du travail, article R. 4624-45-4
- Retours d’expérience anonymisés, juillet à septembre 2026
- Guide CNIL SPST, fiche 7
