La fiche 7 du guide pratique de la CNIL pour les SPST traite des droits des personnes et de leur articulation avec l’accès au dossier médical. Le guide rappelle que l’accès aux informations médicales suit le code de la santé publique, tandis que les autres données suivent le RGPD.
L’arrêt de la chambre sociale de la Cour de cassation du 9 septembre 2026 (n° 25-11.901) a jugé que le seul non-respect des préconisations du médecin du travail par l’employeur ouvre droit à réparation. Les salariés et leurs conseils vont chercher à établir ce qui a été préconisé, et ils s’adresseront au service.
Ce qui change
Les demandes de communication de pièces (avis, courriers, extraits du dossier) devraient augmenter. Plusieurs cabinets l’ont rappelé en septembre : ces demandes suivent le régime des informations médicales de l’article L. 1111-7 du code de la santé publique, auquel renvoie l’article R. 4624-45-4 du code du travail.
- Communication dans les huit jours, après un délai de réflexion de quarante-huit heures.
- Délai porté à deux mois lorsque les informations datent de plus de cinq ans.
Les pièces qui ne relèvent pas du dossier médical (courriers administratifs, échanges avec l’employeur hors dossier) suivent le droit d’accès de l’article 15 du RGPD, avec un délai d’un mois (article 12).
Ce que cela implique pour un SPST
Une demande de pièces liée à un contentieux est souvent large et pressée. Le service doit l’identifier, la qualifier et la dater dès réception, car le délai de huit jours laisse peu de marge. Il lui faut :
- vérifier l’identité du demandeur et sa qualité (salarié, ayant droit, médecin désigné) ;
- distinguer ce qui relève du dossier médical (huit jours ou deux mois) et ce qui relève du RGPD (un mois) ;
- repérer les avis et préconisations, leur date et la trace de leur envoi à l’employeur ;
- répondre au salarié lui-même, ou à la personne qu’il a désignée, et non à l’employeur ;
- garder la trace de la réception, de la date de communication et des pièces transmises.
Une demande transmise par l’avocat du salarié doit s’accompagner d’un mandat. À défaut, le service répond au salarié directement. Le circuit tracé de communication des préconisations (fiche 4) facilite la réponse : les pièces sont datées et figées.
Le service n’a pas à juger de l’usage que le salarié fera des pièces. Une demande liée à un contentieux avec l’employeur se traite comme toute autre demande, dans les mêmes délais et sans en informer l’employeur.
Comment le traiter dans DPO SUITE
Ouvrez le module des demandes d’exercice de droits et enregistrez la demande dès sa réception, en indiquant sa nature (communication du dossier médical, accès RGPD, ou les deux). Le suivi des délais affiche l’échéance applicable et le tableau de bord permet de repérer les demandes proches du terme. Si votre configuration ne le prévoit pas, créez un type de demande « communication de pièces » avec le délai de huit jours.
Dans le module procédures, complétez la procédure de gestion des droits avec une étape de qualification du régime applicable et un plan de tâches : accusé de réception, vérification d’identité, recherche des pièces, contrôle des tiers à occulter, envoi, archivage de la réponse. Faites approuver la procédure ; les modèles de courriers restent dans les documents du service.
Rattachez à chaque demande, depuis le drive du client, l’accusé de réception et la preuve d’envoi. Si une demande dépasse le délai, créez une non-conformité et l’action corrective associée. ALIX peut proposer une qualification de la demande à partir de son texte, à confirmer avant enregistrement.
Pour suivre ces délais sans tableur, testez la création de votre registre.
Repères
- Cass. soc., formation plénière, 9 septembre 2026, n° 25-11.901
- Code de la santé publique, article L. 1111-7
- Code du travail, article R. 4624-45-4
- RGPD, articles 12 et 15
- Guide CNIL SPST, fiche 7
