L’enquête nationale RGPD SPST 2027 est désormais ouverte à l’ensemble des professionnels des services de prévention et de santé au travail. Médecins du travail, infirmiers, secrétaires médicaux, IPRP, assistants de santé au travail, personnels administratifs et directions sont invités à partager leur expérience quotidienne de la protection des données personnelles.
Cette deuxième édition fait suite à une première enquête conduite en avril 2026 auprès de 1 324 professionnels. Les résultats avaient mis en évidence un contraste : le RGPD est largement présent dans les préoccupations des équipes, mais la connaissance des procédures internes reste parfois insuffisante.
Un an après, les organisateurs souhaitent déterminer si ces difficultés persistent, si des progrès ont été réalisés et comment les nouveaux outils numériques transforment les pratiques professionnelles.
Une nouvelle enquête pour mesurer l’évolution des pratiques depuis 2026
L’enquête 2027 reprend les principaux thèmes étudiés lors de la première édition afin de permettre une comparaison annuelle. Les questions concernent notamment le dossier médical en santé au travail (DMST), les demandes d’accès, les incidents de sécurité, la confidentialité des informations médicales et la connaissance des procédures internes.
Cette nouvelle édition introduit également des sujets qui occupent une place croissante dans l’organisation des services : l’identité nationale de santé (INS), les visites de pré-reprise, la double authentification et l’utilisation de l’intelligence artificielle.
L’objectif n’est pas de contrôler les professionnels ou d’évaluer individuellement leur conformité. Il s’agit de comprendre comment les règles de protection des données sont appliquées dans les situations quotidiennes, avec les contraintes propres à chaque métier.
Le questionnaire doit notamment permettre de mieux connaître les difficultés rencontrées lorsqu’un salarié demande son dossier médical, lorsqu’un professionnel doit signaler un incident ou lorsqu’un outil numérique est utilisé pour traiter des informations sensibles.
L’intelligence artificielle, un sujet désormais incontournable
En 2026, 43 % des répondants déclaraient utiliser des outils d’intelligence artificielle dans leurs activités. Parmi les IPRP interrogés, cette proportion atteignait 75 %.
Ces résultats témoignent de la présence de ces technologies dans les pratiques professionnelles. Ils ne permettent toutefois pas de déterminer précisément les informations transmises aux outils utilisés.
La nouvelle édition doit contribuer à mieux comprendre ces usages. L’enjeu consiste notamment à distinguer l’utilisation d’outils d’assistance pour des tâches générales de celle impliquant des informations personnelles ou médicales.
L’utilisation de l’intelligence artificielle ne constitue pas, en elle-même, une violation du RGPD. Elle nécessite cependant des garanties appropriées lorsque des données personnelles sont traitées.
La sécurité des accès et la protection des dossiers médicaux
La double authentification, les accès à distance, les habilitations et la sécurisation des messageries font également partie des sujets examinés en 2027.
Les services de prévention et de santé au travail traitent des informations particulièrement sensibles. Les mesures techniques doivent donc être accompagnées de règles organisationnelles comprises et appliquées par les professionnels.
La disponibilité d’une messagerie sécurisée ne garantit pas son utilisation systématique. De la même manière, une politique d’habilitation ne suffit pas si les accès réellement accordés ne sont pas régulièrement vérifiés.
Une première enquête qui avait révélé des fragilités importantes
Les résultats de 2026 apportent un éclairage sur les enjeux de cette deuxième édition. Parmi les 1 324 professionnels interrogés, 78 % déclaraient que le RGPD était régulièrement abordé dans leur service.
Pourtant, 61 % des répondants ne savaient pas ce qu’était le registre des activités de traitement. Seuls 40 % décrivaient une procédure complète de communication du dossier médical en santé au travail.
| Résultat | Constat |
|---|---|
| 78 % | Déclarent que le RGPD est régulièrement abordé. |
| 61 % | Ne savent pas ce qu’est le registre des activités de traitement. |
| 40 % | Décrivent une procédure complète de communication du DMST. |
| 24 % | Déclarent partager des données de santé par des canaux non sécurisés. |
| 43 % | Déclarent utiliser des outils d’intelligence artificielle. |
La gestion des incidents reste une priorité
L’un des résultats les plus marquants de la première enquête concernait les incidents de sécurité. Parmi les professionnels ayant vécu ou observé un incident, seuls 10 % déclaraient savoir qui prévenir.
Ce constat interroge l’efficacité des circuits de signalement et leur connaissance par les équipes. Une erreur d’envoi, un accès non autorisé ou une perte d’équipement doivent pouvoir être remontés rapidement afin d’être analysés.
Lorsqu’une violation de données personnelles est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable de traitement doit en principe la notifier à la CNIL dans les 72 heures après en avoir pris connaissance.
Une procédure connue uniquement de la direction ou du DPO ne suffit donc pas. Les professionnels susceptibles de constater un incident doivent savoir comment le signaler.
Le dossier médical en santé au travail demeure un sujet sensible
La communication du DMST constitue une autre difficulté relevée en 2026. Parmi les répondants ayant indiqué un délai de communication, 29 % retenaient un mois.
Or, les informations médicales sont soumises aux délais prévus par le Code de la santé publique. Elles doivent normalement être communiquées dans les huit jours, après un délai minimal de réflexion de 48 heures, ce délai pouvant atteindre deux mois pour les informations constituées depuis plus de cinq ans.
Une procédure adaptée doit permettre d’enregistrer la demande, d’identifier le demandeur lorsque cela est nécessaire, de respecter les délais et de conserver une trace de la communication.
Les difficultés ne portent donc pas exclusivement sur la compréhension du RGPD. Elles concernent également les circuits internes et la coordination entre les professionnels.
La certification SPEC 2217 contribue à l’amélioration des pratiques
L’enquête 2026 s’était également intéressée aux effets de la certification SPEC 2217 sur la protection des données.
Selon les réponses recueillies, 61 % des professionnels attribuaient le renforcement des pratiques à la certification. Ce résultat souligne son rôle dans la mobilisation des équipes et la formalisation des procédures.
Un autre chiffre mérite cependant l’attention : 27 % des répondants travaillant dans des services certifiés décrivaient un relâchement des efforts après l’audit.
Il serait excessif d’en conclure que la certification perd systématiquement son efficacité. Ces déclarations montrent néanmoins l’intérêt d’un suivi régulier des pratiques entre deux évaluations.
L’édition 2027 contribuera à examiner si les mesures de sensibilisation et les procédures instaurées dans les services se traduisent par des habitudes durables.
Une participation ouverte à tous les métiers des services de santé au travail
L’enquête 2027 s’adresse aux médecins du travail, collaborateurs médecins, infirmiers, secrétaires médicaux, assistants de santé au travail, IPRP, personnels administratifs, informaticiens et membres des directions.
Il n’est pas nécessaire de posséder des connaissances particulières en matière de protection des données. Le questionnaire cherche précisément à comprendre les différences entre les métiers et les niveaux d’expérience.
La participation nécessite environ 15 à 20 minutes. Le questionnaire peut être interrompu puis repris sur le même appareil. Il ne demande ni le nom du professionnel ni celui de son service. Les résultats sont destinés à être présentés sous forme agrégée.
Plus les réponses proviendront de fonctions et d’organisations différentes, plus l’étude permettra de mettre en évidence la diversité des pratiques.
Télécharger les résultats complets de l’enquête 2026
Le rapport national 2026, composé de 13 pages, détaille les réponses des 1 324 professionnels interrogés, les différences entre les métiers et les principales priorités de protection des données dans les SPST.
Les résultats de 2026 constituent un point de comparaison pour l’édition 2027. Ils permettent également aux directions et aux DPO d’identifier des sujets à examiner dans leur propre service, sans se substituer à un audit interne.
Des résultats attendus pour mieux orienter les actions de prévention
L’enquête 2027 doit permettre d’observer les évolutions des connaissances et des comportements déclarés par les professionnels. Les résultats pourront être rapprochés de ceux de 2026 afin d’identifier les domaines dans lesquels des progrès apparaissent et ceux qui nécessitent encore des efforts.
Cette comparaison devra être interprétée avec prudence. Les enquêtes reposent sur la participation volontaire et sur des déclarations. Elles ne constituent pas une mesure exhaustive de la conformité de l’ensemble des services français.
Leur intérêt réside dans la possibilité de faire émerger des difficultés communes et de mieux orienter les actions de sensibilisation, les contrôles internes et les mesures de sécurité.
La protection des données de santé ne dépend pas uniquement de la qualité des documents produits ou de la réussite d’un audit. Elle repose également sur les gestes quotidiens des professionnels, leur connaissance des procédures et les moyens mis à leur disposition.
En renouvelant l’enquête nationale en 2027, DPO FRANCE et DPO PARTAGE souhaitent inscrire cette observation dans la durée et contribuer à une meilleure compréhension des pratiques au sein des services de prévention et de santé au travail.
Sources et références
- DPO FRANCE, présentation de l’enquête nationale RGPD SPST 2027.
- DPO FRANCE, « Le RGPD dans les services de prévention et de santé au travail », enquête nationale 2026, rapport de 13 pages, avril 2026.
- Règlement (UE) 2016/679 du 27 avril 2016, notamment articles 5, 15, 32 et 33.
- Code de la santé publique, article L.1111-7.
- Code du travail, article L.4624-8.
- CNIL, les violations de données personnelles.