L'arrêt rendu le 9 septembre 2026 par la chambre sociale de la Cour de cassation change la valeur des préconisations écrites. Pour un service de santé au travail, ce n'est pas une question de droit social abstraite : c'est une question de traçabilité du dossier médical.
Ce que dit l'arrêt
Réunie en formation plénière, la chambre sociale a jugé (n° 25-11.901, publié au Bulletin et au Rapport) que le seul constat du non-respect par l'employeur des préconisations du médecin du travail en matière d'aménagement individuel du poste ouvre droit à réparation, sans que le salarié ait à démontrer un préjudice distinct.
L'employeur qui ne suit pas une préconisation doit s'en expliquer par écrit (article L. 4624-6 du code du travail) ou la contester sous quinze jours (article L. 4624-7). Un second arrêt du 16 septembre irait dans le même sens, selon une source unique, à confirmer.
Pourquoi c'est un sujet de protection des données
Parce que le service sera sollicité pour prouver trois choses : la date de communication de l'avis à l'employeur et au salarié, le contenu exact transmis, et les réponses reçues.
Ces demandes viendront des salariés et de leurs conseils, sous forme de demandes d'accès au dossier médical. Elles suivent le régime des informations médicales (article L. 1111-7 du code de la santé publique), pas le délai d'un mois du RGPD.
Un dossier dont les avis sont horodatés, non modifiables après émission et reliés à l'envoi répond sans discussion. Un dossier où l'avis a été modifié après coup affaiblit le service, le médecin et le salarié.
Ce que l'employeur reçoit, et ce qu'il ne reçoit pas
Depuis le 1er septembre 2026, en application de la loi de financement de la Sécurité sociale pour 2026, le prescripteur doit renseigner le motif médical de l'arrêt, hors accident du travail et maladie professionnelle. Les décrets n° 2026-498 et 2026-499 du 12 juin 2026 précisent les règles de durée et de recours à l'avis du contrôle médical. Le motif est destiné au service médical de l'Assurance Maladie : l'employeur ne reçoit que le volet sans diagnostic.
Le risque signalé par plusieurs cabinets : des employeurs qui demandent le motif au salarié ou au service. La réponse ne change pas. Même lorsqu'il connaît le motif de l'arrêt, le service ne le transmet pas à l'employeur : il ne communique que les avis et préconisations prévus par le code du travail.
Astuce de terrain : la question se note. Sa répétition chez un même adhérent révèle un besoin de sensibilisation.
Les trois vérifications à faire
- avec l'éditeur : un avis émis est-il figé, versionné et horodaté ? Toute correction passe-t-elle par un nouvel avis daté ?
- dans le circuit d'envoi : l'envoi par le logiciel produit-il un accusé de réception ? C'est préférable à une remise en main propre non tracée ;
- à l'accueil : le secrétariat dispose-t-il d'une réponse type pour l'employeur qui demande "de quoi souffre le salarié" ?
Les notes du DPO : ce qu'il faut faire, pourquoi, et pourquoi c'est simple sur DPO SUITE
Ce qu'il faut faire | Pourquoi | Sur DPO SUITE |
|---|---|---|
Faire confirmer par l'éditeur le verrouillage des avis après communication | Le dossier devient la preuve de ce qui a été préconisé ; une version modifiable fragilise la traçabilité et la preuve | La question est posée dans l'audit du sous-traitant éditeur, la réponse est archivée et datée |
Mettre à jour la fiche du registre sur les échanges avec l'employeur | Le registre doit décrire ce qui sort réellement du service, et ce qui n'en sort jamais | La fiche existe déjà : on la complète en quelques minutes |
Rédiger une fiche réflexe "réponse à un employeur" et une note aux adhérents | Éviter qu'une information de santé sorte par oral, sous la pression | La procédure est rédigée, validée et diffusée depuis le module procédures, avec sa date de validation |
Préparer le circuit des demandes de pièces liées aux préconisations | Le volume va augmenter et les délais sont courts (huit jours) | Chaque demande est enregistrée avec sa date de réception et son échéance, visible sur le tableau de bord |
Recevoir la veille RGPD SPST
Nous proposons une veille RGPD mensuelle dédiée aux services de prévention et de santé au travail. Elle suit la structure du guide pratique de la CNIL et, pour chaque sujet, donne l'évolution, l'explication en clair, ce que fait le DPO et la sensibilisation à diffuser en interne, avec des cas réels traités ces derniers mois, rendus anonymes. Inscription : S’inscrire à la veille RGPD SPST
Être accompagné
Laurent de Cavel est le DPO externe d'une trentaine de SPST, en métropole et outre-mer. DPO PARTAGE accompagne les services sur la mission de DPO externe, l'audit de conformité RGPD et la préparation du volet protection des données de la certification SPEC 2217. Les services qui ont un DPO ou un référent interne peuvent piloter leur conformité avec DPO SUITE, le logiciel de pilotage RGPD édité par DPO FRANCE. Échanger vingt minutes sur votre situation : Prendre rendez-vous
