Prevention de la desinsertion professionnelle et RGPD : concilier accompagnement et protection des donnees
La prevention de la desinsertion professionnelle (PDP) constitue une mission centrale des Services de Prevention et de Sante au Travail (SPST) depuis la loi du 2 aout 2021. Cette mission implique le traitement de donnees de sante particulierement sensibles : pathologies, restrictions fonctionnelles, parcours de soins, amenagements de poste. Comment les SPST peuvent-ils mener a bien cette mission tout en respectant le RGPD ? Ce guide detaille les obligations et les bonnes pratiques.
La PDP : une mission qui mobilise des donnees sensibles
La prevention de la desinsertion professionnelle vise a maintenir en emploi les salaries dont l’etat de sante risque de compromettre la poursuite de l’activite. Cette mission implique necessairement le traitement de donnees de sante au sens de l’article 9 du RGPD, ce qui impose des garanties renforcees.
Les donnees traitees dans le cadre de la PDP sont particulierement variees : donnees medicales issues du DMST, informations sur les restrictions fonctionnelles, evaluations de capacites residuelles, propositions d’amenagement de poste, parcours de readaptation, echanges avec les medecins traitants et specialistes. Chaque categorie de donnees necessite un niveau de protection adapte et des regles d’acces strictement definies.
Base legale et fondements du traitement
Le traitement des donnees dans le cadre de la PDP repose sur plusieurs fondements. La base legale principale est l’obligation legale (article 6.1.c du RGPD), les SPST etant tenus par la loi d’assurer cette mission. Pour les donnees de sante, l’exception prevue a l’article 9.2.h du RGPD (medecine du travail) permet leur traitement sous reserve de garanties appropriees.
Le code du travail, notamment les articles L. 4622-2 et suivants modifies par la loi du 2 aout 2021, definit precisement le perimetre de cette mission. L’ANI du 9 decembre 2020 sur la sante au travail a egalement renforce le cadre de la PDP, en insistant sur la coordination entre les differents acteurs.
Les acteurs de la PDP et leurs droits d’acces
La PDP implique de nombreux acteurs dont les droits d’acces aux donnees doivent etre strictement delimites. Le medecin du travail pilote le dispositif et dispose d’un acces complet aux donnees medicales. L’infirmier en sante au travail accede aux donnees dans le cadre de ses protocoles. L’assistant de service social peut connaitre la situation sociale sans acceder aux donnees medicales detaillees.
L’employeur, quant a lui, ne doit recevoir que les informations strictement necessaires : les restrictions fonctionnelles, les preconisations d’amenagement et les conclusions d’aptitude. En aucun cas le diagnostic ou les details medicaux ne doivent lui etre communiques. Cette separation entre donnees medicales et donnees de preconisation constitue un principe fondamental de la PDP conforme au RGPD.
Cellule PDP : organisation et cloisonnement des donnees
La cellule de PDP reunit des professionnels aux competences complementaires. Pour fonctionner efficacement dans le respect du RGPD, elle doit mettre en place un cloisonnement rigoureux des donnees. Chaque membre de la cellule n’accede qu’aux informations necessaires a sa mission specifique.
Le medecin du travail coordonne la cellule et decide des informations a partager avec chaque intervenant. Les comptes rendus de cellule PDP doivent etre rediges en distinguant les elements partageables de ceux couverts par le secret medical. Un document de synthese non medical peut etre elabore pour les acteurs qui n’ont pas vocation a connaitre les details de sante.
Les outils numeriques utilises par la cellule doivent permettre ce cloisonnement : droits d’acces differencies dans le logiciel metier, espaces de stockage separes pour les documents medicaux et les documents administratifs, tracabilite des acces pour garantir le respect des regles etablies.
Echanges avec les acteurs externes
La PDP implique souvent des echanges avec des acteurs externes au SPST : medecins traitants, specialistes, organismes de formation, Cap Emploi, MDPH, assurance maladie. Chaque echange doit respecter le principe de minimisation et ne transmettre que les donnees strictement necessaires a l’objectif poursuivi.
Les echanges avec les organismes de securite sociale (CPAM, CARSAT) s’inscrivent dans un cadre legal specifique qui autorise certains partages de donnees. Toutefois, le SPST doit veiller a ne transmettre que les informations prevues par les textes, sans aller au-dela. L’accord du salarie doit etre recherche chaque fois que possible, meme lorsqu’il n’est pas legalement requis.
La communication avec les prestataires de bilan de competences, les organismes de formation ou les structures d’insertion doit se faire sur la base du consentement explicite du salarie. Un formulaire de consentement specifique, distinct du consentement general au suivi, doit etre utilise pour chaque transmission.
Essai encadre et RGPD
L’essai encadre, dispositif permettant a un salarie en arret de travail de tester sa capacite a reprendre son poste ou un autre poste, genere des donnees specifiques. Le protocole d’essai, les evaluations de capacite et le bilan final constituent des donnees de sante qui doivent etre integrees au DMST.
L’employeur accueillant le salarie en essai encadre ne doit recevoir que les informations necessaires a l’organisation pratique : horaires amenages, restrictions fonctionnelles a respecter, consignes de securite specifiques. Le motif medical de l’arret et les details du parcours de soins restent confidentiels.
Convention de reeducation professionnelle en entreprise (CRPE)
La CRPE, qui permet a un salarie declare inapte de se former a un nouveau poste dans son entreprise ou dans une autre, implique le partage d’informations entre le SPST, l’employeur, l’organisme de formation et la CPAM. Le RGPD impose de definir precisement les flux de donnees entre ces acteurs.
Un protocole de partage des donnees doit etre etabli des le lancement de la CRPE, precisant pour chaque acteur les donnees auxquelles il a acces, les finalites autorisees et les durees de conservation. Ce protocole constitue un element essentiel de la conformite RGPD du dispositif.
Durees de conservation specifiques a la PDP
Les donnees collectees dans le cadre de la PDP suivent des regles de conservation distinctes selon leur nature. Les donnees medicales integrees au DMST suivent la duree de conservation du dossier medical : 40 ans apres la derniere visite, dans la limite de 10 ans apres le depart en retraite. Les documents administratifs (courriers, convocations, bilans non medicaux) peuvent etre conserves 5 ans apres la fin du dispositif PDP.
Les donnees transmises aux acteurs externes doivent faire l’objet d’une destruction a l’issue du dispositif, sauf obligation legale contraire. Le SPST doit prevoir dans ses conventions de partage les modalites de suppression des donnees par les tiers.
Droits des salaries dans le cadre de la PDP
Le salarie beneficiant d’un dispositif de PDP conserve l’integralite de ses droits RGPD. Le droit d’acces lui permet de consulter l’ensemble des donnees traitees a son sujet, y compris les evaluations de capacite et les propositions formulees par la cellule PDP. Le droit de rectification s’applique aux donnees factuelles inexactes.
Le droit d’opposition merite une attention particuliere. Si le salarie ne peut s’opposer au traitement fonde sur l’obligation legale du SPST, il peut refuser certaines transmissions a des tiers fondees sur son consentement. Le SPST doit l’informer clairement des consequences d’un tel refus sur le deroulement du dispositif PDP, sans exercer de pression.
L’information du salarie doit etre renforcee dans le cadre de la PDP. Un document specifique doit lui etre remis, detaillant les traitements de donnees lies au dispositif, les acteurs impliques, les donnees partagees et ses droits. Cette information doit etre adaptee a la situation du salarie et delivree de maniere comprehensible.
Indicateurs de suivi et anonymisation
Les SPST doivent produire des indicateurs sur leur activite de PDP : nombre de salaries accompagnes, taux de maintien en emploi, types de dispositifs mobilises. Ces indicateurs doivent etre produits a partir de donnees anonymisees ou, a defaut, pseudonymisees avec un niveau de granularite suffisant pour empecher toute reidentification.
Pour les petites structures ou le nombre de salaries en PDP est faible, des precautions supplementaires sont necessaires pour eviter l’identification indirecte. Le croisement entre le type de pathologie, le secteur d’activite et la tranche d’age peut suffire a identifier un individu dans un SPST de petite taille. L’agregation des donnees sur des periodes plus longues ou le regroupement entre plusieurs SPST constituent des solutions pour garantir l’anonymat.
Recommandations pratiques pour une PDP conforme
Pour garantir la conformite RGPD de la PDP, plusieurs mesures s’imposent. Premierement, realiser une analyse d’impact (AIPD) sur le dispositif PDP, compte tenu du volume de donnees sensibles traitees et du nombre d’acteurs impliques. Deuxiemement, formaliser les protocoles de partage de donnees avec chaque categorie d’acteurs. Troisiemement, mettre en place des droits d’acces differencies dans le logiciel metier.
Il est egalement essentiel de former l’ensemble des membres de la cellule PDP aux enjeux du RGPD et du secret medical. La tracabilite des acces et des transmissions doit etre assuree par le systeme d’information. Enfin, un audit regulier des pratiques de la cellule PDP doit etre realise pour verifier le respect effectif des regles etablies.
Conclusion
La prevention de la desinsertion professionnelle constitue une mission essentielle des SPST qui ne peut se deployer efficacement qu’en respectant scrupuleusement le RGPD. Le cloisonnement des donnees entre les acteurs, le respect du secret medical, l’information renforcee du salarie et la tracabilite des echanges sont les piliers d’une PDP conforme. Les SPST qui investissent dans la structuration de leurs flux de donnees gagnent en efficacite tout en protegeant les droits fondamentaux des salaries qu’ils accompagnent.
Laurent de Cavel, DPO certifie
