SPSTi : Quelles informations peuvent être collectées

A lire aussi sur DPO PARTAGE

IA et conformité RGPD dans les SPST : fiche pratique pour DPO

Modifications des traitements de données de santé soumis à formalités : quelles sont les démarches ?

Gend’Élus, la plateforme des maires : et si la vraie menace pour les communes n’était pas celle qu’on croit ?

Le SPSTi doit adhérer au principe de minimisation, c’est-à-dire ne collecter que les informations strictement nécessaires à l’objectif poursuivi.
Les informations collectées doivent avoir un lien direct avec cet objectif.
Il est interdit de collecter des informations « au cas où » elles seraient utiles à l’avenir.

En Pratique

Les informations peuvent concerner l’identification du travailleur, son emploi, sa santé et les avis du médecin du travail.
Le SPSTi peut également collecter des informations pour d’autres objectifs, comme des recherches ou des enquêtes, à condition qu’elles soient pertinentes et limitées.

Sensibilité des Informations

Une attention particulière doit être portée aux informations sensibles comme l’orientation sexuelle, les opinions politiques, etc., qui ne doivent généralement pas être collectées.

Questions à Se Poser

Le SPSTi doit se poser plusieurs questions pour s’assurer du respect des principes, notamment sur la pertinence, l’objectivité et la nécessité des informations collectées.

Références Légales

Le texte cite plusieurs articles du RGPD et du code du travail français pour encadrer ces pratiques.

Attention

Toutes les informations ne doivent pas nécessairement être conservées. Seules celles utiles au suivi du travailleur et à la mission du SPSTi doivent l’être.
Le SPSTi doit être vigilant lors de la transmission des données, en ne communiquant que les informations strictement nécessaires à l’objectif poursuivi.

Règles de droit

Le Service de Prévention en Santé au Travail (SPSTi) doit veiller à ne traiter que les informations adéquates, pertinentes et limitées à ce qui est nécessaire au regard de l’objectif poursuivi (principe de minimisation). C’est la raison pour laquelle il est essentiel de définir l’objectif de l’utilisation des informations personnelles avec suffisamment de précision.

Les informations personnelles collectées doivent avoir un lien direct avec l’objectif poursuivi par le fichier.

Les informations personnelles enregistrées par le SPSTi doivent avoir un lien direct avec la réalisation de l’objectif poursuivi. Cela signifie que le professionnel doit si besoin faire un tri dans les informations fournies par le travailleur ou par l’employeur afin de ne garder que celles qui lui permettent de remplir ses missions.

Les informations personnelles utilisées sont nécessaires à la poursuite de l’objectif poursuivi.

Les informations personnelles enregistrées doivent être nécessaires, selon l’objectif poursuivi par l’utilisation des données, au suivi médical du travailleur, à la réalisation d’une enquête consacrée aux risques professionnels auxquels les travailleurs d’une entreprise sont exposés, à la gestion du personnel pour le fichier utilisé à cette fin dans un SPSTi interentreprises, etc. Le professionnel doit ainsi veiller à limiter le volume d’informations enregistrées ainsi que leur niveau de détails. Il s’agit d’être le moins intrusif possible dans la vie du travailleur et de ne garder que les informations essentielles et d’un niveau de détail approprié aux missions de santé au travail. Les informations personnelles collectées doivent ainsi être limitées au minimum.

Les informations personnelles ne doivent en principe pas être collectées « au cas où ».

Les informations collectées doivent être effectivement nécessaires à l’objectif poursuivi, elles ne peuvent être traitées « au cas où ».

Afin de définir les informations nécessaires à la réalisation de l’objectif poursuivi, la finalité du fichier doit être déterminée en amont de la collecte des informations relatives aux travailleurs, en ce qu’elle permet de déterminer la nature et la précision des informations relatives aux travailleurs nécessaires, ainsi que le moment de la collecte.

Dans le cas particulier du dossier médical en santé au travail, la collecte des informations sur l’état de santé du travailleur doit être en lien avec le suivi de celui-ci et les possibilités suffisamment plausibles d’exposition à un risque professionnel. Ainsi, alors même que le travailleur ne souffre, au moment d’une visite, d’aucune maladie ou blessure d’origine professionnelle la collecte de certaines informations peut être pertinente au cas où un incident de santé surviendrait à plus au moins long terme du fait de l’activité professionnelle ou d’une exposition à un risque particulier. A l’inverse, les informations qui ne se rapporteraient à aucun risque identifié ou plausible, ne devraient être ni collectées, ni conservées.

ATTENTION !

Toutes les informations que le travailleur a pu révéler, dans le cadre des échanges, ne doivent pas nécessairement intégrer son dossier médical en santé au travail. Seules celles qui sont utiles à son suivi et à la poursuite des missions du SPSTi peuvent être enregistrées et conservées. Toutes demeurent en revanche confidentielles.

Les professionnels doivent être d’autant plus vigilants lors de la collecte des informations qu’ils sont amenés à traiter des informations de santé.

Faisant l’objet d’une protection toute particulière au même titre que les informations révélant la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale ou encore l’orientation sexuelle, ces informations dites « sensibles » ne peuvent par principe être traitées, sauf exceptions prévues par les textes.

Le SPSTi doit donc veiller à ne traiter des informations de santé des travailleurs que sur la base de l’exception prévoyant que le « traitement (fichier) est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l’appréciation de la capacité de travail du travailleur » (par exemple pour la gestion du dossier médical en santé au travail (DMST)).

En pratique

Dans la mesure où la gestion des dossiers médicaux en santé au travail représente l’activité centrale d’un SPSTi, les éléments suivants portent principalement sur cet objectif. Pour les autres objectifs poursuivis par le SPSTi, ce dernier peut être amené à traiter d’autres informations personnelles, sous réserve que ces dernières soient toujours adéquates, pertinentes et limitées à ce qui est nécessaire au regard de l’objectif poursuivi.

Par exemple, des informations supplémentaires pourront être collectées dans le cadre de la réalisation de recherches, d’études et d’enquêtes.

De la même manière, des informations relatives aux travailleurs pourront être collectées en poursuivant l’objectif de la gestion des travailleurs du SPSTi interentreprises. Pour plus d’informations sur la gestion du personnel, nous vous invitons à consulter le référentiel relatif à la gestion des ressources humaines de la CNIL.

S’agissant des dossiers médicaux en santé au travail, seules les informations utiles à la prévention de toute altération de la santé du travailleur du fait de son travail et à son suivi peuvent être enregistrées et conservées, ainsi que celles permettant de mener à bien les missions du service (par exemple : l’élaboration du bilan annuel d’activité du médecin du travail et de la synthèse annuelle de l’activité du SPSTi).

Dans ce cadre, il apparaît a priori légitime de collecter certaines catégories d’informations relatives aux travailleurs, notamment :

les informations d’identification : nom, prénom, date de naissance, entreprise ;

les informations relatives à l’emploi occupé et aux activités professionnelles ;

les informations concernant la santé du travailleur (par exemple certains antécédents médicaux ou tout autre élément de nature à caractériser l’état de santé du travailleur lorsqu’il nécessite un aménagement de poste) ;

les propositions et avis du médecin du travail concernant le travailleur.

Pour chacune de ces catégories, les informations indiquées dans le tableau suivant peuvent s’avérer nécessaires à la poursuite des missions du SPSTi (les exemples ne constituent pas une liste exhaustive des informations pouvant être traitées) :

Catégories d’informations	Exemples d’informations personnelles pouvant être collectées
Identification du travailleur	Nom, prénom, date et lieu de naissance pour identifier le travailleur et écarter tout risque homonymie Employeur Historique des rendez-vous avec le SPSTi
Emploi occupé/activité professionnelle	Profession actuelle Horaires de travail et modalités des trajets entre son domicile et son lieu d’activité professionnelle Description des activités ou tâches effectuées permettant d’identifier les risques Risques identifiés : nature des nuisances (physiques, chimiques, biologiques, organisationnelles, autres) Secteurs d’activité et professions antérieurs
Santé du travailleur	Qualification de travailleur handicapé ou notion d’invalidité Grossesse Risques psycho-sociaux Antécédents médicaux personnels, notamment ceux en lien avec un accident de travail, une maladie professionnelle ou une maladie à caractère professionnel (taux d’IPP)
Propositions et avis du médecin du travail	Proposition d’amélioration ou d’adaptation du poste de travail, de reclassement, etc. Echanges avec l’employeur et le travailleur concernant les mesures individuelles d’aménagement, d’adaptation ou de transformation du poste de travail ou des mesures d’aménagement du temps de travail

Certaines situations particulières peuvent justifier que d’autres informations soient collectées, sous réserve qu’elles soient pertinentes et nécessaires pour le suivi du travailleur (par exemple, la vérification de l’obligation de vaccination pour les professionnels de santé).

ATTENTION !

Seules les informations nécessaires au suivi du travailleur pouvant être traitées, les informations touchant à l’intimité de sa vie privée (religion, orientation sexuelle, opinions politiques, etc.) ne sont pas nécessaires au SPSTi pour exercer ses missions. A ce titre, elles ne doivent par principe pas faire l’objet d’une conservation et ne peuvent donc être inscrites dans son dossier médical de santé au travail.

A NOTER !

Dans un souci de minimisation, le SPSTi doit également veiller au niveau de détail des informations inscrites dans le dossier du travailleur. Par exemple, si ce dernier fait face à des relations conflictuelles avec certains de ses collègues, l’inscription de l’identité des autres travailleurs dans le dossier médical en santé au travail n’apparaît en principe pas nécessaire.

Le principe de minimisation suppose également qu’en cas de communication des données (par exemple au Groupe d’Alerte en Santé Travail – GAST), seules celles étant nécessaires à l’objectif poursuivi par la transmission soient communiquées. Le SPSTi doit donc veiller à effectuer un tri entre les informations afin de ne transmettre que celles étant pertinentes et d’un niveau de détail adapté.

Références

Quelles informations sont vraiment nécessaires pour atteindre l’objectif fixé au fichier ?

Selon le texte, les informations collectées doivent être strictement nécessaires à l’objectif poursuivi par le SPSTi. Cela peut inclure des informations d’identification, des détails sur l’emploi occupé, des données de santé et les avis du médecin du travail.

Les informations obligatoires des informations facultatives ont-elles fait l’objet d’une distinction ?

Le texte ne précise pas explicitement si une distinction est faite entre les informations obligatoires et facultatives. Cependant, il souligne l’importance de la minimisation, ce qui implique que seules les informations essentielles devraient être collectées.

Les informations recueillies sont-elles objectives ?

Le texte suggère que les informations collectées doivent être objectives et directement liées à l’objectif poursuivi. Il n’entre pas dans les détails sur la manière de garantir cette objectivité.

Est-il possible de donner accès au travailleur qui en fait la demande à l’ensemble des informations détenues sur lui ou y a-t-il des commentaires excessifs ?

Le texte ne traite pas de cette question en détail, mais il souligne que les informations collectées doivent être minimales et pertinentes. Cela suggère que le travailleur devrait avoir accès à des informations qui sont strictement liées à l’objectif du fichier.

Des informations sensibles sont-elles recueillies ? Est-ce autorisé et justifié au regard des missions ? Est-il possible de faire autrement ?

Le texte indique que les informations sensibles, telles que l’orientation sexuelle ou les opinions politiques, ne devraient généralement pas être collectées, sauf exceptions prévues par les textes. Le SPSTi doit être particulièrement vigilant lorsqu’il s’agit de traiter ce type d’informations.

A lire aussi sur le meme sujet :