Pourquoi le RGPD s’applique aux données de santé en entreprise
Le Règlement général sur la protection des données (RGPD, règlement UE 2016/679) s’applique à tout traitement de données à caractère personnel effectué par un employeur. Les données de santé constituent une catégorie particulière de données sensibles visée à l’article 9 du RGPD, dont le traitement est en principe interdit, sauf exceptions prévues par le texte.
En entreprise, l’employeur est amené à traiter ou à connaître des informations liées à la santé des salariés dans de nombreux contextes :
- Suivi médical obligatoire : visites médicales auprès du SPSTI (service de prévention et de santé au travail interentreprises)
- Gestion des arrêts maladie et AT/MP : déclaration d’accident du travail, suivi des indemnités
- Inaptitude et aménagement de poste : conclusions du médecin du travail, restrictions de postes
- DUERP : évaluation des risques professionnels pouvant impliquer des données collectives de santé
- Handicap et RQTH : reconnaissance de la qualité de travailleur handicapé
Le RGPD s’articule avec la loi informatique et libertés (loi n° 78-17 du 6 janvier 1978 modifiée) et le Code du travail (notamment les articles relatifs au secret médical et à la médecine du travail).
Quelles données de santé l’employeur peut-il traiter légalement ?
La règle de principe est l’interdiction de traiter des données de santé (art. 9 §1 RGPD). Les exceptions autorisées sont limitées et conditionnées. Voici les principaux traitements autorisés dans le contexte employeur :
| Type de traitement | Base légale RGPD | Qui traite ? | Condition clé |
|---|---|---|---|
| Aptitude médicale, visites de suivi | Art. 9(2)(b) — obligation légale | Médecin du travail | L’employeur reçoit uniquement les conclusions (apte / inapte / restrictions) |
| Déclaration AT/MP | Art. 9(2)(b) — obligation légale | Employeur + Assurance Maladie | Formulaires Cerfa réglementés, finalité stricte |
| Registre des accidents bénins | Art. 9(2)(b) — obligation légale | Employeur | Art. R.441-11 Code du travail, accès restreint |
| Aménagement de poste (handicap) | Art. 9(2)(b) ou consentement | Service RH | Sur accord salarié ou obligation légale AGEFIPH |
| Fiches d’exposition aux risques | Art. 9(2)(b) — obligation légale | Employeur + médecin travail | Conservation 40 ans (loi 2021-1018), accès médecin |
| Gestion de la prévoyance santé collective | Art. 9(2)(b) — exécution contrat | Organisme assureur | Données transmises à l’assureur, pas conservées par employeur |
Les 5 obligations clés de l’employeur au titre du RGPD
Au-delà des bases légales de traitement, l’employeur doit respecter plusieurs obligations structurelles issues du RGPD :
1. Principe de minimisation des données
L’employeur ne collecte que les données strictement nécessaires à la finalité poursuivie (art. 5 §1 c RGPD). Exemple : il ne peut pas exiger un certificat médical précisant le diagnostic, uniquement la durée de l’arrêt.
2. Désignation d’un délégué à la protection des données (DPO)
La désignation d’un DPO est obligatoire pour les organismes traitant à grande échelle des données sensibles (art. 37 RGPD). Dans les PME, elle n’est pas systématiquement requise, mais fortement recommandée dès lors que des données de santé sont traitées de manière régulière et structurée.
3. Tenue du registre des traitements
Toute organisation de 250 salariés ou plus doit tenir un registre des activités de traitement (art. 30 RGPD). En pratique, même les TPE/PME y ont intérêt car ce registre documente la conformité. Il recense pour chaque traitement : finalités, catégories de données, destinataires, durées de conservation, mesures de sécurité.
4. Analyse d’impact sur la protection des données (AIPD)
Un traitement à grande échelle de données de santé impose de réaliser une analyse d’impact (AIPD ou PIA) préalable (art. 35 RGPD). La CNIL a publié une liste des traitements nécessitant une AIPD obligatoire. Les grandes entreprises gérant des données de santé de nombreux salariés (groupes, hôpitaux, prestataires de santé au travail) sont directement concernées.
5. Mesures de sécurité renforcées
L’article 32 du RGPD exige des mesures techniques et organisationnelles adaptées au niveau de risque. Pour les données de santé : chiffrement des fichiers, gestion stricte des accès (besoin-de-savoir), journalisation des consultations, cloisonnement entre les services RH et le service médical.
Toute violation des obligations RGPD relatives aux données de santé expose à une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (art. 83 §4 RGPD), selon le montant le plus élevé. La CNIL a déjà sanctionné des employeurs pour accès non autorisé à des dossiers médicaux, conservation excessive ou défaut de sécurité. En cas de violation de données, la notification à la CNIL est obligatoire dans les 72 heures (art. 33 RGPD).
Le secret médical : cloisonnement obligatoire entre RH et service de santé
Le principe fondamental en droit du travail est que l’employeur n’a pas accès aux données médicales brutes de ses salariés. Seul le médecin du travail peut recevoir et conserver le dossier médical de santé au travail (art. R.4624-8 Code du travail). Ce cloisonnement est imposé par le secret médical et constitue une garantie fondamentale pour les salariés.
Concrètement, l’employeur ne reçoit du médecin du travail que :
- La fiche d’aptitude : apte, apte avec réserves, inapte (avec ou sans possibilité de reclassement)
- Les préconisations d’aménagement : horaires, poste, restrictions physiques — sans le diagnostic
- Les alertes en cas de risque grave : le médecin peut alerter l’inspection du travail sans lever le secret
Toute demande de l’employeur visant à obtenir le diagnostic médical d’un salarié constitue une violation du secret médical et du RGPD susceptible d’engager sa responsabilité civile et pénale.
Séparez systématiquement vos dossiers RH de vos dossiers médicaux. Le dossier médical de santé au travail est détenu par le SPSTI, pas par l’entreprise. Dans votre DUERP, évaluez les risques collectifs par poste sans identifier nominativement les salariés. Pour les fiches d’exposition aux risques chimiques (conservation 40 ans — loi 2021-1018), limitez les accès aux seuls responsables désignés et au médecin du travail.
Droits des salariés sur leurs données de santé
Le salarié bénéficie de l’ensemble des droits reconnus par le RGPD sur les données le concernant :
- Droit d’accès (art. 15) : le salarié peut demander communication des données de santé le concernant détenues par l’employeur. Délai de réponse : 1 mois maximum.
- Droit de rectification (art. 16) : correction des données inexactes.
- Droit à l’effacement (art. 17) : limité en santé au travail par les durées légales de conservation (ex : fiches exposition risques chimiques = 40 ans).
- Droit d’opposition (art. 21) : restreint si le traitement repose sur une obligation légale.
- Droit à la portabilité (art. 20) : applicable aux données fournies par le salarié lui-même.
- Droit de réclamation auprès de la CNIL (art. 77) : le salarié peut saisir la CNIL en cas de manquement.
DUERP et données personnelles : où tracer la frontière ?
Le document unique d’évaluation des risques professionnels (DUERP) est par nature un outil d’évaluation collective des risques par unité de travail (art. R.4121-1 Code du travail). Il ne doit pas, en principe, identifier nominativement les salariés concernés.
Cependant, certains documents connexes entrent dans le champ du RGPD :
- Les fiches de poste intégrant des restrictions médicales nominatives
- Les fiches d’exposition individuelle aux agents chimiques dangereux (CMR) — conservation 40 ans, accès médecin du travail
- Le PAPRIPACT (programme annuel de prévention) : peut référencer des situations individuelles liées à la santé
- Les rapports d’enquête AT : contiennent des données nominatives sur le salarié accidenté
Pour chacun de ces documents, l’employeur doit appliquer les principes RGPD : finalité définie, minimisation, durée de conservation limitée, accès restreint.
FAQ — RGPD et données de santé des salariés
L’employeur peut-il exiger un certificat médical précisant le diagnostic en cas d’arrêt maladie ? +
Non. L’employeur peut demander un certificat médical attestant de la durée de l’arrêt, mais pas le diagnostic. Exiger le diagnostic constitue une violation du secret médical (art. L.1110-4 Code de la santé publique) et du RGPD (art. 9). Seule la caisse primaire d’assurance maladie (CPAM) et le médecin conseil peuvent accéder au diagnostic pour le contrôle de l’arrêt. L’employeur peut, en revanche, diligenter une contre-visite médicale par un médecin agréé pour contrôler la réalité de l’arrêt.
Comment gérer la déclaration d’inaptitude médicale dans le respect du RGPD ? +
La fiche d’inaptitude émise par le médecin du travail est une donnée de santé. Elle doit être transmise à l’employeur uniquement pour les besoins de la procédure de reclassement (art. L.1226-2 Code du travail) ou de licenciement pour inaptitude. L’accès à cette fiche doit être restreint aux personnes strictement concernées (RH, direction). Elle ne doit pas être versée au dossier disciplinaire ni communiquée à des tiers sans autorisation. Durée de conservation : jusqu’à prescription des actions en justice (en général 5 ans après fin du contrat).
Faut-il désigner un DPO dans une PME qui gère des données de santé de ses salariés ? +
La désignation d’un DPO est obligatoire (art. 37 RGPD) pour les entreprises dont l’activité principale consiste à traiter à grande échelle des données sensibles (ex : établissements de santé, mutuelles, cabinets médicaux). Pour les PME « classiques », la désignation n’est pas systématiquement obligatoire, mais fortement recommandée dès lors que des données de santé sont traitées de manière régulière. Le DPO peut être interne ou externe (prestataire RGPD). Il doit être enregistré auprès de la CNIL.
Quelle est la durée de conservation légale des données de santé au travail ? +
Les durées de conservation varient selon la nature des données :
- Fiches d’exposition aux risques chimiques (CMR) : 40 ans après la fin de la période d’exposition (loi n° 2021-1018 du 2 août 2021)
- Dossier médical de santé au travail : 40 ans minimum, détenu par le SPSTI (art. D.4624-46 Code du travail)
- Registre des accidents bénins : 5 ans (art. R.441-11)
- Déclarations AT/MP : durée légale de prescription des AT (10 ans en cas de faute inexcusable)
- Bulletins de paie avec mention maladie : 5 ans (prescription des créances de salaire)
Le médecin du travail peut-il révéler le diagnostic à l’employeur ? +
Non, sauf exception légale très encadrée. Le médecin du travail est tenu au secret médical (art. L.1110-4 Code de la santé publique). Il transmet à l’employeur uniquement les conclusions médicales : aptitude, inaptitude, restrictions de poste. Il peut, en revanche, alerter l’inspection du travail ou le médecin inspecteur en cas de danger grave et imminent pour la santé des salariés, sans révéler les diagnostics individuels. Toute communication du diagnostic par le médecin du travail à l’employeur engage sa responsabilité disciplinaire et pénale.
Que faire en cas de violation de données de santé d’un salarié (piratage, perte de fichier) ? +
En cas de violation de données à caractère personnel incluant des données de santé, l’employeur doit :
- Notifier la CNIL dans les 72 heures (art. 33 RGPD) — via le portail de notification de la CNIL
- Informer les personnes concernées « dans les meilleurs délais » si la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés (art. 34 RGPD)
- Documenter la violation dans le registre interne (nature, conséquences, mesures prises)
- Prendre des mesures correctives immédiates pour limiter l’impact
L’omission de notification peut entraîner une sanction CNIL et aggrave la responsabilité de l’employeur en cas de préjudice pour les salariés concernés.
Vous traitez des données de santé au travail ?
Nos experts vous accompagnent pour sécuriser vos pratiques RGPD et santé au travail : audit de conformité, mise à jour du DUERP, formation DRH. Réponse sous 48 heures ouvrées.
Demander un accompagnement Guide DUERP 2026 gratuit