La Commission nationale de l’informatique et des libertés,

Saisie par la ministre du travail, de l’emploi et de l’insertion d’une demande d’avis portant sur un projet de décret en Conseil d’Etat relatif au dossier médical en santé au travail ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment son article 4-15) ;

Vu le code du travail, notamment son article L. 4624-8 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,

Etant rappelés les éléments de contexte suivants :

La Commission nationale de l’informatique et des libertés (ci-après la Commission) a été saisie par la ministre du travail, de l’emploi et de l’insertion, sur le fondement de l’article L. 4624-8 du code du travail, d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif au dossier médical en santé au travail (DMST).

Modifié par l’article 16 de la loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail, l’article L. 4624-8 du code du travail transpose l’accord national interprofessionnel (ANI) conclu le 10 décembre 2020 par les partenaires sociaux en vue de réformer la santé au travail. Il pose le principe selon lequel un DMST est constitué par le médecin du travail ou, le cas échéant, par l’un des professionnels de santé du service de prévention et de santé au travail (SPST), afin de retracer dans le respect du secret médical les informations relatives à l’état de santé du travailleur, aux expositions auxquelles il a été soumis ainsi que les avis et propositions du médecin du travail .

Cet article encadre le déploiement du DMST au sein des SPST en prévoyant le respect des grands principes suivants :

• l’utilisation de l’identifiant de santé (NIR-INS) mentionné à l’article L. 1111-8-1 du code de la santé publique (CSP) comme identifiant du DMST ;
• l’accès et l’alimentation du DMST par les médecins du travail et les autres professionnels de santé participant au suivi du travailleur (par exemple : collaborateur médecin, interne en médecine du travail, infirmier) sauf opposition de celui-ci ;
• la saisie dans le DMST de l’ensemble des données d’exposition du travailleur à un ou plusieurs facteurs de risques professionnels (par exemple, postures pénibles, présence d’agents chimiques dangereux ou toute autre donnée d’exposition à un risque professionnel considéré comme étant de nature à affecter l’état de santé du travailleur) ;
• sauf refus du travailleur, un accès à son DMST lorsque le travailleur relève de plusieurs SPST ou en cas de changement du SPST compétent pour assurer son suivi.

Le projet de décret concerne le DMST constitué pour les travailleurs dont le régime relève du code du travail ou du code rural et de la pêche maritime. Il vise à détailler les modalités de déploiement du DMST, qui est, au sens de l’article 4 du RGPD, un traitement de données à caractère personnel. Il vient en conséquence définir :

• la forme et les modalités de constitution du DMST ;
• son contenu ;
• les personnes autorisées à y accéder ainsi que la possibilité offerte au travailleur de s’opposer à cet accès pour certaines d’entre elles ;
• les modalités d’échanges d’informations entre professionnels de santé de SPST ;
• les modalités d’hébergement du DMST ;
• a durée de conservation.

Formule les observations suivantes :

La Commission accueille très favorablement les précisions apportées dans le projet de décret par le ministère sur le régime de la responsabilité de traitement applicable au DMST, garantissant ainsi l’indépendance des SPST vis-à-vis des employeurs. Elle approuve également les clarifications apportées en matière de conservation du DMST, notamment la détermination d’une durée de conservation adaptée garantissant le suivi sanitaire des travailleurs et la protection de leurs intérêts particuliers au plan de la prévention et de la reconnaissance des risques professionnels.

Sur la nature des données collectées dans le DMST :

Les projets d’articles R. 4624-45-4 du code du travail et R. 717-27-II du code rural et de la pêche maritime détaillent le contenu du DMST par catégorie de données à caractère personnel, en distinguant :

• les données d’identité et les données administratives du travailleur nécessaires à la coordination de sa prise en charge en matière de santé ainsi que, le cas échéant, les coordonnées de son médecin traitant ;
• les informations permettant de connaître les risques actuels ou passés auxquels le travailleur est ou a été exposé ;
• les informations relatives à l’état de santé du travailleur recueillies lors des visites et examens nécessaires au suivi individuel de son état de santé ;
• les correspondances échangées entre professionnels de santé aux fins de la coordination et de la continuité de la prise en charge du travailleur ;
• les informations formalisées concernant les attestations, avis et propositions des professionnels de santé au travail et celles délivrées au travailleur notamment sur les expositions professionnelles, les risques identifiés ou les moyens de protection ;
• les droits individuels des travailleurs concernant leurs données.

La Commission relève que figurent, dans les données administratives du DMST, la reconnaissance de la qualité de travailleur handicapé (RQTH) et la mention de l’existence d’une invalidité.

Interrogé sur les raisons justifiant une telle qualification au regard de l’article 4-15) du RGPD et de son considérant 35, le ministère a indiqué s’être fondé sur la jurisprudence constante du Conseil d’Etat en matière de données à caractère personnel concernant la santé (CE, 19 juillet 2010, req. n° 317182, publié au recueil Lebon, CE, 19 juillet 2010, req. n° 334014, mentionné aux tables du recueil Lebon, CE, 28 mars 2014, req. n° 361042, mentionné aux tables du recueil Lebon, CE, 10 juin 2021, req. n° 431875, mentionné aux tables du recueil Lebon). Le handicap ou l’invalidité ne sont ainsi pas systématiquement qualifiés de données concernant la santé par le Conseil d’Etat lorsque ces informations sont traitées sans plus de détails dans les domaines de l’éducation ou de l’emploi.

Toutefois, dans le contexte de l’examen du projet de décret, la Commission s’interroge sur l’application de cette jurisprudence au DMST constitué par les SPST.

Constituent des données concernant la santé au sens du RGPD les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne .

Le DMST est, de par sa nature et l’usage qui en est fait, un document fondamentalement médical pouvant, le cas échéant, contenir des indications sur la nature et la gravité du handicap ou de l’invalidité.

En effet, selon l’article L. 4624-8 du code du travail, le DMST est créé par les professionnels de santé du SPST ; il retrace, dans le respect du secret médical, les informations relatives à l’état de santé du travailleur. Ce même article pose le principe selon lequel le DMST est accessible aux professionnels de santé du SPST chargés d’assurer, sous l’autorité du médecin du travail, le suivi de l’état de santé du travailleur.

Par ailleurs, d’après l’article L. 4624-1 du code du travail, lorsqu’au cours de la visite d’information et de prévention, le travailleur déclare disposer de la RQTH, ou être titulaire d’une pension d’invalidité attribuée au titre du régime général de sécurité sociale ou de tout autre régime de protection sociale obligatoire, cette déclaration influe sur la forme de sa prise en charge et sa fréquence. Un suivi plus adapté à son état de santé lui est ainsi garanti et doit, par conséquent, lui être proposé.

Aussi, la Commission estime que, dans le cadre du DMST, la RQTH ou l’invalidité sont des données recueillies à des fins de suivi de l’état de santé du travailleur et d’établissement de sa prise en charge médicale.

De plus, le travailleur concerné par une RQTH ou une invalidité fait le plus souvent l’objet de mesures particulières telles que des aménagements horaires, des aménagements de poste, l’accès à un matériel approprié en cas de déficience auditive, visuelle. Ainsi, ces mesures particulières retranscrites dans le DMST sont susceptibles de donner une indication claire sur la nature et/ou la gravité du handicap ou de l’invalidité.

Enfin, plus généralement, la Commission constate que les procédures initiées tant au niveau des maisons départementales pour les personnes handicapées (MDPH) que des caisses d’assurance maladie auprès des professionnels de ces organismes revêtent un caractère éminemment médical et présupposent un trouble en lien avec l’état de santé. D’après l’article L. 5213-1 du code du travail, est considérée comme travailleur handicapé toute personne dont les possibilités d’obtenir ou de conserver un emploi sont effectivement réduites par suite de l’altération d’une ou plusieurs fonctions physique, sensorielle, mentale ou psychique . De même, l’article L. 114 du code de l’action sociale et des familles définit le handicap comme toute limitation d’activité ou restriction de participation à la vie en société subie dans son environnement par une personne en raison d’une altération substantielle, durable ou définitive d’une ou plusieurs fonctions physiques, sensorielles, mentales, cognitives ou psychiques, d’un polyhandicap ou d’un trouble de santé invalidant .

Au regard de l’ensemble de ces éléments, la Commission considère que, dans le cas du DMST et compte tenu de son utilisation par les professionnels du SPST, tant la mention de RQTH que celle de l’invalidité doivent être qualifiées de données concernant la santé au sens de l’article 4-15) du RGPD. En conséquence, elle propose de substituer, dans le projet de décret, les termes de données médico-administratives à ceux de données administratives pour toutes les informations qui seraient nécessaires ou en lien avec la coordination de la prise en charge en matière de santé assurée par le SPST. Elle prend acte de l’engagement du ministère de suivre cette proposition de modification rédactionnelle.

Sur la gestion des habilitations et des accès au DMST :

Les projets d’articles R. 4624-45-5 du code du travail et R. 717-27-III du code rural et de la pêche maritime précisent qu’outre les professionnels de santé au travail, d’autres membres du SPST peuvent être autorisés à alimenter et consulter certaines catégories de données contenues dans le DMST.

Or, les dispositions de l’article L. 4624-8 du code du travail prévoient que le DMST est constitué par le médecin du travail ou, le cas échéant, un des professionnels de santé mentionnés au premier alinéa du I de l’article L. 4624-1 , qui vise uniquement le collaborateur médecin, l’interne en médecine du travail ou l’infirmier, et non pas les membres du SPST n’endossant pas la qualité de professionnels de santé.

La Commission observe néanmoins que l’article L. 4622-8 du code du travail dédié aux SPST interentreprises prévoit que les missions des services de prévention et de santé au travail sont assurées par une équipe pluridisciplinaire de santé au travail comprenant des médecins du travail, des collaborateurs médecins, des internes en médecine du travail, des intervenants en prévention des risques professionnels et des infirmiers . Cette équipe peut être complétée, le cas échéant, par des auxiliaires médicaux ainsi que des assistants de services de prévention et de santé au travail. L’article précise par ailleurs que les conditions dans lesquelles le médecin du travail peut déléguer, sous sa responsabilité et dans le respect du projet de service pluriannuel, certaines missions prévues au présent titre aux membres de l’équipe pluridisciplinaire disposant de la qualification nécessaire sont précisées par décret en Conseil d’Etat.

Au regard de l’ensemble de ces éléments et plus particulièrement de la possibilité offerte par les dispositions du code du travail de déléguer les missions dévolues au médecin du travail aux membres explicitement cités de l’équipe pluridisciplinaire de prévention et de santé au travail, la Commission considère que certains professionnels du SPST autres que le médecin du travail peuvent effectivement alimenter et consulter certaines catégories de données contenues dans le DMST, à certaines conditions. Dans cette hypothèse, elle estime que les garanties suivantes doivent être respectées :

• d’une part, les activités doivent être supervisées par le médecin du travail qui doit garder l’entière maîtrise des DMST dont il a la charge ;
• d’autre part, les habilitations des membres de l’équipe du SPST doivent être strictement délimitées en encadrant le droit d’alimenter et celui de consulter les données, conformément à la gestion organisationnelle du service et aux missions exercées par chacun des professionnels de l’équipe.

Concernant ces garanties, la Commission prend acte de l’engagement du ministère de donner des consignes sur les modalités et la portée des habilitations. Elle relève que des précisions devraient être apportées notamment dans les référentiels de certification, en cours d’élaboration, prévus à l’article L. 4622-9-3 du code du travail.

Par ailleurs, la Commission prend acte des précisions apportées par le ministère selon lesquelles les dispositions relatives à l’alimentation et à la consultation des données contenues dans le DMST par des membres du SPST non-professionnels de santé visent uniquement les données relatives à l’identité des travailleurs et les informations permettant de connaître les risques actuels ou passés auxquels le travailleur est ou a été exposé. En outre, ces dispositions concernent les seuls professionnels suivants (mentionnés dans les dispositions précédemment citées) :

• l’intervenant en prévention des risques professionnels pour les données afin d’assurer ses missions de diagnostic, de conseil, d’accompagnement et d’appui, et communique le résultat de ses études au médecin du travail conformément aux dispositions de l’article R. 4623-38 du code du travail ;
• l’assistant de service de santé au travail qui assure une assistance administrative au médecin du travail et aux autres membres de l’équipe pluridisciplinaire dans leurs activités , conformément aux dispositions de l’article R. 4623-40 du code du travail.

La Commission accueille très favorablement la proposition du ministère de modifier la rédaction du texte afin d’exclure l’accès aux données contenues dans le DMST aux personnels de direction et à d’autres personnels exerçant au sein du DMST, sauf exceptions explicitement prévues, et de satisfaire par voie de conséquence au principe de confidentialité des données.

Sur les modalités d’exercice des droits des travailleurs concernés :

La Commission considère que l’obligation légale constitue une base légale plus appropriée pour le présent traitement. Elle invite en conséquence le ministère à modifier les modalités d’exercice des droits pour qu’elles soient conformes à cette base légale.

Sur la traçabilité des actions réalisées sur le DMST :

Le projet de décret prévoit que toutes les actions réalisées sur le DMST, quel qu’en soit l’auteur, y sont tracées et conservées et notamment la date, l’heure et l’identification du professionnel du SPST. Sur ce point, la Commission recommande au ministère de mentionner expressément le fait que la simple consultation du dossier constitue une action réalisée sur le dossier médical des travailleurs. Elle invite également le ministère à retenir une durée de conservation conforme à la délibération n° 2021-122 du 14 octobre 2021 portant adoption d’une recommandation relative à la journalisation.

Les autres points du projet de décret n’appellent pas d’observations complémentaires de la Commission.

La présidente,
M.-L. Denis