Base légale du traitement
Le traitement des données de santé des employés est autorisé lorsqu'il est nécessaire au respect des obligations légales de l'employeur, conformément à l'article 9.2.b du RGPD. Cette base légale permet spécifiquement de traiter les données de santé "aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail". Cette autorisation couvre notamment la gestion des arrêts maladie pour établir les droits à congés, organiser le travail ou transmettre les informations nécessaires aux organismes sociaux comme la sécurité sociale.
Des données strictement limitées
L'employeur ne peut traiter que les informations strictement nécessaires à cette finalité, selon le principe de minimisation des données. Seul le volet administratif de l'arrêt maladie (volet 3) doit être utilisé, qui ne contient pas de données médicales détaillées. Ce document permet uniquement d'établir l'attestation de salaire et le versement des indemnités journalières. Les informations médicales spécifiques comme les diagnostics, traitements ou nature exacte de la pathologie restent confidentielles et ne peuvent être collectées ou utilisées par l'employeur.
Données collectées autorisées
Dans le cadre de la gestion des arrêts maladie, l'employeur peut légalement collecter et conserver les données suivantes :
- Les coordonnées du médecin du travail
- La date de l'accident ou de la première constatation médicale de la maladie
- La date du dernier jour de travail et la date de reprise
- Le motif de l'arrêt (accident du travail ou maladie professionnelle)
- Les éléments nécessaires aux déclarations obligatoires auprès des organismes sociaux
- Le suivi administratif des visites médicales (dates, aptitude au poste sans détails médicaux)
Prenez des mesures de sécurité renforcées
Les données de santé étant qualifiées de données sensibles au sens de l'article 9 du RGPD, leur traitement doit respecter des mesures de sécurité strictes pour garantir leur confidentialité et éviter tout accès non autorisé. Ces mesures comprennent obligatoirement :
Limitez les accès
Seules les personnes strictement habilitées peuvent accéder aux données de santé. Les accès doivent être limités aux seules personnes chargées de la gestion du personnel, de la paie ou d'assurer la sécurité des personnes et des biens. Les supérieurs hiérarchiques ne peuvent accéder qu'aux informations nécessaires à l'exercice de leurs fonctions.
Tracez les accès
L'employeur doit mettre en place une traçabilité pour surveiller les accès aux données. Cette traçabilité permet de documenter qui a accédé aux données, quand et dans quel but, constituant une mesure de sécurité essentielle pour les données de santé.
Chiffrez et sécurisez les données
Les données de santé doivent être chiffrées et les accès aux systèmes sécurisés par des mots de passe forts avec définition des profils utilisateurs. Les systèmes doivent être configurés pour éviter tout accès non autorisé depuis internet.
Une durée de conservation précise
Les données relatives aux arrêts maladie doivent être conservées pendant des durées précises selon leur nature :
- Déclarations d'accident du travail : 5 ans auprès de la caisse primaire d'assurance maladie
- Fiches médicales du médecin du travail : 2 ans après chaque examen obligatoire
- Observations de l'inspection du travail : 5 ans
- Dossier médical en santé au travail (DMST) : 40 ans minimum à compter de la dernière visite
Ces durées correspondent aux obligations légales et ne peuvent être raccourcies arbitrairement. Une fois ces délais écoulés, les données doivent être supprimées ou anonymisées.
Vous avez l'obligations d'informer les employés
L'employeur doit informer les employés du traitement de leurs données de santé de façon concise, transparente, compréhensible et aisément accessible. Cette information doit préciser :
- Les finalités du traitement (gestion des arrêts maladie)
- Les bases légales du traitement
- Les durées de conservation des données
- Les droits des employés concernant leurs données
- Les mesures de sécurité mises en place
Analyse d'impact sur la protection des données
Une analyse d'impact relative à la protection des données (AIPD) doit être réalisée lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Cette analyse est obligatoire pour les traitements de données de santé qui remplissent au moins deux des critères suivants :
- Collecte de données sensibles ou hautement personnelles
- Collecte de données à large échelle
- Personnes vulnérables (employés en situation de faiblesse)
- Surveillance systématique
- Croisement de données
La délibération n° 2019-160 du 21 novembre 2019 de la CNIL établit clairement que les traitements mis en œuvre uniquement à des fins de ressources humaines sont dispensés d'AIPD lorsque les conditions suivantes sont réunies :
- L'organisme emploie moins de 250 personnes
- Les traitements sont dans les conditions prévues par les textes applicables
- Il n'y a pas recours au profilage
Interdiction d'utiliser ces données pour d'autres usages
Les données collectées pour gérer les arrêts maladie ne peuvent pas être réutilisées à d'autres fins. Leur utilisation pour l'évaluation de la performance, la discrimination ou tout autre objectif non lié à la gestion des arrêts maladie est strictement interdite. Cette limitation découle du principe de finalité qui impose que les données ne soient utilisées que pour les objectifs déclarés lors de leur collecte.
Une question la collecte des données de santé ?
Notre équipe chez Inkivari est à votre disposition pour toute interrogation concernant la gestion des données personnelles.
Par mail
En soumettant ce formulaire, j’accepte que les informations saisies soient exploitées par Inkivari SARL aux fins de gestion de réponse à votre demande. Pour en savoir plus sur la gestion de vos données à caractère personnel et sur vos droits, consultez notre politique de confidentialité