Clarification DGT

Clarification DGT : les précisions sur l’articulation RGPD et santé au travail

La Direction Générale du Travail (DGT) a apporte des clarifications essentielles sur l’articulation entre le RGPD, le Code du travail et le référentiel SPEC 2217. Ces précisions impactent directement la manière dont les SPST doivent structurer leur conformité.

Base légale du DMST : un point qui n’a jamais fait débat

Contrairement à ce que l’on peut lire parfois, la base légale du DMST n’a jamais été le consentement. Le Dossier Médical en Santé au Travail est constitue et tenu à jour par le médecin du travail en application de l’article L.4624-8 du Code du travail. C’est une obligation légale, pas un choix du salarié.

Les bases juridiques applicables sont :

Article 6.1.c du RGPD (obligation légale), Le médecin du travail a l’obligation légale de constituer le DMST pour chaque travailleur suivi.
Article 9.2.h du RGPD (médecine du travail, médecine préventive), Cette exception autorisé le traitement de données de santé dans le cadre de la médecine du travail, sans nécessiter de consentement explicite.
Article L.4624-8 du Code du travail, Fondement législatif national de l’obligation de constituer le DMST.

Ce point n’est pas une nouveaute : il découle directement de la hiérarchie des normes. Aucun DPO compétent n’a jamais fonde le DMST sur le consentement.

Ce que la DGT a reellement clarifie

Les clarifications de la DGT portent sur des questions opérationnelles beaucoup plus concretes et qui posaient de reels problemes aux SPST :

1. La qualification de responsable de traitement

La DGT a précisé que le SPST est responsable de traitement au sens du RGPD pour l’ensemble des données qu’il traite, y compris le DMST. Le médecin du travail, bien qu’il soit le seul a pouvoir acceder au contenu médical, n’est pas un responsable de traitement distinct. Il agit dans le cadre de la structuré SPST qui déterminé les finalites et les moyens du traitement.

Cette precision est importante car elle implique que :

Le registre des traitements est tenu par le SPST (pas par chaque médecin individuellement)
Le DPO est désigné par le SPST (pas par le médecin)
Les contrats Article 28 sont signes par le SPST avec ses sous-traitants
L’AIPD est conduite par le SPST, avec la contribution du médecin

2. L’articulation entre secret médical et droits des personnes

La DGT a clarifie un point de friction récurrent : comment exercer les droits RGPD (accès, rectification, effacement) sans violer le secret médical ?

Droit d’accès, Le salarié a droit d’acceder à son DMST. Mais l’accès passe obligatoirement par le médecin du travail (Art. L.4624-8 al. 2). Le SPST ne peut pas transmettre le DMST directement au salarié sans l’intermédiation du médecin.
Droit de rectification, Le salarié peut demander la rectification de données factuelles erronees (adresse, employeur, poste). Mais il ne peut pas exiger la modification d’un avis médical ou d’une observation clinique.
Droit à l’effacement, L’effacement du DMST est impossible en raison de l’obligation légale de conservation (40 ans après la dernière exposition, Art. R.4624-28-3 Code du travail). Le salarié ne peut pas demander la destruction de son DMST.
Droit d’opposition, Le droit d’opposition ne s’applique pas aux traitements fondes sur l’obligation légale (Art. 21.1 RGPD). Le salarié ne peut pas s’opposer à la constitution de son DMST.

3. Le périmètre de l’équipe pluridisciplinaire

La DGT a précisé qui peut acceder a quoi dans l’équipe pluridisciplinaire :

Le médecin du travail à un accès complet au DMST
L’infirmier en santé au travail accede au DMST dans le cadre de protocoles ecrits du médecin (Art. R.4623-14 Code du travail)
L’interne en médecine du travail accede au DMST sous la supervision du médecin
Les IPRP, ergonomes, psychologues, assistants sociaux n’ont pas accès au DMST. Ils recoivent uniquement les informations nécessaires a leur intervention, sans données médicales identifiantes.
Le personnel administratif (secretariat médical, accueil) a accès aux données administratives (identité, employeur, convocation) mais pas au contenu médical du DMST.

Cette distinction est cruciale pour l’audit SPEC 2217 car l’auditeur vérifié les habilitations dans le logiciel métier. Chaque profil utilisateur doit refleter ces restrictions d’accès.

4. La portabilite du DMST entre SPST

Lorsqu’un salarié change d’employeur et de SPST, le transfert du DMST est encadre :

Le transfert se fait entre médecins du travail (pas entre services administratifs)
Le consentement du salarié n’est pas nécessaire pour ce transfert (obligation légale)
Le transfert doit etre sécurisé : messagerie sécurisée de santé (MSSante) ou echange physique scellé
L’ancien SPST conserve une copie du DMST pendant la durée légale de conservation

Impact direct sur l’audit SPEC 2217

Ces clarifications ont des consequences directes sur les points verifies lors de l’audit :

Point de controle	Exigence	Risque si non conforme
Base légale au registre	Obligation légale (Art. 6.1.c + Art. 9.2.h)	Écart mineur
Habilitations logiciel métier	Profils différenciés selon l’équipe pluridisciplinaire	Écart majeur
Procédure de droit d’accès	Intermédiation obligatoire du médecin du travail	Écart majeur
Procédure de transfert DMST	Transfert sécurisé entre médecins	Écart mineur
Information des salariés	Notice conforme mentionnant les bases légales exactes	Écart mineur

Ce que votre DPO doit vérifier

A la lumiere de ces clarifications, voici les points a controler en priorité :

Registre des traitements, Vérifier que la base légale est bien « obligation légale » (et non « intérêt légitime » ou pire « consentement ») pour tous les traitements lies au DMST.
Habilitations du logiciel métier, Vérifier que les profils d’accès correspondent aux clarifications DGT (médecin = accès complet, IDE = protocole ecrit, IPRP = pas d’accès médical, administratif = données administratives uniquement).
Procédure de réponse aux demandes de droits, Vérifier que la procédure distingue bien les demandes d’accès au DMST (intermédiation médecin) des demandes d’accès aux données administratives (traitement direct par le SPST).
Notice d’information des salariés, Vérifier que la notice mentionne les bases légales exactes, les durées de conservation (40 ans) et l’impossibilite d’effacement.
Protocoles infirmiers, Vérifier que les protocoles ecrits du médecin du travail existent et encadrent l’accès IDE au DMST.

Besoin d’un audit de ces points ? Nos DPO externalisés spécialisés SPST peuvent auditer vos habilitations, votre registre et vos procédures de droits en moins de 5 jours.