FAQ
Questions frequentes
Le DPO est-il obligatoire pour un SPST ?
Oui. L’article 37.1.c du RGPD impose la désignation d’un DPO lorsque les activités de base du responsable de traitement consistent en un traitement a grande echelle de données de santé. Les SPST sont pleinement concernes par cette obligation, ce que confirme la CNIL dans son guide SPST 2024 (Fiche 13).
L’employeur peut-il acceder au DMST d’un salarié ?
Non. Le DMST est protégé par le secret médical (Art. L.1110-4 CSP). L’employeur n’a en aucun cas accès au contenu médical du dossier. Seuls les avis d’aptitude ou d’inaptitude et les preconisations d’amenagement de poste lui sont transmis.
Quelle est la base légale du DMST ?
La base légale est l’obligation légale (Art. 6.1.c RGPD) decoulant du Code du travail, et non le consentement du travailleur. Cette clarification a été apportee par la DGT en janvier 2026.
Combien de temps conserver le DMST ?
40 ans a compter de la dernière visite, avec un minimum de 10 ans après le depart du travailleur. En cas d’exposition a des agents CMR, la durée est de 50 ans après la fin de l’exposition (Art. R.4624-45-4 Code du travail).
L’hébergement HDS est-il obligatoire ?
Oui, pour tout hébergement de données de santé pour le compte de tiers (Art. L.1111-8 CSP). Cela concerne l’hébergeur du logiciel métier, l’archiviste numérique, le prestataire de télésanté, et tout prestataire cloud stockant des données de santé.
Un travailleur peut-il demander la suppression de son DMST ?
Non, sauf cas exceptionnel. Le DMST est soumis a des obligations légales de conservation (40 a 50 ans). L’article 17.3.b du RGPD exclut le droit a l’effacement lorsque le traitement est nécessaire au respect d’une obligation légale.
Un archiviste peut-il etre DPO ?
Non, si l’archiviste gere l’archivage des DMST. L’article 38.6 du RGPD interdit les conflits d’intérêts. L’archiviste est un opérationnel du traitement et ne peut pas simultanement en etre le controleur. Il peut en revanche etre relai RGPD auprès du DPO.
Faut-il réaliser une AIPD pour le DMST ?
Oui, obligatoirement. Le traitement du DMST cumule plusieurs critères de la liste CNIL rendant l’AIPD obligatoire : données de santé, traitement a grande echelle, personnes vulnérables (Art. 35 RGPD).