AgentPublic/cnil huggingface dataset:
Modifié par l'article 16 de la loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail, l'article L. 4624-8 du code du travail transpose l'accord national interprofessionnel (ANI) conclu le 10 décembre 2020 par les partenaires sociaux en vue de réformer la santé au travail. Il pose le principe selon lequel un DMST est constitué par le médecin du travail ou, le cas échéant, par l'un des professionnels de santé du service de prévention et de santé au travail (SPST), afin de retracer dans le respect du secret médical les informations relatives à l'état de santé du travailleur, aux expositions auxquelles il a été soumis ainsi que les avis et propositions du médecin du travail .
Cet article encadre le déploiement du DMST au sein des SPST en prévoyant le respect des grands principes suivants :
l'utilisation de l'identifiant de santé (NIR-INS) mentionné à l'article L. 1111-8-1 du code de la santé publique (CSP) comme identifiant du DMST ;
l'accès et l'alimentation du DMST par les médecins du travail et les autres professionnels de santé participant au suivi du travailleur (par exemple : collaborateur médecin, interne en médecine du travail, infirmier) sauf opposition de celui-ci ;
la saisie dans le DMST de l'ensemble des données d'exposition du travailleur à un ou plusieurs facteurs de risques professionnels (par exemple, postures pénibles, présence d'agents chimiques dangereux ou toute autre donnée d'exposition à un risque professionnel considéré comme étant de nature à affecter l'état de santé du travailleur) ;
sauf refus du travailleur, un accès à son DMST lorsque le travailleur relève de plusieurs SPST ou en cas de changement du SPST compétent pour assurer son suivi.
Le projet de décret concerne le DMST constitué pour les travailleurs dont le régime relève du code du travail ou du code rural et de la pêche maritime. Il vise à détailler les modalités de déploiement du DMST, qui est, au sens de l'article 4 du RGPD, un traitement de données à caractère personnel. Il vient en conséquence définir :
la forme et les modalités de constitution du DMST ;
son contenu ;
les personnes autorisées à y accéder ainsi que la possibilité offerte au travailleur de s'opposer à cet accès pour certaines d'entre elles ;
les modalités d'échanges d'informations entre professionnels de santé de SPST ;
les modalités d'hébergement du DMST ;
a durée de conservation.
Formule les observations suivantes :
La Commission accueille très favorablement les précisions apportées dans le projet de décret par le ministère sur le régime de la responsabilité de traitement applicable au DMST, garantissant ainsi l'indépendance des SPST vis-à-vis des employeurs. Elle approuve également les clarifications apportées en matière de conservation du DMST, notamment la détermination d'une durée de conservation adaptée garantissant le suivi sanitaire des travailleurs et la protection de leurs intérêts particuliers au plan de la prévention et de la reconnaissance des risques professionnels.
Sur la nature des données collectées dans le DMST :
Les projets d'articles R. 4624-45-4 du code du travail et R. 717-27-II du code rural et de la pêche maritime détaillent le contenu du DMST par catégorie de données à caractère personnel, en distinguant :
les données d'identité et les données administratives du travailleur nécessaires à la coordination de sa prise en charge en matière de santé ainsi que, le cas échéant, les coordonnées de son médecin traitant ;
les informations permettant de connaître les risques actuels ou passés auxquels le travailleur est ou a été exposé ;
les informations relatives à l'état de santé du travailleur recueillies lors des visites et examens nécessaires au suivi individuel de son état de santé ;
les correspondances échangées entre professionnels de santé aux fins de la coordination et de la continuité de la prise en charge du travailleur ;
les informations formalisées concernant les attestations, avis et propositions des professionnels de santé au travail et celles délivrées au travailleur notamment sur les expositions professionnelles, les risques identifiés ou les moyens de protection ;
les droits individuels des travailleurs concernant leurs données.
La Commission relève que figurent, dans les données administratives du DMST, la reconnaissance de la qualité de travailleur handicapé (RQTH) et la mention de l'existence d'une invalidité.
Interrogé sur les raisons justifiant une telle qualification au regard de l'article 4-15) du RGPD et de son considérant 35, le ministère a indiqué s'être fondé sur la jurisprudence constante du Conseil d'Etat en matière de données à caractère personnel concernant la santé (CE, 19 juillet 2010, req. n° 317182, publié au recueil Lebon, CE, 19 juillet 2010, req. n° 334014, mentionné aux tables du recueil Lebon, CE, 28 mars 2014, req. n° 361042, mentionné aux tables du recueil Lebon, CE, 10 juin 2021, req. n° 431875, mentionné aux tables du recueil Lebon). Le handicap ou l'invalidité ne sont ainsi pas systématiquement qualifiés de données concernant la santé par le Conseil d'Etat lorsque ces informations sont traitées sans plus de détails dans les domaines de l'éducation ou de l'emploi.
Toutefois, dans le contexte de l'examen du projet de décret, la Commission s'interroge sur l'application de cette jurisprudence au DMST constitué par les SPST.
Constituent des données concernant la santé au sens du RGPD les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne .
Le DMST est, de par sa nature et l'usage qui en est fait, un document fondamentalement médical pouvant, le cas échéant, contenir des indications sur la nature et la gravité du handicap ou de l'invalidité.
En effet, selon l'article L. 4624-8 du code du travail, le DMST est créé par les professionnels de santé du SPST ; il retrace, dans le respect du secret médical, les informations relatives à l'état de santé du travailleur. Ce même article pose le principe selon lequel le DMST est accessible aux professionnels de santé du SPST chargés d'assurer, sous l'autorité du médecin du travail, le suivi de l'état de santé du travailleur.
Par ailleurs, d'après l'article L. 4624-1 du code du travail, lorsqu'au cours de la visite d'information et de prévention, le travailleur déclare disposer de la RQTH, ou être titulaire d'une pension d'invalidité attribuée au titre du régime général de sécurité sociale ou de tout autre régime de protection sociale obligatoire, cette déclaration influe sur la forme de sa prise en charge et sa fréquence. Un suivi plus adapté à son état de santé lui est ainsi garanti et doit, par conséquent, lui être proposé.
Aussi, la Commission estime que, dans le cadre du DMST, la RQTH ou l'invalidité sont des données recueillies à des fins de suivi de l'état de santé du travailleur et d'établissement de sa prise en charge médicale.
De plus, le travailleur concerné par une RQTH ou une invalidité fait le plus souvent l'objet de mesures particulières telles que des aménagements horaires, des aménagements de poste, l'accès à un matériel approprié en cas de déficience auditive, visuelle. Ainsi, ces mesures particulières retranscrites dans le DMST sont susceptibles de donner une indication claire sur la nature et/ou la gravité du handicap ou de l'invalidité.
Enfin, plus généralement, la Commission constate que les procédures initiées tant au niveau des maisons départementales pour les personnes handicapées (MDPH) que des caisses d'assurance maladie auprès des professionnels de ces organismes revêtent un caractère éminemment médical et présupposent un trouble en lien avec l'état de santé. D'après l'article L. 5213-1 du code du travail, est considérée comme travailleur handicapé toute personne dont les possibilités d'obtenir ou de conserver un emploi sont effectivement réduites par suite de l'altération d'une ou plusieurs fonctions physique, sensorielle, mentale ou psychique . De même, l'article L. 114 du code de l'action sociale et des familles définit le handicap comme toute limitation d'activité ou restriction de participation à la vie en société subie dans son environnement par une personne en raison d'une altération substantielle, durable ou définitive d'une ou plusieurs fonctions physiques, sensorielles, mentales, cognitives ou psychiques, d'un polyhandicap ou d'un trouble de santé invalidant .
Au regard de l'ensemble de ces éléments, la Commission considère que, dans le cas du DMST et compte tenu de son utilisation par les professionnels du SPST, tant la mention de RQTH que celle de l'invalidité doivent être qualifiées de données concernant la santé au sens de l'article 4-15) du RGPD. En conséquence, elle propose de substituer, dans le projet de décret, les termes de données médico-administratives à ceux de données administratives pour toutes les informations qui seraient nécessaires ou en lien avec la coordination de la prise en charge en matière de santé assurée par le SPST. Elle prend acte de l'engagement du ministère de suivre cette proposition de modification rédactionnelle.
Sur la gestion des habilitations et des accès au DMST :
Les projets d'articles R. 4624-45-5 du code du travail et R. 717-27-III du code rural et de la pêche maritime précisent qu'outre les professionnels de santé au travail, d'autres membres du SPST peuvent être autorisés à alimenter et consulter certaines catégories de données contenues dans le DMST.
Or, les dispositions de l'article L. 4624-8 du code du travail prévoient que le DMST est constitué par le médecin du travail ou, le cas échéant, un des professionnels de santé mentionnés au premier alinéa du I de l'article L. 4624-1 , qui vise uniquement le collaborateur médecin, l'interne en médecine du travail ou l'infirmier, et non pas les membres du SPST n'endossant pas la qualité de professionnels de santé.
La Commission observe néanmoins que l'article L. 4622-8 du code du travail dédié aux SPST interentreprises prévoit que les missions des services de prévention et de santé au travail sont assurées par une équipe pluridisciplinaire de santé au travail comprenant des médecins du travail, des collaborateurs médecins, des internes en médecine du travail, des intervenants en prévention des risques professionnels et des infirmiers . Cette équipe peut être complétée, le cas échéant, par des auxiliaires médicaux ainsi que des assistants de services de prévention et de santé au travail. L'article précise par ailleurs que les conditions dans lesquelles le médecin du travail peut déléguer, sous sa responsabilité et dans le respect du projet de service pluriannuel, certaines missions prévues au présent titre aux membres de l'équipe pluridisciplinaire disposant de la qualification nécessaire sont précisées par décret en Conseil d'Etat.
Au regard de l'ensemble de ces éléments et plus particulièrement de la possibilité offerte par les dispositions du code du travail de déléguer les missions dévolues au médecin du travail aux membres explicitement cités de l'équipe pluridisciplinaire de prévention et de santé au travail, la Commission considère que certains professionnels du SPST autres que le médecin du travail peuvent effectivement alimenter et consulter certaines catégories de données contenues dans le DMST, à certaines conditions. Dans cette hypothèse, elle estime que les garanties suivantes doivent être respectées :
d'une part, les activités doivent être supervisées par le médecin du travail qui doit garder l'entière maîtrise des DMST dont il a la charge ;
d'autre part, les habilitations des membres de l'équipe du SPST doivent être strictement délimitées en encadrant le droit d'alimenter et celui de consulter les données, conformément à la gestion organisationnelle du service et aux missions exercées par chacun des professionnels de l'équipe.
Concernant ces garanties, la Commission prend acte de l'engagement du ministère de donner des consignes sur les modalités et la portée des habilitations. Elle relève que des précisions devraient être apportées notamment dans les référentiels de certification, en cours d'élaboration, prévus à l'article L. 4622-9-3 du code du travail.
Par ailleurs, la Commission prend acte des précisions apportées par le ministère selon lesquelles les dispositions relatives à l'alimentation et à la consultation des données contenues dans le DMST par des membres du SPST non-professionnels de santé visent uniquement les données relatives à l'identité des travailleurs et les informations permettant de connaître les risques actuels ou passés auxquels le travailleur est ou a été exposé. En outre, ces dispositions concernent les seuls professionnels suivants (mentionnés dans les dispositions précédemment citées) :
l'intervenant en prévention des risques professionnels pour les données afin d'assurer ses missions de diagnostic, de conseil, d'accompagnement et d'appui, et communique le résultat de ses études au médecin du travail conformément aux dispositions de l'article R. 4623-38 du code du travail ;
l'assistant de service de santé au travail qui assure une assistance administrative au médecin du travail et aux autres membres de l'équipe pluridisciplinaire dans leurs activités , conformément aux dispositions de l'article R. 4623-40 du code du travail.
La Commission accueille très favorablement la proposition du ministère de modifier la rédaction du texte afin d'exclure l'accès aux données contenues dans le DMST aux personnels de direction et à d'autres personnels exerçant au sein du DMST, sauf exceptions explicitement prévues, et de satisfaire par voie de conséquence au principe de confidentialité des données.
Sur les modalités d'exercice des droits des travailleurs concernés :
La Commission considère que l'obligation légale constitue une base légale plus appropriée pour le présent traitement. Elle invite en conséquence le ministère à modifier les modalités d'exercice des droits pour qu'elles soient conformes à cette base légale.
Sur la traçabilité des actions réalisées sur le DMST :
Le projet de décret prévoit que toutes les actions réalisées sur le DMST, quel qu'en soit l'auteur, y sont tracées et conservées et notamment la date, l'heure et l'identification du professionnel du SPST. Sur ce point, la Commission recommande au ministère de mentionner expressément le fait que la simple consultation du dossier constitue une action réalisée sur le dossier médical des travailleurs. Elle invite également le ministère à retenir une durée de conservation conforme à la délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation.
Les autres points du projet de décret n'appellent pas d'observations complémentaires de la Commission.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code du travail ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8.I.2°.b ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de M. Alexandre LINDEN, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Article 1
La délibération n° 02-017 du 21 mars 2002 portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives lors d'opérations de recrutement est abrogée.
Article 2
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel dénommé NATALI ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie sur le fondement de l'article 31 de la loi du 6 janvier 1978 modifiée (ci-après la loi informatique et libertés ) par le ministère de l'intérieur d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel dénommé NATALI .
L'instruction de cette saisine a donné lieu à des échanges avec le ministère, qui ont conduit à affiner certaines caractéristiques du traitement (durées de conservation, accédants et destinataires, mises en relation, information des personnes concernées) à l'aune de la règlementation relative à la protection des données à caractère personnel.
Le traitement NATALI a pour finalités de permettre l'accomplissement par voie électronique des formalités nécessaires aux demandes relatives à la nationalité (acquisition, autorisation de perte, etc.) ainsi que l'instruction par voie dématérialisée de ces demandes, des recours afférents, et des procédures initiées par l'administration liées à la nationalité. Il s'inscrit dans le contexte de la dématérialisation progressive des procédures mises en œuvre par le ministère de l'intérieur en matière de séjour, d'asile et d'acquisition de la nationalité française (administration numérique pour les étrangers en France, ou ANEF ). Ainsi, NATALI reposera sur le déploiement d'un portail usager permettant aux usagers ou à leurs mandataires de déposer leurs demandes, et d'un portail agent permettant aux services compétents des ministères concernés d'instruire les procédures liées à la nationalité française.
Sur le contexte de mise en œuvre du traitement
En premier lieu, la mise en œuvre du traitement projeté s'inscrit dans la continuité d'une expérimentation réalisée depuis le 5 août 2021 dans vingt-trois départements pour les procédures d'acquisition de la nationalité française par décret (naturalisation). Tout en relevant que le décret n° 2015-1423 du 5 novembre 2015 a été modifié pour prévoir la possibilité de saisir l'administration par voie électronique dans le cadre de ces procédures, la Commission estime que le traitement expérimental aurait dû être préalablement autorisé par un acte règlementaire pris après avis de la CNIL, dans les conditions définies par l'article 31 de la loi informatique et libertés . Elle rappelle qu'il n'existe pas de régime dérogatoire dédié aux expérimentations, de sorte que la réglementation relative à la protection des données à caractère personnel a vocation à s'appliquer à tout traitement de données à caractère personnel.
En second lieu,  NATALI a vocation à se substituer progressivement au traitement PRENAT , lequel a pour finalité de permettre la gestion des procédures d'acquisition ou de perte de la nationalité française et de participer à la preuve de la nationalité française (v. la délibération n° 2005-087, du 12 mai 2005), tout en couvrant un périmètre plus large que ce dernier traitement. Selon les précisions apportées par le ministère, PRENAT continuera d'être mis en œuvre jusqu'en 2024. La Commission prend acte de ce que, dans la perspective d'une mise en œuvre synchrone des deux traitements, une doctrine a été diffusée aux agents des plateformes pilotes et sera étendue lors la généralisation du traitement.
Sur les finalités et le régime juridique du traitement
L'article 1er du projet de décret indique que le traitement NATALI a pour finalités :
de permettre aux usagers ou à leurs mandataires de procéder par voie électronique aux formalités prévues pour les demandes d'acquisition de la nationalité (à raison du mariage, de la qualité d'ascendant de Français ou de la qualité de frère ou de sœur de Français ; par décision de l'autorité publique), de réintégration dans la nationalité, de francisation du nom et/ou des prénoms, et d'autorisation de perte de la nationalité ;
de permettre l'instruction et le traitement de ces demandes, des recours administratifs contre les décisions défavorables, des recours contentieux ainsi que des demandes de preuve de la nationalité française ;
de permettre l'instruction des procédures initiées par le Gouvernement en matière de nationalité (opposition à l'acquisition de la nationalité française par le conjoint étranger, déchéance de la nationalité, et procédures prévues par les articles 27-2, 23-7 et 23-8 du code civil) ;
de permettre aux usagers ou à leurs mandataires de procéder par voie électronique à l'exercice de recours administratifs contre les décisions défavorables prises à leur encontre dans le cadre des formalités prévues pour les demandes précitées, ainsi qu'à la transmission de leurs observations dans le cadre des procédures initiées par le Gouvernement précitées.
Au regard de ces finalités, le ministère entend placer le traitement NATALI sous le régime du RGPD, sauf pour ce qui concerne les opérations de traitement mises en œuvre au titre des procédures de déchéance de la nationalité française initiées par le Gouvernement sur le fondement de l'article 25 du code civil, lesquelles relèveraient du titre IV de la loi informatique et libertés .
En premier lieu, s'agissant des procédures de déchéance, le ministère souligne que les motifs justifiant la déchéance de la nationalité française renvoient aux intérêts fondamentaux de la Nation énumérés à l'article L. 811-3 du code de la sécurité intérieure (CSI). Les données traitées dans ce cadre intéressent donc la sûreté de l'Etat et doivent être régies par les dispositions du titre IV de la loi informatique et libertés . La Commission estime qu'au regard du caractère mixte du traitement, des mesures doivent être mises en œuvre pour distinguer ces données.
En second lieu, les autres opérations de traitement encadrées par le projet de décret seront réalisées dans le cadre d'activités consistant, d'une part, à formuler une demande relative à la nationalité (pour la partie téléservice dédiée aux usagers) et, d'autre part, à gérer et instruire de telles démarches administratives (pour la partie instruction réservée aux agents).
S'agissant de la partie téléservice , l'application du RGPD n'appelle pas d'observation particulière.
S'agissant de la partie instruction , la Commission observe que le traitement des demandes relatives à la nationalité et leur contentieux constituent des activités qui ne relèvent pas du champ d'application du droit de l'UE et pour lesquelles le RGPD n'est en principe pas applicable, conformément à son article 2-2.a). Ainsi, les opérations de traitement mises en œuvre dans le cadre de ces activités devraient entrer dans le champ du titre Ier de la loi informatique et libertés .
Toutefois, dans la mesure où le régime juridique des opérations de traitement relevant du seul titre Ier de la loi informatique et libertés , qui ne contient que des dispositions générales, est moins protecteur que celui du RGPD, notamment en raison de l'absence de droits pour les personnes concernées, la Commission considère que le Gouvernement devrait aligner le régime juridique de ces opérations de traitement sur celui du RGPD pour les règles relatives aux personnes concernées, telles que la réalisation d'une analyse d'impact relative à la protection des données (AIPD).
Sur les catégories de données à caractère personnel enregistrées dans le traitement
A titre liminaire, la Commission observe que seules les données nécessaires à l'instruction d'une demande seront recueillies et que, dans cette perspective, il est prévu de créer un formulaire électronique spécifique à chacune des procédures couvertes par le projet de décret.