Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 232

D

O

C

T

R

I

N

E

Les données de santé
des salariés demeurent
sanctuarisées
La crise sanitaire pose la question
de la collecte par l'employeur des
informations relatives à l'éventuelle
contamination du salarié. Or,
l'article 9 du RGPD interdit par
principe la collecte de données
sensibles telles que l'état de santé
des personnes. Et il est évident que
la contamination est une donnée
de santé.

Pas de « fichier des malades »
Certes l'article 9 prévoit des
dérogations, aux fins de « médecine
préventive ou médecine du travail »,
dont «  l'appréciation de la capacité
de travail du travailleur  » (article 9,
2° h), ou lorsque « le traitement est
nécessaire pour des motifs d'intérêt
public » (article 9, 2° i). Mais même
dans un contexte de pandémie,
ces exceptions ne s'appliquent pas
aux entreprises  : dans le premier
cas, la collecte et le traitement des
données de santé est réservé aux
professionnels de santé. Et dans le
second cas, l'intérêt public est le fait
des autorités, pas de l'employeur. La
crise actuelle n'autorise donc pas ce
dernier à recourir à ces exceptions
pour collecter des données sur l'état
de santé de ses salariés, dont leur
infection au coronavirus.
De
plus,
l'hébergement
de
données de santé est soumis à des
exigences de sécurité renforcée
conformément à l'article L. 1111-8
du code de la santé publique.
Un employeur qui stockerait des
données de santé violerait donc
à la fois l'interdiction du RGPD
(ainsi que l'obligation d'effectuer
une analyse d'impact préalable),
et cette obligation de sécurité
spécifique. Il exposerait ipso facto
ses salariés en cas de fuite de leurs
données sensibles, et engagerait
sa responsabilité à leur égard.
Rien de nouveau ici, donc. Le
dossier médical du salarié ne peut
être traité que par la médecine du
travail, qui ne doit pas informer
l'employeur des pathologies du

232

salarié. Au sens du RGPD, ni
la loi ni l'exécution du contrat
de travail n'autorisent une telle
collecte. La seule base légale
envisageable est le consentement
préalable, libre, spécifique et
éclairé du salarié. Mais on peut
s'interroger sur ce que pèse un
consentement «  libre  » dans une
relation employeur/employé qui
se caractérise avant tout par un
lien de subordination.
Cependant, l'employeur a aussi
l'obligation légale d'assurer en tout
temps la sécurité de ses salariés.
Comment concilier cette obligation
légale et l'interdiction de collecter
des informations révélant l'état
de santé  ? Comment protéger les
équipes sans savoir qui est malade
ou contagieux ? A cette fin, la Cnil
a rappelé aux responsables de
traitement les équilibres à respecter
pour la collecte d'informations
sur les salariés contaminés ou
suspectés de l'être, en réponse
aux entreprises qui souhaitent
mettre en place des dispositifs de
prévention, de dépistage ou de
quarantaine.
L'employeur ne peut mettre en
œuvre de traitement qui irait
au-delà de la seule «  gestion des
suspicions d'exposition au virus ».
Reste encore à définir ce qu'on
entend par gestion des suspicions.
La Cnil renvoie à l'article L. 4121-1
du code du travail, qui définit les
finalités possibles  : «  mettre en
œuvre des actions de prévention
des risques professionnels, des
actions d'information et de
formation, et enfin mettre en
place une organisation et des
moyens adaptés  », dont le fait
de «  sensibiliser et inviter ses
employés à effectuer des remontées
individuelles d'information les
concernant en lien avec une
éventuelle exposition ».
Il s'agit d'une obligation légale,
donc d'un fondement au sens de
l'article 6, 1°c. du RGPD en vertu
duquel l'entreprise peut collecter
une information sur la simple
suspicion de maladie, uniquement
EXPERTISES Juin 2020

aux fins de prévention des risques
professionnels, d'information des
personnels et de réorganisation
des moyens de production.
Parmi les mesures déployées pour
faciliter le déconfinement, des
entreprises proposent de pratiquer
des tests de température à l'entrée
de leurs locaux. Ce faisant,
l'employeur collecte un indice de la
maladie. La température corporelle
est une donnée biologique,
assimilable à une donnée de santé.
L'employeur peut-il obliger ses
salariés à se prêter à ce contrôle,
voire interdire l'entrée dans les
locaux à un salarié qui refuserait
de s'y soumettre ?
Non. L'employeur peut inciter le
salarié à déclarer la suspicion qui
le concerne auprès des autorités
sanitaires, et à l'en informer pour
que celui-ci puisse prendre les
mesures nécessaires à la protection de son personnel, mais il ne
peut pas l'y forcer. En pratique,
l'employeur ne peut pas mettre
en œuvre de relevé obligatoire
des températures corporelles, ni
les adresser quotidiennement à la
hiérarchie, ni diffuser des questionnaires médicaux ou procéder à un
quelconque relevé des symptômes.
Seule la médecine du travail ou
les autorités sanitaires peuvent
collecter de telles informations. Ce
n'est que sur la base du volontariat
qu'un salarié peut décider que
son employeur peut prendre sa
température ou l'interroger sur sa
santé. A fortiori, le salarié ne peut
donc en aucun cas subir de traitement discriminatoire du fait du
résultat de ce contrôle, s'il y consent,
ou du fait d'y soustraire.
La Cnil insiste : « Les employeurs
doivent s'abstenir de collecter de
manière systématique et généralisée, ou au travers d'enquêtes
et
demandes
individuelles,
des informations relatives à la
recherche d'éventuels symptômes
présentés par un employé/agent
et ses proches  ». En plus d'être
illicite, une telle démarche serait
inefficace, puisque les malades
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
