Blog

Donnees de sante des salaries : ce que le RGPD autorise (et interdit) a un employeur

Publie le 27/10/2026 · Temps de lecture : 9 min

Un salarie en arret de travail, une visite medicale programmee par le service de sante au travail, un collaborateur qui informe son responsable d'un suivi oncologique en cours : dans chacune de ces situations, l'entreprise se trouve au contact d'une information qui n'est pas une donnee personnelle comme les autres. L'article 9 du RGPD classe les donnees de sante parmi les « categories particulieres de donnees », soumises a un principe d'interdiction de principe assorti d'exceptions strictement encadrees. Pour une TPE ou une PME sans service juridique dedie, la frontiere entre ce qu'un employeur a le droit de savoir et ce qui releve exclusivement du secret medical n'est pas toujours evidente. Cet article fait le point, de maniere concrete, sur ce que le RGPD autorise reellement.

Sommaire

• 1. Pourquoi les donnees de sante beneficient d'une protection renforcee
• 2. Arret de travail : ce que l'employeur a le droit de savoir
• 3. Visite medicale du travail : ce que le medecin transmet, et ce qu'il ne transmet jamais
• 4. Le dossier medical en sante au travail : qui peut le consulter
• 5. Les erreurs les plus frequentes en TPE/PME
• 6. Securiser ces informations au quotidien
• 7. Checklist pratique
• Questions frequentes

1. Pourquoi les donnees de sante beneficient d'une protection renforcee

L'article 9 du RGPD liste plusieurs categories de donnees jugees particulierement sensibles pour les personnes concernees : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, et donnees concernant la sante. Le principe pose par cet article est l'interdiction de traiter ces donnees, sauf si l'une des exceptions listees au paragraphe 2 s'applique.

Dans le contexte de l'entreprise, l'exception la plus pertinente est celle du point h de l'article 9.2 : le traitement est autorise lorsqu'il est necessaire aux fins de la medecine preventive ou de la medecine du travail, notamment pour l'evaluation de la capacite de travail du salarie, a condition d'etre realise par un professionnel soumis au secret professionnel ou sous sa responsabilite. Cette exception beneficie au service de sante au travail et au medecin du travail, pas directement au service des ressources humaines de l'entreprise.

Concretement, cela signifie qu'un employeur ne dispose pas d'une base legale generale pour collecter des informations medicales sur ses salaries. Il ne peut traiter que ce qui est strictement necessaire a la gestion administrative du contrat de travail (duree d'une absence, existence d'une inaptitude), jamais le contenu medical qui la justifie.

2. Arret de travail : ce que l'employeur a le droit de savoir

Lorsqu'un salarie est place en arret de travail par son medecin traitant, l'avis d'arret de travail comporte plusieurs volets. Celui destine a l'employeur ne mentionne ni le diagnostic ni le motif medical de l'arret : il indique uniquement la date de debut, la duree prevue, et le cas echeant si des sorties sont autorisees. Le volet contenant des elements medicaux plus detailles est reserve a la caisse d'assurance maladie, qui en a besoin pour instruire le versement des indemnites journalieres.

L'employeur n'a donc, en principe, aucune raison legitime de demander au salarie de preciser le motif de son arret, de reclamer une copie du certificat medical complet, ou de consigner ce motif dans un dossier RH, meme de maniere informelle ou orale. La seule information pertinente pour la gestion du contrat de travail est la duree de l'absence et, le cas echeant, les consequences sur le maintien de salaire ou l'organisation du service.

Cette limitation decoule directement du principe de minimisation pose par l'article 5.1.c du RGPD : seules les donnees adequates, pertinentes et limitees a ce qui est necessaire au regard des finalites poursuivies peuvent etre collectees. Gerer une absence ne necessite pas de connaitre sa cause medicale.

3. Visite medicale du travail : ce que le medecin transmet, et ce qu'il ne transmet jamais

Depuis la reforme entree en vigueur par le decret n°2016-1908 du 27 decembre 2016, la visite medicale d'embauche systematique a ete remplacee, pour la majorite des postes, par une visite d'information et de prevention (VIP), realisee par un professionnel de sante du service de prevention et de sante au travail (medecin, interne, collaborateur medecin ou infirmier en pratique avancee selon les cas). Un suivi medical renforce reste prevu pour certains postes a risque particulier.

Quelle que soit la forme de la visite, le medecin du travail est lie par le secret medical en application de l'article L1110-4 du code de la sante publique, qui s'applique a tout professionnel de sante. A l'issue de la visite, seul un avis d'aptitude, d'aptitude avec amenagements du poste, ou d'inaptitude est transmis a l'employeur. Les constatations medicales qui fondent cet avis restent dans le dossier medical en sante au travail, sans etre communiquees a l'entreprise.

Lorsque le medecin du travail preconise des amenagements de poste (adaptation du materiel, reduction du temps de travail, changement temporaire d'affectation), l'employeur doit mettre en œuvre ces mesures en application de ses obligations issues du code du travail, mais il n'a pas besoin de connaitre les raisons medicales qui les justifient pour les appliquer. En cas d'inaptitude constatee, l'obligation de rechercher un reclassement, prevue par l'article L1226-2 du code du travail, repose elle aussi sur l'avis du medecin du travail, pas sur un diagnostic communique a l'entreprise.

4. Le dossier medical en sante au travail : qui peut le consulter

Le dossier medical constitue a l'occasion du suivi d'un salarie est conserve par le service de prevention et de sante au travail, pas par l'employeur. Son acces est strictement limite au professionnel de sante qui suit le salarie et, dans certaines conditions encadrees, a d'autres professionnels de sante habilites en cas de changement de service ou de transfert du dossier. L'employeur n'y a, en principe, aucun acces direct.

Cette separation stricte entre la fonction medicale et la fonction d'employeur est un principe structurant de la medecine du travail en France : le medecin du travail n'est ni le medecin du salarie, ni le representant de l'employeur, mais un tiers charge de prevenir toute alteration de la sante des travailleurs du fait de leur travail, en toute independance professionnelle a l'egard de l'entreprise qui finance le service de sante au travail.

5. Les erreurs les plus frequentes en TPE/PME

Faute de service RH dedie, certaines pratiques informelles s'installent dans les petites structures, sans que l'intention soit malveillante. Les plus courantes :

• demander oralement au salarie la nature de sa maladie avant de valider son absence dans le planning ;
• noter le motif medical dans un tableau de suivi des absences partage entre plusieurs personnes de l'encadrement ;
• exiger la transmission du certificat medical complet plutot que du seul volet destine a l'employeur ;
• aborder le diagnostic lors d'un entretien de reprise apres un arret long, au lieu de se limiter aux conditions pratiques du retour au poste ;
• relayer une information de sante confiee de maniere informelle par un salarie (suivi medical, grossesse, handicap) a d'autres membres de l'equipe sans accord de la personne concernee.

Ces pratiques ont un point commun : elles transforment une information de gestion (une absence a organiser) en un traitement de donnees de sante, sans aucune des garanties exigees par l'article 9 du RGPD. Le risque n'est pas seulement juridique : il expose aussi l'entreprise a des tensions internes et a une perte de confiance des equipes si une information medicale confiee en confidence circule au-dela de son destinataire initial.

6. Securiser ces informations au quotidien

Lorsqu'une information de sante parvient malgre tout a l'entreprise, par exemple parce qu'un salarie choisit librement de partager un element sur son etat de sante avec son responsable, plusieurs reflexes limitent le risque. La diffusion doit rester limitee aux personnes qui ont strictement besoin de la connaitre pour organiser le travail (en general, un seul interlocuteur RH), jamais partagee par email a plusieurs destinataires ou mentionnee dans un compte-rendu de reunion d'equipe. Les justificatifs d'absence (volet employeur de l'arret de travail) doivent etre classes dans un dossier a acces restreint, distinct des documents administratifs consultes au quotidien par l'ensemble de l'equipe encadrante.

La duree de conservation de ces justificatifs suit la duree applicable aux documents du dossier salarie necessaires a la preuve de l'absence, generalement liee aux delais de prescription en matiere sociale ou aux obligations de controle des organismes sociaux, sans jamais justifier une conservation indefinie dans un dossier RH ordinaire. Notre article sur la duree de conservation des documents du dossier salarie detaille ces delais poste par poste.

7. Checklist pratique

• Ne jamais demander le motif medical d'un arret de travail, meme a titre informel ;
• Conserver uniquement le volet employeur de l'avis d'arret de travail, sans copie du certificat complet ;
• Limiter l'entretien de reprise aux conditions pratiques du retour au poste, jamais au diagnostic ;
• Ne jamais consigner un motif medical dans un tableau de suivi des absences partage ;
• Restreindre l'acces aux justificatifs d'absence a un nombre minimal de personnes ;
• Ne jamais relayer une information de sante confiee en confidence par un salarie, sans son accord explicite ;
• Appliquer une duree de conservation limitee aux justificatifs d'absence dans le dossier salarie.

Questions frequentes

A lire aussi

Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire

E-mailing & prospection

Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee

Lire

SMS & prospection

Prospection par SMS : les regles RGPD specifiques que l'e-mailing ne couvre pas

Lire