Dans le cadre de son obligation de sécurité, l’employeur sera amené à traiter de données de santé des salariés. Comme le rappelle la CNIL, les mesures envisagées dans le cadre du déconfinement et liées à des données sensibles doivent s’évaluer à la lumière du RGPD. Regards croisés de Christelle Verdier, avocate associée en Droit social et Caroline Belotti, avocate associée Data et DPO externalisée.
Santé des salariés : quelles obligations pour l’employeur ?
D’une manière générale, l’employeur est tenu à une obligation de sécurité (articles L. 4121-1 et R. 4422-1 du Code du travail).
Dans ce cadre, il est responsable de la santé et de la sécurité des salariés de l’entreprise.
Il doit ainsi, et notamment, prendre en compte les actions de prévention des risques professionnels, les actions d’information et de formation ainsi que la mise en place d’une organisation et de moyens adaptés.
Aussi, dans un contexte de pandémie telle que celle du COVID-19, cette obligation prend tout son sens.
Faut-il mettre à jour le document unique d'évaluation des risques ?
Dans ce cadre, chaque entreprise doit veiller à mettre à jour son document unique d’évaluation des risques (DUER) qui doit être actualisé, avec l’aide des membres du comité social et économique (CSE), pour tenir compte des changements de circonstances.
Pour protéger la santé des salariés, il convient ainsi pour l’employeur de réévaluer les risques et de relever les circonstances dans lesquelles les salariés sont susceptibles d’être exposés au virus. A ce titre, il doit prendre les mesures de prévention et de protection appropriées.
Le document unique d’évaluation des risques est mis à la disposition tant notamment des salariés que des membres du CSE, de la médecine du travail, des agents de l’inspection du travail … et il peut même être sollicité lors d’un contentieux social.
Covid-19 : quels traitements des données de santé des salariés ?
En tout état de cause, au sein de cette obligation de sécurité qui pèse sur l’employeur, la question se pose du traitement des données qui doit s’analyser à la lumière du récent rappel de la CNIL[1].
Base légale des traitements :
> La CNIL rappelle l’obligation de sécurité de l’employeur
> Traitements de données de santé : Les données de santé (données sensibles) sont en principe interdites de traitement, sauf exceptions qui sont les suivantes :
- la nécessité pour l’employeur de traiter les données de santé des salariés pour satisfaire à ses obligations en matière de droit du travail, de la sécurité sociale et de la protection sociale : c’est le cas du traitement des signalements par les employés ;
- la nécessité, pour un professionnel de santé, de traiter ces données aux fins de la médecine préventive ou de la médecine du travail, de l’appréciation (sanitaire) de la capacité de travail du travailleur, de diagnostics médicaux etc.
Traitement de remontée d’information par un salarié :
D’une manière générale, repose sur chaque salarié une obligation de veiller à préserver sa propre santé et sécurité mais également celles des personnes avec qui il pourrait être en contact à l’occasion de son activité professionnelle (article L.4122-1 du Code du travail).
En temps normal lorsqu’un employé est malade, il ne doit communiquer à son employeur que l’éventuel arrêt de maladie dont il pourrait bénéficier, sans qu’aucune autre précision sur son état de santé ou la nature de la pathologie ne soit transmise.
Cependant, dans un contexte de pandémie telle que celle du COVID-19, un employé qui travaille au contact d’autres personnes (collègues et public) doit, à chaque fois qu’il a pu exposer une partie de ses collègues au virus, informer son employeur en cas de contamination ou de suspicion de contamination au virus.
Cette règle ne s’applique pas dans le cadre du télétravail : « En effet, en l’absence de mise en danger d’autres personnes, les évènements en lien avec une éventuelle exposition, particulièrement un arrêt de travail qui en découlerait, devront être traités conformément à la procédure normale des arrêts de travail. »
Seuls peuvent être traités par l’employeur les éléments liés à la date, à l’identité de la personne, au fait qu’elle ait indiqué être contaminée ou suspecter de l’être ainsi que les mesures organisationnelles prises.
En cas de besoin, l’employeur sera en mesure de communiquer aux autorités sanitaires qui en ont la compétence, les données de santé des salariés nécessaires à une éventuelle prise en charge sanitaire ou médicale de la personne exposée. En tout état de cause, l’identité de la personne susceptible d’être infectée ne doit pas être communiquée aux autres employés.
Vérification de la température des salariés :
Dans le cadre de la préservation de la santé des salariés, certaines entreprises ont prévu de soumettre leurs salariés à une prise quotidienne de température.
La question se pose de savoir si cette pratique est autorisée.
Sans doute faut-il avoir à l’esprit, en premier lieu, la règle selon laquelle : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (article L. 1121-1 du Code du travail).
Ainsi, en application de cette règle, l’employeur peut imposer des contraintes aux salariés, et ainsi restreindre leurs libertés, uniquement si elles sont justifiées par la nature de la tâche à accomplir et proportionnées au but recherché.
En second lieu, seule une prise de mesure de température préservant la dignité des salariés saurait être mise en place.
En sus, une information préalable du dispositif doit être portée à la connaissance des salariés ainsi que les conséquences d’un refus de se soumettre à cette mesure.
Quant au Ministère du Travail, pour celui-ci, prendre la température des salariés peut contribuer aux mesures de précautions que l’employeur doit prendre, sans pour autant être la seule mesure à prendre. Il rappelle, en effet, que la température corporelle n’est pas forcément révélatrice d’une (non)infection par le coronavirus, la fièvre n’étant pas systématiquement observée ou pouvant résulter d’une autre infection.
Il est clair qu’une telle mesure de prise de température doit aussi offrir toutes les garanties aux salariés au regard du traitement des données afférentes.
En l’état du droit (notamment de l’article 9 du RGPD), et sauf à ce qu’un texte en prévoit expressément la possibilité, sont ainsi interdits aux employeurs :
- les relevés de températures des employés ou visiteurs dès lors qu’ils seraient enregistrés dans un traitement automatisé ou dans un registre papier ;
- les opérations automatisées de captation de température ou au moyen d’outils tels que des caméras thermiques.
La seule vérification de la température au moyen d’un thermomètre manuel (tel que par exemple de type infrarouge sans contact) à l’entrée d’un site, sans qu’aucune trace ne soit conservée, ni qu’aucune autre opération ne soit effectuée (tels que des relevés de ces températures, des remontées d’informations, etc.), ne relève pas de la règlementation en matière de protection des données et donc serait admise.
La CNIL renvoie sur ce point aux instructions données par la DGT, qui déconseille ces vérifications, lesquelles doivent être réservées à des cas particuliers. La CNIL relève que l’efficacité et l’opportunité de la prise de température est contestée dans la mesure où elle n’est pas un symptôme systématique du COVID-19, ou peut témoigner d’une autre infection. Elle constate à cet égard que le Haut Conseil de la Santé Publique recommande de ne pas mettre en place un dépistage du COVID-19 par prise de température dans la population.
Tests sériologiques et questionnaires sur l’état de santé :
La CNIL relève tout d’abord que selon la direction générale du travail, « les campagnes de dépistage organisées par les entreprises pour leurs salariés ne sont pas autorisées ».
La CNIL rappelle que seuls les personnels de santé compétents (notamment la médecine du travail) peuvent collecter, mettre en œuvre et accéder à d’éventuels fiches ou questionnaires médicaux auprès des employés/agents contenant des données relatives à leur état de santé ou des informations relatives notamment à leur situation familiale, leurs conditions de vie ou encore, leurs éventuels déplacements.
Il en va de même pour les tests médicaux, sérologiques ou de dépistage du COVID-19 dont les résultats sont soumis au secret médical : l’employeur ne pourra recevoir que l’éventuel avis d’aptitude ou d’inaptitude à reprendre le travail émis par le professionnel de santé.
Les données de santé des salariés collectées dans le cadre des PCA/PRA (plan de continuité/reprise d’activité) :
Il est possible de créer un fichier nominatif pour l’élaboration et la tenue du plan qui ne doit contenir que les données nécessaires à la réalisation de cet objectif : les mesures mises en œuvre dans le cadre de ce plan sont celles pour protéger la sécurité des employés, identifier les activités essentielles devant être maintenues et également les personnes nécessaires à la continuité du service.
La Cnil rappelle également le principe de confidentialité et de sécurité : l’envoi des justificatifs de déplacement professionnel qui contiennent des données personnelles ne doivent être communiquées qu’aux seules personnes individuellement concernées.
Information des salariés :
Enfin la CNIL rappelle que les mesures d’informations classiques doivent être dispensées à l’égard des personnes concernées, en conformité avec les articles 13 et suivants du RGPD : une réflexion en amont sur les destinataires des données ainsi collectées et la durée de conservation devra être réalisée avec tous les opérationnels concernés avant la rédaction des mentions d’informations.
Nos équipes data et droit social sont à votre disposition pour vous accompagner dans la mise en œuvre de ces traitements lors de votre déconfinement, ainsi que dans le cadre de l’établissement (ou la mise à jour) des documents obligatoires ou nécessaires et des mesures subséquentes.
[1] Cet article reprend des extraits de la publication de la CNIL en date du 7 mai 2020.
Voir plus de commentaires