Les données de santé des salariés sont définies par le RGPD comme des données sensibles de catégorie spéciale, soumises à un régime de protection renforcé. Protéger ces informations n'est pas une option : c'est une obligation légale encadrée par l'article 9 du RGPD, le Code de la santé publique et les recommandations de la CNIL. Pour les responsables RH et les directeurs de conformité, comprendre pourquoi protéger les données santé des salariés conditionne directement la validité des procédures disciplinaires, la réputation de l'entreprise et l'exposition aux sanctions financières. Les incidents cyber de 2026 ont rendu cette urgence encore plus concrète.
Pourquoi protéger les données santé des salariés : le cadre légal
La réglementation applicable aux données de santé en entreprise repose sur trois piliers : le RGPD, le Code de la santé publique et la jurisprudence de la Cour de cassation. Ces textes forment un ensemble cohérent qui impose des obligations précises à l'employeur.
Ce que le RGPD impose concrètement
L'article 9(1) du RGPD interdit par principe le traitement des données de santé. Des exceptions existent, mais elles sont strictement encadrées. La CNIL exige que tout traitement de données médicales repose sur une base légale explicite, une finalité documentée et des mesures de sécurité proportionnées. Le non-respect du RGPD expose l'entreprise à des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Cette double exposition financière explique pourquoi la conformité RGPD est devenue une priorité de gouvernance, et non une simple formalité administrative.
Le secret médical : une frontière absolue
Le secret médical est absolu : seul le médecin du travail peut être l'interlocuteur de l'employeur pour toute question relative à la santé d'un salarié. Le médecin traitant doit refuser toute communication, même administrative, à l'employeur. Cette règle s'applique y compris pour les arrêts maladie prolongés.
Les obligations légales essentielles se résument ainsi :
- Interdiction d'accès au diagnostic : l'employeur ne peut connaître ni la pathologie, ni le traitement prescrit.
- Canal unique : les échanges sur l'aptitude au travail passent exclusivement par le médecin du travail.
- Limitation de la collecte : seules les informations strictement nécessaires à la gestion du contrat de travail peuvent être collectées.
- Durées de conservation définies : les données médicales ne peuvent être conservées au-delà de la durée légale applicable à chaque type de document.
« L'employeur ne peut accéder au diagnostic, au traitement, ni à la nature d'une pathologie d'un salarié, sous peine de nullité du licenciement. » Cette règle, confirmée par la jurisprudence récente, transforme une violation du secret médical en risque direct sur la validité des décisions RH.
La Cour de cassation a rappelé à plusieurs reprises que tout licenciement fondé sur des informations médicales obtenues en violation du secret médical est nul. Cette jurisprudence donne aux droits des salariés sur leurs données santé une portée concrète et immédiate sur les procédures RH.
Quels sont les risques d'une protection insuffisante des données de santé ?
Les conséquences d'une faille dans la sécurité des données personnelles de santé sont multiples. Elles touchent simultanément le plan juridique, financier et social de l'entreprise.
Des incidents récents aux conséquences massives
Plus de 355 000 salariés ont vu leur historique de médecine du travail exposé lors d'une cyberattaque contre le SSTRN en juin 2026. La même attaque a compromis 632 000 rendez-vous et 309 000 fiches RH. Ces chiffres illustrent l'ampleur des dommages qu'une seule faille technique peut provoquer.
La cyberattaque Almerys, survenue la même année, a confirmé que les données administratives liées à la santé - nom, adresse, numéro de mutuelle - sont aussi précieuses pour les cybercriminels que les données médicales stricto sensu. Ces informations servent directement aux fraudes à l'identité et aux campagnes d'hameçonnage ciblées.
Les principaux risques identifiés sont :
- Sanctions CNIL : amendes administratives, injonctions de mise en conformité, publication des décisions.
- Nullité des licenciements : toute décision RH fondée sur des données médicales illicitement obtenues est juridiquement fragile.
- Atteinte à la réputation : une fuite de données de santé génère une perte de confiance durable auprès des salariés et des partenaires.
- Usurpation d'identité : les salariés exposés deviennent des cibles pour des fraudes financières exploitant leurs données administratives.
- Responsabilité pénale : la violation délibérée du secret médical peut engager la responsabilité personnelle du dirigeant.
La faille technique à l'origine de l'incident SSTRN est de type IDOR (Insecure Direct Object Reference). Ce type de faille permet d'accéder à des données protégées en modifiant simplement un identifiant dans une URL. L'authentification seule ne suffit pas à s'en prémunir.
Ces incidents montrent que les défis de sécurité des données santé des salariés ne relèvent pas uniquement de la théorie réglementaire. Ils se matérialisent en pertes concrètes, mesurables et médiatisées.
Quelles mesures techniques et organisationnelles sont indispensables ?
La CNIL définit des mesures techniques et organisationnelles minimales pour tout traitement de données sensibles. Ces exigences s'appliquent directement aux systèmes RH qui gèrent des informations médicales ou paramédicales.
Mettre en place une politique de sécurité des systèmes d'information
Une politique de sécurité des systèmes d'information (PSSI) approuvée par la direction est le socle de toute démarche de conformité. Elle formalise les règles d'accès, les procédures de gestion des incidents et les responsabilités de chaque acteur. Sans PSSI documentée, l'entreprise ne peut pas démontrer sa conformité lors d'un audit CNIL.
Les étapes techniques à déployer
1. Contrôles d'accès stricts : chaque collaborateur n'accède qu'aux données nécessaires à sa fonction. Les habilitations sont révisées à chaque changement de poste.
2. Chiffrement des données : les données au repos sont chiffrées en AES-256 ; les données en transit utilisent TLS 1.3 au minimum. L'absence de chiffrement des sauvegardes constitue un manquement sanctionnable par la CNIL, même sans fuite constatée.
3. Journalisation des accès : chaque consultation ou modification d'un dossier de santé est tracée avec horodatage et identifiant utilisateur.
4. Gestion des sauvegardes : les sauvegardes sont chiffrées, testées régulièrement et stockées sur des supports distincts du système principal.
5. Procédure de notification des incidents : en cas de violation, le RGPD impose une notification à la CNIL dans les 72 heures. La procédure doit être rédigée et connue de tous les acteurs concernés.
Conseil de pro : Réalisez un test de restauration des sauvegardes au moins une fois par trimestre. La CNIL considère qu'une sauvegarde non testée n'offre pas de garantie suffisante au titre de l'obligation de sécurité.
La politique de sécurité informatique doit faire l'objet d'une revue annuelle et d'une sensibilisation régulière des équipes RH et informatiques. Les erreurs humaines restent la première cause de fuite de données en entreprise. Former les collaborateurs à reconnaître un courriel d'hameçonnage ou à signaler un accès anormal réduit significativement l'exposition réelle.
Comment concilier protection des données et gestion RH au quotidien ?
La gestion quotidienne des absences, des inaptitudes et des aménagements de poste oblige les équipes RH à manipuler des informations proches du domaine médical. La frontière entre ce qui est autorisé et ce qui ne l'est pas mérite d'être connue avec précision.
Le principe de minimisation appliqué aux RH
La collecte de données doit rester proportionnée à la finalité poursuivie. Pour gérer une absence maladie, l'employeur a besoin de la durée et de la date de début, pas du diagnostic. Pour organiser un aménagement de poste, il a besoin des restrictions fonctionnelles communiquées par le médecin du travail, pas de l'origine pathologique de ces restrictions.
Un arbitrage de mars 2026 a précisé que l'employeur ne peut exiger un accès généralisé aux renseignements médicaux même pour des absences supérieures à 17 semaines. Ce principe d'atteinte minimale à la vie privée s'applique quelle que soit la durée de l'absence.
Les bonnes pratiques RH à mettre en œuvre sont :
- Centraliser les échanges médicaux via le médecin du travail, sans jamais contacter directement le médecin traitant.
- Informer les salariés de leurs droits : droit d'accès, droit de rectification, droit à l'effacement dans les limites légales.
- Documenter chaque traitement dans le registre des activités de traitement prévu par le RGPD.
- Limiter la durée de conservation : les certificats médicaux ne doivent pas être conservés au-delà de leur utilité administrative.
Conseil de pro : Intégrez une clause de confidentialité spécifique aux données de santé dans les contrats des prestataires RH externes. Un sous-traitant qui accède à ces données engage la responsabilité de l'entreprise donneuse d'ordre au même titre qu'un traitement interne.
La conformité RGPD en RH est un levier de confiance qui favorise un climat social sain. Une communication rapide et transparente lors d'un incident limite les dommages réputationnels et renforce la crédibilité de la direction auprès des salariés. Les entreprises qui traitent la conformité comme une démarche proactive, et non comme une contrainte réactive, construisent un avantage réel en matière d'attractivité et de rétention des talents.
Points clés
La protection des données de santé des salariés repose sur trois obligations simultanées : respecter le secret médical, sécuriser les systèmes d'information et minimiser les données collectées.
| Point | Détails |
|---|---|
| Secret médical absolu | Seul le médecin du travail peut communiquer des informations médicales à l'employeur. |
| Sanctions RGPD sévères | Une violation peut entraîner une amende jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. |
| Chiffrement obligatoire | Les sauvegardes non chiffrées sont sanctionnables par la CNIL même sans fuite avérée. |
| Minimisation des données | L'employeur collecte uniquement ce qui est strictement nécessaire à la gestion du contrat de travail. |
| Conformité comme levier | Une démarche proactive de conformité renforce la confiance des salariés et réduit l'exposition aux risques. |
Ce que quinze ans de terrain m'ont appris sur la protection des données santé
La plupart des incidents que j'ai observés ne résultent pas d'attaques sophistiquées. Ils viennent d'une faille banale : un responsable RH qui transfère un certificat médical par courriel non chiffré, un prestataire externe qui accède à un dossier sans habilitation formalisée, ou un tableau de suivi des absences stocké sur un partage réseau ouvert à toute l'entreprise. Ces erreurs sont évitables. Elles persistent parce que la formation est insuffisante et que les procédures restent théoriques.
Ce qui me frappe davantage, c'est que la protection des données de santé est souvent présentée comme un risque légal à gérer. C'est une vision trop étroite. Un salarié qui sait que son employeur traite ses informations médicales avec rigueur fait davantage confiance à son organisation. Cette confiance se traduit par un meilleur engagement, une moindre rétention d'information lors des visites médicales et une coopération plus franche lors des aménagements de poste.
L'essor du Shadow AI ajoute une dimension nouvelle à ces défis. Des collaborateurs utilisent des outils d'intelligence artificielle non sécurisés pour traiter des documents RH sensibles, sans mesurer que ces données transitent par des serveurs tiers. La pseudonymisation des documents avant tout traitement par une IA externe est aujourd'hui la réponse la plus pragmatique à ce risque. Consultez le guide de conformité RH 2026 pour une vue d'ensemble des exigences actuelles.
La veille sur les évolutions cybercriminelles n'est pas réservée aux équipes informatiques. Un directeur de conformité qui comprend ce qu'est une faille IDOR ou une attaque par hameçonnage ciblé prend de meilleures décisions budgétaires et organisationnelles. La compétence technique minimale est devenue une exigence du poste.
- Jacques
Safe-doc au service de la conformité RH sur les données sensibles
Les équipes RH manipulent quotidiennement des documents qui contiennent des données de santé, des informations d'inaptitude et des éléments administratifs sensibles. Lorsque ces documents sont analysés avec des outils d'intelligence artificielle, le risque de fuite devient réel si aucune couche de protection n'est en place. Safe-doc répond à ce problème par la pseudonymisation automatique des documents avant tout traitement par une IA externe. Les données personnelles sont masquées en temps réel, aucun document n'est stocké, et la conformité RGPD est maintenue sans modifier les habitudes de travail des équipes. Pour les responsables RH et les DPO qui cherchent à sécuriser leurs dossiers salariés avec l'IA, Safe-doc offre une réponse concrète, auditée et conforme à l'AI Act.
Questions fréquentes
Pourquoi les données de santé des salariés sont-elles considérées comme sensibles ?
Le RGPD classe les données de santé en catégorie spéciale car leur divulgation peut entraîner des discriminations, des atteintes à la vie privée et des préjudices professionnels directs. Leur traitement est interdit par principe, sauf exceptions légalement encadrées.
Quelles sanctions encourt un employeur qui viole le secret médical ?
Un licenciement fondé sur des informations médicales obtenues illicitement est nul. Sur le plan administratif, la CNIL peut infliger une amende jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel.
Qui peut accéder aux données médicales d'un salarié dans l'entreprise ?
Seul le médecin du travail est habilité à recevoir et transmettre des informations médicales dans le cadre professionnel. L'employeur n'a accès qu'aux conclusions d'aptitude ou d'inaptitude, jamais au diagnostic ni au traitement.
Comment protéger les données de santé lors de l'utilisation d'outils d'IA ?
La pseudonymisation des documents avant leur traitement par une IA externe est la méthode recommandée. Elle masque les données personnelles identifiables tout en permettant l'analyse du contenu, sans stocker les informations sensibles sur des serveurs tiers.
Quels droits les salariés exercent-ils sur leurs données de santé ?
Les salariés disposent d'un droit d'accès, de rectification et d'effacement de leurs données de santé, dans les limites des durées de conservation légales. Ils peuvent également s'opposer à certains traitements et demander la portabilité de leurs données dans les conditions prévues par le RGPD.