En contexte de crise sanitaire, la CNIL a reçu et continue de recevoir beaucoup de questions de la part des professionnels et particuliers au sujet des données personnelles. Est-il possible de collecter les données qui concernent l’état de santé des employés ou visiteurs, en dehors d’une prise en charge médicale ? L’employeur peut-il exiger de connaître la teneur des déplacements et les événements fréquentés par les employés, visiteurs ou n’importe quelle partie prenante, même quand ils relèvent de la sphère privée ?
Ce qui est interdit
La mise en place de mesures de restrictions des déplacements, des réunions ou n’importe quel contact entre les personnes doit être respecté et les mesures d’hygiène doivent être respectées pour tous. Les employeurs n’ont en revanche pas le droit de prendre des mesures susceptibles de porter atteinte à la vie privée des collaborateurs : la collecte de données de santé qui dépassent la gestion des suspicions d’exposition au virus préconisée par les organismes de santé et l’état est impossible. Ces données tombent sous les consignes du RGPD et du Code de la santé publique.
La CNIL cite en exemple le fait qu’il n’est pas permis de mettre en place des collectes systématiques d’informations relatives aux activités, aux déplacements et aux possibles symptômes des employés ou autres acteurs de l’entreprise. Il est donc interdit pour la compagnie de mettre en place des mesures telles que :
- Relever la température des collaborateurs, visiteurs ou prestataire de façon régulière pour effectuer des rapports
- Réaliser des questionnaires ou fiches médicaux dans le but de les collecter auprès des parties prenantes de l’entreprise
Ce qui est autorisé
Comme l’entreprise a, selon le Code du travail et les textes régissant la fonction publique, la responsabilité de la santé et de la sécurité des salariés et des agents, elle doit par conséquent mettre en place des actions de prévention des risques professionnels. Ces actions ont valeur de formation et d’information et permettent de mettre en place les moyens adéquats.
L’employeur a donc le droit d’inviter les employés à faire le reporting individuel auprès de lui ou des autorités sanitaires compétentes d’informations, par exemple le fait ou le doute d’avoir été exposé au virus.
L’employeur peut mettre en place des moyens dédiés à faciliter la transmission de ces informations. Par ailleurs il peut prendre les mesures pour favoriser le travail à distance et encourager les employés à faire appel à la médecine du travail.
En cas de signalement, quelles données seront consignées ?
L’entreprise est en droit de conserver la date et l’identité de la personne ayant déclaré suspecter d’avoir été exposée, elle peut par ailleurs garder trace des mesures organisationnelles prises dans la situation (confinement, télétravail, orientation et prise de contact avec le médecin du travail…).
Ces données auront pour objet d’être transmises aux autorités sanitaires si elles en font la demande, afin de connaître des éléments liés à nature de l’exposition nécessaires pour la possible prise en charge de la personne exposée.
Par ailleurs les employés ou agents ont la responsabilité de préserver leur propre sécurité et celle d’autrui (article L.4122-1 du Code du travail), aussi il doit tenir son employeur informé en cas de possible contact avec le virus. Enfin les autorités sanitaires ont la possibilité de collecter des données de santé afin de prendre des mesures.
Pour lire le texte original au complet
La rédaction de myRHline, le média RH