L’état de santé d’une personne relève de sa vie personnelle, l'employeur ne peut pas en principe exiger du salarié qu'il lui communique des informations sur son état de santé. S’il en est informé, il est tenu à une obligation de discrétion et ne peut pas divulguer de telles informations confidentielles. En tout état de cause, les informations relatives à la santé des personnes bénéficient d’une protection particulière et ne peuvent, sauf exception, pas faire l’objet d’un traitement.
Comment dès lors concilier ce principe de protection de la vie privée avec l’obligation de l’employeur de mettre en œuvre toutes les mesures de protection de la santé des salariés et limiter la propagation du virus ? Dans une actualité diffusée le 7 mai 2020 sur son site internet, la Cnil apporte plusieurs éléments de réponse.
Incitation des salariés à se signaler pour protéger leur santé et celle des autres
Dans le cadre des mesures de prévention visant à lutter contre l’épidémie de Covid-19, l’employeur est notamment légitime à :
- rappeler à ses employés, travaillant au contact d’autres personnes, leur obligation d’effectuer des remontées individuelles d’information en cas de contamination ou suspicion de contamination, auprès de lui ou des autorités sanitaires compétentes, aux seules fins de lui permettre d’adapter les conditions de travail ;
- faciliter la transmission de ces informations par la mise en place, au besoin, de canaux dédiés et sécurisés ;
- favoriser les modes de travail à distance et encourager le recours à la médecine du travail.
Chaque salarié doit en effet veiller à préserver sa propre santé, mais également celle des personnes avec qui il pourrait être en contact à l’occasion de son activité professionnelle (C. trav. art. L 4122-1). D’ordinaire, lorsqu’un salarié est malade, il ne doit communiquer à son employeur que l’éventuel arrêt de travail dont il bénéficie, et n’a pas à préciser son état de santé ou la nature de sa pathologie.
Cependant, dans le contexte de la pandémie actuelle, la Cnil émet les recommandations suivantes :- toute personne qui travaille au contact d’autres personnes doit, chaque fois qu’il a pu exposer une partie de ses collègues ou du public au virus, informer son employeur en cas de contamination ou de suspicion de contamination au virus ;
- en revanche, un salarié en télétravail ou qui travaille de manière isolée sans contact avec des collègues ou du public n’a pas à faire remonter cette information à son employeur, en l’absence de mise en danger d’autres employés.
À notre avis : En revanche, aucune obligation d’information de l’employeur relative à d’autres pathologies ou facteurs relatifs à une vulnérabilité de la personne ne peut, à notre sens, être imposée au salarié. L’employeur ne peut qu’informer l’ensemble des salariés et les inviter à se signaler, auprès de personnes dédiées, notamment dans les services des ressources humaines, en leur garantissant la confidentialité. La liste des facteurs de vulnérabilité est fixée par arrêté (voir La Quotidienne du 12 mai 2020).
Un traitement des données personnelles limité au strict nécessaire
En principe, les données relatives à l’état de santé sont interdites de traitement, que le traitement soit automatisé (notamment informatique) ou non automatisé, mais permettant la constitution de fichiers.
La Cnil rappelle que, pour que ces données puissent être traitées, leur utilisation doit relever de l’une des exceptions prévues par le règlement général des données personnelles (RGPD), garantissant l’équilibre entre la volonté d’assurer la sécurité des personnes et le respect de leurs droits et libertés fondamentales. De plus, en raison de leur sensibilité, le traitement doit répondre à des conditions très fortes de sécurité et de confidentialité et être effectué uniquement par les personnes habilitées à le faire.
Les exceptions mobilisables dans le contexte du travail sont limitées et peuvent globalement relever soit de :
- la nécessité pour l’employeur de traiter ces données pour satisfaire à ses obligations en matière de droit du travail, de la sécurité sociale et de la protection sociale : c’est le cas du traitement des signalements ;
- la nécessité, pour un professionnel de santé, de traiter ces données aux fins de la médecine préventive ou de la médecine du travail, de l’appréciation sanitaire de la capacité de travail du travailleur, de diagnostics médicaux, etc.
En pratique, l’employeur n’est autorisé à traiter que les données strictement nécessaires au respect de ses obligations légales et conventionnelles, c’est-à-dire nécessaires pour prendre des mesures d’organisation (placement en télétravail, orientation vers le médecin du travail, etc.), de formation et d’information, ainsi que certaines actions de prévention des risques professionnels.
Dans le cadre d’un signalement par un salarié, seuls peuvent être traités par l’employeur les éléments liés à la date, à l’identité de la personne, au fait qu’elle ait indiqué être contaminée ou suspectée de l’être, ainsi que les mesures organisationnelles prises.
L’employeur ne doit pas constituer lui-même des fichiers à partir des données de santé des salariés, par exemple la température corporelle de ses employés ou certaines pathologies (les « comorbidités ») susceptibles de constituer des facteurs aggravants en cas d’infection au Covid-19.
En tout état de cause, l’identité d’une personne susceptible d’être infectée par le Covid-19 ne doit pas être communiquée aux autres employés.
À noter : En cas de non-respect des règles relatives à la protection des données, on rappelle que la Cnil peut prononcer des sanctions administratives (avertissement, mise en demeure, injonction de mise en conformité ou de cesser le traitement, suspension des flux de données, etc.) ainsi que des amendes administratives.
Des relevés de température à l’entrée des locaux ?
Tout enregistrement est formellement interdit
La Cnil rappelle que, lorsqu’elle fait l’objet d’un traitement, la température corporelle d’un individu constitue une donnée sensible relative à sa santé et fait l’objet d’une protection particulière.
Ainsi, elle affirme qu’en application notamment de l’article 9 du RGPD, et tant qu’aucun texte n’en prévoit expressément la possibilité, il est interdit à l’employeur d’effectuer :
- des relevés de températures des salariés ou visiteurs qui seraient enregistrés dans un traitement automatisé ou dans un registre papier ;
- des opérations automatisées de captation de température ou au moyen d’outils tels que des caméras thermiques.
À noter : La Cnil ne semble pas exclure qu’à l’avenir un texte soit adopté pour prévoir dans certaines hypothèses des dérogations à ces interdictions. À notre connaissance, aucun texte n’est pour le moment en projet.
Des relevés sans traitement possibles mais déconseillés
La Cnil ne se prononce pas sur les relevés de température en soi. Dès lors que ces relevés ne donnent lieu à aucun traitement de données personnelles, ils ne relèvent pas de la réglementation en matière de protection des données, et donc pas de sa compétence.
Elle renvoie sur ce point aux recommandations émises sur le sujet par le ministère du travail dans son protocole national de déconfinement, qui déconseille le recours à ce type de contrôle en raison d’une efficacité limitée (l’absence de fièvre n’excluant pas toute contamination), mais énonce toutefois à quelles conditions les entreprises peuvent, dans le cadre d’un ensemble de mesures de précaution, organiser un contrôle de la température des personnes entrant sur leur site :
- les modalités de ce contrôle doivent être prévues au moins par une note de service, valant adjonction au règlement intérieur selon la procédure prévue par l’article L 1321-5 du Code du travail, communiquée au secrétaire du CSE et à l’inspection du travail ;
- le contrôle doit être destiné à la seule vérification de la température à l’entrée d’un site au moyen d’un thermomètre (par exemple de type infrarouge sans contact), sans qu’aucune trace ne soit conservée ni qu’aucune autre opération ne soit effectuée (relevés de ces températures, remontées d’informations, etc.) ;
- le contrôle de la température ne peut pas avoir un caractère obligatoire et le salarié est en droit de le refuser. Si l’employeur, devant ce refus, ne laisse pas le salarié accéder à son poste, il peut être tenu de lui verser le salaire correspondant à la journée de travail perdue.
À notre avis : Le refus par un salarié de se soumettre à un relevé de température ou les conséquences susceptibles de découler d’un tel refus, telle l’interdiction d’accès au site, ne devraient pas pouvoir être considérés comme un comportement fautif sanctionnable, compte tenu du droit du salarié de refuser de se soumettre à une telle atteinte à ses droits et libertés.
Pas de test de dépistage dans l’entreprise
L’organisation de tests de dépistage par l’employeur est formellement exclue, ce que rappelle la Cnil. La recherche des cas contacts d’une personne contaminée ou susceptible de l’être relève en effet des autorités sanitaires compétentes, auxquelles l’employeur pourra être amené à transmettre certaines informations en cas de sollicitations.
Si l’employeur souhaite initier d’éventuelles démarches visant à s’assurer de l’état de santé de ses salariés, il doit s’adresser aux services de santé au travail dont les conditions d’exercice des missions ont été adaptées dans le cadre de la gestion de la crise sanitaire (voir la Quotidienne du 19 mai 2020).
À noter : L’ordonnance 2020-386 du 1er avril 2020 prévoit en effet que les médecins du travail pourront prescrire des tests de dépistage du coronavirus. Mais cette faculté est subordonnée à la publication d’un arrêté ministériel, non encore paru à ce jour. Et, dans son protocole national de déconfinement du 9 mai 2020, le ministère du travail interdit en fait l’organisation de tests de dépistage par les entreprises.
L’employeur doit veiller au respect des consignes de sécurité
Si le pouvoir de contrôle de l’employeur sur les informations relatives à la santé des salariés est limité, soulignons que le contrôle du respect par les salariés des mesures de prévention adoptées dans l’entreprise en vue de lutter contre la propagation du virus, telles les mesures de distanciation physique, de limitation du nombre de personnes dans certains espaces, d’obligation du port de masque, relève de ses obligations classiques en matière de protection de la sécurité des salariés.
Le non-respect par un salarié de ces consignes, dès lors qu’elles ont été portées à sa connaissance, est un comportement fautif que l’employeur peut sanctionner, à l’instar du refus d’un salarié de porter des équipements de protection nécessaires à l’exercice de son activité (Cass. soc. 19-6-2013 n° 12-14.246 F-D), ou du non-respect des règles d’hygiène (CA Aix-en-Provence 12-5-2017 n° 15/04971).
Aliya BEN KHALIFA
Pour en savoir plus sur la réglementation applicable aux traitements de données personnelles : Voir Mémento Social n° 90580
Pour en savoir plus sur les conséquences du Coronavirus pour les entreprises et leurs salariés, les questions qu'elles posent et les réponses à y apporter : retrouvez notre Dossier spécial Coronavirus (Covid-19) alimenté en temps réel.
Suivez les dernières actualités et assurez la reprise de l’activité pour vos clients ou votre entreprise en télétravail avec Navis :
Vous êtes abonné ? Accédez à Navis à distance depuis votre domicile
Pas encore abonné ? Nous vous offrons un accès au fonds documentaire NAVIS pendant 10 jours.
* Si vous rencontrez le moindre problème de connexion à votre Navis, contactez notre Service Relations Clients au 01 41 05 22 22 ou notre Hotline Technique au 01 41 05 77 00, du lundi au vendredi, de 9h à 18h.
