Données de santé dans les échanges RH : arrêts, aptitude, aménagements

Au 4 novembre 2026, les données de santé font partie des catégories particulières dont le traitement est en principe interdit (article 9 du RGPD), sauf exceptions, notamment l'exécution des obligations de l'employeur en droit du travail. Le référentiel CNIL de gestion du personnel limite ces données à des éléments précis, comme le motif d'arrêt pour accident du travail ou maladie professionnelle, la date de reprise ou l'avis d'aptitude.

Le cadre de l'article 9

Le référentiel CNIL de gestion du personnel rappelle que les données de santé sont sensibles et que leur traitement est en principe interdit par l'article 9, paragraphe 1, du RGPD. L'employeur peut toutefois les traiter lorsqu'elles sont nécessaires à l'exécution de ses obligations en droit du travail, sur le fondement de l'article 9, paragraphe 2, point b. Cette exception est étroite : elle couvre ce que l'employeur doit gérer, pas tout ce qu'un salarié peut confier. L'état de santé est en outre l'un des critères de discrimination interdits par l'article L1132-1 du Code du travail.

Les données que la CNIL admet

Pour les accidents et absences, le référentiel mentionne notamment la date de l'accident ou de la première constatation médicale, le motif de l'arrêt lorsqu'il s'agit d'un accident du travail ou d'une maladie professionnelle, la date de reprise et les coordonnées du médecin du travail. Pour le suivi des visites, il cite les dates de visite, l'aptitude ou l'inaptitude au poste et les propositions d'adaptation du poste ou d'affectation à un autre poste formulées par le médecin du travail. Le diagnostic médical n'apparaît pas dans cette liste. Les services de médecine du travail sont exclus du champ du référentiel, ce qui confirme que le dossier médical ne relève pas des outils RH courants.

Le risque des échanges libres

Les salariés écrivent parfois spontanément à l'équipe RH ou à un assistant conversationnel des informations médicales détaillées. Un outil d'IA qui indexe ces messages crée alors un traitement de données sensibles plus large que nécessaire. L'article 35 du RGPD impose une AIPD pour le traitement à grande échelle de données sensibles. La CNIL juge l'hébergement sur site plus sûr pour les données sensibles et demande de sécuriser le recours à une infrastructure externe. Prévoir un message qui invite à ne pas transmettre de détails médicaux réduit le risque à la source.

Accès et sécurité

Le référentiel CNIL demande des profils d'habilitation, la suppression des droits obsolètes et une revue annuelle, la traçabilité des accès et le chiffrement des équipements mobiles. Pour les données de santé, l'accès doit être réservé aux personnes qui en ont besoin pour une mission précise, par exemple la gestion des arrêts. Dans un outil d'IA, cela suppose que les réponses générées respectent les mêmes droits : un manager ne doit pas obtenir, par une question détournée, des informations médicales qu'il ne pourrait pas consulter directement.

À faire

1. Limiter les champs santé de l'outil à ceux prévus par le référentiel CNIL de gestion du personnel.
2. Afficher dans l'assistant un avertissement demandant de ne pas transmettre de diagnostic.
3. Vérifier que l'outil applique les droits d'accès par rôle aux réponses qu'il génère.
4. Mener une AIPD si l'outil traite des données de santé à grande échelle.
5. Exiger du fournisseur un hébergement dans l'Union et l'absence de réutilisation de ces données.

Textes de référence

• Référentiel CNIL relatif à la gestion du personnel
• Article 35 du RGPD (CNIL, chapitre IV)
• Article L1132-1 du Code du travail
• CNIL : questions-réponses sur l'utilisation d'un système d'IA générative

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.