COVID-19 : questions–réponses sur la collecte de données personnelles sur le lieu de travail

Les employeurs sont responsables de la santé et de la sécurité de leurs salariés/agents.

Il leur appartient, au titre de cette obligation de moyens renforcée comme l’a rappelé la Cour de cassation, de mettre en œuvre des actions de prévention des risques professionnels, des actions d’information et de formation, ainsi qu’une organisation du travail et des moyens adaptés aux conditions de travail.

Ces obligations lui sont imposées par le code du travail et les textes régissant la fonction publique.

Dans ce contexte, l’employeur doit par exemple :

• rappeler aux salariés/agents leur obligation d’effectuer des remontées individuelles d’information en cas de contamination ou suspicion de contamination, auprès de lui ou des autorités sanitaires compétentes, afin de lui permettre d’adapter les conditions de travail ;
• faciliter la transmission de ces remontées par la mise en place, au besoin, de canaux dédiés et sécurisés ;
• prendre les mesures nécessaires, en fonction des informations dont il dispose sur les risques auxquels sont exposés les salariés/agents, pour assurer leur sécurité ;
• favoriser les modes de travail à distance ;
• encourager le recours à la médecine du travail.

Dans le droit commun et à de rares exceptions, ces obligations ne justifient pas de demander aux salariés/agents des informations sur leur état de santé, seule la médecine du travail étant habilitée à en connaître.

Par ailleurs, dans le cadre de la lutte contre la COVID-19, les dispositions législatives relatives à la crise sanitaire imposent également aux employeurs et responsables de certains établissements deux obligations spécifiques :

• le contrôle de la détention du passe vaccinal des salariés/agents par les responsables des établissements concernés par l’application du dispositif ;
• le contrôle par l’employeur du respect de l’obligation vaccinale des salariés/agents concernés.

Pour savoir si vous êtes concerné par ces obligations, nous vous invitons à consulter les listes dressées par le ministère du Travail dans ses questions-réponses sur la vaccination et le passe vaccinal au travail.

La CNIL invite les employeurs à consulter régulièrement les informations mises en ligne par le ministère du Travail, afin de connaître leurs obligations en cette période de crise.

Tout salarié/agent doit veiller à préserver sa propre santé/sécurité mais également celles de ses collègues.

Cette obligation leur est imposée par le code du travail.

En temps normal lorsqu’un salarié/agent est malade, il ne doit communiquer à son employeur que l’éventuel arrêt de maladie dont il pourrait bénéficier, sans aucune autre précision sur son état de santé ou la nature de la pathologie.

Cependant, dans un contexte de pandémie telle que celle de la COVID-19, un salarié/agent qui travaille au contact d’autres personnes doit, à chaque fois qu’il a pu exposer une partie de ses collègues au virus, informer son employeur en cas de contamination ou de suspicion de contamination au virus. Il peut également communiquer à son employeur le nom des personnes avec qui il a été en contact au travail, au cours des 7 jours précédant son test positif s’il est asymptomatique, ou au cours 48 h précédant la date de début des symptômes s’il est symptomatique, afin qu’elles puissent se faire rapidement dépister.

En revanche, un salarié/agent qui serait par exemple placé en télétravail ou qui travaillerait de manière isolée sans contact avec ses collègues ou du public n’a pas à faire remonter cette information à son employeur. En effet, en l’absence de mise en danger d’autres personnes, les informations en lien avec une éventuelle exposition, tel que l’arrêt de travail qui en découlerait, devront être traités conformément à la procédure normale des arrêts de travail.

L’employeur est autorisé à traiter des données relatives à la santé de ses salariés/agents dans les trois cas précisés ci-dessous.

Les traitements relatifs aux signalements de contamination à la COVID-19

L’employeur ne doit traiter que les données nécessaires à la gestion des cas d’exposition et de suspicions d’exposition au virus aux fins de protéger les salariés/agents et le public et ne doit pas prendre de mesures susceptibles de porter une atteinte disproportionnée à la vie privée des personnes concernées en collectant des données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus aux fins de protéger les salariés/agents et le public. Ce principe est par ailleurs rappelé par l’article L. 1121-1 du code du travail.

L’employeur n’a pas à initier des démarches pour s’assurer de l’état de santé de leurs salariés/agents. Par ailleurs, seuls les services de prévention et de santé au travail sont habilités à connaître des données de santé des salariés/agents.

Établissements soumis à la présentation du passe vaccinal 

Les dispositions législatives relatives à la crise sanitaire donnent la possibilité aux salariés/agents des établissements soumis à l’obligation de présentation du passe vaccinal, de présenter à leur employeur un justificatif de statut vaccinal et d’autoriser celui-ci à conserver la preuve de cette vérification jusqu’à la fin de l’application du dispositif.

Salariés/agents concernés par une obligation vaccinale (conformément au calendrier défini par le gouvernement)

Les professions et personnels des établissements listés à l’article 12 de la loi relative à la gestion de la crise sanitaire du 5 août 2021 doivent être vaccinés, sauf contre-indication médicale ou présentation d’un certificat de rétablissement. Les personnes concernées doivent justifier avoir satisfait à cette obligation auprès de leur employeur.

Les employeurs ne doivent traiter que les données strictement nécessaires à la satisfaction de leurs obligations légales.

La collecte de ces données doit avoir pour seul objectif de prendre des mesures organisationnelles (mise en place du télétravail, orientation vers le médecin du travail, etc.), de formation et d’information, ainsi que certaines actions de prévention des risques professionnels.

Par conséquent, seuls peuvent être traités par l’employeur les éléments liés à :

• l’identité de la personne concernée ;
• l’information selon laquelle elle serait contaminée ou suspectée de l’être ;
• les dates pertinentes, notamment pour déterminer quels salariés/agents pourraient être cas contacts (dates de contacts, date de début des symptômes, date de diagnostic de tests positifs) ;
• les éventuels autres éléments permettant de déterminer quels salariés/agents pourraient être cas-contacts ;
• les mesures organisationnelles prises.

Parmi les mesures organisationnelles qui peuvent être prises par l’employeur, celui-ci doit pouvoir faciliter l’identification des contacts par les autorités en charge du « contact tracing », en confiant à un référent COVID-19 désigné la réalisation de matrices, c’est-à-dire de listes de personnels par unité de travail permettant d’identifier les éventuels cas contact au sein d’un même lieu de travail, en s’appuyant sur les déclarations du salarié/agent concerné et son historique d’activité dans l’entreprise.

En cas de besoin, l’employeur pourra ainsi communiquer aux autorités sanitaires compétentes les éléments nécessaires à une éventuelle prise en charge sanitaire ou médicale des personnes exposées. Les acteurs de niveau 1 et 2 du contact tracing (médecin prenant en charge le cas et plateformes de l’Assurance maladie) pourront notamment s’appuyer sur les matrices des cas contacts réalisées en amont par le référent COVID-19 pour faciliter leur identification.

Non.

Les résultats des tests médicaux, sérologiques ou de dépistage de la COVID-19 sont soumis au secret médical : l’employeur ne pourra recevoir communication que de l’éventuel arrêt de travail sans autre précision relative à la pathologie et à l’état de santé du salarié/agent. Le retour du salarié/agent sur son lieu de travail ne pourra pas être conditionné à la présentation d’un test de dépistage de la COVID-19.

Non.

L’employeur n’a pas à demander au salarié/agent de produire des justificatifs susceptibles de révéler des données de santé qui ne seraient pas prévus par la loi, même si cette demande vise à assurer la sécurité de ces derniers.

Lorsqu’un salarié/agent a été testé positivement à la COVID-19, celui-ci doit le déclarer à son employeur et respecter les consignes d’isolement énoncées par le gouvernement (isolement et réalisation de tests PCR ou antigénique).

Pour sa part, l’employeur doit prendre toutes les mesures organisationnelles nécessaires pour permettre au salarié/agent de respecter cet isolement, notamment en lui permettant de rester en télétravail pour la période concernée et relayer les consignes diffusées par les autorités sanitaires.

En revanche, il ne peut pas conditionner le retour au travail du salarié à la présentation de justificatifs :  aucune attestation sur l’honneur ou résultat de tests ne peuvent donc être exigés à cet effet.

Par ailleurs, l’employeur ne devra pas enregistrer les informations relatives au statut vaccinal des personnes concernées qu’il aurait pu déduire de la durée de l’isolement de ses agents/ salariés suite à une contamination à la COVID-19.

Non.

La CNIL rappelle que seuls les personnels de santé compétents (notamment la médecine du travail) peuvent collecter, mettre en œuvre et accéder à d’éventuels fiches ou questionnaires médicaux auprès des salariés/agents contenant des données relatives à leur état de santé ou des informations relatives notamment à leur situation familiale, leurs conditions de vie ou encore, leurs éventuels déplacements.

Non, sauf en respectant des conditions extrêmement précises.

Dans une démarche de prévention des contaminations visant à écarter du milieu de travail des employés qui auraient de la fièvre, certains employeurs souhaitent mettre en place un contrôle systématique de la température des employés et visiteurs à l’entrée de leurs locaux.

Bien qu’il n’appartienne pas à la CNIL d’apprécier la légalité au regard du droit social de ce qu’un employeur peut imposer à ses salariés/agents ni de ce qui relève d’une éventuelle discrimination, elle relève que l’efficacité et l’opportunité de la prise de température est contestée dans la mesure où elle n’est pas un symptôme systématique de la COVID-19 ou peut témoigner d’une autre affection. Le Haut Conseil de la santé publique recommande de ne pas mettre en place un dépistage de la COVID-19 par prise de température dans la population.

La CNIL rappelle à cet égard que :

• lorsqu’elle fait l’objet d’un traitement, la température corporelle d’un individu constitue une donnée sensible relative à sa santé, justifiant qu’elle fasse l’objet d’une protection particulière ;
• la règlementation sur les traitements de données ne s’applique qu’aux traitements automatisés (notamment informatiques) ou aux traitements non automatisés qui permettent de constituer des fichiers.

Ainsi, la seule vérification de la température au moyen d’un thermomètre manuel ou d’un dispositif ne conduisant pas à traiter des données à caractère personnel (tel que par exemple des outils de type infrarouge sans contact) sans remontée d’information ou constitution d’un fichier, ne relève pas de la règlementation en matière de protection des données. Ces opérations ne pourront par conséquent être mises en œuvre que dans les conditions prévues par le droit du travail et conformément aux instructions de ministère du travail : la CNIL renvoie sur ce point aux instructions de la direction générale du travail (DGT), qui déconseille ces vérifications.

À l’inverse, en ce qui concerne les outils qui mettent en œuvre des traitements automatisés de données relatives à la santé (tels que les caméras thermiques avec captation de température automatisée) leur utilisation ne pourra pas, en l’état du droit (notamment de l’article 9 du RGPD), et à moins qu’un texte n’en prévoie expressément la possibilité, être imposée par l’employeur aux salariés/agents ou aux visiteurs. Il en va de même de la consignation des relevés de températures dans un registre papier par l’employeur.

Oui, mais il ne peut pas contraindre ses salariés/agents à y participer.

Le protocole national pour assurer la santé et la sécurité des salariés en entreprise face à l’épidémie de COVID-19, applicable à partir du 25 janvier 2022, indique que les employeurs peuvent, dans le respect des conditions réglementaires, proposer des actions de dépistage et des autotests aux salariés/agents volontaires. À cette fin, la liste des tests rapides autorisés et leurs conditions d’utilisation ont été rendus disponibles par les autorités de santé. Les modalités d’organisation des campagnes de dépistages sont, quant à elles, définies par une circulaire interministérielle.

Les entreprises peuvent également mettre des autotests à la disposition de leurs salariés/agents en l’accompagnant d’une information du salarié/agent par un professionnel de santé conformément aux dispositions fixées par le ministère de la Santé.

La CNIL rappelle que l’employeur ne dispose que d’un rôle organisationnel dans la réalisation de ces campagnes et que l’action de dépistage doit résulter d’une démarche volontaire du salarié/agent. Par conséquent :

• la campagne de dépistage ne pourra pas être imposée au salarié/agent ;
• aucune conséquence négative ne pourra être prise à l’égard des salariés/agents qui ne seraient pas volontaires.

Par ailleurs, ces actions de dépistage doivent être réalisées dans des conditions garantissant la bonne exécution de ces tests et la stricte préservation du secret médical. En particulier, aucun résultat ne pourra être communiqué à l’employeur ou à d’autres salariés/agents.

Oui, mais elle ne peut être réalisée que par des services de santé compétents (particulièrement les services de santé au travail) et dans le cadre d’une démarche volontaire du salarié/agent.

Le protocole national pour assurer la santé et la sécurité des salariés en entreprise face à l’épidémie de COVID-19 précise les modalités d’organisation des campagnes de vaccination en entreprise.

Comme pour les campagnes de dépistages, l’employeur ne dispose que d’un rôle organisationnel dans la réalisation de ces campagnes. Il peut, par exemple, diffuser l’information à ses salariés/agents sur les modalités d’accès à la vaccination par le service de santé au travail de l’entreprise. Seuls des professionnels de santé (particulièrement les services de santé au travail) peuvent réaliser la vaccination.
La démarche du salarié/agent doit être volontaire : en dehors des cas de vaccination obligatoire prévus par la loi, aucune conséquence ne peut être tirée par l’employeur du seul refus du vaccin par le salarié/agent et aucune sanction ne peut être appliquée. Aussi, le retour du salarié/agent sur son lieu de travail ne saurait être conditionné à une vaccination et aucune décision d’inaptitude ne pourra être tirée de son seul refus de se faire vacciner.

Si le salarié/agent choisit de passer par son service de santé au travail pour se faire vacciner, il doit alors informer son employeur de son absence pour visite médicale sans avoir à présenter d’arrêt de travail ni à préciser le motif de son absence.     

Par ailleurs, en dehors des cas prévus par la loi (à savoir la nécessité pour l’employeur de contrôler la satisfaction de l’obligation vaccinale des salariés/agents concernés ainsi que celle relative au passe vaccinal dans les établissements soumis à son application) l’employeur ne peut être destinataire d’aucune information sur le statut vaccinal du salarié/agent. Il n’a donc pas à connaître d’information sur son acceptation ou son refus de la vaccination, ni sur le taux de couverture vaccinale de ses salariés/agents même sous une forme statistique.

Oui.

Tous les salariés peuvent s’absenter pour se faire vacciner via le service de santé au travail, en centre de vaccination ou auprès d’un professionnel de santé sur ses heures de travail. Pour les salariés se rendant en centre de vaccination ou auprès d’un professionnel de santé sur ses heures de travail, l’employeur peut alors demander au salarié, pour justifier de son absence, la confirmation du rendez-vous de vaccination en amont ou a posteriori le justificatif de la réalisation de l’injection.

Oui, mais seules peuvent être collectées les données strictement nécessaires à la réalisation de cet objectif.

Les entreprises et administrations peuvent être amenées à établir un « plan de continuité de l’activité » qui a pour objectif de maintenir l’activité essentielle de l’organisation en période de crise.

Ce plan doit notamment prévoir toutes les mesures pour protéger la sécurité des salariés/agents, identifier les activités essentielles devant être maintenues et également les personnes nécessaires à la continuité du service. Il est alors possible de créer un fichier nominatif pour l’élaboration et la tenue du plan qui ne doit contenir que les données nécessaires à la réalisation de cet objectif.

L’employeur doit veiller à assurer, en toute hypothèse, la sécurité et la confidentialité des données qu’il traite : tel est par exemple le cas, lors de l’envoi des justificatifs de déplacement professionnel qui contiennent des données personnelles et ne doivent être communiquées qu’aux seules personnes individuellement concernées. Les données personnelles nécessaires à la réalisation des missions essentielles du PCA doivent être supprimées automatiquement par l’entreprise ou l’administration lorsque que l’agent qui y figure quitte ses fonctions (pour lesquelles il relève du PCA).

Non.

Il appartient à l’employeur d’évaluer le niveau de risque individuel d’exposition au virus de la COVID-19 de chacun de ses salariés et agents mais il ne doit le faire qu’à partir des données personnelles qu’il est normalement habilité à connaître. L’évaluation du risque ne saurait donc se faire au moyen de solutions logicielles qui modélisent le risque à partir de données personnelles dont l’employeur n’a pas à connaître, et notamment des données de santé des salariés/agents.  

De nombreux projets sont développés dans l’optique de limiter la propagation du virus et de protéger la santé des individus, notamment dans la sphère professionnelle. Le déploiement de solutions logicielles est ainsi envisagé pour faciliter la gestion par les employeurs de la crise sanitaire.

Tout dispositif de représentation de la vulnérabilité ou du risque d’exposition d’un salarié/agent à la COVID-19 (par exemple : indicateur chiffré, code de couleur, etc.) est une donnée de santé personnelle que seul le service de santé au travail est autorisé à traiter.

Il n’est donc pas possible pour l’employeur d’établir un diagnostic, une analyse de la vulnérabilité ou toute autre analyse médicale, ni d’organiser une collecte de données de santé de l’ensemble des salariés/agents.

Si l’employeur a une obligation de moyens renforcée en matière de sécurité des salariés/agents, celle-ci est néanmoins circonscrite à l’élaboration de mesures de prévention et de protection liés aux signalements qui lui sont adressés. Par exemple, l’employeur est habilité à prendre des mesures individuelles à partir du signalement effectué par le salarié/agent lui-même, lorsque ce dernier a pu être exposé ou exposer une partie de ses collègues ou du public au virus. Dans cette situation, l’employeur peut définir une mesure individuelle (ex : télétravail) pendant une courte période, le temps que le salarié/agent concerné prenne contact avec un professionnel de santé.

Il convient de rappeler qu’en tout état de cause, l’examen de l’adéquation du poste d’un salarié/agent avec son état de santé relève de la médecine du travail et non de l’employeur.

Non.

Le protocole national pour assurer la santé et la sécurité des salariés en entreprise face à l’épidémie de COVID-19, dans sa version applicable à compter du 25 janvier 2022, rappelle qu’il appartient à l’employeur de relayer les messages des autorités sanitaires et d’assurer la communication auprès de ses salariés/agents des mesures de protection collective. L’employeur doit donc rappeler à ses salariés/agents les règles d’hygiène et de distanciation sociale. Il peut également rappeler l’existence de l’application TousAntiCovid et l’intérêt de son activation pendant les horaires de travail.

Néanmoins, l’utilisation de l’application TousAntiCovid relève d’une démarche volontaire du salarié/agent. L’employeur ne peut pas imposer son utilisation, ou installer par défaut l’application sur les téléphones professionnels de ses salariés/agents.

Rappel : pour les établissements soumis à l’obligation de présentation du passe vaccinal, celle-ci peut se faire au format papier ou tout autre support numérique que l’application TousAntiCovid. Il n’est pas obligatoire de recourir à la fonctionnalité « carnet » de l’application TousAntiCovid.

Pour plus d’informations, nous vous invitons à consulter la FAQ dédiée disponible sur le site de la CNIL.

Oui, lorsqu’il est le responsable d’établissement et que celui-ci est visé par la loi relative à la gestion de la crise sanitaire.

Pour plus d’informations nous vous invitons à consulter la FAQ dédiée disponible sur le site de la CNIL.

Non.

Les protocoles sanitaires applicables aux bars, restaurants et salles de sport imposent de prévoir un dispositif d’enregistrement des visites de leurs clients, sous la forme de cahier de rappel permettant d’alerter les personnes qui ont fréquenté un lieu où elles ont pu être exposées à la COVID-19 afin qu’elles puissent s’isoler et se faire tester.

Comme le rappelle le ministère dans son aide à l’utilisation de l’application TousAntiCovid, il n'est pas obligatoire pour les salariés/agents et le gérant de ces établissements ni de scanner le QR Code mis à la disposition par l’établissement dans le cadre du dispositif d’enregistrement des visites, ni de se signaler sur la fiche de rappel papier. Ce dispositif ne s’impose qu’aux clients de l’établissement.

Le rôle du service de santé au travail a été précisé au regard de la situation sanitaire actuelle par un décret et une ordonnance, de manière temporaire.

En tout état de cause, la médecine du travail, en tant que personnel de santé compétent, doit remplir les missions d'intérêt général qui lui sont dévolues par le Code du travail, et notamment :

• accompagner et conseiller les employeurs et les salariés/agents, avec un relai des messages de prévention, et le cas échéant, accompagner les employeurs dans leur évaluation des risques ;
• assurer le suivi individuel de l'état de santé des salariés/agents. Ils peuvent pour cela, mettre en œuvre et accéder à d’éventuels fiches ou questionnaires médicaux auprès des salariés/agents concernant des données relatives à leur état de santé ou des informations relatives notamment à leur situation familiale, leurs conditions de vie ou encore, leurs éventuels déplacements. En cas de suspicion d’infection, il leur appartient d’apprécier la capacité du salarié/agent à travailler ou décider de sa prise en charge ;
• proposer des mesures individuelles d’aménagement, d’adaptation ou de transformation du poste de travail ou du temps de travail justifiées par des considérations relatives notamment à l’âge ou à l’état de santé physique ou mental du travailleur.

La CNIL précise que seule la nature des mesures préconisées a vocation à être transmise à l’employeur. Le rôle de l’employeur consiste alors uniquement à appliquer ces mesures.

Bien qu’il n’appartienne pas à la CNIL d’interpréter les dispositions du code du travail, elle rappelle que les représentants du personnel disposent de certaines prérogatives telles que le droit d’alerte, notamment en cas d’atteintes aux droits des personnes ou de danger grave et imminent pour la santé et la sécurité des salariés/agents.

Aussi, si un membre de la délégation du personnel au CSE constate, notamment par l’intermédiaire d’un salarié/agent, qu’il existe une atteinte aux droits des personnes, à leur santé physique ou mentale, ou à leurs libertés individuelles, qui ne serait pas justifiée par la nature de la tâche à accomplir, ni proportionnée au but recherché, il lui appartient de saisir immédiatement l’employeur.

Une fois alerté, l’employeur doit procéder à une enquête avec les représentants du personnel qui ont lancé l’alerte, puis prendre les dispositions nécessaires pour remédier à cette situation et mettre en place des mesures de prévention.

Oui.

Les autorités sanitaires qualifiées peuvent collecter des données de santé pour prendre les mesures adaptées à la situation, dans les limites de leurs compétences respectives. L'évaluation et la collecte des informations relatives aux symptômes de la COVID-19 et des informations sur les mouvements récents de certaines personnes relèvent par ailleurs de la responsabilité de ces autorités publiques.

Si la situation sanitaire exige de l’ensemble des acteurs qu’ils fassent preuve d’une vigilance particulière, la CNIL invite particuliers et professionnels à suivre les recommandations des autorités sanitaires et à effectuer uniquement les collectes de données sur la santé des individus qui auraient été sollicitées par les autorités compétentes.