Le certificat médical sous l’angle de la Loi fédérale sur la protection des données : une donnée sensible ?

La gestion des données concernant le personnel est régulièrement assurée par un logiciel informatique. Dans ce dernier sont insérées de nombreuses données personnelles relatives aux employés, notamment les nom, prénom, adresse, n° de téléphone, type de permis, contrat de travail, n° AVS, données bancaires, vacances, absences, etc.

En insérant les certificats médicaux remis par ses employés sur ledit logiciel, l’employeur traite-t-il des données sensibles au sens de l’art. 3 let. c LPD, qui bénéficient d‘une protection accrue ?

Le certificat médical, qui est transmis à l’employeur par l’employé en incapacité de travailler en raison de maladie, se limite en principe exclusivement aux données indispensables pour l’employeur. Il s’agit des indications suivantes :

– Le nom et prénom du patient ;

– Le terme incapacité de travail, avec mention « maladie ou accident » ;

– Le début et la fin (prévisible) de l’incapacité de travail ;

– Le degré de cette incapacité de travail (en cas d’incapacité partielle, l’indication, cas échéant, s’il s’agit d’un pourcentage de temps ou de rendement) ;

– La date à laquelle le certificat est établi, le timbre et la signature du médecin.

Sachant que la maladie dont souffre l’employé n’est en règle générale pas mentionnée dans ledit certificat, on peut se demander s’il s’agit véritablement de données sensibles.

Les données relatives à la santé sont toutes les informations qui permettent des déductions directes ou indirectes sur l’état de santé physique ou psychique d’une personne.

Etant donné que le timbre et la signature du médecin apparaissent sur le document et que la spécialisation du praticien peut être également indiquée, ou être facilement trouvable sur internet par exemple, des déductions – directement ou par recoupement- sur l’état de santé de l’employé sont possibles.

Nous sommes donc d’avis que les données contenues dans un certificat médical, puisqu’elles sont relatives à la santé de l’employé, sont sensibles au sens de l’art. 3 let. c LPD.

Ceci n’interdit pas pour autant l’insertion desdits certificats médicaux dans le logiciel de gestion RH.

Il faudra toutefois s’assurer que l’employé a consenti explicitement audit traitement, trier régulièrement – tous les deux ans, en général – les dossiers du personnel afin d’en retirer notamment les certificats médicaux qui ne sont plus utiles et limiter l’accès aux services fondés à les utiliser de par les fonctions qu’ils exercent.

En ce qui concerne la déclaration du fichier RH au Préposé fédéral en vertu de l’art. 11a al. 2 let. a LPD, elle n’est pas nécessaire étant donné que le traitement des données est effectué en vertu d’obligations légales (droit contractuel, droit des assurances sociales, droit fiscal). Une dérogation à l’obligation de déclarer les fichiers prévue à l’article 11a al. 5 let. a LPD est ainsi justifiée.

WILHELM Avocats SA – 24 septembre 2018