Données de santé des salariés : les obligations RGPD que l'ergonome sous-estime
Étudier un poste, c'est collecter des restrictions d'aptitude, des questionnaires douleur, parfois des données médicales. L'ergonome manipule sans toujours le savoir des données de santé, les plus sensibles au regard du RGPD.
- Les restrictions d'aptitude, questionnaires douleur et observations physiques sont des données de santé, soumises au régime le plus strict du RGPD.
- L'ergonome est responsable de traitement ou sous-traitant selon le contexte : ce statut détermine ses obligations exactes.
- Une fuite de ces données expose à une notification CNIL sous 72 h, à des sanctions et à des réclamations des salariés concernés.
- L'assurance cyber finance la gestion d'incident, la notification et la défense ; la RC Pro couvre le volet faute professionnelle.
Vous traitez des données de santé sans toujours le réaliser
Quand vous menez une étude de poste, vous ne collectez pas que des hauteurs de plan de travail et des cadences. Vous recueillez aussi des restrictions d'aptitude transmises par le médecin du travail, des questionnaires de douleur remplis par les salariés, vos propres observations sur leurs limitations physiques, parfois l'historique d'un accident ou d'une pathologie.
Or le RGPD classe la santé parmi les catégories particulières de données (article 9) : les plus protégées, au même titre que les données biométriques ou l'orientation sexuelle. Leur traitement est en principe interdit, sauf exceptions encadrées — dont la médecine du travail et la prévention.
Autrement dit, un fichier Excel listant "Mme X — restriction port de charges > 5 kg, douleurs lombaires récurrentes" est un traitement de données de santé. Et il appelle des obligations bien plus lourdes qu'un simple carnet d'adresses professionnel.
Responsable de traitement ou sous-traitant : un statut à clarifier
Votre première obligation est de savoir en quelle qualité vous traitez ces données, car cela change tout.
- Vous êtes responsable de traitement lorsque vous déterminez vous-même pourquoi et comment vous collectez les données — par exemple en concevant votre propre questionnaire douleur et en décidant de sa conservation.
- Vous êtes sous-traitant lorsque vous agissez pour le compte de l'entreprise cliente, selon ses instructions et sur ses finalités.
En pratique, l'ergonome conseil est souvent dans une position mixte. Cette qualification détermine qui doit informer les salariés, qui tient le registre des traitements, et qui répond en cas d'incident. Un contrat de sous-traitance ou une clause de traitement de données dans votre lettre de mission est indispensable : son absence est elle-même un manquement reprochable.
Ne pas savoir si vous êtes responsable ou sous-traitant n'est pas neutre : en cas de contrôle ou de fuite, le flou se retourne contre vous.
Les obligations concrètes que vous devez tenir
Au-delà du statut, plusieurs obligations s'appliquent dès que vous manipulez des données de santé :
- Minimisation : ne collectez que ce qui est strictement nécessaire à l'analyse de poste. Un diagnostic complet n'est pas un blanc-seing.
- Information des personnes : les salariés doivent savoir quelles données vous collectez, pourquoi, et combien de temps elles sont conservées.
- Durée de conservation limitée : ne gardez pas les questionnaires nominatifs au-delà de la mission. Anonymisez ou supprimez.
- Sécurité technique : chiffrement des fichiers, postes verrouillés, pas de données de santé sur une clé USB non protégée ou un cloud personnel.
- Registre des traitements : même indépendant, vous devez documenter vos traitements de données sensibles.
Ces obligations paraissent lourdes pour un ergonome solo, mais elles sont précisément ce que la CNIL contrôle en priorité sur les données de santé. Et le risque ne vient pas que d'un contrôle : il vient surtout d'une fuite.
Que se passe-t-il en cas de fuite : le coût réel
Imaginez votre ordinateur portable volé dans un train, ou votre boîte mail compromise par un phishing. Les questionnaires douleur de quarante salariés se retrouvent exposés. Voici l'enchaînement :
| Étape | Obligation / coût |
|---|---|
| Notification CNIL | Sous 72 h après découverte de la violation |
| Information des personnes | Obligatoire si risque élevé pour les salariés |
| Expertise technique | 2 000 à 8 000 € pour analyser l'incident |
| Réclamations des salariés | Atteinte à la vie privée, demandes d'indemnisation |
| Sanction CNIL | Jusqu'à 4 % du chiffre d'affaires annuel |
Pour un indépendant, le poste le plus violent n'est même pas la sanction : c'est la gestion de crise — trouver en urgence un expert, rédiger les notifications, gérer les salariés inquiets et l'entreprise cliente furieuse. C'est précisément ce que prend en charge l'assurance cyber, qui finance l'assistance d'urgence, la cellule de gestion d'incident et la défense face aux réclamations.
Deux assurances complémentaires, pas concurrentes
Une confusion fréquente : croire que la RC Pro suffit, ou qu'une cyber-assurance couvre tout. Les deux jouent sur des terrains distincts et complémentaires.
- La RC Professionnelle couvre la faute professionnelle : si votre manquement RGPD cause un préjudice à votre client (entreprise sanctionnée par ricochet, perte de confiance, contentieux), c'est elle qui répond.
- L'assurance cyber couvre l'incident lui-même : intrusion, vol de données, rançongiciel, frais de notification, expertise technique, restauration des systèmes.
Pour un ergonome qui manipule des données de santé, l'idéal est de combiner les deux. Le coût reste modeste face à l'exposition : une mission documentant les douleurs de plusieurs dizaines de salariés constitue à elle seule un risque majeur de réclamation. Pour situer ces risques dans l'ensemble de votre activité, consultez notre fiche métier ergonome.
Questions fréquentes
Oui. Toute information révélant l'état de santé d'une personne — douleurs, restrictions, pathologies — relève des catégories particulières de l'article 9, le régime le plus strict du RGPD, et appelle des obligations renforcées de sécurité et de conservation.
Cela dépend du contexte : responsable si vous décidez vous-même des finalités et moyens (votre propre questionnaire), sous-traitant si vous agissez selon les instructions de l'entreprise cliente. Une clause contractuelle doit clarifier ce statut.
Le strict temps nécessaire à la mission. Au-delà, vous devez anonymiser ou supprimer les données. Conserver des données de santé nominatives sans justification est un manquement directement contrôlé par la CNIL.
Notifier la CNIL sous 72 heures, informer les salariés concernés en cas de risque élevé, et engager une expertise pour comprendre l'incident. Une assurance cyber finance cette gestion de crise et l'assistance d'urgence.
Les deux sont complémentaires : la RC Pro couvre la faute professionnelle causant un préjudice à votre client, la cyber-assurance couvre l'incident technique lui-même (fuite, intrusion, frais de notification). Manipuler des données de santé justifie de combiner les deux.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Ergonome — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Ergonome →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.