De nombreux salariés en télétravail sont frileux à l’idée de retourner sur leurs lieux de travail, et de nombreux employeurs se demandent comment assurer ce retour dans les meilleures conditions et rassurer les employés quant à la maîtrise du risque de contamination par leurs collègues.
Dans un communiqué en date du 7 mai 2020, la CNIL précisait aux employeurs les données qu’ils pouvaient collecter auprès de leurs salariés en respectant leur vie privée : date, nom, prénom, contamination ou suspicion de contamination. Les employeurs devaient également mettre en place des canaux dédiés et sécurisés. Plusieurs entreprises ont ainsi élaboré des questionnaires plus ou moins complexes pour savoir si certains de leurs salariés présentaient des risques, dans le but légitime d’adapter leur organisation du travail à la période post-Covid.
Les employeurs peuvent utiliser des questionnaires, mais seul le personnel de santé compétent est en mesure d’avoir accès aux données des salariés contenant des informations relatives à leur état de santé, leur situation familiale, leurs conditions de vie ou leurs éventuels déplacements.
La CNIL précisait « qu’il en va de même pour les tests médicaux, sérologiques ou de dépistage du COVID-19, dont les résultats sont soumis au secret médical : l’employeur ne pourra recevoir que l’éventuel avis d’aptitude ou d’inaptitude à reprendre le travail émis par le professionnel de santé. Il ne pourra alors traiter que cette seule information, sans autre précision relative à l’état de santé de l’employé, d’une façon analogue au traitement des arrêts de maladie qui n’indiquent pas la pathologie dont l’employé est atteint ».
Par conséquent, les employeurs ont deux options :
- soit ils ne collectent que la date, le nom, le prénom du salarié et les données relatives à une éventuelle contamination ou suspicion de contamination ;
- soit ils communiquent un questionnaire plus poussé avec collecte de données de santé. Dans cette hypothèse, seule la médecine du travail peut traiter les données collectées et ne remonter aux managers que les seules données d’aptitude ou d’inaptitude à reprendre le travail.
En tout état de cause, la médecine du travail est le point focal du traitement de l’information médicale en entreprise : il ne peut s’agir du service des ressources humaines ou du manager de proximité. Elle pourra, si un ou plusieurs cas sont avérés, mener des actions complémentaires pour éviter la propagation de la maladie et protéger les salariés (identifier les contacts potentiels, procéder à un nettoyage, etc.).
Il s’agit, comme dans tout programme de conformité (en l’occurrence sanitaire), de choisir les services les plus adaptés pour traiter le problème, de leur donner les moyens d’agir, et de s’interdire de faire entrer au forceps de nouveaux problèmes dans une organisation qui n’est pas taillée pour eux. Il est important de rappeler que :
- les données ne doivent être conservées que pour une durée très limitée ;
- les salariés doivent être informés de la collecte de leurs données et de ses finalités (article 13 du RGPD) ;
- le traitement doit être indiqué dans le registre de l’employeur.