Marcus Belke
CEO de 2B Advice GmbH, moteur de l'innovation dans le domaine de la vie privée conformité et de la gestion des risques, et a dirigé le développement d'Ailance, la nouvelle génération de conformité plateforme.
L'évaluation en matière de protection des données de Données de santé Dans le cadre des relations de travail, cela fait partie des aspects les plus sensibles de la société moderne Conformité-pratique. La publication du rapport de la déléguée régionale chargée de Protection des données et de la liberté d'information de Rhénanie-du-Nord-Westphalie (LDI NRW) concernant ce que l'on appelle la « maladie persistante ». La question centrale est de savoir si et dans quelle mesure un employeur est en droit de collecter ou d’exiger des informations relatives à la santé de ses salariés lorsqu’il soupçonne que plusieurs périodes d’arrêt maladie sont liées entre elles et qu’elles ne donnent donc pas lieu à un nouveau versement de salaire.
Les données de santé et la nécessité de les protéger
Données de santé sont soumis à l'article 9, paragraphe 1 RGPD les catégories particulières de données à caractère personnel. Elles ne peuvent en principe pas être traitées, à moins qu'un motif d'autorisation spécial de l'article 9, paragraphe 2, ne s'applique. RGPD s'applique. Dans les relations de travail, une telle Traitement entre autres par l'art. 9 al. 2 let. b RGPD i.V. m. § L'article 26, paragraphe 3, de la BDSG peut être légitimé s'il est nécessaire à l'exercice de droits ou au respect d'obligations légales découlant du droit du travail.
Le terme „ nécessaire “ n’est pas ici une simple formalité : il implique une évaluation au cas par cas au regard de la protection des données. Les employeurs ne peuvent donc pas exiger de manière générale la présentation de documents médicaux ni établir eux-mêmes des diagnostics. Ils doivent être en mesure de justifier le caractère proportionné de la mesure.
La continuité des soins, critère de référence d'une pratique conforme à la protection des données
La notion de « maladie consécutive » trouve son origine dans la législation relative au maintien du salaire (article 3, paragraphe 1, deuxième phrase, de l'EFZG). Selon cette disposition, l’obligation de maintien du salaire cesse lorsqu’un salarié tombe à nouveau malade, mais que cette nouvelle maladie présente un lien de causalité avec la précédente et que la période de six semaines est déjà épuisée. L’existence d’un tel lien reste souvent incertaine. Dans le cadre d’un litige devant le tribunal du travail, il incombe à l’employeur d’exposer les faits et d’apporter la preuve de la persistance de ce lien de causalité.
C'est précisément là que surgissent des tensions en matière de protection des données : pour s'acquitter de leur charge de la preuve, il n'est pas rare que les employeurs exigent un avis médical. Par exemple auprès du médecin traitant, du médecin du travail ou par l’intermédiaire de la caisse d’assurance maladie. La LDI NRW souligne toutefois que de telles mesures constituent une atteinte considérable aux droits des salariés concernés et ne peuvent donc être autorisées que dans des cas exceptionnels dûment justifiés.
Le rôle de l'obligation de participation des salariés
L'arrêt rendu par la Cour fédérale du travail le 18 janvier 2023 (réf. 5 AZR 93/22) donne une impulsion majeure à la pratique. Selon cette décision, il incombe au salarié d'exposer de manière concrète et compréhensible qu'il n'existe aucun lien entre les périodes de maladie. Cette charge de la preuve échelonnée peut, dans certaines circonstances, l'obliger à lever le secret médical des médecins traitants.
Cette décision revêt une importance considérable en matière de protection des données : alors que les employeurs ne sont eux-mêmes autorisés à collecter des données que de manière limitée, les salariés sont soumis à une obligation procédurale de divulgation. Il s'agit là d'une tension qui Conformité- et les délégués à la protection des données.
Conseil de lecture : Arrêt de l'OFSP sur le litige relatif à la continuation de la maladie : pourquoi la présentation d'une attestation d'incapacité de travail ne suffit plus à elle seule
Les mesures de protection des données dans la pratique
Quelle que soit la manière dont les données sont collectées, les dispositions suivantes s'appliquent à Données de santé des exigences accrues en matière de mesures de protection techniques et organisationnelles. Il s'agit notamment de la séparation Rangement de Données de santé, l'exclusion des accès non autorisés grâce à des concepts de rôles et de droits ainsi que l'utilisation de Cryptage. Ces mesures ne sont pas de simples recommandations de bonnes pratiques, mais des obligations légales, par exemple en vertu de l'article 32 de la loi sur la protection des données. RGPD.
En outre, il est recommandé de procéder à une évaluation documentée des risques à un stade précoce. En particulier, si l'employeur a concernés personne à divulguer ou à recourir à un renseignement de la caisse de maladie. Ces mesures doivent être prises dans le Répertoire des activités de traitement être décrites et accompagnées d’analyses d’impact relatives à la protection des données (AIPD) lorsque les risques sont jugés élevés.
Recommandations à l'intention des responsables de la protection des données et de la conformité
Dans la pratique professionnelle, il est essentiel que les responsables de la protection des données et de la conformité participent activement à la définition des limites juridiques et des possibilités en cas de suspicion de maladies récidivantes. Une coopération étroite avec les services des ressources humaines est ici indispensable. Il convient notamment d’élaborer des procédures standardisées qui définissent les critères d’une collecte licite, prennent en compte des mesures alternatives moins contraignantes (telles que les avis du médecin du travail) et réglementent strictement l’accès aux données particulièrement sensibles.
De plus, des formations internes devraient permettre de garantir que les responsables des ressources humaines n'agissent pas de manière précipitée ou par simple habitude Données de santé collecter ou demander. De même, une structure Documentation des cas particuliers, y compris les considérations relatives à la Nécessité et de proportionnalité, est vivement recommandée. Notamment dans la perspective d'éventuels contrôles par les autorités de surveillance.
Appréciation de la continuation de la maladie sous l'angle de la protection des données
L'évaluation de la « maladie persistante » au regard de la protection des données nécessite une approche nuancée. Les employeurs doivent trouver un juste équilibre entre l'intérêt lié au droit du travail en matière de maîtrise des coûts et l'intérêt des salariés en matière de protection des données. Les responsables de la protection des données et de la conformité jouent ici un rôle central : ils veillent non seulement à ce que les processus soient conçus dans le respect de la législation, mais protègent également les droits fondamentaux des salariés. Il s’agit d’un exercice d’équilibre qui exige à la fois du tact et une grande rigueur juridique.
Conseil de lien : Données relatives à la santé des salariés : ce que les employeurs ont le droit de faire et doivent savoir
Marcus Belke est CEO de 2B Advice et juriste et expert en informatique pour la protection des données et le numérique. Conformité. Il écrit régulièrement sur la gouvernance de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French