RGPD | Protection des données

Le SSTRN, service de santé au travail de la région nantaise, est un service de prévention et de santé au travail interentreprises, dont la mission est d’assurer notamment la préservation de l’état de santé des travailleurs de ses adhérents (les entreprises implantées dans le département des Pays de la Loire).

Depuis sa création, le SSTRN, pour exercer ses missions, collecte des données à caractère personnel, les exploite et les conserve, parmi lesquelles des données de santé des travailleurs de ses adhérents.

Le traitement de ces données doit répondre aux exigences de la réglementation relative à la protection des données (RGPD) ainsi qu’à celles de la loi informatique et libertés modifiée en 2019, garantissant la sécurité, l’intégrité, et la confidentialité, ainsi que la traçabilité des données contre les risques suivants : accès illégitime aux données, modification non désirée des données et disparition des données.

En sa qualité de responsable du traitement, le SSTRN attache une grande importance à la protection et au respect de la vie privée de ses adhérents ainsi que de leurs travailleurs.

C’est pourquoi la présente politique est établie et vise à informer les adhérents ainsi que leurs travailleurs, conformément au Règlement n°2016-679 du 27 avril 2016, des conditions de traitement de leurs données dans le cadre de leur prise en charge.

Nota : le terme de « travailleur » est utilisé dans cette politique et vise à identifier les salariés des adhérents.

Le SSTRN est le responsable des traitements de données mis en œuvre, pour les finalités et dans les conditions définies par la présente politique de sécurité et de confidentialité.

Le SSTRN est une association déclarée, régie par la loi du 1er juillet 1901. Son siège social est situé au 2 rue Linné, 44100 Nantes. Elle est identifiée au SIREN sous le numéro 788 354 843 00021.

qualite
Qualité du SSTRN vis-à-vis des adhérents

Afin de lui permettre de remplir ses missions vis-à-vis des adhérents et des travailleurs, le SSTRN est amené à traiter certaines catégories de données à caractère personnel des travailleurs, pour des finalités identifiées (cf. §4) :

• données d'identification (nom, prénom, mail, adresse postale, téléphone, NIR, etc.) ;
• données relatives à la vie personnelle (situation familiale, nombre d'enfants, etc. ;
• données relatives aux informations bancaires et financières ;
• données médico-professionnelles (informations sur le poste de travail, informations d'ordre
  social,  situation de famille, etc.) ;
• données de santé (pathologies, résultats d'examens, conclusions médicales, etc.).

Nous obtenons ces données :

• soit directement par le travailleur (lors des visites médicales par exemple) ;
• soit indirectement : par le biais notamment de l’adhérent (dans le cadre des informations qu’il doit nous fournir lors de son adhésion au SSTRN, ou encore lors de la déclaration préalable à l’embauche), d’un professionnel de santé participant à la prise en charge du travailleur, d’un
  autre SPSTI (transmission du DMST), etc.

Ces données nous sont nécessaires afin de remplir nos missions, lesquelles sont inscrites dans la loi à l’article L. 4622-2 du Code du travail.

Pour rappel, les services de prévention et de santé au travail ont pour mission principale d'éviter toute altération de la santé des travailleurs du fait de leur travail. Ils contribuent à la réalisation d'objectifs de santé publique afin de préserver, au cours de la vie professionnelle, un état de santé du travailleur compatible avec son maintien en emploi. À cette fin, ils :

1. conduisent les actions de santé au travail, dans le but de préserver la santé physique et mentale des travailleurs tout au long de leur parcours professionnel ;
2. apportent leur aide à l'entreprise, de manière pluridisciplinaire, pour l'évaluation et la prévention des risques professionnels ;
3. conseillent les employeurs, les travailleurs et leurs représentants sur les dispositions et mesures nécessaires afin d'éviter ou de diminuer les risques professionnels, d'améliorer la qualité de vie et des conditions de travail, en tenant compte le cas échéant de l'impact du télétravail sur la santé et l'organisation du travail, de prévenir la consommation d'alcool et de drogue sur le lieu de travail, de prévenir le harcèlement sexuel ou moral, de prévenir ou de réduire les effets de l'exposition aux facteurs de risques professionnels mentionnés à l'article L. 4161-1 et la désinsertion professionnelle et de contribuer au maintien dans l'emploi des travailleurs ;
4. accompagnent l'employeur, les travailleurs et leurs représentants dans l'analyse de l'impact sur les conditions de santé et de sécurité des travailleurs de changements organisationnels importants dans l'entreprise ;
5. assurent la surveillance de l'état de santé des travailleurs en fonction des risques concernant leur santé au travail et leur sécurité et celle des tiers, des effets de l'exposition aux facteurs de risques professionnels mentionnés à l'article L. 4161-1 et de leur âge ;
6. participent au suivi et contribuent à la traçabilité des expositions professionnelles et à la veille sanitaire ;
7. participent à des actions de promotion de la santé sur le lieu de travail, dont des campagnes de vaccination et de dépistage, des actions de sensibilisation aux bénéfices de la pratique sportive et des actions d'information et de sensibilisation aux situations de handicap au travail, dans le cadre de la stratégie nationale de santé prévue à l'article L. 1411-1-1 du code de la santé publique.

De ce fait, le SSTRN traite les données des travailleurs pour les finalités principales suivantes :

4.1 Gestion de l'adhésion

Dans le cadre de la gestion de l’adhésion de l’employeur au SSTRN (via notamment le portail adhérent), le SSTRN traite les informations nécessaires des travailleurs de l’adhérent à prendre en charge : données d’identification, données relatives à leur poste de travail, au type de suivi déclaré par l’employeur.

4.2 Activités de prévention individuelle

À cet effet, les données des travailleurs sont traitées pour réaliser les finalités suivantes (liste non exhaustive) :

• la gestion administrative des visites (convocation, rappel, etc.) ;
• le suivi individuel en santé travail et la tenue du DMST, incluant la gestion des examens complémentaires ;
• les actions de maintien dans l’emploi et de prévention de la désinsertion professionnelle ;
• la prise en charge individuelle ou collective par le pôle ergo psycho social ;
• l’organisation des visites en téléconsultation.

4.3 Gestion et conservation des données

Des traitements sont mis en œuvre pour réaliser les missions suivantes :

• la gestion et tenue des archives médicales,
• les demandes d’accès et de communication des dossiers médicaux,
• certaines études en santé, recherche et veille sanitaire et épidémiologique (en effet les
  professionnels de santé du SSTRN peuvent être amenés à réaliser des statistiques, études et recherche en santé à partir des données déjà collectées, sauf opposition de votre part que vous pouvez manifester par simple mail à dpo@sstrn.fr ou en l’indiquant à votre médecin ; certaines études peuvent nécessiter votre consentement préalable qui sera requis le cas échéant).

4.4 Actions de prévention collectives

À cet effet, des données peuvent être traitées pour réaliser :

• les actions en milieu de travail (étude de poste, fiche entreprise, conseils de prévention en entreprise, etc.) ;
• les formations et sensibilisations des adhérents et de leurs travailleurs.

4.5 Gestion des contentieux ou pré-contentieux

Le SSTRN peut être amené à devoir défendre ses intérêts ou se défendre en justice. Dans ce cas certaines données peuvent être utilisées pour cette finalité. Il en va ainsi des données d’identification, des données d’ordre professionnel, mais en aucun cas des données d’ordre médical.

4.6 Démarche d'amélioration continue du SSTRN

Incluant la gestion de la conformité au RGPD, les réclamations des adhérents, des travailleurs, etc.

Le traitement des données des travailleurs repose majoritairement sur le motif légal de l’exercice par le SSTRN d’une mission d’intérêt public, motif prévu article 6e) du RGPD.

Par ailleurs, et parce que le traitement des données de santé est, par principe interdit, le SSTRN dispose d’une dérogation à cette interdiction, matérialisée par la nécessité de traiter vos données à des fins de médecine préventive ou de la médecine du travail (motif prévu à l’article 9 h) du RGPD).
Nous pouvons toutefois être amenés à traiter vos données sur la base d’un autre motif que celui de l’exercice d’une mission d’intérêt public. Ainsi :

• le SSTRN est amené à demander le consentement des personnes pour l’organisation de la téléconsultation, de la prévention de la désinsertion professionnelle par le FASTT (intérimaires), certaines études et recherches en santé ; d’une manière plus générale, dès lors que le consentement des personnes est requis pour traiter leurs données, le SSTRN se charge d’informer les personnes et de recueillir leur consentement ;
• il est amené à traiter des données en raison de son intérêt légitime et notamment en ce qui concerne le traitement du mail des travailleurs des adhérents dans le cadre de la relance aux visites, pour la gestion des contentieux et la défense de nos intérêts légitimes, pour le recours à l’interprétariat, gestion des demandes d’accès et de communication du DMST, la tenue du portail intérimaire, la mise en place du dispositif de vidéosurveillance des locaux ;
• enfin, il peut être tenu de traiter les données en raison d’une obligation légale, ce qui est le cas par exemple pour la gestion du RGPD (tenue des registres, traçabilité des demandes d’exercices de droits, etc.) ainsi que pour la tenue du dossier médical en santé travail (DMST).

Le médecin du travail assure ses missions en équipe pluridisciplinaire, composée d’infirmier en santé travail, de conseiller en prévention, d’ASST, voire de médecins collaborateurs, et d’interne en médecine. D’autres professionnels peuvent être sollicités selon les cas : psychologues du travail, assistants sociaux, ergonomes, infirmiers des entreprises adhérentes, etc.

Les données des travailleurs traitées pour les finalités précitées, sont accessibles, en tout ou partie, par les catégories de personnes suivantes :

6.1 En interne au SSTRN

Les catégories de données administratives, professionnelles, des travailleurs sont accessibles par le personnel du SSTRN habilité à y accéder étant donné ses missions ainsi que les finalités poursuivies, et notamment :

• par le personnel du service "adhérent" dans le cadre de la gestion des adhésions ;par le personnel en charge de la gestion administrative des visites ;
• par les professionnels du SSTRN participant ou amené à participer à la prise en charge du
  travailleur (membres de l’équipe santé travail, autres professionnels tels que les psychologues, etc).

L’accès aux données médicales sont, sauf opposition de la part du travailleur, accessibles uniquement par les professionnels de santé du SSTRN participant ou appelés à participer à sa prise en charge (médecin du travail, collaborateur médecin, interne en médecine, infirmier).

L’accès aux données de santé des travailleurs est strictement limité aux informations qui leurs sont nécessaires pour exercer leurs fonctions et dans la limite de ce à quoi leur fonction leur donne droit.

Le médecin du travail peut être amené, sous sa responsabilité et après recueil du consentement du salarié, à échanger des informations concernant le travailleur avec d’autres professionnels de l’équipe pluridisciplinaire participant à sa prise en charge, dans la limite des informations auxquelles ils ont besoin d’accéder du fait de leur fonctions ou de la mission confiée/déléguée (Ex : intervention d’un conseiller en prévention pour une étude de poste individuelle, secrétaire médicale pour la gestion du secrétariat administratif, etc).

Le consentement du travailleur à ce partage lui sera demandé préalablement lors de sa prise en charge. Le travailleur est informé qu’il peut retirer son consentement à ce partage à tout moment en informant son médecin du travail.

Par ailleurs, le médecin du travail peut être amené à transmettre des informations médicales concernant le travailleur à d’autres professionnels de santé participant à sa prise en charge en dehors du SSTRN, tel que le médecin traitant, un médecin spécialiste, etc. Cet échange nécessite le consentement préalable du travailleur. Le cas échéant, cet échange est réalisé au moyen d’une messagerie sécurisée de santé.

À des fins de continuité de la prise en charge en santé travail, et sauf opposition de la part du travailleur, son dossier médical en santé travail détenu au SSTRN peut être transmis à un autre Service de santé au travail appelé à le prendre en charge. De même, le SSTRN peut être amené à demander à un SPSTI au sein duquel le travailleur est ou a été pris en charge, son dossier médical détenu par ledit SPSTI. Cette transmission ne nécessite pas l’accord préalable du travailleur. Il dispose cependant, après en avoir été informé, du droit de s’y opposer, pour des motifs tenant à sa situation particulière.

Tous les professionnels du SSTRN sont tenus au secret professionnel (ou médical pour les professionnels de santé).

Enfin l’employeur n’a pas accès aux données de santé du travailleur.

Nous ne vendons ni ne transmettons les données à des tiers à des fins de prospections commerciales.

6.2 En externe au SSTRN

Les données sont accessibles par les catégories de personnes suivantes en dehors du SSTRN :

• le cas échéant, par le personnel habilité des entreprises adhérentes au sein desquelles le médecin du travail du SSTRN effectue le suivi individuel et en particulier par l’infirmier d’entreprise, sous réserve du consentement préalable du travailleur ;
• à nos prestataires de services et sous-traitants réalisant des prestations pour notre compte (il en va ainsi pour notre prestataire fournissant le logiciel métier, notre hébergeur de données, nos prestataires informatiques, etc) ;
• à nos partenaires dans le cadre d’enquêtes, d’études, de partenariat ; lorsque cela est possible la transmission se fait de manière anonyme ;
• aux administrations, organismes publics, autorités judiciaires et auxiliaires de justices, dans la limite de ce que la réglementation permet.

Accès et alimentation du DMP
À compter du 1er janvier 2024, le médecin du travail pourra accéder, sous réserve du consentement du travailleur, aux éléments de son dossier médical partagé. Il pourra également, toujours avec l’accord du travailleur, verser au DMP certains éléments de son DMST.
Pour plus d’informations : https://www.monespacesante.fr et pour gérer la liste des professionnels pouvant accéder à votre DMP : https://www.monespacesante.fr/questions-frequentes/gerer-mes- parametres/6

Le SSTRN ne transfert pas de données en dehors de l’union européenne. Il s’assure que ses prestataires, notamment, soient implantées dans l’Union Européenne afin de garantir l’application du RPGD.

Le SSTRN conserve les données traitées pour des durées appropriées et non excessives par rapport aux finalités poursuivies.

En cas de besoin les données peuvent être archivées une fois les traitements terminés. Elles sont ensuite soit supprimées soit anonymisées.

En ce qui concerne les données de santé détenues dans le dossier médical : celles-ci sont conservées tout le temps de la prise en charge du travailleur par les professionnels du SSTRN. Elles sont ensuite conservées pendant une durée conforme aux prescriptions légales, à savoir (au jour de la rédaction de la présente politique) :

• durée de droit commun, soit 40 ans à compter de la date de la dernière consultation ;
• en cas de décès du travailleur les données sont conservées 10 ans à compter de la date du
  décès ;
• pour les travailleurs soumis aux agents chimiques dangereux, conservation pendant au moins 50 ans après la fin de l’exposition ;
• pour les travailleurs soumis à des risques biologiques, conservation jusqu’à 40ans après la fin de l’exposition dans certains cas ;
• pour les travailleurs soumis à des rayonnements ionisants, conservation jusqu’aux 75 ans du
  travailleur et pendant au moins 50 ans après la fin de l’activité professionnelle implant une exposition aux rayonnements ionisants.

Au-delà, les données sont supprimées.

Note : le travailleur peut demander à tout moment une copie de son dossier médical, ou simplement y accéder. Pour plus d’informations, contactez le DPO : dpo@sstrn.fr ou votre médecin du travail.

Les données nécessaires au suivi en santé travail sont traitées informatiquement, au sein d’un logiciel métier, bénéficiant de mesures de sécurité appropriées.

Parmi ces mesures :

• seules les personnes habilitées ont accès aux données (les professionnels participant à la prise en charge) ;
• l’accès au dossier médical informatisé est tracé et toute personne n’ayant pas les droits doit justifier de son accès par un motif légitime ;
• les données de santé sont sauvegardées auprès d’un prestataire agréé « Hébergeur de données de Santé » (HDS) ;
• l’échange de données de santé entre professionnel est réalisée par le biais d’une messagerie sécurisée de santé ;
• certaines des données sont confiées à des sous-traitants (il en va ainsi de vos données de santé confiées au prestataire qui nous fournit le logiciel métier gérant les dossiers médicaux ou encore notre prestataire d’archivage des dossiers médicaux, ces sous-traitants sont liés au SSTRN par un contrat, lequel protège les données et sont conformes au RGPD ;
• les accès à nos locaux sont sécurisés par un système de badgeage, et disposent d’un dispositif de vidéosurveillance.

Ces mesures sont susceptibles d’évoluer régulièrement.

Conformément aux dispositions du RGPD, le travailleur dispose sur ses données, des droits suivants :

• droit d’accéder à ses données ;
• droit de demander une copie de son dossier médical, sans frais ;
• droit de s’opposer au traitement de ses données* ;
• droit de faire rectifier les données erronées ou périmées ;
• droit de supprimer les données* ;
• droit de transférer ses données.

*Ces droits ne sont pas absolus. Le droit à l’effacement peut être limité par l’obligation du SSTRN de devoir conserver vos données un certain nombre d’années. Le droit d’opposition au traitement de vos données doit être justifié.

Consultez la politique de gestion des cookies ici.

Le SSTRN offre la possibilité de s’abonner à notre newsletter. Si vous vous abonnez afin de recevoir notre newsletter et que, par conséquent, vous consentez à ce qu’elle vous soit envoyée, vos coordonnées seront exclusivement utilisées afin de vous adresser la newsletter. Nous sommes autorisés à traiter vos données dans ce contexte avec votre consentement (article 6(1a) du Règlement (UE) 2016/679).

Vous pouvez retirer ce consentement à tout moment en cliquant sur le lien figurant dans chaque copie de notre newsletter ou par mail à dpo@sstrn.fr.

La présente politique de protection des données peut être amenée à évoluer.

Le SSTRN dispose d’un service dédié au traitement des données personnelles représenté par un délégué à la protection des données personnelles (DPO) déclaré auprès de la Commission nationale Informatique et Libertés (CNIL).

Pour toutes questions concernant le traitement de vos données, les conditions d’exercice de vos droits, vous pouvez le contacter le DPO du SSTRN ou la CNIL.

SSTRN, 2 rue Linné - 44100 Nantes, représenté par sa directrice générale.

Audrey GILLARD : 2 rue Linné - 44100 Nantes / dpo@sstrn.fr / 02 40 44 26 95 / 06 99 12 59 82.

Le traitement de données a pour finalité :

• d’assurer la sécurité des biens, des locaux, des données et des personnes du SSTRN ;
• de procéder à la levée de doutes ;
• de permettre la transmission d’images aux autorités compétentes dans le cadre d’enquêtes.

Le fondement légal sur lequel repose ce traitement et qui le justifie (et l’autorise) est l’intérêt légitime du responsable de traitements.

Les catégories de données à caractère personnel traitées sont : images des personnes.

Les données proviennent des caméras de vidéosurveillance.

(si le traitement est fondé sur l'article 6, paragraphe 1, point f)

En effet, après plusieurs effractions et vols de matériel sur le site, le SSTRN a souhaité accroitre le niveau de sécurité de ses locaux et en particulier de son siège social, en installant un dispositif de vidéosurveillance.

Les personnes ayant accès aux données de la vidéosurveillance sont :

• En interne au SSTRN : le responsable de la sécurité du SSTRN.
• En dehors du SSTRN :
  • le prestataire SATO (sous-traitant de Bouygues Télécom) ;
  • le prestataire Bouygues ;
  • dans le cadre d’enquêtes judiciaires ou de contrôles, les autorités judiciaires ou de contrôles.
•  

Non

Les données sont conservées au maximum 1 mois, puis elles sont ensuite supprimées.

Compte tenu du fondement légal du traitement de données (intérêt légitime), les personnes disposent des droits suivants : accès, rectification, effacement, limitation du traitement et opposition.

Elles peuvent exercer ces droits en s'adressant directement au délégué à la protection des données du SSTRN.

La télémédecine est une forme de pratique médicale à distance utilisant les technologies de l’information et de la communication. Elle met en rapport, entre eux ou avec un patient, un ou plusieurs professionnels de santé, parmi lesquels figure nécessairement un professionnel médical et, le cas échéant, d’autres professionnels apportant leurs soins au patient.

Elle permet, selon l’appréciation du professionnel de santé, de continuer une prise en charge et un suivi en santé travail en évitant les déplacements.

La téléconsultation est un acte de télémédecine qui permet à un professionnel médical de donner une consultation à distance à un patient.

Votre médecin ou infirmier du travail peut vous proposer d’être accompagné, lors de la téléconsultation, par un tiers professionnel de santé tel que votre médecin traitant. Votre accord est là aussi requis.

L’exercice de la télémédecine est une pratique encadrée par la loi (article L.6316-1 du Code de la Santé Publique ; décret n°2010-1229 du 19 octobre 2010).

Elle est également autorisée pour les services de prévention et de santé au travail, depuis la gestion de la crise COVID-19 et formalisée définitivement au sein de la réforme de la santé au travail d’aout 2021 (article 21 de la LOI n° 2021-1018 du 2 août 2021 pour renforcer la prévention, article 3 du décret n° 2022-679 du 26 avril 2022 relatif aux délégations de missions par les médecins du travail, aux infirmiers en santé au travail, Décret n° 2022-1434 du 15 novembre 2022 relatif au dossier médical en santé au travail).

Elle nécessite votre consentement préalable qui vous sera demandé par tous moyens par nos équipes en santé travail et tracé dans votre dossier médical en santé travail (DMST).

Si vous acceptez la téléconsultation, votre prise en charge pourra alors se faire à distance et ainsi limiter le nombre de déplacements. Notez que le recours à la téléconsultation reste soumis à l’avis préalable du professionnel de santé, qu’elle soit demandée par lui ou par vous.

Sauf opposition de votre part, les professionnels de santé du SSTRN participant à votre prise en charge auront accès, de manière rapide, facile et dans le respect du secret professionnel à toutes les informations médicales nécessaires à votre suivi en santé travail (contenues dans votre dossier médical en santé travail, dit DMST)  durant l’échange de télémédecine grâce à un dossier informatisé qui répond aux exigences de sécurité et ce afin de garantir le respect de votre vie privée.

Cela permettra ainsi de mettre à jour votre dossier médical en santé travail avec la plus grande précision pour une meilleure prise en charge et un meilleur suivi.

À l’occasion de la téléconsultation, les mêmes données que celles traitées lors d’un rendez-vous physique seront nécessaires (données d’identification, données professionnelles, données de santé). Elles sont traitées par les professionnels participant à votre prise en charge (secrétaire médical, professionnels de santé, etc.).

Votre professionnel de santé s’assure que la visite ou l’examen en vidéotransmissions est réalisé dans les conditions sonores et visuelles satisfaisantes et de nature à garantir la confidentialité des échanges. Il peut l’interrompre à tout moment si ces conditions ne sont plus respectées.

Compte tenu de l’utilisation d’une solution digitale à distance, vos données peuvent être également traitées (à l’exception des données de santé) par le tiers en charge de la solution de téléconsultation.

Ces données ne feront l’objet d’aucune exploitation commerciale et ne seront ni cédées, ni utilisées à d’autres fins que celles prévues c’est-à-dire : pour réaliser l’acte de téléconsultation en santé au travail.

Vous êtes informé que dans l’hypothèse où vous ne donneriez pas votre consentement à l’acte de télémédecine réalisé par le SSTRN, vous serez suivi dans le cadre « normal » de prise en charge, à savoir une visite physique sur votre centre.

Conformément au Règlement Général Européen relatif à la protection des données (RGPD), vous disposez des droits suivants sur vos données : un droit d’information (article 13 RGPD), un droit d’accès (article 15 RGPD) et un droit de rectification des données à caractère personnel vous concernant (article 16 RGPD) , ainsi que le droit de retirer votre consentement à tout moment, un droit à la limitation du traitement (article 18 RGPD) et d’un droit à l’effacement (dans les conditions prévues à l’article 17 RGPD).

L’exercice de ces droits est subordonné à l’envoi de votre demande par écrit accompagnée d’un justificatif d’identité auprès de notre délégué à la protection des données : par mail à dpo@sstrn.fr ou par courrier à Direction des systèmes d’information du SSTRN, à l’attention du délégué à la protection des données : SSTRN, 2 rue Linné, 44100 Nantes.

Vous êtes par ailleurs informé que les données de santé vous concernant faisant l’objet d’un traitement dans le cadre notamment de la télémédecine sont hébergées auprès de notre prestataire CHEOPS bénéficiant notamment d’une certification « Hébergement des Données de Santé ».

Dans le cadre de la santé au travail, le coût des visites, qu’elles soient réalisées en présentiel ou en téléconsultation, est à la charge de l’adhérent (l’employeur du salarié). Le coût de la visite ne diffère pas selon ses modalités de réalisations technologiques.