Dépistage en entreprise : CNIL, RGPD et vie privée

Mettre en place un dépistage d’alcool ou de stupéfiants dans une entreprise ne se résume jamais à acheter des éthylotests ou des tests salivaires. C’est d’abord une opération encadrée par le droit à la protection des données et au respect des libertés individuelles, sous le regard croisé de la CNIL et du RGPD. Un employeur qui néglige ce cadre s’expose à voir sa procédure invalidée et à engager sa responsabilité. Voici, point par point, ce qu’exige la réglementation avant de contrôler un salarié.

Un résultat de dépistage est une donnée de santé protégée

Le résultat d’un test de dépistage renseigne sur l’état physiologique d’une personne : il relève des données concernant la santé. Or, l’article 9 du RGPD range ces informations parmi les « catégories particulières de données à caractère personnel », dites données sensibles. Leur traitement est interdit par principe, sauf à entrer dans l’une des exceptions strictement énumérées (consentement explicite, obligation légale de l’employeur en matière de droit du travail, sauvegarde des intérêts vitaux, etc.).

Concrètement, un employeur ne peut pas constituer un fichier des résultats médicaux de dépistage de ses salariés. La CNIL rappelle que les services des ressources humaines n’ont pas à détenir d’informations médicales sur le personnel. Cette qualification de donnée sensible conditionne tout le reste du dispositif : information des personnes, durée de conservation, personnes habilitées à y accéder.

La proportionnalité : justifier le dépistage par la nature de la tâche

L’article L.1121-1 du Code du travail pose une règle centrale : nul ne peut apporter aux droits des personnes et aux libertés individuelles des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Un dépistage constitue une atteinte à la vie privée : il ne se justifie que si la fonction occupée l’exige réellement.

Le critère opérationnel est celui du poste de sûreté et de sécurité. Seuls sont concernés les salariés dont l’état d’intoxication ferait courir un danger aux personnes ou aux biens. Un employeur doit donc identifier précisément ces postes plutôt que de contrôler l’ensemble de ses effectifs.

• Conduite de véhicules, d’engins ou de machines dangereuses.
• Travaux en hauteur, sur voie ferrée ou à proximité de lignes électriques.
• Manipulation de produits dangereux ou d’armes.
• Tout poste où une défaillance mettrait en jeu la sécurité du salarié ou de tiers.

Cette exigence de proportionnalité s’articule avec l’obligation de sécurité de l’employeur (article L.4121-1 du Code du travail), qui doit prendre les mesures nécessaires pour protéger la santé physique et mentale des travailleurs. Le dépistage est donc un moyen de prévention, encadré, et non une fin en soi.

L’inscription obligatoire au règlement intérieur

Aucun contrôle n’est licite s’il n’a pas été préalablement encadré. Le test, ses modalités et les catégories de postes concernées doivent figurer dans le règlement intérieur ou dans une note de service annexée (articles L.1321-1 et suivants du Code du travail). Le règlement intérieur est lui-même soumis à la consultation du comité social et économique et au contrôle de l’inspection du travail.

Le Conseil d’État a précisé, dans sa décision n° 394178 du 5 décembre 2016, qu’un test salivaire de détection immédiate de stupéfiants a pour seul objet de révéler une consommation récente et ne constitue pas un examen biologique. Aucune règle ne réserve son recueil à une profession médicale : un supérieur hiérarchique peut donc y procéder, à la double condition que le règlement intérieur le prévoie et que le résultat positif puisse faire l’objet d’une contre-expertise médicale à la charge de l’employeur. Le dispositif du règlement intérieur doit également définir les catégories de personnel concernées.

Interdiction du dépistage systématique et généralisé

Le dépistage aléatoire, systématique ou visant l’ensemble du personnel est prohibé. Il contreviendrait au principe de proportionnalité et au caractère nécessairement ciblé du contrôle. Un test ne peut viser que des salariés occupant les postes sensibles identifiés, et à des occasions justifiées : embauche sur poste à risque, comportement laissant présumer un état inadapté, retour après un événement particulier.

La CNIL insiste par ailleurs sur la finalité de prévention : les dispositifs de dépistage ne doivent servir qu’à protéger la sécurité, et non à constituer un outil de surveillance permanent. Généraliser le contrôle reviendrait à traiter des données sensibles sans nécessité, ce que l’article 9 du RGPD interdit.

Dignité, secret médical et rôle exclusif du médecin du travail

Le respect de la dignité du salarié impose des conditions matérielles préservant sa vie privée : contrôle réalisé à l’écart des regards, sans stigmatisation, et par une personne habilitée. Les personnes chargées de mettre en œuvre un test salivaire sont tenues au secret professionnel sur le résultat.

Dès lors qu’un examen relève de la santé au travail, ou qu’une contre-expertise biologique est demandée, seul le médecin du travail est compétent pour la prescrire et l’interpréter, dans le respect du secret médical. Il ne transmet à l’employeur qu’une conclusion d’aptitude ou d’inaptitude au poste, jamais le détail des données de santé. Cette séparation stricte entre le champ managérial et le champ médical est la clé de voûte de la protection du salarié.

Conservation des résultats, information des salariés et sanctions

Un résultat de dépistage n’a pas vocation à être conservé dans un dossier RH. Le principe est la non-conservation : le test sert à autoriser ou non la prise de poste à un instant donné, pas à alimenter un fichier durable de données de santé. Seule peut être conservée, le cas échéant, la trace des mesures disciplinaires ou de sécurité prises, sans le détail médical.

L’information préalable des salariés est obligatoire : ils doivent connaître l’existence du dispositif, sa finalité, les postes concernés, les modalités du contrôle et leurs droits (accès, rectification, contre-expertise, recours au médecin du travail). Cette transparence découle à la fois du RGPD et des règles d’opposabilité du règlement intérieur.

• Manquement au RGPD : la CNIL peut prononcer des sanctions administratives, dont des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves.
• Dépistage hors règlement intérieur ou disproportionné : procédure inopposable au salarié et sanction disciplinaire fondée sur ce test susceptible d’annulation devant le conseil de prud’hommes.
• Atteinte à la vie privée ou violation du secret médical : responsabilité civile, voire pénale, de l’employeur ou de la personne fautive.

Un dépistage bien conçu protège autant l’entreprise que le salarié : il repose sur des postes clairement identifiés, un règlement intérieur à jour, une information loyale, un rôle réservé au médecin du travail pour l’interprétation médicale et une absence de conservation des données de santé. C’est à ces conditions que la prévention se concilie avec le respect de la vie privée.

Sources

• RGPD, article 9 (catégories particulières de données, dont la santé) — lien
• CNIL, « Données sur votre santé : mon employeur peut-il les connaître ? » — lien
• Conseil d’État, 4e-5e ch. réunies, 5 décembre 2016, n° 394178 (test salivaire réalisable par un supérieur hiérarchique) — lien
• Code du travail, article L.1121-1 (proportionnalité des restrictions aux libertés) — lien
• Code du travail, articles L.1321-1 et suivants (règlement intérieur) — lien
• INRS, « Addictions : réglementation » — lien

Cet article a une vocation informative et de prévention. Il ne constitue ni un avis juridique ni un avis médical personnalisé.

Sur le même sujet : Drogue au travail : risques, repérage et prévention · DUERP et risque addictif : comment l’intégrer · Équiper sa flotte d’éthylotests : guide entreprise