Conservation des données personnelles

Sujet initié par Mimi, il y a 1 jour - 222 vues

Votre question appelle une réponse nuancée, car les affirmations que vous citez sont en partie exactes, mais globalement exagérées sur le plan juridique.

Il est exact que les certificats médicaux contiennent des données de santé, lesquelles sont considérées comme des données sensibles au sens du RGPD. Leur traitement est donc strictement encadré et soumis à des exigences particulières.

En revanche, il est excessif d'affirmer qu'un enseignant commet automatiquement une infraction pénale en conservant un certificat médical reçu par mail. En pratique, un enseignant agit dans le cadre de ses fonctions, au sein de l'établissement, et non à titre personnel. Il peut être amené à traiter ce type d'information pour des motifs légitimes, notamment la gestion des absences ou des obligations pédagogiques.

Le simple fait de recevoir et de conserver temporairement un certificat médical ne constitue donc pas, en soi, un traitement illicite. Les articles 226-16 et 226-19 du Code pénal visent des situations plus graves, telles que la mise en œuvre de traitements illicites ou détournés de leur finalité, et ne s'appliquent pas automatiquement à ce type de situation courante.

Cela étant, certaines règles doivent être respectées. Les données doivent être strictement limitées à ce qui est nécessaire, leur conservation doit rester temporaire, et leur traitement doit être sécurisé. En principe, ces documents ont vocation à être traités par les services administratifs compétents de l'établissement, et non conservés durablement par un enseignant.

Enfin, il est exact que l'université constitue le responsable du traitement des données. Toutefois, cela n'exclut pas que les enseignants interviennent dans ce cadre, en tant que personnes habilitées à traiter ces informations dans l'exercice de leurs fonctions.

En définitive, les propos que vous avez trouvés reposent sur un fondement réel, mais ils en tirent des conclusions juridiquement excessives et simplificatrices.

Je vous remercie de bien vouloir mentionner que la question est résolue.
Bien Cordialement.

Bonjour,

Le point de départ est exact : un certificat médical contient bien des données de santé, donc des [b]données sensibles au sens de l'article 9 du RGPD. Leur traitement est en principe interdit, sauf si l'un des fondements prévus par ce texte existe.

En revanche, il est faux de dire qu'un enseignant qui conserve un certificat médical reçu par mail commet, par principe et automatiquement, une infraction pénale aux [b]articles 226-16 et 226-19 du Code pénal[/b].

Pourquoi ?

D'abord, l'article 226-16 du Code pénal vise le non-respect de certaines formalités et obligations liées aux traitements de données ; ce n'est pas un texte qui criminalise automatiquement toute conservation ponctuelle d'un certificat médical par un enseignant.

Ensuite, l'article 226-19 du Code pénal vise la mise ou conservation, hors les cas prévus par la loi, de certaines catégories de données sensibles dans un traitement informatique.

Là encore, son application suppose une analyse concrète du traitement, de son cadre, de sa finalité et de sa base légale ; on ne peut pas affirmer qu'il s'applique automatiquement du seul fait qu'un enseignant a reçu un mail avec certificat médical.

Le vrai raisonnement est donc plus nuancé :

oui, un enseignant qui reçoit un certificat médical traite des données sensibles ;
oui, ce traitement doit reposer sur une base juridique, une finalité déterminée, une conservation limitée et un circuit approprié ;
mais non, cela ne signifie pas automatiquement qu'il y a infraction pénale personnelle dès conservation du document. Le RGPD impose surtout des principes de licéité, minimisation et limitation de conservation.

La CNIL rappelle d'ailleurs de façon générale que les données ne doivent pas être conservées indéfiniment et que leur traitement doit être justifié par une finalité déterminée.

Autre affirmation trop catégorique dans le texte cité : dire que "le responsable du traitement est exclusivement l'université, et non l'enseignant à titre personnel" est souvent vrai dans l'organisation générale, mais ne permet pas, à lui seul, de conclure que tout courriel reçu par un enseignant est nécessairement un traitement illicite.

En pratique, l'enseignant agit souvent dans le cadre du service universitaire, donc au sein du traitement de l'établissement, même si la question peut devenir problématique si le document est conservé inutilement, transmis à tort ou stocké hors de tout cadre interne.

Le [b]point de vigilance réel est donc ailleurs :

si l'enseignant n'a pas besoin du certificat lui-même, il ne devrait en principe recevoir ou conserver que le minimum nécessaire ;
si l'université prévoit un canal dédié — service scolarité, médecine préventive, plateforme d'absences — il vaut mieux utiliser ce circuit ;
et si le certificat est conservé durablement dans une boîte mail personnelle ou retransmis sans nécessité, alors là, oui, il peut y avoir un problème RGPD sérieux.

Les textes sur l'assiduité dans certaines formations montrent d'ailleurs que des certificats médicaux peuvent être exigés pour justifier certaines absences, ce qui confirme qu'il peut exister un cadre légal ou réglementaire de collecte ; mais cela ne dispense évidemment pas de respecter les règles de protection des données.

Si cette réponse vous a été utile, je vous remercie de bien vouloir indiquer la question comme résolue et de sélectionner précisément la meilleure réponse, c'est-à-dire en cliquant sous la réponse qui vous a été la plus utile, afin d'attribuer cette réponse à l'avocat qui vous a le plus aidé.

Cela permet de valoriser le travail juridique fourni et d'aider d'autres personnes confrontées à une difficulté similaire.

Si vous l'acceptez, vous pouvez également me contacter afin que nous approfondissions ensemble votre situation.

Bien à vous,

Maître Jordan MINARY
Avocat au Barreau de LYON

La présente réponse constitue un avis juridique général, émis sous toutes réserves, au regard des seuls éléments exposés. Elle ne saurait se substituer à une consultation juridique personnalisée.

Pour toute démarche engageant vos droits, il convient de consulter un avocat, seul à même de procéder à une étude complète et sur pièces de votre dossier et de vous fournir une réponse adaptée.