Protection des données

Le RESTEV s’engage à ce que le traitement des données à caractère personnel (ci-après « données ») soit conforme au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données dit « RGPD » et à la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (dans sa dernière version du 20 juin 2018).

Quel est l’objet de la présente charte ?

La présente Charte vise à fournir aux personnes concernées une information claire, précise et complète sur la collecte, le traitement et la protection de leurs données, ainsi que sur leur stockage, et les mesures de sécurité mises en place pour les protéger. Le RESTEV traite des données de cinq catégories de personnes concernées que sont :
– Les entreprises adhérentes,
– Les salariés et dirigeants des entreprises adhérentes,
– Les collaborateurs du RESTEV,
– Les candidats,
– Les visiteurs du site web restev.fr.

Quelle est la signification des termes employés par la règlementation applicable à la protection des données à caractère personnel ?

– Données à caractère personnel : « toute information se rapportant à une personne physique identifiée ou identifiable, (…), directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale »,

– Traitement : « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction »,

– Personne concernée : « toute personne physique identifiée ou identifiable dont les données à caractère personnel font l’objet d’un traitement »,

– Responsable de traitement : « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un Etat membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou le droit d’un Etat membre »,

– Sous-traitant : « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du
traitement ».

Qui est le responsable de traitement ?

Le RESTEV, représenté par sa direction, est le responsable des traitements mis en œuvre pour les finalités et dans les conditions définies par la présente Charte. Le RESTEV est une association déclarée, régie par la loi du 1er juillet 1901. Son siège social est situé 1, impasse Newton – Les Oudairies – CS 80267 – 85007 LA ROCHE-SUR-YON.

Quelles sont les données traitées par le RESTEV ?

Dans le cadre de la collecte des données, le RESTEV s’engage à respecter le principe de minimisation des données conformément à l’article 5 du RGPD.
Le RESTEV est amené à traiter des données à caractère personnel relatives aux salariés des adhérents pour lui permettre d’exercer sa mission d’intérêt public :

– d’éviter toute altération de l’état de santé des travailleurs du fait de leur travail,
– de conduire des actions en santé au travail,
– de prévenir les risques professionnels,
– d’assurer le suivi individuel de l’état de santé de chaque travailleur.

Les données sont communiquées soit par l’adhérent (article 14 RGPD) soit par le salarié lui-même (article 13 RGPD).
Exceptionnellement, certaines données peuvent être obtenues indirectement telles que celles transmises via la plateforme de dépôt de l’URSSAF lors des déclarations préalables à l’embauche effectuées par les adhérents ou par un professionnel de santé participant à la prise en charge de la personne concernée.

Le RESTEV est amené à traiter les données suivantes :

Entreprises adhérentes

Données administratives : Dénomination sociale de l’organisme adhérent, adresse postale, SIREN/SIRET, numéro de TVA intracommunautaire, code APE
Données de contact : Adresse électronique et numéro de téléphone
Données d’identité : Nom et prénom des dirigeants ou collaborateurs de l’adhérent en relation avec le RESTEV, numéro de téléphone et adresse électronique
Données de connexion : Login et mot de passe provisoire
Salariés et dirigeants des entreprises adhérentes

Données d’identité, socio-administratives et médicoadministratives : Nom, prénom, date de naissance, lieu de naissance, sexe, adresse postale, numéro de téléphone, adresse mail, situation maritale et familiale (enfants ou personnes à charge), mesure de protection, NIR, reconnaissance de la qualité de travailleur handicapé (RQTH)
Données liées à l’emploi, à la formation et au poste de travail: Intitulé du poste ou emploi, nature du contrat, code PCS-ESE de l’emploi, date d’embauche ou de départ, travail de nuit, temps de travail, taches effectuées par le salarié, type de suivi individuel, expositions associées et risques identifiés, professions exercées par le passé, niveau d’études
Données relatives à l’état de santé : Examens médicaux, données des examens cliniques, avis d’aptitude ou d’inaptitude, date d’arrêt de travail/maladie,
incapacité, invalidité, identité du médecin traitant, informations médicales nécessaires à la détermination de l’aptitude ou au constat d’une inaptitude et antécédents médicaux personnels ou familiaux
Candidats à un poste

Données d’identité : Nom et prénom et autres données présentes sur le curriculum vitae et la lettre de motivation
Données relatives au parcours académique et professionnel : Compétences, expériences professionnelles et autres données présentes sur le curriculum vitae et la lettre de motivation
Données de contact : Adresse mail et numéro de téléphone
Collaborateurs du RESTEV

Données d’identité : Nom, prénom, sexe, adresse du domicile personnel, date et lieu de naissance, nationalité, situation familiale
Données de contact : Adresse mail et numéro de téléphone

Données administratives : NIR, données relatives aux véhicules (permis de conduire, attestation d’assurance, certificat d’immatriculation)
Données financières et bancaires : RIB, taux d’imposition sur le revenu (sauf taux neutre)
Données relatives à l’état de santé : Suivi médical, handicap, incapacité

Les données traitées au sujet des visiteurs du site web du RESTEV sont détaillées dans la Politique de cookies.

Pourquoi les données sont-elles collectées ?

L’utilisation des données répond à des objectifs très spécifiques :

– Gérer le dossier médical en santé au travail (DMST),
– Renseigner le dossier consacré à l’entreprise et mener les actions en lien avec les missions imparties au RESTEV,
– Gérer le personnel du RESTEV,
– Assurer l’administration du RESTEV,
– Réaliser des recherches, études et enquêtes anonymisées,
– Gérer l’interface du site web.

Sur quelle base légale repose le traitement des données ?

Le traitement des données par le RESTEV repose sur cinq bases légales principales que sont :

– La mission d’intérêt public,
– L’obligation légale,
– Le consentement,
– Le contrat,
– Et plus rarement l’intérêt légitime.

Quelles sont les durées de conservation des données ?

Les modalités de conservation du dossier médical en santé au travail (DMST) sont définies par le Code du travail.
Pour les salariés exposés à des agents chimiques ou aux rayonnements ionisants, le DMST doit être conservé pendant au moins 50 ans après la fin de la période d’exposition. Pour les salariés susceptibles d’être exposés à des agents biologiques pathogènes, le DMST doit être conservé pendant 40 ans à compter de la cessation de l’exposition. Pour les salariés soumis à aucun risque, le DMST doit être conservé pendant 40 ans à compter de la dernière visite médicale. Pour les autres traitements, une politique de conservation des données a été définie en interne.

Comment les personnes concernées sont-elles informées du traitement de leurs données ?

L’adhérent est tenu d’informer ses salariés de manière transparente, claire, loyale et complète sur la communication de certaines de leurs données au RESTEV. Les employeurs et leurs salariés sont informés de leurs droits et du traitement de leurs données par le RESTEV :

– Par voie d’affichage au sein des salles d’attente des centres du RESTEV,
– Par la mise à disposition sur le site internet de la présente Charte de protection des données,
– Par le recueil du consentement : À la première visite pour le partage ou le transfert de données contenues dans le dossier
médical en santé au travail, Pour la téléconsultation, Pour la prise en charge par la cellule prévention de la désinsertion professionnelle (PDP).
Le consentement des personnes concernées peut être retiré à tout moment en contactant le secrétariat de l’équipe médicale en charge du suivi ou le délégué à la protection des données (DPO) du RESTEV.

Qui sont les destinataires de données ?

Seuls les professionnels de santé du RESTEV (médecins du travail et infirmiers en santé au travail) accèdent à l’ensemble des données présentes dans votre dossier médical.
Certaines données contenues dans le dossier médical peuvent être transmises ou sont rendues accessibles aux professionnels du RESTEV (assistants médicaux, intervenants en prévention des risques professionnels, ergonomes, psychologues et chargé de la cellule de prévention de la désinsertion professionnelle) justifiant du besoin d’en connaitre dans le cadre de leurs missions et participant à votre prise en charge.
L’employeur n’a pas accès au dossier médical mais peut recevoir certaines informations conformément à ce qui est expressément prévu par la législation en vigueur. Dans ce cas, seules les informations nécessaires lui sont communiquées.
Le consentement pour le partage ou le transfert de données à un autre service de prévention et santé au travail (SPST), à un organisme externe ou un professionnel de santé externe est demandé spécifiquement à chaque personne reçue en visite. Le RESTEV ne partage jamais les données, quelles qu’elles soient, avec d’autres organismes à des fins de prospection commerciale.

Le site restev.fr utilise-t-il des cookies et autres traceurs ?

Le consentement libre, éclairé, manifeste et univoque de l’utilisateur se manifeste par une action positive de sa part dans le respect du principe de l’opt-in ou accord exprès de la personne concernée au traitement de ses données. Les utilisateurs du site web peuvent à tout moment modifier leur choix ou retirer leur consentement pour tout ou partie des cookies (à l’exception des cookies indispensables ne portant pas atteinte à la vie privée des utilisateurs). Il reste, néanmoins, possible de s’opposer aux cookies obligatoires tels que les cookies techniques aux dépens du bon fonctionnement du site web. Pour des informations plus détaillées, se référer à la Politique de cookies.

Les données sont-elles transférées en dehors de l’Union européenne et de l’Espace économique européen ?

Le RESTEV ne procède à aucun transfert de données en dehors de l’Union européenne et de l’Espace économique européen.
Nos prestataires d’hébergement, situés en France, et certifiés « Hébergeurs de Données de Santé » pour la gestion des données de santé, assurent le stockage de ces données.

Les données peuvent-elles être transmises à des tiers autorisés ?

Par ailleurs, le RESTEV est susceptible de transmettre les données à des tiers autorisés s’il y est contraint par la loi, une disposition règlementaire ou une ordonnance judiciaire ou encore si cette divulgation est rendue nécessaire pour les besoins d’une enquête, d’injonction ou d’une procédure judiciaire initiées par une autorité nationale, sur le territoire national ou à l’étranger.

Quelles mesures de sécurité sont appliquées aux données traitées ?

Dans le respect de l’article L. 1111-8 du Code de la santé publique et de l’article R. 4624- 45-8 du Code du travail, le RESTEV veille à ce que toutes dispositions soient prises pour assurer la confidentialité des informations conservées ou hébergées. De fait, le RESTEV met en œuvre les mesures techniques et organisationnelles adéquates pour préserver la disponibilité, l’intégrité et la confidentialité des données à caractère personnel, notamment afin d’empêcher qu’elles ne soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Ces mesures sont les suivantes :

– Mesures de sécurité physique visant à empêcher l’accès aux infrastructures sur lesquelles sont stockées les données du RESTEV par des personnes non autorisées,
– Système de gestion des habilitations permettant de limiter l’accès aux locaux et aux archives aux seules personnes ayant besoin d’y accéder dans le cadre de leurs fonctions et de leur périmètre d’activité,
– Contrôle des accès au système d’information via un système d’authentification et une politique de gestion des mots de passe,
– Processus d’authentification des utilisateurs et administrateurs du système d’information,
– Hébergement des données chez un prestataire certifié par l’AFNOR « Hébergeur de données de santé » conforme à l’ensemble des référentiels en vigueur dans le domaine de la protection des données de santé et des données à caractère personnel et fournissant ainsi au RESTEV un service
de haute disponibilité et de haut niveau de sécurité,
– Processus et dispositifs permettant de tracer l’ensemble des actions réalisées sur le système d’information du RESTEV et d’effectuer, conformément à la réglementation en vigueur, des actions de reporting en cas d‘incident impactant les données du RESTEV,
– Outils visant à assurer la traçabilité de l’ensemble des actions réalisées sur le logiciel métier,
– Sauvegarde quotidienne et automatique des données.

Sensibilisation des collaborateurs du RESTEV

Les bonnes pratiques en matière de confidentialité et de sécurité des données sont régulièrement rappelées au personnel ainsi qu’à toute personne amenée à utiliser le système d’informations du RESTEV ou à manipuler des données à caractère personnel via : les chartes informatiques, le règlement intérieur, les procédures d’accueil, les notes de services, les documents du système qualité ainsi qu’au moyen de sessions de sensibilisation.

Quels sont les droits des personnes concernées au regard de leurs
données ?

L’exercice des droits dépend de la base légale du traitement. Seuls les droits d’accès et de rectification sont des droits absolus.
Ainsi, selon la base légale, les droits suivants sont accordés :

– Droit d’accès : la personne concernée a la possibilité de demander au RESTEV d’avoir accès à ses données,
– Droit de rectification : la personne concernée peut modifier ou compléter ses données,
– Droit à l’effacement : la personne concernée peut obtenir l’effacement de certaines de ses données dans des cas limitativement énumérés par la réglementation,
– Droit à la portabilité : la personne concernée a le droit de recevoir les données qu’elle a fournies au RESTEV ou d’obtenir que ses données soient directement transmises à un autre responsable de traitement,
– Droit d’opposition : la personne concernée a la possibilité de s’opposer au traitement de certaines ses données pour des raisons se rapportant à sa situation particulière,
– Droit à la limitation du traitement : la personne concernée peut demander la limitation du traitement lorsqu’elle conteste l’exactitude de ses données par exemple,
– Droit de définir des directives sur le sort de ses données post-mortem : la personne concernée peut donner son consentement à l’exercice des droits ci-avant mentionnés par ses ayants droit.

En outre, le RESTEV s’engage à ne pas recourir aux décisions fondées exclusivement sur un traitement automatisé, y compris le profilage.

Comment contacter le délégué à la protection des données (DPO) ?

Les personnes concernées peuvent exercer leurs droits en s’adressant au DPO du RESTEV :
– A l’adresse électronique : dpo@restev.fr,
– Par courrier postal :

RESTEV
1, impasse Newton
Les Oudairies – CS 80267
85007 LA ROCHE-SUR-YON

Droit d’introduire une réclamation auprès de la CNIL

Chaque personne dispose, également, d’un droit de porter une réclamation à la Commission
nationale de l’informatique et des libertés (CNIL) :

CNIL
Services des Plaintes
3 place de Fontenoy – TSA 80715
75334 PARIS CEDEX 07
https://www.cnil.fr/fr/plaintes