L’employeur doit-il conserver les certificats médicaux dans le dossier RH au Luxembourg ?
Réponse courte
L’employeur au Luxembourg doit conserver les certificats médicaux dans le dossier RH du salarié, uniquement dans la mesure nécessaire à la gestion administrative de l’absence, au calcul de la rémunération, à la gestion des droits à la sécurité sociale et au respect des obligations légales. Cette conservation doit respecter les principes de proportionnalité, de confidentialité, de limitation de la finalité et de traçabilité, conformément à la législation sur la protection des données et au RGPD.
La durée de conservation des certificats médicaux ne doit pas excéder cinq ans à compter de la fin de l’année civile au cours de laquelle l’absence a pris fin, sauf en cas de contentieux en cours. Seule la partie attestant l’incapacité de travail et sa durée doit être conservée, sans archiver d’informations sur le diagnostic ou la pathologie, sauf nécessité expresse et justifiée.
Définition
Le certificat médical est un document officiel délivré par un médecin, attestant l’incapacité de travail d’un salarié pour raisons de santé. Il précise la durée de l’incapacité et, le cas échéant, les restrictions médicales applicables. Au Luxembourg, la présentation d’un certificat médical est obligatoire pour justifier une absence pour maladie ou accident à partir du troisième jour d’absence, ou dès le premier jour si l’employeur l’exige, conformément à l’article L.121-6 du Code du travail.
Conditions d’exercice
L’employeur est tenu de recevoir et de traiter les certificats médicaux transmis par les salariés dans le respect des obligations légales et du principe d’égalité de traitement. La conservation de ces documents dans le dossier individuel du salarié est autorisée, sous réserve du respect des principes de proportionnalité, de confidentialité, de limitation de la finalité et de traçabilité, conformément à la loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel et au RGPD.
La conservation doit être strictement limitée à ce qui est nécessaire pour la gestion administrative de l’absence, le calcul de la rémunération, la gestion des droits à la sécurité sociale et le respect des obligations légales de l’employeur. L’encadrement humain du traitement des données de santé est obligatoire, et toute automatisation doit être supervisée.
Modalités pratiques
Les certificats médicaux doivent être conservés dans le dossier individuel du salarié, sous format papier ou électronique, dans des conditions garantissant la confidentialité et la sécurité des données. L’accès à ces documents doit être restreint aux seules personnes habilitées à traiter les absences et la paie, telles que les responsables RH ou le service du personnel, avec une traçabilité des accès.
La durée de conservation des certificats médicaux ne doit pas excéder cinq ans à compter de la fin de l’année civile au cours de laquelle l’absence a pris fin, conformément à la prescription en matière de rémunération et de gestion du contrat de travail (article L.222-4 du Code du travail). Au-delà de ce délai, les certificats doivent être détruits de manière sécurisée, sauf en cas de contentieux en cours nécessitant leur conservation prolongée.
Pratiques et recommandations
Il est recommandé de ne conserver que la partie du certificat médical attestant l’incapacité de travail et sa durée, sans archiver d’informations relatives au diagnostic ou à la pathologie, sauf nécessité expresse et justifiée. L’employeur doit informer les salariés de la finalité de la conservation, de la durée de conservation et des droits dont ils disposent en matière d’accès, de rectification et d’effacement de leurs données, conformément aux articles 13 et 15 du RGPD.
L’employeur doit mettre en place des mesures techniques et organisationnelles pour garantir la confidentialité des certificats médicaux, notamment par la limitation des accès, la sécurisation des supports de stockage et la traçabilité des consultations. Toute transmission à des tiers, comme la Caisse nationale de santé (CNS), doit s’effectuer dans le strict respect des obligations légales et de la protection des données.
Cadre juridique
- Code du travail, articles L.121-6, L.121-7, L.222-4
- Loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel
- Règlement (UE) 2016/679 (RGPD), articles 5, 9, 13, 15
- Règlement interne de la Commission nationale pour la protection des données (CNPD)
- Jurisprudence nationale sur la gestion des données de santé en entreprise
Note
L’employeur doit veiller à ne jamais conserver de certificats médicaux au-delà de la durée strictement nécessaire et à ne pas archiver d’informations médicales non requises pour la gestion administrative, sous peine de sanctions administratives et pénales prononcées par la CNPD. La traçabilité des accès et l’encadrement humain du traitement sont des obligations à respecter.