Les données relatives à la consommation d'alcool ou de drogues d'un salarié sont-elles des données sensibles au sens du RGPD ?

Réponse courte

Les données relatives à la consommation d'alcool ou de drogues constituent des données de santé au sens de l'art. 9 du RGPD, bénéficiant d'une protection renforcée. Leur traitement est en principe interdit, sauf exceptions : consentement explicite du salarié, nécessité liée aux obligations en droit du travail, ou protection des intérêts vitaux de la personne.

En droit luxembourgeois, l'art. L.261-1 encadre le traitement des données personnelles à des fins de surveillance des salariés. L'employeur doit informer préalablement la délégation du personnel ou, à défaut, l'ITM, avec une description détaillée de la finalité. Les résultats de tests, avis d'aptitude et informations sur la consommation de substances sont soumis à des règles strictes de confidentialité, de limitation de finalité et de durée de conservation.

Définition

Les données sensibles au sens du RGPD regroupent les catégories particulières de données à caractère personnel dont le traitement est soumis à des restrictions renforcées. Les données relatives à la consommation d'alcool ou de drogues relèvent de la catégorie des données de santé (art. 9 RGPD), qui inclut toute information révélant l'état de santé physique ou mentale d'une personne, y compris les résultats de tests de dépistage.

Conditions d’exercice

Le traitement de ces données est soumis aux conditions suivantes.

Condition	Détail
Interdiction de principe	Le traitement des données de santé est interdit (art. 9 §1 RGPD)
Exceptions	Consentement explicite, obligations en droit du travail, intérêts vitaux
Information préalable	L'employeur doit informer la délégation du personnel (art. L.261-1 §2)
Finalité limitée	Les données ne peuvent être utilisées que pour la finalité déclarée
Durée de conservation	Limitée au strict nécessaire
Droit d'opposition	La délégation ou les salariés peuvent saisir la CNPD (art. L.261-1 §4)

Modalités pratiques

Le traitement des données suit les étapes suivantes.

Élément	Détail
Analyse d'impact	Réaliser une AIPD avant tout traitement de données de dépistage
Information préalable	Informer la délégation du personnel avec description détaillée de la finalité
Collecte minimale	Ne collecter que les données strictement nécessaires à la finalité de sécurité
Accès restreint	Limiter l'accès aux résultats au médecin du travail et aux personnes habilitées
Conservation limitée	Supprimer les données dès qu'elles ne sont plus nécessaires
Droits des salariés	Assurer le droit d'accès, de rectification et d'effacement

Pratiques et recommandations

Réaliser une analyse d'impact sur la protection des données avant de mettre en place tout système de dépistage est une obligation légale pour les traitements de données de santé à grande échelle.

Limiter strictement l'accès aux résultats de tests au médecin du travail qui ne communique à l'employeur qu'un avis d'aptitude garantit le respect du secret médical et du RGPD.

Informer la délégation du personnel en amont de tout traitement de données liées à la consommation de substances permet de sécuriser juridiquement la procédure et d'obtenir l'adhésion des représentants.

Consulter la CNPD en cas de doute sur la conformité du traitement envisagé constitue une démarche prudente qui prévient les sanctions administratives.

Cadre juridique

Référence	Objet
Art. 9 RGPD	Catégories particulières de données (données de santé)
Art. L.261-1 Code du travail	Traitement des données personnelles et surveillance des salariés
Art. L.414-3 Code du travail	Consultation de la délégation du personnel

Note

La CNPD (Commission nationale pour la protection des données) peut être saisie par la délégation du personnel ou les salariés concernés dans les 15 jours suivant l'information préalable, avec effet suspensif. Un traitement non conforme expose l'employeur à des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.