Mise à jour réglementaire cruciale pour les RH : À partir de 2026, les entreprises allemandes et de l’Union européenne devront impérativement séparer de manière stricte les données de santé issues des mesures d’intégration professionnelle (BEM) des dossiers du personnel, sous peine de sanctions financières importantes et d’invalidation de licenciements.
- Une séparation « fonctionnelle et spatiale » des données de santé est désormais exigée, allant au-delà d’un simple classement dans des dossiers distincts.
- Les tribunaux du travail ont déjà invalidé des licenciements en raison d’un non-respect de la confidentialité des données BEM.
- Le non-respect de ces nouvelles règles peut entraîner des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Les services des ressources humaines en Allemagne et dans toute l’Union européenne sont confrontés à une échéance critique : la mise en conformité avec de nouvelles exigences concernant la protection des données de santé des salariés. Une jurisprudence récente et l’interprétation stricte du Règlement général sur la protection des données (RGPD) imposent une séparation complète et vérifiable des données relatives aux mesures d’intégration professionnelle (BEM) et des dossiers personnels traditionnels. Les experts juridiques et spécialisés en protection des données avertissent que la période de tolérance pour un « stockage combiné » des données est révolue.
Fin 2025, une série de décisions des tribunaux du travail a clairement établi la priorité d’une séparation « fonctionnelle et spatiale » des données. Les violations de cette règle exposent les entreprises à des amendes massives au titre du RGPD et à l’annulation de procédures de licenciement. Les principaux fournisseurs de services RH, tels qu’ADP et le portail spécialisé allemand Haufe, ont d’ores et déjà mis à jour leurs directives de conformité pour 2026, soulignant que les données de santé liées aux BEM bénéficient d’un niveau de protection supérieur aux documents employés habituels.
Il ne suffit plus de séparer ces données par le biais de dossiers distincts, qu’ils soient physiques ou numériques. Une véritable « barrière » – à la fois physique et numérique – doit exister entre l’équipe chargée des BEM et le reste du service des ressources humaines. Cette exigence découle de l’article 9 du RGPD, qui protège particulièrement les données biométriques et de santé. Même un accès involontaire à des informations médicales sensibles peut constituer une infraction grave.
De nombreuses entreprises se demandent actuellement comment mettre en œuvre ces exigences dans la pratique : qui est autorisé à consulter quels fichiers, comment documenter les droits d’accès et quels accords doivent être négociés avec le comité d’entreprise ? Pour répondre à ces questions, un guide BEM gratuit, comprenant des instructions détaillées, des modèles de discussion, des listes de contrôle et un exemple d’accord d’entreprise, est disponible pour les délégués à la protection des données (DPO), les comités d’entreprise et les responsables RH.
Un précédent établi par le Tribunal du travail de l’État du Bade-Wurtemberg (réf. 15 Sa 22/24) en janvier 2025 a redéfini les règles du jeu. Le tribunal a invalidé un licenciement en raison du non-respect d’une procédure BEM conforme aux exigences de protection des données. La conclusion essentielle est que si un prestataire de services BEM externe ou une équipe interne ne conserve pas les données de santé strictement séparées des personnes responsables des décisions de licenciement, l’ensemble du processus BEM est considéré comme défectueux. Pour 2026, cela signifie que les responsables RH impliqués dans la gestion des contrats ou des mesures disciplinaires doivent être techniquement et organisationnellement exclus de l’accès aux informations médicales contenues dans le dossier BEM. Le principe du « besoin d’en connaître » est désormais interprété de manière particulièrement stricte.
L’implémentation de ces exigences dans les systèmes de gestion du capital humain (HCM) représente un défi majeur pour les entreprises. Les systèmes intégrés présentent un risque de mélange involontaire de données, car les administrateurs standard disposent souvent de droits d’accès trop larges, incluant les modules BEM. La nouvelle norme exige la création de « silos numériques », où les droits d’accès sont configurés de manière à ce que seule l’équipe BEM autorisée puisse consulter les données de santé sensibles. Le dossier du personnel ne doit contenir que des informations administratives minimales : l’invitation à participer à une BEM, l’acceptation ou le refus du salarié et le résultat final.
Les diagnostics spécifiques, les plans de traitement ou les rapports psychologiques doivent être stockés dans un coffre-fort numérique distinct et crypté, ou dans un classeur physiquement verrouillé auquel seul le représentant BEM a accès. Les auditeurs en matière de protection des données soulignent que même la possibilité d’un accès non autorisé peut être considérée comme une violation.
Les conséquences d’une violation de ces règles ont considérablement augmenté en 2026. Outre le risque de perdre des procès devant les tribunaux du travail, les entreprises s’exposent à des amendes importantes. Les autorités de contrôle de la protection des données, notamment dans les Länder de Berlin et de Basse-Saxe, ont annoncé qu’elles examineraient particulièrement attentivement les droits des salariés cette année. Les amendes pour un traitement inapproprié de données sensibles, conformément à l’article 9 du RGPD, peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. À cela s’ajoute le préjudice à l’image de l’entreprise en cas de fuite de données concernant la santé des salariés.
D’ici fin 2026, la séparation stricte des données devrait devenir la norme universelle, et le « stockage combiné » sera relégué au passé. Les experts recommandent la réalisation d’« audits de séparation » par le DPO de l’entreprise au premier trimestre. Les responsables RH sont invités à revoir immédiatement leurs accords internes et les autorisations des logiciels afin de se conformer à cette réglementation plus stricte.
P.S. De nombreux services RH sous-estiment l’urgence de développer des modèles et des listes de contrôle sur mesure, notamment en raison du contrôle accru exercé par les tribunaux et les autorités de contrôle. Téléchargez gratuitement le livre électronique BEM et un exemple d’accord pour bénéficier de guides de discussion pratiques, de listes de contrôle pour les silos numériques et de recommandations concrètes pour les DPO et les comités d’entreprise. Téléchargez gratuitement le livre électronique BEM et un exemple d’accord.