Tout part de la directive 89/391/CEE du Conseil du 12 juin 1989, dite « directive-cadre », qui a posé pour les douze États membres de l'époque le socle commun de la santé-sécurité au travail. Trois articles continuent de structurer aujourd'hui le droit français :

• Article 5 : obligation générale de sécurité pesant sur l'employeur — « assurer la sécurité et la santé des travailleurs dans tous les aspects liés au travail »
• Article 6 : neuf principes généraux de prévention (éviter les risques, évaluer ceux qui ne peuvent l'être, combattre à la source, etc.)
• Article 9 : obligation de disposer d'une évaluation des risques pour la sécurité et la santé, et de documenter cette évaluation

La France a transposé ces principes par la loi n° 91-1414 du 31 décembre 1991, qui a inséré dans le Code du travail l'ancien article L230-2 — aujourd'hui devenu L4121-1. Mais la France n'a pas, à cette date, créé d'obligation formelle de document écrit consolidé. Ce sera l'apport du décret de 2001.

Cette racine européenne explique aussi pourquoi le DUERP français suit la même logique que les Risk Assessment britanniques, les Gefährdungsbeurteilung allemandes, ou les Documento di Valutazione dei Rischi italiens : ce sont toutes des déclinaisons nationales d'une obligation européenne commune.

L'article L4121-1 du Code du travail est la pierre angulaire de toute la prévention en France. Il pose trois exigences cumulatives :

1. Prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs
2. Mettre en œuvre des actions de prévention, d'information et de formation
3. Mettre en place une organisation et des moyens adaptés

L'innovation du texte, dans sa version issue de la loi du 17 août 2015, est la mention explicite de la santé mentale. Depuis cet ajout, les risques psychosociaux (RPS) — stress chronique, harcèlement, burnout — sont juridiquement à inclure dans le DUERP au même titre que les risques physiques. Plusieurs arrêts (Cass. soc., 1^er juin 2016, n° 14-19.702) ont confirmé qu'une organisation du travail générant des RPS engageait pleinement la responsabilité de l'employeur.

« L'employeur, tenu d'une obligation de sécurité en matière de protection de la santé et de la sécurité des travailleurs, doit en assurer l'effectivité […]. Il y manque, alors même qu'il aurait pris des mesures en vue de la faire cesser, lorsque le salarié est victime, sur le lieu de travail, d'agissements de harcèlement moral. »

— Cass. soc., 21 juin 2006, n° 05-43.914 (arrêt SNECMA)

L'article L4121-2 liste les neuf principes qui doivent guider l'employeur pour mettre en œuvre les mesures de prévention. Ces principes sont hiérarchisés : on ne passe au suivant qu'après avoir épuisé le précédent. Connaître cette liste mot pour mot est indispensable pour rédiger un DUERP qui « tient » devant l'inspection.

1. Éviter les risques
2. Évaluer les risques qui ne peuvent pas être évités
3. Combattre les risques à la source
4. Adapter le travail à l'homme, en particulier en ce qui concerne la conception des postes de travail ainsi que le choix des équipements et des méthodes de travail
5. Tenir compte de l'état d'évolution de la technique
6. Remplacer ce qui est dangereux par ce qui ne l'est pas ou par ce qui l'est moins
7. Planifier la prévention en y intégrant, dans un ensemble cohérent, la technique, l'organisation du travail, les conditions de travail, les relations sociales et l'influence des facteurs ambiants (notamment les RPS et le harcèlement)
8. Prendre des mesures de protection collective en leur donnant la priorité sur les mesures de protection individuelle (principe EPC > EPI)
9. Donner les instructions appropriées aux travailleurs

L'article L4121-3 précise l'objet de l'évaluation : « L'employeur, compte tenu de la nature des activités de l'établissement, évalue les risques pour la santé et la sécurité des travailleurs […]. À la suite de cette évaluation, l'employeur met en œuvre les actions de prévention ainsi que les méthodes de travail et de production garantissant un meilleur niveau de protection de la santé et de la sécurité des travailleurs. »

Les modalités pratiques sont posées par les articles R4121-1 à R4121-4 :

• R4121-1 : l'évaluation est consignée dans un document unique. L'employeur transcrit et met à jour les résultats. L'évaluation comporte un inventaire des risques identifiés dans chaque unité de travail.
• R4121-2 : mise à jour au moins annuelle ; lors de toute décision d'aménagement important modifiant les conditions de santé et de sécurité ; lorsqu'une information supplémentaire concernant l'évaluation d'un risque est recueillie.
• R4121-3 : conservation 40 ans (depuis la loi du 2 août 2021) et accès ouvert aux travailleurs, aux membres du CSE, au médecin du travail, à l'inspecteur du travail, aux agents de la CARSAT, aux IPRP.
• R4121-4 : affichage dans l'entreprise d'un avis indiquant les modalités d'accès au DUERP, à la même place que celui réservé au règlement intérieur.

Une jurisprudence constante (Cass. crim., 8 oct. 2019, n° 18-85.493) considère qu'un DUERP générique, type catalogue, sans inventaire spécifique par unité de travail, ne satisfait pas R4121-1 — quand bien même il existerait formellement.

La loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail (issue de l'ANI du 9 décembre 2020) constitue la réforme la plus importante du DUERP depuis 2001. Elle a apporté quatre nouveautés majeures :

• Création de l'article L4121-3-1 imposant la conservation du DUERP et de ses versions successives pendant 40 ans, calquée sur la durée de prescription des maladies professionnelles à effets différés (amiante, cancers chimiques, TMS chroniques)
• Obligation pour les entreprises de 50 salariés et plus d'élaborer un Programme Annuel de Prévention des Risques Professionnels et d'Amélioration des Conditions de Travail (PAPRIPACT) issu du DUERP
• Obligation pour les entreprises de moins de 50 salariés de définir des actions de prévention dans le DUERP lui-même (sans le formalisme PAPRIPACT)
• Création d'un portail numérique national de dépôt du DUERP, sur le site www.portail-duerp.fr, géré par les organisations professionnelles d'employeurs (article L4121-3-1 dernier alinéa)

L'enjeu de la conservation 40 ans est majeur : un salarié exposé à un cancérogène en 2026 et qui développe un cancer professionnel en 2055 doit pouvoir prouver l'exposition. C'est l'employeur (ou son successeur, en cas de cession) qui supporte cette charge de conservation.

Le portail numérique impose un versement obligatoire du DUERP à jour. Le calendrier de l'obligation de dépôt est progressif :

• 1^er juillet 2024 : entreprises de 150 salariés et plus
• 1^er juillet 2025 : entreprises de 11 à 149 salariés
• Pour les entreprises de moins de 11 salariés, la date sera précisée par décret ultérieur

Le dispositif pénal autour du DUERP s'organise en quatre étages, de l'amende contraventionnelle au délit lourd :

L'absence de DUERP ne crée pas, en elle-même, l'infraction d'homicide ou de blessures. Mais elle est l'élément matériel qui caractérise la « violation manifestement délibérée » (terme du Code pénal), aggravant la peine. La règle pratique : un employeur sans DUERP et avec un AT grave s'expose au plafond du barème, pas au plancher.