La loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail, issue de l'ANI (Accord National Interprofessionnel) du 9 décembre 2020, a inséré dans le Code du travail un nouvel article L4121-3-1 dédié à la conservation et à la traçabilité du DUERP.

Avant cette loi, aucun texte ne précisait la durée de conservation du DUERP. La pratique courante était la conservation de la seule dernière version, les anciennes étant régulièrement détruites ou écrasées (notamment dans les outils numériques). Cette pratique posait un problème majeur : l'impossibilité de retracer l'historique des expositions pour les pathologies différées (cancers professionnels notamment), apparaissant 20 à 40 ans après l'exposition initiale.

L'article L4121-3-1 dispose désormais :

« Le document unique d'évaluation des risques professionnels et ses mises à jour sont conservés par l'employeur et tenus à la disposition des travailleurs, des anciens travailleurs ainsi que de toute personne ou instance pouvant justifier d'un intérêt à y avoir accès, dans des conditions garantissant la confidentialité des données. Cette conservation est assurée pendant une durée qui ne peut être inférieure à quarante ans. »

— Article L4121-3-1 alinéa 1 du Code du travail

Cette obligation est entrée en vigueur le 31 mars 2022 et ne s'applique qu'aux versions du DUERP postérieures à cette date (pas d'effet rétroactif sur les versions antérieures, qui peuvent néanmoins être conservées sur la base du volontariat).

La durée de 40 ans n'est pas un chiffre arbitraire. Elle correspond aux latences les plus longues observées en pathologies professionnelles, en particulier pour les cancers d'origine professionnelle. La conservation doit couvrir tout le cycle « exposition → manifestation clinique → reconnaissance → action en réparation ».

Quelques latences de référence :

• Amiante : mésothéliome pleural — 30 à 40 ans après l'exposition initiale ; cancers broncho-pulmonaires — 20 à 40 ans.
• Silice cristalline : silicose chronique — 15 à 30 ans ; cancer du poumon associé — jusqu'à 30 ans.
• Poussières de bois : adénocarcinome de l'ethmoïde — 10 à 30 ans.
• Benzène : leucémies — 5 à 20 ans.
• Rayonnements ionisants : cancers solides — 10 à 40 ans.
• Agents CMR (cancérogènes, mutagènes, reprotoxiques) : variable selon la substance, généralement 10 à 40 ans.

Le législateur a aligné la durée de conservation du DUERP sur ces latences pour permettre, au moment de la déclaration d'une maladie professionnelle, de remonter à l'historique exact des expositions du salarié sur l'ensemble de sa carrière. C'est un instrument décisif pour les contentieux en faute inexcusable et pour la reconnaissance des maladies professionnelles hors tableau (article L461-1 alinéa 4 du Code de la sécurité sociale).

Concrètement, une entreprise doit donc conserver toutes les versions successives du DUERP (et pas seulement la dernière) — typiquement, une nouvelle version est produite chaque année (mise à jour annuelle obligatoire, R4121-2), à laquelle s'ajoutent les mises à jour ponctuelles (aménagement de poste, nouveau process, accident grave). Sur 40 ans, cela peut représenter 50 à 100 versions à archiver.

La conservation 40 ans du DUERP s'articule avec d'autres dispositifs de traçabilité individuelle des expositions qui pré-existaient :

• Fiche individuelle d'exposition à la pénibilité / Compte Professionnel de Prévention (C2P) — conservée par la CNAV pendant toute la durée de l'activité du salarié, sans limitation.
• Dossier médical en santé au travail (DMST), article L4624-8 et R4624-45 — conservé par le service de santé au travail au minimum 40 ans après la cessation de l'exposition à un agent CMR, et au minimum jusqu'à l'âge de 75 ans pour les autres expositions.
• Liste actualisée des travailleurs exposés à un risque CMR (article R4412-58) — conservée par l'employeur pendant 50 ans.
• Attestation d'exposition remise au salarié lors de son départ de l'entreprise pour les expositions CMR (article R4412-58 et arrêté du 28 février 1995).

Le DUERP complète ces traçabilités individuelles par une traçabilité collective : il décrit l'environnement de travail à un instant T, les risques identifiés, les expositions potentielles. En cas de contentieux, le DUERP fournit le contexte général d'exposition que les documents individuels ne couvrent pas (par exemple, le DUERP de 1995 prouvera ou non que l'employeur avait conscience d'un risque amiante en vue d'une procédure ouverte en 2030).

Pour les ressources humaines, cette articulation impose une politique d'archivage coordonnée : ne pas détruire le DUERP avant 40 ans, ne pas détruire les fiches d'exposition individuelles, ne pas écraser les dossiers de la médecine du travail. La perte d'un de ces documents peut faire basculer une procédure prud'homale ou TASS au détriment de l'employeur.

L'article L4121-3-1 alinéa 2 prévoit le dépôt du DUERP et de ses mises à jour sur un portail numérique national :

« Le document unique [...] fait l'objet d'un dépôt dématérialisé sur un portail numérique déployé et administré par un organisme géré par les organisations professionnelles d'employeurs représentatives au niveau national et interprofessionnel. »

— Article L4121-3-1 alinéa 2 du Code du travail

Le portail est conçu pour être géré par les organismes paritaires de santé au travail — typiquement la CNAM (branche AT-MP), la MSA pour le régime agricole, les CARSAT régionales, en lien avec les mutuelles complémentaires. Il vise à constituer une base nationale consultable de DUERP, exploitable à des fins :

• Statistiques épidémiologiques (cartographie nationale des risques par secteur).
• Recherche en santé publique sur les pathologies professionnelles.
• Consultation individuelle par un salarié ou un ancien salarié pour reconstituer son parcours d'exposition.
• Contrôle par l'inspection du travail et instruction des dossiers de maladie professionnelle.

L'idée est ambitieuse : un seul guichet national, des données structurées, l'interopérabilité avec les autres dispositifs (DMP, DMST, C2P).

Le calendrier de déploiement du portail, fixé par la loi du 2 août 2021, prévoyait deux échéances :

• 1^er juillet 2024 : dépôt obligatoire pour toutes les entreprises de 150 salariés et plus (grandes entreprises et ETI).
• 1^er juillet 2025 : extension à toutes les entreprises de 11 à 149 salariés (PME, donc l'essentiel du tissu économique).

Les entreprises de moins de 11 salariés ne sont pas soumises à l'obligation de dépôt (mais elles restent soumises à l'obligation de tenir un DUERP et à le conserver 40 ans).

En pratique, à la date du présent module, les décrets d'application qui doivent fixer les modalités techniques du portail (cahier des charges, format de dépôt, modalités d'accès, gouvernance des données) ne sont pas encore publiés. Le portail n'est donc pas opérationnel. Cette situation crée une période d'incertitude juridique : l'obligation légale existe (L4121-3-1) mais ne peut être matériellement exécutée.

Les entreprises qui ont anticipé en passant à des solutions QHSE intégrant un module DUERP versionné (BlueKanGo, Preventeo, Quentic, etc.) sont à jour de fait. Celles qui restent en Excel ou Word doivent mettre en place une procédure d'archivage rigoureuse : copie horodatée à chaque mise à jour, sauvegarde externalisée, registre des versions.

L'article L4121-3-1 prévoit explicitement un droit d'accès au DUERP et à ses versions successives pour :

• Les travailleurs en poste dans l'entreprise.
• Les anciens travailleurs, pour la période où ils étaient salariés (ce point est nouveau : avant 2021, aucun texte n'organisait l'accès des anciens salariés).
• Les personnes ou instances justifiant d'un intérêt à y avoir accès : médecin du travail, inspection du travail, CSE/CSSCT, organismes de sécurité sociale, ayants droit en cas de décès du salarié.

Ce droit d'accès soulève d'importants enjeux RGPD. Le DUERP contient potentiellement des données indirectement nominatives : effectifs par UT, profils de postes, parfois noms de salariés en lien avec un poste particulier, descriptions de situations d'exposition. À ce titre :

• Registre des traitements obligatoire (article 30 du RGPD) : l'entreprise doit déclarer au registre le traitement « gestion du DUERP », en précisant la finalité (obligation légale), la base juridique (article L4121-3-1), les durées de conservation (40 ans), les catégories de destinataires.
• AIPD (Analyse d'Impact sur la Protection des Données) recommandée si le DUERP comporte des données identifiantes nombreuses ou des informations sensibles (santé mentale, RPS individualisés, surveillance médicale renforcée).
• Confidentialité des accès : le portail futur prévoit des mécanismes d'authentification forte pour limiter l'accès aux personnes habilitées.
• Sécurité de l'archivage : chiffrement, contrôle d'accès, journalisation des consultations (qui a vu quoi, quand).

Article R4121-4 du Code du travail impose en complément un affichage des modalités d'accès au DUERP aux mêmes endroits que le règlement intérieur (cf. chapitre 4.3). Cette obligation d'affichage existait avant 2021 et reste pleinement applicable : son défaut est sanctionné par une amende R4741-2 de 1 500 € (3 000 € en récidive).