La fiche 1 du guide CNIL pour les SPST demande d’identifier chaque finalité poursuivie par le service et de la rattacher à un traitement du registre. Une finalité nouvelle s’ajoute ce semestre pour les services qui dispensent des formations en santé et sécurité au travail : l’alimentation du passeport de prévention.
Le passeport répertorie les formations et certifications suivies par chaque salarié dans ce domaine. Son téléservice est opéré par la Caisse des Dépôts. L’espace employeurs a ouvert le 16 mars 2026. Pour un SPST formateur, la déclaration des formations devient une activité de traitement à part entière, avec ses propres données, dont le NIR du salarié.
Ce qui change
La déclaration au passeport de prévention répond à une obligation réglementaire. Elle ne relève pas du suivi individuel de l’état de santé et n’a rien à voir avec le dossier médical en santé au travail. Elle forme une finalité distincte, qui doit apparaître séparément dans le registre (article 30 du RGPD).
Cette finalité mobilise des données d’identification, dont le NIR, et des données de formation : intitulé, date, résultat. Le NIR est souvent transmis par l’employeur adhérent pour permettre la déclaration. La veille du semestre insiste sur un point de cloisonnement : un NIR reçu par ce canal ne peut pas servir à référencer le dossier médical, qui repose sur l’Identité Nationale de Santé obtenue par le téléservice INSi (fiche 3).
La base de licéité retenue est l’obligation légale (article 6.1.c du RGPD). La collecte du NIR ne dépend donc pas de l’accord du salarié, mais celui-ci doit être informé (fiche 6).
Ce que cela implique pour un SPST
Le service formateur doit créer, dans son registre, une fiche propre au passeport de prévention. Elle décrit la finalité, la base légale, les personnes concernées (salariés des adhérents formés par le service), les catégories de données, les destinataires et la durée de conservation.
La minimisation (article 5.1.c) s’applique de façon concrète. Seules les formations entrant dans le champ du passeport donnent lieu à collecte du NIR. Le NIR ne se conserve que le temps nécessaire à la déclaration, avec une trace qui prouve que celle-ci a eu lieu.
Le cloisonnement doit être réel dans les outils. Un NIR saisi pour le passeport ne doit jamais remonter dans le logiciel métier du dossier médical, ni servir à rapprocher deux fichiers. Les équipes administratives qui gèrent les formations n’ont pas à accéder au dossier médical, et les équipes soignantes n’ont pas à réutiliser les données de formation pour identifier un salarié.
Le canal de réception du NIR depuis l’employeur doit être chiffré. Un envoi par courriel non protégé, ou un tableur partagé sans contrôle d’accès, expose une donnée dont l’usage est strictement encadré.
Comment le traiter dans DPO SUITE
Ouvrez le registre des traitements et créez une fiche « Déclaration des formations au passeport de prévention ». Renseignez la finalité, la base légale (obligation légale, article 6.1.c), les catégories de personnes et de données, puis ajoutez le téléservice opéré par la Caisse des Dépôts parmi les destinataires. Indiquez dans les catégories de données que le NIR est collecté pour la seule déclaration : DPO SUITE ne contient jamais de NIR, la fiche décrit la catégorie sans stocker aucune valeur.
Dans le registre des délais de conservation, qualifiez le document qui porte le NIR reçu de l’employeur, avec un point de départ fixé à la déclaration et une durée courte, et qualifiez séparément la preuve de déclaration. Interrogez le responsable de la donnée, souvent le responsable formation, pour valider ces délais.
Dans le registre des logiciels, rattachez à la fiche l’outil utilisé pour gérer les formations et vérifiez qu’il est distinct du logiciel métier du dossier médical, ou que les deux espaces sont cloisonnés. Décrivez le canal chiffré de réception du NIR dans les mesures de sécurité de la fiche.
Créez ensuite une procédure de transmission du NIR, approuvez-la et générez son plan de tâches : le document reste chez le service, DPO SUITE fournit la méthode et le suivi. ALIX peut proposer une première rédaction de la fiche de traitement, à relire puis à valider ou rejeter avant enregistrement.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- RGPD, article 5.1.c (minimisation), article 6.1.c (obligation légale) et article 30 (registre)
- Passeport de prévention : espace employeurs ouvert le 16 mars 2026, téléservice opéré par la Caisse des Dépôts
- Guide CNIL SPST, fiche 1
