La fiche 1 du guide pratique de la CNIL pour les services de prévention et de santé au travail demande au service de rattacher chacun de ses fichiers à une finalité déterminée, explicite et légitime, tirée de ses missions légales.
La norme DSN 2027 ne crée pas de finalité nouvelle pour le service. Elle modifie en revanche la manière dont l’Assurance Maladie l’identifie : à compter du 1er janvier 2027, chaque employeur déclarera dans sa déclaration sociale nominative le SPST de rattachement de son établissement, et celui de chaque salarié quand il diffère. Le service devient ainsi une donnée déclarée à l’administration, et les signalements qu’il reçoit des caisses s’appuieront sur cette déclaration.
Ce qui change
Le cahier technique P27V01 de la norme DSN 2027, accompagné de sa note différentielle de septembre, confirme ce qui avait été annoncé en septembre. Deux rubriques portent l’information : S21.G00.11.025 pour l’établissement et S21.G00.30.030 pour le salarié dont le service diffère de celui de l’établissement.
L’objectif affiché est de permettre à l’Assurance Maladie d’identifier le service destinataire des informations prévues par les décrets n° 2026-320 et n° 2026-321 du 28 avril 2026, en particulier les signalements de salariés en arrêt de travail long. Jusqu’ici, l’identification du service par les caisses passait par des circuits locaux, conventionnels, parfois approximatifs. En 2027, elle reposera sur une déclaration obligatoire de l’employeur.
Sous l’angle du RGPD, deux principes sont directement concernés. Le principe d’exactitude (article 5.1.d) : si l’employeur déclare un mauvais service, des données relatives à des arrêts de travail peuvent arriver chez un SPST qui ne suit pas le salarié. Et la documentation des flux entrants au registre (article 30) : le service reçoit des données d’un organisme tiers, sur un fondement réglementaire précis, et doit pouvoir l’écrire.
Pour mémoire, l’article 20 du projet de loi de financement de la sécurité sociale pour 2027 confierait une mission nouvelle à la cellule de prévention de la désinsertion professionnelle. L’Assemblée nationale a rejeté le texte en première lecture le 23 octobre et le Sénat l’examine à partir du 9 novembre. Cette finalité n’existe pas encore et ne doit pas être inscrite comme active au registre.
Ce que cela implique pour un SPST
Le service n’a rien à déclarer lui-même. Il a pourtant plusieurs choses à vérifier avant janvier.
- L’identifiant du service dans le référentiel de l’Urssaf doit être exact. Une erreur à ce niveau fausse toutes les déclarations des adhérents.
- Les écarts entre les effectifs déclarés en DSN et ceux de l’espace adhérent vont devenir visibles pour les caisses. Un salarié déclaré chez le service mais absent de ses fichiers, ou l’inverse, pose une question d’exactitude des données.
- La fiche du traitement consacrée aux échanges avec le service du contrôle médical doit mentionner la source des données reçues, leur fondement (les décrets d’avril 2026) et le circuit d’identification du service par la DSN.
- Une procédure doit prévoir le cas d’un signalement reçu pour un salarié que le service ne suit pas : retour à l’émetteur, absence d’intégration au dossier, destruction tracée.
La relation adhérents a aussi un rôle à jouer. Les employeurs déclarent le service ; ils doivent connaître l’identifiant exact à porter. Un paragraphe dans les documents d’adhésion ou dans l’appel de cotisations 2027 évite des erreurs qui se traduiraient ensuite par des données de santé mal orientées.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche consacrée aux échanges avec le contrôle médical de l’Assurance Maladie. Complétez la rubrique des catégories de données reçues (signalements d’arrêts de travail), la source (caisses primaires) et la base légale, en citant les décrets n° 2026-320 et n° 2026-321. Ajoutez dans les mesures de sécurité la vérification du rattachement du salarié avant toute intégration au dossier, puis soumettez la fiche à validation.
Si la fiche relève d’un traitement commun à plusieurs services, rattachez-la à votre groupe mutualisé pour que la mise à jour profite à chacun.
Créez une tâche dans le module des to-do pour la vérification de l’identifiant Urssaf du service avec la direction, avec une échéance avant le 1er janvier 2027. Dans le module des procédures, créez une procédure « Signalement reçu pour un salarié non suivi », faites-la approuver et suivez sa diffusion dans le plan de tâches. Le document lui-même reste dans votre environnement ; DPO SUITE en porte la méthode et la trace d’approbation.
Pour l’article 20 du PLFSS, préparez une fiche de traitement « Réunions de concertation » en brouillon, sans la valider. ALIX peut proposer une première rédaction des finalités et des catégories de données à partir du texte du projet ; relisez la proposition et ne la retenez qu’après le vote définitif.
Tester la création de votre registre dans DPO SUITE.
Repères
- Norme DSN 2027, cahier technique P27V01 et note différentielle de septembre 2026 (rubriques S21.G00.11.025 et S21.G00.30.030)
- Décrets n° 2026-320 et n° 2026-321 du 28 avril 2026
- Projet de loi n° 3211 de financement de la sécurité sociale pour 2027, article 20
- Articles 5.1.d et 30 du RGPD (texte sur cnil.fr)
- Guide CNIL SPST, fiche 1
