La fiche 2 du guide pratique de la CNIL pour les SPST rappelle que le service est responsable des traitements qu’il met en œuvre, y compris sur support papier. Le guide ne fixe pas de terme à cette responsabilité : elle suit les données tant que le service les détient.
Le 3 septembre 2026, le Comité européen de la protection des données (CEPD) a relayé une décision de la Data Protection Commission irlandaise du 28 août 2026. Le Health Service Executive est sanctionné de 645 000 euros pour des dossiers médicaux papier laissés dans deux anciens hôpitaux.
Ce qui change
Les faits sont simples. Des dossiers médicaux papier sont restés dans des bâtiments que l’organisme n’utilisait plus. Personne ne s’en occupait. L’autorité irlandaise a retenu que le responsable de traitement le reste jusqu’à la destruction des dossiers ou à leur transfert régulier, même pour des archives dont plus personne n’a la charge.
Le fondement tient dans les articles 5.2 et 24 du RGPD : le responsable met en œuvre des mesures appropriées et doit pouvoir le démontrer. L’article 5.1.f (intégrité et confidentialité) et l’article 32 (sécurité) s’appliquent au papier comme au numérique. Un local fermé et oublié ne constitue pas une mesure de sécurité.
La décision est irlandaise, mais elle a été relayée par le CEPD et repose sur les mêmes articles que ceux qu’appliquerait la CNIL.
Ce que cela implique pour un SPST
Les fusions de services, les fermetures de centres et les déménagements laissent des archives derrière eux. Les dossiers médicaux en santé au travail papier antérieurs à l’informatisation, les registres de convocation anciens et les classeurs de fiches d’entreprise se retrouvent parfois dans un ancien centre, une cave louée, un local prêté par un adhérent ou chez un prestataire d’archivage dont le contrat n’a jamais été relu.
Le service reste responsable de ces archives, où qu’elles se trouvent. Il lui faut donc :
- recenser les lieux où sont stockées des archives papier hors des locaux courants : anciens centres, locaux d’adhérents, prestataires ;
- pour chaque lieu, identifier ce qui s’y trouve, qui détient les clés et dans quel état sont les locaux ;
- vérifier, pour les archives confiées à un prestataire, l’existence d’un contrat conforme à l’article 28 ;
- appliquer les durées de conservation du dossier médical et des autres documents, puis détruire avec attestation ce qui a dépassé sa durée ;
- organiser le transfert des dossiers encore utiles vers un lieu sécurisé et tracer ce transfert.
Ce recensement prolonge la question des dossiers papier déjà abordée dans la veille du premier semestre 2026. Les services issus d’une fusion ont intérêt à le conduire centre par centre.
Comment le traiter dans DPO SUITE
Ouvrez le module locaux et créez une fiche pour chaque lieu de stockage d’archives, y compris les anciens centres et les locaux mis à disposition par des tiers. Renseignez la conformité des locaux : accès, fermeture, protection contre l’humidité et l’incendie, personne détentrice des clés. Un local sans responsable désigné apparaît immédiatement comme non conforme.
Dans le registre des délais de conservation, qualifiez chaque type d’archive papier : nom du document, point de départ, base légale, durée, localisation. Indiquez le local exact dans le champ de localisation. Interrogez le responsable de la donnée pour faire valider les durées avant toute destruction.
Si un prestataire d’archivage intervient, créez ou complétez sa fiche dans le registre des sous-traitants et envoyez-lui le questionnaire d’audit. Pour chaque écart constaté (local non sécurisé, archives hors durée, absence de contrat), créez une non-conformité avec son action corrective, son échéance et son responsable.
Rattachez les attestations de destruction et les procès-verbaux de transfert comme preuves depuis la connexion au drive du client. Ajoutez au plan de tâches de la procédure d’archivage une revue annuelle des lieux de stockage, puis faites approuver la procédure. Le rapport annuel du DPO reprendra l’état d’avancement.
Pour cartographier vos lieux d’archivage, testez la création de votre registre.
Repères
- RGPD, articles 5.1.f, 5.2, 24, 28 et 32
- Décision de la Data Protection Commission irlandaise du 28 août 2026 (Health Service Executive, 645 000 euros), relayée par le CEPD le 3 septembre 2026
- Guide CNIL SPST, fiche 2
