La fiche 2 du guide pratique de la CNIL pour les SPST traite de la qualification du service : il est responsable des traitements qu’il met en œuvre pour ses missions, et cette responsabilité ne se partage pas du seul fait qu’un prestataire intervient.
Septembre 2026 n’apporte rien sur la qualification du service lui-même. Une décision de la CNIL vient en revanche rappeler ce que devient cette responsabilité quand un tiers collecte des données ou des accords pour le compte du responsable.
Ce qui change
Par une délibération du 17 septembre 2026, publiée le 24 septembre, la formation restreinte de la CNIL a clôturé l’injonction prononcée contre Solocal Marketing Services. La société avait été sanctionnée de 900 000 euros en mai 2025. L’injonction a été levée après la mise en place d’un contrôle, d’abord automatisé puis humain, des consentements collectés par ses partenaires.
La CNIL rappelle à cette occasion que le responsable de traitement reste comptable de la validité des consentements recueillis pour lui par d’autres. L’article 5.2 du RGPD (responsabilité), l’article 24 (mesures du responsable) et l’article 28 (choix et encadrement des sous-traitants) fondent cette position. Confier la collecte ne transfère pas la charge de la preuve.
La décision vise un acteur de la prospection. Le raisonnement s’applique à tout organisme qui fait recueillir des accords ou des données par un tiers.
Ce que cela implique pour un SPST
Un service confie souvent une partie de la collecte à des prestataires : plateforme de convocation, outil d’enquête, organisme de formation, routeur de SMS, prestataire de rappel de rendez-vous. Certains recueillent un accord (acceptation d’un SMS, participation à une enquête, inscription à une session). D’autres collectent des données qui alimentent ensuite le logiciel métier.
Le service doit pouvoir montrer qu’il contrôle ce que ces prestataires collectent en son nom. Un contrat article 28 signé ne suffit pas s’il n’existe aucune vérification de ce qui est réellement recueilli. Concrètement :
- dresser la liste des prestataires qui recueillent des données ou des accords pour le compte du service ;
- pour chacun, identifier ce qui est collecté, sur quel écran ou formulaire, avec quelle mention d’information ;
- prévoir un contrôle documenté, même simple : capture du formulaire, export de test, vérification périodique d’un échantillon ;
- conserver la trace de ce contrôle avec la date et le nom de la personne qui l’a fait.
La logique de la CNIL est lisible dans la décision Solocal : la mise en place d’un contrôle effectif a permis de clore l’injonction. Pour un service, la même trace sert à l’auditeur SPEC 2217 et, le cas échéant, à démontrer la conformité en cas de plainte.
Comment le traiter dans DPO SUITE
Ouvrez le registre des sous-traitants et filtrez les prestataires qui collectent des données auprès des salariés suivis ou des adhérents. Pour chacun, complétez la fiche : données recueillies, canal de collecte, contacts, localisation cloud, sous-traitants ultérieurs. Vérifiez que la fiche est rattachée aux traitements concernés dans le registre des traitements et que les logiciels utilisés sont reliés au sous-traitant dans le registre des logiciels.
Lancez ensuite un audit des sous-traitants par questionnaire envoyé, en ciblant les questions sur la collecte : formulaires utilisés, mentions affichées, conservation des preuves d’accord, possibilité pour le service de vérifier un échantillon. Les réponses restent attachées à la fiche du sous-traitant.
Quand l’audit révèle un écart, créez une non-conformité et l’action corrective associée, avec une échéance et un responsable. Rattachez la preuve du contrôle (capture d’écran, export de test) depuis la connexion au drive du client ; le document reste dans le drive du service et DPO SUITE en garde la référence.
Ajoutez enfin dans le module procédures une tâche périodique « contrôle de la collecte par les prestataires » au plan de tâches de la procédure de gestion des sous-traitants, et faites approuver la procédure. ALIX peut proposer une liste de questions de contrôle adaptée à chaque type de prestataire, à valider avant envoi.
Pour structurer ce suivi des prestataires, testez la création de votre registre.
Repères
- RGPD, articles 5.2, 24 et 28
- Délibération de la formation restreinte de la CNIL du 17 septembre 2026 clôturant l’injonction (Solocal Marketing Services), publiée le 24 septembre 2026
- Sanction de 900 000 euros prononcée contre Solocal Marketing Services en mai 2025
- Guide CNIL SPST, fiche 2
