La fiche 2 du guide pratique de la CNIL pour les SPST invite à qualifier chaque acteur : responsable de traitement, responsable conjoint ou sous-traitant. La qualification découle de ce que fait chaque partie, et non de l’étiquette inscrite dans le contrat.
Entre juillet et septembre 2026, trois conventions de partenariat soumises à des services suivis ont posé cette question sous des formes différentes. Les cas sont présentés ici de façon anonyme, comme retour d’expérience.
Ce qui change
Une convention d’orientation d’intérimaires
La convention faisait des trois signataires des responsables conjoints sur toutes les finalités, dossier médical compris. Elle prévoyait aussi une sortie de données de santé vers les partenaires, avec cinq ans de conservation. La position retenue limite la responsabilité conjointe (article 26 du RGPD) à l’orientation et aux actions collectives. Le service reste seul responsable de la visite et du dossier. Aucune donnée de santé ne sort, le NIR est retiré du flux, et la facturation se fait sur une référence non signifiante : une facture nominative aurait révélé qu’un intérimaire avait vu un médecin du travail.
Une recherche de dépistage portée par un promoteur hospitalier
Le service était centre associé. La clause sur le sort des données prévoyait leur restitution au promoteur. Le centre détient pourtant les seules données directement identifiantes (liste de correspondance, consentements, documents source), que le promoteur ne traite jamais. Une restitution aurait transmis au promoteur des données qu’il n’a pas à connaître. La clause a été remplacée par une destruction locale avec attestation, limitée aux données de recherche ; le dossier médical reste hors sous-traitance, et la destruction suit les durées du protocole au lieu de la fin de la prestation.
Une offre de service social externalisé
Le contrat avec le prestataire qualifiait les parties de « responsables distincts », tandis que la convention proposée aux adhérents parlait de « sous-traitant ». La qualification de responsables distincts a été retenue, l’article de la convention réécrit, le flyer d’information des salariés complété, et le prestataire a donné une garantie écrite d’absence de retour nominatif vers l’employeur.
Ce que cela implique pour un SPST
Ces conventions arrivent souvent rédigées par le partenaire, avec un modèle conçu pour un autre contexte. Leur relecture sous l’angle du RGPD suit une même méthode :
- découper la convention par finalité et qualifier chaque partie finalité par finalité, au lieu d’appliquer une qualification unique à l’ensemble ;
- exclure le dossier médical en santé au travail de toute responsabilité conjointe et de toute sous-traitance non nécessaire ;
- vérifier les flux sortants : aucune donnée de santé, pas de NIR sans nécessité, pas de facture qui révèle une situation individuelle ;
- caler la clause de fin sur la nature des données détenues par chacun ;
- aligner tous les documents (contrat, convention, information des salariés) sur la même qualification.
Une contradiction entre deux documents du même partenariat fragilise l’ensemble : la personne concernée ne sait plus à qui s’adresser pour exercer ses droits.
Comment le traiter dans DPO SUITE
Pour chaque partenariat, ouvrez le registre des traitements et identifiez les finalités concernées. Lorsque plusieurs organismes partagent une finalité, déclarez-la comme traitement mutualisé via les « Groupes mutualisés », en limitant le groupe aux seules finalités réellement communes (orientation, actions collectives). Laissez la fiche du suivi individuel et du dossier médical hors du groupe.
Enregistrez le partenaire au registre des sous-traitants lorsqu’il agit pour le compte du service, ou comme destinataire dans la fiche de traitement lorsqu’il est responsable distinct. Renseignez précisément les catégories de données transmises et vérifiez qu’aucune donnée de santé ni aucun NIR n’y figure sans justification.
Dans le registre des délais de conservation, qualifiez les documents propres au partenariat (liste de correspondance, consentements, documents source) avec leur durée et leur localisation, puis interrogez le responsable de la donnée. Si la convention contient une clause contraire, créez une non-conformité et une action corrective « renégociation de la clause », rattachez la version signée comme preuve depuis le drive du client. Lorsque le traitement présente un risque élevé, ouvrez une session d’AIPD. ALIX peut proposer une grille de lecture de la convention par finalité, que l’on valide ou ajuste.
Pour documenter vos partenariats, testez la création de votre registre.
Repères
- RGPD, articles 4.7, 4.8, 26 et 28
- Retours d’expérience anonymisés, juillet à septembre 2026
- Guide CNIL SPST, fiche 2
