La fiche 2 du guide pratique de la CNIL pour les SPST pose une règle simple : le service est responsable des traitements qu’il met en œuvre pour ses missions. Cette règle ne change pas. Le nombre d’acteurs avec lesquels le service peut travailler, lui, augmente.
La loi n° 2026-668 du 27 juillet 2026, dite loi Neuder, modifie l’article L. 4622-2 du code du travail. Elle permet au service, sans l’y obliger, de conclure des partenariats de promotion de la santé avec des associations agréées, des communautés professionnelles territoriales de santé, des étudiants en santé, des mutuelles, des institutions de prévoyance, des entreprises d’assurance et tout organisme dont l’objet comprend la prévention. Certains de ces partenaires ont un intérêt commercial distinct de celui du service, et ce point oriente toute l’analyse.
Ce qui change
Avant la loi, la question du rôle d’un partenaire extérieur se posait rarement. Elle se pose désormais à chaque convention. Le RGPD offre trois qualifications possibles (simple partenaire sans flux de données, sous-traitant au sens de l’article 28, responsable conjoint au sens de l’article 26) et une limite ferme : aucune donnée individuelle de santé ne peut être remise à un partenaire pour ses propres finalités.
- Le partenaire fournit des supports, prête des locaux ou anime une action sans accéder à des données individuelles : il reste un simple partenaire. Une convention de partenariat suffit, et aucun flux de données nominatives n’existe.
- Le partenaire réalise des dépistages pour le compte du service et sur ses instructions : il devient sous-traitant. Il faut un contrat conforme à l’article 28, un hébergement certifié des données de santé, et des clauses de restitution et de destruction des données.
- Le partenaire et le service définissent ensemble les finalités et les moyens, par exemple pour une étude conjointe : ils sont responsables conjoints. Un accord au sens de l’article 26 répartit les obligations, et les personnes concernées sont informées de cette répartition.
- Le partenaire souhaite recevoir des résultats individuels pour ses propres usages : la demande est irrecevable. Le secret médical et l’article 9 du RGPD s’y opposent. Seuls des résultats agrégés et anonymisés peuvent être partagés.
Ce que cela implique pour un SPST
Une mutuelle qui coorganise une campagne de dépistage ne devient pas lectrice des résultats. Elle peut apporter des moyens ; elle ne reçoit rien qui permette d’identifier un salarié suivi. Le service reste seul pilote du traitement, ou copilote si les finalités sont définies ensemble, et cette répartition s’écrit avant la première action.
Concrètement, chaque projet de partenariat appelle une qualification écrite avant signature, une clause de protection des données dans la convention (rôles, interdiction de tout flux individuel, sort des données, sécurité) et une inscription du partenaire au registre sous le bon titre. La communication du partenaire mérite aussi une vérification : une mutuelle ou un assureur ne doit pas utiliser la campagne pour collecter des coordonnées de salariés à des fins de prospection.
La mention d’information du service (fiche 6) gagne à préciser que les actions de prévention menées avec des partenaires ne donnent lieu à aucune transmission de données individuelles.
Comment le traiter dans DPO SUITE
- Pour chaque partenaire sous-traitant, créez une fiche dans le registre des sous-traitants : contacts, localisation de l’hébergement, sous-traitants ultérieurs. Envoyez le questionnaire d’audit des sous-traitants avant le démarrage de l’action.
- Rattachez ce sous-traitant à la fiche du traitement concerné (dépistage, campagne de prévention) dans le registre des traitements.
- Pour un partenaire responsable conjoint, complétez la fiche du traitement en indiquant la responsabilité conjointe et la répartition des rôles, puis rattachez l’accord signé comme preuve depuis le drive du service.
- Créez une procédure « Qualification d’un partenariat de promotion de la santé », faites-la approuver par la direction et déclinez-la en plan de tâches : qualification, clause, inscription au registre, contrôle de la communication.
- Demandez à ALIX une proposition de qualification à partir de la description du projet, puis validez ou corrigez la proposition.
- Si une convention a été signée sans analyse préalable, ouvrez une non-conformité et une action corrective avec une échéance.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Loi n° 2026-668 du 27 juillet 2026
- Code du travail, article L. 4622-2 modifié
- Règlement (UE) 2016/679 (RGPD), articles 9, 26 et 28
- Guide CNIL SPST, fiche 2
