La fiche 2 du guide CNIL pour les SPST rappelle que le service, en tant que responsable de traitement, doit être en mesure de démontrer sa conformité (article 24 du RGPD). Il répond des choix qu’il fait sur les données collectées, sur leur fondement et sur leur conservation.
Le 16 octobre 2026, le Conseil d’État a rejeté les recours formés contre trois sanctions prononcées par la CNIL en 2024. Les motifs retenus éclairent la manière dont le juge apprécie la responsabilité d’un organisme qui traite des données sensibles et enregistre des communications.
Ce qui change
Les décisions n° 499596, n° 499597 et n° 501268 confirment les sanctions prononcées contre Orange (50 millions d’euros), Cosmospace (250 000 euros) et Télémaque (150 000 euros). Les deux dernières sociétés exerçaient une activité de voyance par téléphone.
Le Conseil d’État retient qu’une information sensible donnée spontanément par une personne au cours d’un échange ne vaut pas consentement explicite au sens de l’article 9.2.a du RGPD. Il juge également que l’enregistrement systématique de tous les appels n’était pas justifié au regard de la finalité poursuivie. Il retient enfin que la répétition des manquements à une règle claire caractérise la négligence.
Les textes restent les mêmes. La lecture qu’en fait la plus haute juridiction administrative est désormais fixée, et la CNIL s’appuiera sur elle dans ses prochains contrôles.
Ce que cela implique pour un SPST
Les traitements de données de santé d’un SPST reposent sur ses missions légales et sur l’article 9.2.h du RGPD. La décision intéresse surtout ses traitements périphériques, ceux qui se situent en marge du suivi individuel de l’état de santé.
- L’accueil téléphonique et la prise de rendez-vous recueillent souvent des informations de santé que le salarié donne de lui-même (motif d’absence, pathologie, traitement). Ces éléments n’ont pas à être consignés en dehors du dossier médical, et leur présence dans un outil de standard ou de prise de rendez-vous ne peut pas être justifiée par le fait que la personne les a fournies.
- L’enregistrement des appels au standard ou au service adhérents doit répondre à une finalité précise (formation, preuve d’un engagement, contrôle qualité ponctuel). Un enregistrement de tous les appels, par défaut, sans limitation de durée ni d’accès, tombe sous le reproche formulé par le juge.
- Un écart connu et non corrigé d’une année sur l’autre sera qualifié de négligence. Le rapport annuel et le registre des non-conformités datent ces écarts ; ils doivent aussi dater leur correction.
Les formulaires en ligne posent la même question. Un champ libre « commentaire » dans un formulaire de contact ou de demande de rendez-vous recueille régulièrement des données de santé. Le service doit soit le supprimer, soit l’encadrer par une mention invitant à ne pas y porter d’information médicale.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements les fiches de l’accueil téléphonique, de la prise de rendez-vous et de la téléphonie. Vérifiez pour chacune les catégories de données réellement collectées et retirez les données de santé quand elles n’ont pas lieu d’y figurer. Si les appels sont enregistrés, précisez la finalité, la base légale, les personnes habilitées et la durée de conservation, puis soumettez la fiche à validation.
Dans le registre des délais de conservation, qualifiez le document « Enregistrement des appels » : point de départ, base légale, durée, localisation. Interrogez le responsable de la donnée, souvent le responsable de l’accueil ou de la relation adhérents, pour qu’il valide le délai retenu.
Dans le registre des logiciels, rattachez l’outil de téléphonie et l’outil de prise de rendez-vous aux traitements concernés et à leur sous-traitant. Pour tout écart relevé, créez une non-conformité et l’action corrective associée, avec une échéance et un responsable. Ces dates nourriront ensuite le rapport annuel du DPO et montreront qu’un écart identifié a été traité dans un délai raisonnable.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 5.1.c, 9.2.a, 9.2.h et 24 du RGPD
- Conseil d’État, 16 octobre 2026, n° 499596, n° 499597 et n° 501268, conseil-etat.fr
- Guide CNIL SPST, fiche 2
