La fiche 4 du guide pratique de la CNIL pour les SPST liste les destinataires des données et rappelle que toute communication à un tiers doit reposer sur un fondement précis. Les autorités et les conseils des salariés font partie des tiers qui sollicitent régulièrement les services.
Un dossier traité au cours de l’été 2026, présenté ici de façon anonyme, montre comment répondre à ces demandes sans improviser.
Ce qui change
Une salariée demande une visite. Son nom ne figure pas dans l’effectif déclaré par son employeur. Elle saisit l’inspection du travail, qui interroge le service sur l’effectif et la situation de cotisation de l’entreprise. Le service répond oralement.
La direction du service fait face en parallèle à des demandes récurrentes d’attestations par des avocats de salariés en conflit avec leur employeur. Elle saisit le DPO. La note remise distingue plusieurs régimes :
- les informations sur l’adhérent personne morale (cotisation, effectif global) ne relèvent pas du RGPD, mais restent confidentielles au titre de la certification ;
- la présence ou l’absence du nom du salarié dans l’effectif déclaré est une donnée qui le concerne et relève de son droit d’accès (article 15 du RGPD) ;
- l’autorité obtient une réponse écrite et tracée, sur demande écrite et fondée.
Sept formulations standard ont été remises aux équipes d’accueil et à la comptabilité.
Ce que cela implique pour un SPST
La réponse orale à l’inspection pose deux difficultés : rien ne prouve ce qui a été dit, et rien ne prouve que la demande était fondée. Une communication à une autorité se fait sur demande écrite, qui vise le texte autorisant la demande, et donne lieu à une réponse écrite conservée.
Pour l’avocat d’un salarié, le raisonnement change. L’avocat n’est pas un destinataire autorisé en tant que tel. La salariée peut, en revanche, exercer son droit d’accès et obtenir elle-même la confirmation que son nom figure ou non dans l’effectif déclaré. Elle en fera l’usage qu’elle voudra. Le service répond alors à la personne concernée, dans le délai d’un mois de l’article 12.
- Distinguer, dans chaque demande, ce qui concerne l’adhérent personne morale et ce qui concerne un salarié identifié.
- Exiger une demande écrite et fondée de toute autorité, et y répondre par écrit.
- Orienter les demandes d’avocats vers l’exercice du droit d’accès par le salarié lui-même.
- Donner aux équipes d’accueil et à la comptabilité des formulations standard.
- Conserver la trace de chaque demande et de chaque réponse.
Comment le traiter dans DPO SUITE
Ouvrez le module des demandes d’exercice de droits et enregistrez chaque demande d’un salarié portant sur sa présence dans l’effectif déclaré. Le suivi des délais calcule l’échéance d’un mois et le tableau de bord signale les demandes proches du terme. Joignez la réponse envoyée comme preuve depuis le drive du client.
Dans le registre des traitements, complétez la fiche de gestion des adhérents et des effectifs déclarés : ajoutez l’inspection du travail comme destinataire possible sur demande écrite fondée, et précisez la forme de la réponse dans les mesures de sécurité.
Dans le module procédures, créez la procédure « réponse aux demandes des autorités et des tiers ». Intégrez les formulations standard, le circuit de validation interne et une tâche d’archivage de la demande et de la réponse, puis faites approuver la procédure. Les formulations elles-mêmes restent dans les documents du service.
Si une communication orale non tracée a déjà eu lieu, créez une non-conformité et une action corrective (régularisation écrite auprès de l’autorité, information des équipes). Une réunion d’équipe peut être planifiée dans le module réunions pour présenter les formulations. ALIX peut proposer des variantes de formulations, à valider avant diffusion.
Pour suivre ces demandes avec leurs délais, testez la création de votre registre.
Repères
- RGPD, articles 12 et 15
- AFNOR SPEC 2217, édition d’août 2023 (confidentialité)
- Retour d’expérience anonymisé, été 2026
- Guide CNIL SPST, fiche 4
