La fiche 5 du guide pratique de la CNIL pour les SPST porte sur les durées de conservation. Le guide traite surtout du dossier médical en santé au travail, mais le principe vaut pour tous les traitements du service : une durée définie pour chaque catégorie de documents, et rien de plus que ce qu’exige la finalité.
Septembre 2026 ne modifie aucune durée applicable au dossier médical. La CNIL a toutefois publié le 10 septembre une fiche intitulée « Facturation électronique : quels enjeux pour la protection des données », qui concerne directement les factures émises par le service à ses adhérents.
Ce qui change
La facturation électronique est obligatoire pour les grandes entreprises et les entreprises de taille intermédiaire depuis le 1er septembre 2026. Elle sera généralisée au 1er septembre 2027. La fiche de la CNIL en tire les conséquences pour les données personnelles :
- les factures se conservent dix ans ;
- elles ne doivent pas contenir de données sensibles ;
- la minimisation s’applique aux mentions portées sur la facture ;
- l’accès aux plateformes se fait par comptes individuels avec double authentification ;
- les plateformes agréées sont qualifiées de sous-traitants ;
- la réutilisation des données par la plateforme n’est possible que sur autorisation écrite.
Le croisement de ces règles crée une contrainte particulière : ce qui figure sur une facture reste lisible pendant dix ans, dans le circuit comptable et chez la plateforme. La durée de conservation est fixée par le droit comptable et fiscal ; le service ne peut donc agir que sur le contenu.
Ce que cela implique pour un SPST
Le service facture des prestations complémentaires à ses adhérents : études de poste, actions spécifiques, interventions ponctuelles. Les libellés de ces factures sont souvent rédigés par habitude, avec le nom du salarié et la raison de l’intervention. Un libellé du type « étude de poste de M. X pour inaptitude » révèle une situation de santé individuelle. Il sera conservé dix ans et transitera par une plateforme agréée.
La règle à appliquer découle de l’article 5.1.c du RGPD : un libellé neutre et une référence de dossier suffisent. Le détail reste dans le dossier, sous la protection qui lui est propre.
- Relire les modèles de factures et les libellés de prestations complémentaires.
- Remplacer toute mention nominative ou médicale par une référence non signifiante.
- Qualifier la plateforme de facturation électronique retenue comme sous-traitant et encadrer le contrat selon l’article 28.
- Vérifier l’absence de réutilisation des données par la plateforme sans autorisation écrite.
- Créer des comptes individuels avec double authentification pour la comptabilité.
Les factures déjà émises avec un libellé révélateur ne peuvent pas être réécrites. Le service peut en revanche limiter les accès à l’archive comptable concernée.
Comment le traiter dans DPO SUITE
Dans le registre des délais de conservation, qualifiez la facture adhérent comme document : nom, point de départ (clôture de l’exercice), base légale, durée de dix ans, localisation (logiciel comptable, plateforme agréée). Interrogez le responsable de la donnée, en général le responsable comptable, pour faire valider la ligne.
Dans le registre des sous-traitants, créez la fiche de la plateforme de facturation électronique : contacts, localisation cloud, sous-traitants ultérieurs. Envoyez-lui le questionnaire d’audit en ciblant la réutilisation des données, la double authentification et la localisation. Rattachez la plateforme et le logiciel comptable à la fiche de traitement « facturation des adhérents » dans le registre des traitements et le registre des logiciels.
Si les libellés actuels contiennent des données individuelles, créez une non-conformité et une action corrective « révision des modèles de factures », avec une échéance et un responsable. Rattachez le nouveau modèle comme preuve depuis le drive du client. ALIX peut proposer des libellés neutres à partir de la liste des prestations, à valider avant mise en service.
Pour qualifier vos documents comptables, testez la création de votre registre.
Repères
- Fiche CNIL « Facturation électronique : quels enjeux pour la protection des données » du 10 septembre 2026
- RGPD, articles 5.1.c, 5.1.e, 28 et 32
- Guide CNIL SPST, fiche 5
