La fiche 9 du guide CNIL pour les SPST repose sur trois piliers de la conformité : le registre, l’analyse d’impact et la désignation d’un délégué à la protection des données. La certification AFNOR SPEC 2217, obligatoire pour les SPSTI et à obtenir au plus tard le 1er mai 2025, transforme ces trois piliers en preuves attendues par l’auditeur.
Ce semestre, les audits de maîtrise et de conformité montent en charge. Les services passent d’une logique d’existence des documents à une logique de preuve d’usage.
Ce qui change
L’article L. 4622-9-3 du code du travail fonde la certification. La SPEC 2217 (avril 2023) prévoit trois niveaux successifs.
- Niveau 1, engagement, pour deux ans et non renouvelable : les documents existent.
- Niveau 2, maîtrise, pour trois ans : les documents sont appliqués, avec des indicateurs.
- Niveau 3, conformité, pour cinq ans et renouvelable : le service pilote par indicateurs, justifie ses écarts et s’améliore de façon continue.
Au niveau 2 et au niveau 3, un registre à jour ne suffit plus. L’auditeur attend des indicateurs, une trace des corrections et une revue régulière par la direction. L’approche rejoint le principe de responsabilité de l’article 5.2 du RGPD : le responsable de traitement doit être en mesure de démontrer sa conformité.
Ce que cela implique pour un SPST
Le registre doit être structuré par activité, et non par type de donnée. L’auditeur parcourt le service par processus : suivi individuel, prévention, gestion des adhérents, ressources humaines. Un registre organisé par catégorie de données oblige à reconstituer cette lecture et fait perdre du temps pendant l’audit.
Les indicateurs gagnent à être construits par taille d’entreprise adhérente : moins de 11 salariés, 11 à 49, 50 à 299, 300 et plus. Cette segmentation permet de suivre, par exemple, les demandes de droits ou les incidents selon la population concernée.
Les analyses d’impact doivent être datées, rattachées aux traitements concernés et suivies d’un plan d’actions. Une AIPD sans plan d’actions, ou dont les actions ne sont jamais clôturées, montre une conformité documentaire sans maîtrise. Les actions doivent donc porter un responsable, une échéance et une date de clôture, pour que l’auditeur puisse vérifier leur réalisation.
La désignation du DPO doit être prouvée, et son activité aussi. Un rapport annuel présenté à la direction apporte cette preuve : il décrit ce qui a été fait, les écarts constatés et les décisions prises.
Comment le traiter dans DPO SUITE
Ouvrez le registre des traitements et organisez les fiches par activité du service. Pour les traitements communs à plusieurs services d’un même réseau, utilisez les groupes mutualisés afin de partager une rédaction unique. Validez chaque fiche : la date de validation sert de preuve de revue.
Ouvrez l’audit SPEC 2217 et rattachez à chaque exigence la preuve correspondante, localisée sur le drive connecté du service : registre, AIPD, procédures, comptes rendus. Les exigences sans preuve deviennent des non-conformités, avec une action corrective et une échéance.
Lancez une campagne annuelle et l’audit annuel pour mesurer l’avancement d’une année sur l’autre. Les sessions d’AIPD, avec leurs scénarios de risques et leurs plans d’actions, alimentent la preuve d’une analyse suivie dans le temps.
Préparez enfin le rapport annuel du DPO depuis DPO SUITE et présentez-le en réunion de direction ; consignez la réunion et ses décisions dans le module des réunions. ALIX peut proposer des réponses à l’audit SPEC 2217 à partir du registre ; chaque proposition se valide ou se rejette.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Code du travail, article L. 4622-9-3 ; AFNOR SPEC 2217 (avril 2023)
- RGPD, article 5.2 (responsabilité), article 30 (registre), article 35 (AIPD) et article 37 (désignation du DPO)
- Guide CNIL SPST, fiche 9
