Numéro d’inscription des personnes dans le secteur social : le décret « cadre NIR » en questions

À l’exception des traitements de données de santé fondés sur l’intérêt public ou en matière de recherche en santé, la CNIL ne dispose plus du pouvoir d’autoriser les traitements de données personnelles comportant le NIR.

Toute utilisation du NIR dans un traitement de données personnelles doit donc être autorisée par un décret en Conseil d’État (en dehors des exceptions prévues par l’article 30 de la loi Informatique et Libertés, de finalités de statistique publique, de recherche, ou de mise à disposition d’un téléservice).

Ces utilisations sont recensées dans le décret « cadre NIR » : vous devez donc vérifier que l’utilisation que vous souhaitez faire est prévue dans ce décret et que vous êtes une personne autorisée.

Bien que ce ne soit pas l’esprit du « décret cadre », il peut toutefois arriver, exceptionnellement, que certaines utilisations du NIR ne figurent pas dans le décret mais soient néanmoins justifiées par un autre décret en Conseil d’État voire un texte législatif.

Le décret vise à rendre possible le traitement de la donnée qu’est le NIR en tant que telle. Il n’a ni pour objet, ni pour effet, d’autoriser d’une façon générale la mise en œuvre des traitements nécessaires aux finalités visées dans le décret.

Outre la nécessité de figurer dans le décret pour ce qui concerne la collecte et le traitement du NIR, l’organisme doit s’assurer, avant de mettre en œuvre son traitement, que celui-ci respecte l’ensemble des principes et obligations du RGPD et de la loi Informatique et Libertés (principe de minimisation, transparence vis à vis des personnes concernées, obligation de sécurité, etc.).

Un organisme responsable de traitement visé par le décret n’est pas exonéré du respect de ses obligations préalables à la mise en œuvre des traitements de données personnelles au titre du RGPD.

En particulier, l’organisme est tenu de mener une analyse d’impact sur la protection des données (AIPD) lorsque le traitement de données de santé est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées » (art. 35 du RGPD) :

• soit le traitement figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une AIPD ;
• soit le traitement remplit au moins deux des neufs critères issus des lignes directrices du  Comité européen de protection des données.

À noter : la CNIL ainsi que le Comité européen de la protection des données (CEPD) considèrent que le NIR est une « donnée à caractère hautement personnel ». Dans les hypothèses de risque résiduel élevé prévues à l’article 36 du RGPD, l’organisme devra en outre transmettre son AIPD à la CNIL (cas où la CNIL doit obligatoirement être consultée).

Pour en savoir plus, voir la rubrique « Analyse d’impact sur la protection des données » (fiche pratique, guides, etc.).

Oui.

Le décret « cadre NIR » s’applique tant aux traitements qui utilisent le NIR qu’à ceux qui requièrent une simple consultation du répertoire national d’identification des personnes physiques (RNIPP).

Non.

Le décret « cadre NIR » concerne non seulement les traitements de données dans le secteur de la protection sociale mais aussi les traitements entrant dans le champ de la santé, des ressources humaines, du logement, etc.

Oui.

Un responsable de traitement visé par le décret « cadre NIR » peut recourir à un prestataire extérieur pour que celui-ci assure la collecte et le traitement du NIR pour son compte.

Il s’agit alors d’une hypothèse de sous-traitance devant notamment établir, entre le responsable de traitement et le sous-traitant, un contrat ou un acte juridique précisant les obligations de chaque partie et reprenant les dispositions de l’article 28 du RGPD. Ce contrat doit notamment préciser les obligations incombant au sous-traitant pour protéger la sécurité et la confidentialité des données, mais également que le sous-traitant ne peut agir que sur instruction du responsable de traitement.

Pour en savoir plus, voir le guide sous-traitant.