Tout savoir sur le décret « cadre NIR » dans le champ de la santé

Toute utilisation du NIR dans un traitement de données personnelles de santé est interdite en dehors des cas listés dans le décret « cadre NIR ». La CNIL ne dispose plus du pouvoir d’autoriser elle-même les traitements de données personnelles de santé comportant le NIR, à l’exception des traitements fondés sur l’intérêt public ou en matière de recherche en santé.

Le décret vise à autoriser le traitement de la donnée qu’est le NIR en tant que telle. Il n’a ni pour objet, ni pour effet, d’autoriser la mise en œuvre des traitements nécessaires aux finalités visées dans le décret.

Outre la nécessité de figurer dans le décret pour ce qui concerne la collecte et le traitement du NIR, l’organisme doit s’assurer, avant de mettre en œuvre son traitement, que celui-ci respecte l’ensemble des principes et obligations du règlement général sur la protection des données (RGPD) et de la loi « Informatique et Libertés » (principe de minimisation, transparence vis à vis des personnes concernées, obligation de sécurité, etc.).

Un organisme responsable de traitement visé par le décret n’est pas exonéré du respect de ses obligations préalables à la mise en œuvre des traitements de données personnelles au titre du RGPD. 

En particulier, l’organisme est tenu de mener une analyse d’impact sur la protection des données (AIPD) lorsque le traitement de données de santé est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées » (art. 35 du RGPD) :

• soit le traitement figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une AIPD ;
• soit le traitement remplit au moins deux des neufs critères issus des lignes directrices du Comité européen de protection des données.

A noter : la CNIL considère que le NIR est une « donnée à caractère hautement personnel ».

Dans les hypothèses de risque résiduel élevé prévues à l’article 36 du RGPD, l’organisme devra en outre transmettre son AIPD à la CNIL (cas où la CNIL doit obligatoirement être consultée).

Les traitements de données de santé mis en œuvre aux fins de réalisation d’études, d’évaluations et de recherches et relevant des dispositions des articles 72 et suivants de la loi « Informatique et Libertés » ne rentrent pas dans le champ d’application des dispositions du décret « cadre NIR ». Dès lors que la collecte du NIR est nécessaire pour ces traitements, l’organisme responsable de traitement doit justifier de la collecte de cette donnée dans la demande d’autorisation qu’il adresse à la CNIL préalablement à la mise en œuvre du traitement. Le dossier de demande d’autorisation devra nécessairement comporter un schéma de circulation des données, une AIPD détaillant notamment de manière précise les mesures de sécurité dont la mise en œuvre est envisagée.

Oui. Le décret « cadre NIR » s’applique tant aux traitements qui utilisent le NIR qu’à ceux qui requièrent une simple consultation du RNIPP (ex. : consultation du RNIPP afin de fiabiliser l’identification des professionnels intervenant dans le système de santé par l’actuelle agence française de la santé numérique).

Non. Le décret « cadre NIR » concerne non seulement les traitements de données de santé mais aussi les traitements entrant dans le champ de la protection sociale, des ressources humaines, du logement, etc.

Oui, un responsable de traitement visé par le décret « cadre NIR » peut recourir à un prestataire extérieur pour que celui-ci assure la collecte et le traitement du NIR pour son compte.

Il s’agit alors d’une hypothèse de sous-traitance devant répondre aux exigences de l’article 28 du RGPD, notamment celle d’établir entre le responsable de traitement et le sous-traitant un contrat ou un acte juridique précisant les obligations de chaque partie et reprenant les dispositions de l’article 28 du RGPD. Ce contrat doit notamment préciser les obligations incombant au sous-traitant pour protéger la sécurité et la confidentialité des données, mais également que le sous-traitant ne peut agir que sur instruction du responsable de traitement.