Le numéro d’inscription au répertoire (NIR) national d’identification, communément appelé numéro de Sécurité sociale permet d’identifier les personnes physiques.
C’est une donnée personnelle. L’utilisation de ce numéro est très encadrée.
Ainsi, pour la CNIL, son utilisation ne peut pas être généralisée à tous les traitements.
Un décret vient de préciser les catégories de responsables de traitement, ainsi que les finalités des traitements autorisés à utiliser le numéro de Sécurité sociale.
- Une donnée personnelle qui est donc protégée
Le numéro de Sécurité sociale est un code permettant d’identifier les personnes physiques.
Ce numéro comporte notamment des informations sur le sexe, l’année, le mois et le département de naissance de son titulaire.
Ce numéro est une donnée personnelle qui est donc protégée.
Pour l’emploi de ce numéro comme identifiant des personnes, la CNIL considère que son utilisation ne doit pas être systématique, ni généralisée.
Le RGPD prévoit des dispositions particulières concernant l’usage du numéro de Sécurité sociale.
En effet, il revient à l’Etat de préciser les conditions spécifiques de ces traitements.
Elles ont été précisées par la loi du 20 juin 2018 relative à la protection des données personnelles qui prévoit qu’un décret déterminera les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu'ils portent sur des données comportant le numéro de Sécurité sociale. Ce décret a été publié le 21 avril 2019.
Il convient de noter que certains traitements ne sont pas concernés par ces dispositions. Il s’agit notamment de ceux qui ont des finalités de statistiques publiques, de recherche scientifique ou historique.
- Catégories de responsables de traitement et finalités des traitements autorisés
La mise en œuvre de ces traitements doit intervenir sans préjudice des obligations qui incombent aux responsables de traitement ou à leurs sous-traitants.
Les responsables de traitement autorisés à traiter le numéro de Sécurité sociale doivent respecter les principales obligations du RGPD, comme l’analyse d’impact sur la protection des données dans certaines situations.
Dans les champs du travail et de l’emploi du secteur privé, l’usage du numéro de Sécurité sociale est autorisé, pour remplir les obligations déclaratives nécessitant l’utilisation du numéro de Sécurité sociale (déclaration sociale nominative), et pour le traitement automatisé de la paie et de la gestion du personnel résultant de dispositions légales ou réglementaires et de conventions collectives concernant les déclarations, les calculs de cotisations et de versement destinées aux organismes de Sécurité sociale, les caisses de prévoyance, la caisse des dépôts et consignation.
Cet usage est également autorisé pour la tenue du livret d’épargne salariale concernant l’établissement des relevés de compte individuels et des états récapitulatifs par les organismes ou services chargés de ces missions.
Il faut savoir que ce décret précise d’autres domaines et d’autres catégories de responsables de traitement autorisés à utiliser le numéro de Sécurité sociale pour des traitements tels que :
- la vérification de l’identité du salarié faisant l’objet de la déclaration préalable à l’embauche par les organismes de protection sociale et Pôle emploi,
- la mise en œuvre du compte personnel d’activité par les services du ministère chargé du travail et de l’emploi, la Caisse des dépôts et consignations, etc.,
- la mise en œuvre du compte personnel de formation, la connexion au système d’information du compte personnel de formation par les services du ministère chargé de la formation professionnelle, France compétences, les OPCO, les régions et les opérateurs de conseil en évolution professionnelle, Pôle emploi, etc.
Décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques ou nécessitant la consultation de ce répertoire, Jo du 21
Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, art. 87
Loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, art. 11
