AgentPublic/cnil huggingface dataset:
Par ailleurs, la Commission rappelle que la réalisation d’études, d’évaluations et de recherches (y compris celles réalisées par l’Agence technique de l’information sur l’hospitalisation en ce qui concerne le coûts des établissements médico-sociaux et sociaux mentionnée au projet d’article 1-9°), relevant des dispositions de la section 2 du chapitre IX de la loi, ne rentre pas, par application du dernier alinéa de l’article 22 de la loi, dans le champ d’application du projet de décret. Elle demande, par conséquent, que les hypothèses d’utilisation du NIR pour ces études, évaluations et recherches soient supprimées du projet ; seuls devraient figurer dans le projet de décret les études à usage interne visées par l’article 53-2° de la loi du 6 janvier 1978 modifiée, exclues du chapitre IX de ladite loi.
En ce qui concerne l’utilisation du NIR aux fins de référencement des données de santé et des données administratives (projet d’article 1-6°), la Commission rappelle, qu’en vertu de l’article R. 1111-8-3 du code de la santé publique (CSP), l’obligation d’utiliser le NIR comme INS pour procéder à ce référencement concerne exclusivement les professionnels, établissements, services ou organismes mentionnés à l’article L. 1110-4 du CSP et les professionnels constituant une équipe de soins, sous réserve que ceux-ci interviennent dans la prise en charge sanitaire ou médico-sociale des usagers. Or, elle relève que le projet de décret ouvre la possibilité d’utiliser le NIR comme INS aux fins de référencement des données aux organismes assurant des échanges d’informations concernant les orientations prononcées par la commission des droits et de l’autonomie des personnes handicapées entre les maisons départementales des personnes handicapées et les établissements et services sociaux et médico-sociaux. La Commission rappelle que les échanges intervenant avec ces organismes doivent respecter les dispositions des articles R. 1111-8-3 et R. 1111-8-4 du CSP. Dans ces conditions, elle s’interroge sur la nécessité de viser expressément ces organismes dans le projet de décret dans la mesure où ils entrent déjà dans le champ de ces dispositions du CSP et que ces dispositions sont elles-mêmes visées par l’article 1-6° du projet de décret.
En ce qui concerne l’utilisation du NIR aux fins de facturation ou de prise en charge financière des dépenses relatives aux actes de télémédecine (projet d’article 1-11°), le projet de décret vise, comme responsables de traitement autorisés à utiliser, le NIR : les professionnels, institutions, structures ou établissements et leurs groupements qui dispensent à des assurés sociaux ou à leurs ayants droit des actes ou prestations pris totalement ou partiellement en charge par l’assurance maladie, y compris les comptables publics attachés à ces établissements et les professionnels visés par l’article R. 6316-1 du CSP (professionnels de santé, dont les professionnels médicaux).
La Commission constate, qu’au-delà de ces responsables de traitements, d’autres acteurs participant au déploiement du dispositif de télémédecine ont besoin de traiter le NIR à des fins de facturation ou de prise en charge financière et ne semblent pas être visés dans le projet de décret. Il en est notamment ainsi des fournisseurs de solutions techniques, qui dans le cadre des expérimentations de télémédecine pour l’amélioration des parcours en santé (programme ETAPES), distribuent la solution technique permettant d’effectuer la télésurveillance médicale du patient et collectent le NIR à des fins de facturation auprès de l’assurance maladie. Dans ces conditions, la Commission observe qu’il conviendrait d’ajouter les fournisseurs de solutions techniques aux catégories de responsable de traitement visées par l’article 1-10° du projet de décret.
En ce qui concerne l’utilisation du NIR aux fins de mise en œuvre des programmes de dépistage organisé des cancers par les structures conventionnées en charge de la gestion des dépistages des cancers, les centres de lecture associés aux programmes de dépistage, les organismes d’assurance maladie, les médecins spécialistes ayant réalisé des examens complémentaires (projet d’article 1-12°), la Commission observe que l’utilisation du NIR est déjà couverte, comme indiqué précédemment, soit par les dispositions de l’article 1-6° du projet de décret soit par celles de l’article 1-10°, à l’exception des traitements des populations éligibles au dépistage envoyés aux fins d’invitation par les caisses d’assurance maladie aux structures de gestion conventionnées. Dans ces conditions, la Commission suggère de ne mentionner, dans le projet de décret, que la seule exception des traitements transmis par les caisses d’assurance maladie et mis en place aux fins d’invitation des populations cibles.
En ce qui concerne l’utilisation du NIR aux fins d’identification des professionnels intervenant dans le système de santé par le groupement d’intérêt public chargé du développement des systèmes d’information de santé partagés (ASIP) (projet d’article 1-13), la Commission rappelle qu’a été autorisée, par l’arrêté du 6 février 2009 modifié par l’arrêté du 18 avril 2017, la création par le ministère des affaires sociales et de la santé d'un traitement de données à caractère personnel dénommé Répertoire partagé des professionnels intervenant dans le système de santé (RPPS), dont la mise en œuvre a été confiée à l’ASIP. Elle observe que, par application des dispositions de l’article 3 de l’arrêté précité, l’ASIP est autorisée aux fins de collecte et d’enregistrement dans le RPPS des traits d’identité du professionnel de santé (nom de famille, nom d’usage, prénoms, etc.) à consulter le répertoire national d’identification des personnes physiques (RNIPP). Dans la mesure où la simple consultation de ce répertoire est suffisante pour permettre à l’ASIP d’exercer ses missions, la Commission demande que, seule soit visée, dans le projet de décret, la consultation par l’ASIP du RNIPP aux fins de fiabiliser les données du RPPS.
En ce qui concerne l’utilisation du NIR aux fins de gestion de la pharmacie par les pharmaciens, pour la réalisation d’analyses statistiques de vente (projet d’article 1 - 19°), en l’absence d’informations suffisantes lui permettant d’apprécier dans quelle mesure la collecte du NIR serait pertinente, la Commission demande la suppression de la collecte du NIR par les pharmaciens pour cette finalité. Elle formule la même réserve en ce qui concerne l’utilisation du NIR par les professionnels de santé pour la gestion des fournisseurs, la traçabilité des produits et des intervenants et la gestion des prospects (projet d’article 1-20°).
Sur les catégories de responsables de traitement et les finalités des traitements portant sur le NIR dans le champ des ressources humaines 
L’article 1-24° du projet de décret prévoit le traitement du NIR pour la gestion administrative, financière et opérationnelle des ressources humaines de l’administration. Elle estime ainsi nécessaire de préciser le périmètre des traitements visés par cet alinéa et rappelle, en particulier, que l’utilisation du NIR devrait être cantonnée aux échanges avec les organismes de sécurité sociale. S’il apparait en effet légitime d’utiliser le NIR dans les opérations de paie et pour les déclarations sociales, ce numéro ne saurait devenir un numéro de matricule unique pour identifier les employés dans l’ensemble des fichiers de gestion des ressources humaines d’une entreprise ou d’une administration.
A cet égard, la Commission souligne que cette disposition ne doit avoir ni pour objet ni pour effet d’étendre le traitement du NIR à l’intégralité des opérations de gestion du personnel mais doit viser les seules opérations pour lesquelles son traitement est nécessaire. Sur ce point, elle rappelle que certains décrets antérieurs ont entendu limiter expressément le recours au NIR à des opérations particulières relevant de la gestion du personnel, telle que la liquidation de la paie. Cette restriction a par exemple été posée par le décret n° 2013-450 du 31 mai 2013 autorisant un traitement automatisé de données à caractère personnel dénommé ReHuCIT-GP relatif à la gestion des ressources humaines du ministère de l'égalité des territoires et du logement et du ministère de l'écologie, du développement durable et de l'énergie. Aux précisions qui ont été demandées, il a été répondu que cette disposition était nécessaire dans le cadre de la gestion de la paie particulièrement pour la resynchronisation des dossiers de paie avec les dossiers financiers des agents dans les systèmes d’information des ressources humaines des ministères. Or, la Commission observe qu’une telle utilisation semble déjà couverte par l’article 1-23°. Dans ces conditions, elle demande à ce que l’articulation entre ces dispositions soit précisée ou à défaut, que cette disposition soit retirée.
L’article 1-25° du projet de décret prévoit l’utilisation du NIR, par les employeurs publics, leurs tiers mandatés ainsi que les employeurs privés, dans le cadre de l’accès des personnes à des restaurants administratifs. Il résulte des précisions apportées qu’une telle utilisation, présentée comme ayant un intérêt pratique pour l’ensemble des employeurs public et privés, n’apparaît ni nécessaire ni proportionnée. La Commission estime dès lors qu’il n’y a pas lieu de recourir au NIR pour une telle finalité et demande que le projet de décret soit modifié en ce sens.
L’article 1-26° du projet de décret permet le traitement du NIR pour le pilotage et la gestion de l’action sociale concernant les services centraux et déconcentrés des administrations de l’Etat. La Commission prend acte qu’il s’agit de l’extension, à tous les ministères, du traitement dénommé SAXO que seul le ministère de l’éducation nationale a été autorisé à mettre en œuvre par arrêté du 26 septembre 2011. Au-delà de l’extension significative des acteurs habilités à traiter le NIR, la Commission relève que l’arrêté du 26 septembre 2011 ne permet qu’une utilisation d’un NIR tronqué ne présentant pas les mêmes caractéristiques que le NIR. Elle estime, compte tenu de ces éléments, que l’article 1-26° devrait être supprimé.
S’agissant de l’article 1-31° du projet de décret, la Commission relève qu’il prévoit notamment que la Direction générale de la cohésion sociale (DGCS) recourt au NIR pour le versement, le contrôle et le pilotage des dispositifs d’aide à l’emploi. La Commission prend acte que le projet de décret sera modifié afin d’ôter la référence aux services de la DGCS dans la mesure où seule l’Agence de service et de paiement est responsable des traitements visés et justifie donc du besoin de traiter le NIR à ces fins.
En ce qui concerne les déclarations des employeurs aux fins d’alimenter le compte personnel de formation (CPF) mentionné à l’article 1-35° du projet de décret, la Commission s’interroge sur le fait qu’elles soient contenues dans le périmètre de l’article 1-23° relatif aux déclarations sociales réalisées par les employeurs. En tout état de cause, elle s’interroge sur l’absence du compte professionnel de prévention (C2P) dans le projet de décret, au regard notamment des autres organismes impliqués.
S’agissant du projet d’article 1-39°, la Commission relève qu’il autorise le traitement du NIR pour la réalisation d’études et d’enquêtes socio-professionnelles dans le domaine de l’emploi, par les administrations et services de l’Etat. Si la Commission ne remet pas en cause l’intérêt de disposer du NIR pour certaines études telles que celle sur la mortalité par catégorie socioprofessionnelle réalisée par l’INSEE, elle estime que la rédaction imprécise de cette disposition lui confère une portée trop étendue. Par ailleurs, la Commission estime qu’il conviendrait de clarifier l’articulation entre les finalités prévues par les projets d’articles 1-33° 1-39° du projet de décret.
Sur les catégories de responsables de traitement et les finalités des traitements portant sur le NIR dans le champ du logement
Le projet d’article 1-81° reprend les finalités prévues par le décret n° 2017-917 du 9 mai 2017 relatif aux demandes de logement locatif social et autorisant le traitement de données à caractère personnel dénommé Numéro unique , en procédant toutefois à certains ajouts.
La Commission relève à cet égard que ce si cet article autorise les agents des personnes et des services énumérés à l’article R. 441-2-6 du code de la construction et de l’habitation à traiter le NIR, il est pourtant bien spécifié dans le décret du 9 mai 2017, que ces mêmes agents sont destinataires des données listées dans le texte à l'exception du numéro d'inscription au répertoire national d'identification des personnes physiques . Dans ces conditions, elle est réservée sur une telle extension susceptible de concerner un grand nombre de personnes et estime que cette disposition ne saurait être maintenue dans le projet de décret.
La Commission relève également que le décret du 9 mai 2017 précité indique expressément que  les données non nominatives sont transmises exclusivement à des fins d'exploitations statistiques et d'études aux personnes et services dont les missions et les attributions le justifient . Aussi, la Commission s’interroge sur l’opportunité d’autoriser désormais les agents des personnes et des services énumérés à l’article R. 441-2-6 du code de la construction et de l’habitation à procéder à la réalisation de statistiques sur la base d’informations nominatives et notamment du NIR. Dans ces conditions, la Commission appelle à amender le projet de décret de sorte à y faire figurer les conditions posées par le décret du 9 mai 2017.
Sur les catégories de responsables de traitement et les finalités des traitements portant sur le NIR dans le champ financier et fiscal 
En premier lieu, la Commission prend acte que, pour la finalité de recherche des titulaires décédés de comptes ou coffres forts mentionnée au projet d’article 1-50°, seule la consultation des données figurant au RNIPP sans aucune autre utilisation du NIR est autorisée par les établissements du secteur bancaire et financier soumis aux obligations relatives aux comptes inactifs prévues par la section 4 du chapitre II du titre Ier du livre III du code monétaire et financier, ou par la personne mandatée à cet effet ayant signé une licence d’usage avec l’Institut national de la statistique et des études économiques. Elle rappelle que le NIR ne peut en aucun cas être utilisé pour servir de clef de consultation du RNIPP et considère que le projet de décret devrait dès lors être précisé en ce sens.
La Commission relève que, pour la finalité de recherche des bénéficiaires des contrats en déshérence mentionnée au projet d’article 1-51°, le projet de décret élargit le périmètre des contrats aux bons ou contrats de capitalisation concernant des personnes décédées. En outre, le projet de décret étend la liste des organismes autorisés à accéder aux données du RNIPP pour la finalité exclusive de recherche des personnes bénéficiaires des contrats en déshérences, aux organismes de retraite professionnelle supplémentaire. Enfin, elle prend acte de la possibilité pour les organismes d’assurance de collecter le NIR des personnes assurées, bénéficiaires ou adhérentes aux fins de comparaison avec le fichier des personnes décédées transmis par l’INSEE pour améliorer leur gestion opérationnelle et rendre plus effective la lutte contre les contrats en déshérence. Ces dispositions n’appellent pas d’observations particulières.
Concernant le projet d’article 1-59°, la Commission prend acte de l’élargissement du périmètre des organismes autorisés à utiliser le NIR dans le cadre de lutte contre la fraude, d’une part, au Fonds de garantie des assurances obligatoires de dommages (FGAO) et, d’autre part, au Fonds de garantie des victimes des actes de terrorisme et d’autres infractions (FGTI) ; cet élargissement n’appelle pas d’observation spécifique au regard des précisions apportées relatives à la volonté de donner à ces deux entités les mêmes prérogatives en matière de lutte contre la fraude que les organismes d’assurance dès lors qu’elles remplissent des missions de même nature.
Par ailleurs, la Commission rappelle que le NIR peut être collecté et traité par les organismes d’assurance en relation avec les professionnels de santé (établissements et institutions) dans le cadre de leurs obligations relatives aux déclarations sociales et pour l’indemnisation des accidents ; il peut également être traité pour la gestion des rentes ou pour les garanties perte d’exploitation et perte d’emploi . Les organismes d’assurance peuvent traiter ce numéro pour leur traitement de lutte contre la fraude dans les seules hypothèses visées précédemment.
Le projet d’article 1-59° mériterait d’être précisé pour limiter les cas de collecte et de traitement du NIR à ces seules activités.
En deuxième lieu, la Commission relève que le projet d’article 1-44° prévoit l’utilisation du NIR afin de vérifier la fiabilité des éléments d’identification des personnes figurant dans le traitement de données relatives à l’assiette, au contrôle et au recouvrement de tous impôts, droits, taxes et redevances ou amendes et pour l’exercice du droit de communication auprès des énumérées à l’article R. 81-A du livre des procédures fiscales . Elle relève qu’une telle utilisation, qui n’appelle pas d’observation particulière au regard du cadre juridique actuellement en vigueur, sera subordonnée à la collecte du NIR dans les conditions strictement énumérées à l’article R. 287-1-II du livre des procédures fiscales.
Par ailleurs, sans remettre en cause la légitimité d’un traitement de données à caractère personnel qui aurait pour objet de lutter contre la fraude (projet d’article 1-57°), la Commission estime que la seule référence à cette notion au sein du présent projet de décret ne permet pas d’expliciter les traitements visés. Le ministère ayant été interrogé sur ce point, elle prend acte des précisions apportées selon lesquelles il s’agit de lutter contre la fraude sociale et fiscale en permettant l’accès au répertoire commun de la protection sociale (RNCPS) prévu à l’article L. 114-12-1 du code de la sécurité sociale. Au regard de ces précisions, la Commission demande que le projet de décret soit modifié en ce sens.
Sur les autres dispositions du projet de décret
La Commission rappelle que l’article 22 de la loi du 6 janvier 1978 contient notamment des dispositions relatives aux traitements qui ont exclusivement des finalités de statistique publique et qui sont mis en œuvre par le service statistique public et ne comportent aucune des données mentionnées au I de l’article 8 ou à l’article 9 , lesquels n’ont dès lors pas vocation à figurer au sein du présent projet de décret.
Elle rappelle à cet égard que l’article 22 précité dans sa rédaction antérieure aux modifications apportées par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles contenait déjà des dispositions visant à alléger, dans certaines conditions, le régime de formalité applicable à certains traitements qui portaient sur des données à caractère personnel parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ou qui requièrent une consultation de ce répertoire. En particulier, la Commission souligne que cet allègement des formalités était soumis à ce que le NIR ait préalablement fait l'objet d'une opération cryptographique lui substituant un code statistique non signifiant.
De manière générale, elle rappelle que la Commission s’est toujours montrée favorable à la facilitation des travaux de recherche, sous réserve que des garanties appropriées soient prévues lorsque le NIR est traité. Dans le cadre de son avis sur le projet de loi pour une République numérique du 19 janvier 2015, elle a ainsi rappelé que tout assouplissement des formalités préalables en vigueur concernant le traitement du NIR à des fins de recherche devait répondre à deux conditions impératives à savoir :
être assorti de garanties fortes assurant la protection des données des personnes concernées et appropriées aux traitements en cause ;
ne pas avoir pour effet de porter atteinte au cantonnement de l’utilisation du NIR comme identifiant de la seule sphère médico-sociale .
En l’espèce, elle observe que le projet d’article 1-65° vise notamment les traitements mis en œuvre par le service statistique public qui ont des finalités de statistique publique, d’études, de recherche ou d’évaluation, réalisés dans le respect de la loi du 7 juin 1951 susvisée et qui ne font pas l’objet d’une opération cryptographique substituant au NIR un code statistique non signifiant sans qu’il ne soit possible de déterminer avec précision la manière dont s’articule cette disposition spécifique avec celle de l’article 22 de la loi du 6 janvier 1978.
En particulier, la Commission relève que cette disposition peut être lue comme permettant l’utilisation du NIR en l’absence de tout procédé cryptographique pour des traitements qui seraient mis en œuvre à des fins de statistiques publiques par le service statistique public et qui reposeraient, par exemple sur la collecte de données mentionnées au I de l’article 8 ou à l’article 9 de cette même loi, tout en étant exemptés de la garantie relative à la mise en œuvre d’un procédé cryptographique.
Dans l’hypothèse où une telle lecture serait retenue, elle estime que le maintien de la référence, à cet alinéa 65°, aux traitements mis en œuvre par le service statistique public pour des finalités de statistique, devrait être réexaminé pour éviter toute contradiction avec la lettre de l’article 22 ou, en tout état de cause, avec la finalité de minimisation des données traitées qui sous-tend l’exigence de recours à un procédé cryptographique prévue par la loi pour les traitements à finalité exclusivement statistique.
En tout état de cause, elle estime impératif que toute ambiguïté soit écartée sur les traitements effectivement concernés ainsi que sur l’articulation de cette disposition réglementaire avec les dérogations mentionnées à l’article 22 de la loi du 6 janvier 1978 modifiée.
La Commission relève par ailleurs que le projet d’article 1-76° prévoit notamment que l’Institut national de la statistique puisse mettre en œuvre des traitements qui portent sur des données comportant le NIR aux fins de recensement de la population.
A titre liminaire, elle souligne que dès le début des années 1980, la CNIL a mis en évidence la singularité des fichiers mis en œuvre dans le cadre du recensement général de la population en soulignant leur portée générale et les nombreuses informations qu’ils permettent de collecter tant sur les logements concernés que sur leurs occupants.
La Commission relève qu’en application de l’article 156 de la loi n° 2002-276 du 27 février 2002 relative à la démocratie de proximité, le recensement général de la population poursuit trois finalités à savoir le dénombrement de la population de la France, la description des caractéristiques démographiques et sociales de la population ainsi que le dénombrement et la description des caractéristiques des logements. Elle observe que le traitement mis en œuvre à cette fin repose sur la collecte de données devant illustrer les principales caractéristiques des individus interrogés (sexe, âge, activité, professions exercées, caractéristiques des ménages, taille et type de logement, modes de transport, déplacements quotidiens) et ce, afin d’adapter le cas échéant, au niveau national et local les politiques mises en œuvre.
Compte tenu des finalités poursuivies par le traitement mis en œuvre afin de procéder au recensement de la population, la Commission estime que la collecte du NIR à cette fin n’apparait ni nécessaire ni proportionnée. Elle émet, en tout état de cause, des réserves sur la possibilité de prévoir une telle utilisation du NIR par voie réglementaire.
Enfin, à des fins de clarté, la Commission estime que TRACFIN devrait être expressément visé à l’article 1-58° du projet de décret.
 
La Présidente
 
 
Marie-Laure DENIS