La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet d’arrêté portant approbation du référentiel Identifiant national de santé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 1111-8-1 et R. 1111-8-1 et s. ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-e) ;
Vu le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-1036 du 8 octobre 2019 modifiant le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé et les articles R. 1111-8-1 à R. 1111-8-7 du code de la santé publique ;
Vu la délibération n° 2014-343 du 18 septembre 2014 portant avis sur un projet de loi relatif à la santé ;
Vu la délibération n° 2017-014 du 19 janvier 2017 portant avis sur un projet de décret relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant de santé ;
Vu la délibération n° 2019-102 du 18 juillet 2019 portant avis sur un projet de décret modifiant le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé et les articles R. 1111-8-1 à R. 1111-8-7 du code de la santé publique ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé a consacré le principe de l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) comme identifiant national de santé (INS) afin de faciliter, sans risque d’erreur et dans l’intérêt des patients, les échanges et le partage d’informations de santé entre les multiples acteurs de la sphère sanitaire et médico-sociale. L’interopérabilité des traitements de données administratives et de données de santé, qui résulte de l’application de ce principe, doit permettre de coordonner de manière efficace les soins prodigués aux patients.
Les décrets n° 2017-412 du 27 mars 2017 et n° 2019-1036 du 8 octobre 2019 précités, codifiés aux articles R. 1111-8-1 et s. du code de la santé publique (CSP), ont encadré l’usage de l’INS en le subordonnant notamment au respect des garanties fondamentales suivantes :
l’INS est employé pour référencer les données de santé et les données administratives de toute personne bénéficiant ou appelée à bénéficier d’un acte diagnostique, thérapeutique, de prévention, de soulagement de la douleur, de compensation du handicap ou de prévention de la perte d’autonomie ou d’interventions nécessaires à la coordination de plusieurs de ces actes et à des fins exclusivement sanitaires ou médico-sociales ;
les acteurs directement concernés par l’obligation de référencement sont les professionnels, établissements, services ou organismes mentionnés à l’article L. 1110-4 du CSP et les professionnels constituant une équipe de soins et intervenant dans la prise en charge sanitaire ou médico-sociale de l’usager ;
pour les personnes en instance d’attribution d’un NIR et jusqu’à l’attribution du NIR, l’INS est le numéro identifiant d’attente (NIA) ;
tout autre identifiant ne peut être utilisé qu’en cas d’impossibilité d’accéder à l’INS ;
l’accès à l’INS et sa vérification s’effectuent par des téléservices (l’un de recherche et l’autre de vérification), dénommés ci-après téléservices INSi et mis en œuvre par la Caisse nationale de l’assurance maladie (CNAM).
Le projet d’arrêté portant approbation du référentiel Identifiant national de santé , soumis à l’examen de la Commission, a vocation à rendre opposable le référentiel qu’il contient. Il détermine, du point de vue de la sécurité des données personnelles, les conditions d’utilisation de l’INS. Il présente également l’architecture globale du dispositif nécessaire à l’utilisation de l’INS.
Compte tenu des enjeux du référencement des données par l’INS, le ministère s’est engagé à accompagner, au cours de l’année 2020, les acteurs concernés et leurs relais (fédérations, ordres,



Ceci rappelé, la Commission estime que le recours à l’INS requiert une sécurisation juridique et technique de haut niveau, et adaptée à son régime particulier. Elle considère que les spécificités du NIR, notamment son caractère signifiant, facile à reconstituer à partir des éléments d’état civil, justifie que le recours à cet identifiant soit strictement encadré par la réglementation sur la protection des données personnelles et cantonné aux finalités pour lesquelles son utilisation est permise. En effet, parce qu’il rend plus aisées les possibilités de rapprochements de fichiers et qu’il facilite la recherche et le tri des informations dans les fichiers, le NIR reste associé au risque d’une interconnexion généralisée et d’une utilisation détournée des fichiers. Ce risque est d’autant plus important que les données de santé sont des données sensibles. Aussi, la Commission souhaite rappeler qu’elle s’est montrée favorable, en 2013, à l’utilisation du NIR dans la sphère sanitaire et médico-sociale, dès lors que des garanties suffisantes seraient mises en place. Elle formule, dans ce contexte, les observations suivantes.
Sur les catégories d’acteurs intervenant dans le référencement des données (responsables de l’opération de référencement, sous-traitants, responsables conjoints de traitement et responsables des téléservices d’accès et de vérification de l’INS) :
En premier lieu, en ce qui concerne les acteurs directement impliqués dans l’opération de référencement
stricto sensu

La Commission observe que la sous-traitance est caractérisée dès lors qu’un tiers n’appartenant pas au cercle des acteurs concernés par l’obligation de référencement traite des données à caractère personnel pour le compte du responsable du traitement ayant pour finalité l’opération de référencement. Elle rappelle que, compte tenu de la nature des données traitées, le sous-traitant doit, au titre de l’article 28 du Règlement général sur la protection des données (RGPD), mettre en place des garanties suffisantes en ce qui concerne les mesures techniques et organisationnelles de manière à ce que le traitement ayant pour finalité le référencement réponde aux exigences du RGPD et garantisse la protection des droits des usagers concernés. Il doit, en outre, passer avec le responsable de traitement un contrat de sous-traitance (ou un autre acte juridique) formalisant les rôles, obligations et responsabilités respectives du sous-traitant et du responsable de traitement. Afin de sécuriser le recours à la sous-traitance, la Commission recommande de faire figurer, dans le contrat passé, un engagement de conformité, d’une part, au référentiel contenu dans le projet d’arrêté et, d’autre part, à la politique générale de sécurité des systèmes d’information de santé (PGSSI-S) et prend acte de l’engagement du ministère à ce que cette recommandation figure dans projet d’arrêté.
En revanche, la Commission n’identifie pas les hypothèses dans lesquelles pourrait être reconnue une responsabilité conjointe de traitement au sens de l’article 26 du RGPD et demande à ce que ces hypothèses soient clarifiées dans le projet d’arrêté.
Enfin, s’agissant de la possibilité d’autoriser à terme de nouveaux acteurs à utiliser le NIR aux fins d’INS sur la base d’une disposition légale spécifique, la Commission indique qu’elle sera particulièrement vigilante à cantonner strictement le NIR utilisé comme INS à des fins de prise en charge sanitaire ou médico-sociale.
En second lieu, en ce qui concerne la responsabilité de traitement des téléservices d’accès et de vérification de l’INS,
aucun acte réglementaire ne vient fixer explicitement la qualification juridique de chacun des acteurs
Or, la Commission relève que le projet d’arrêté mentionne que
la CNAM est responsable de traitement du téléservice INSi
Sans remettre en cause la qualification retenue par le ministère, la Commission attire l’attention de ce dernier sur le fait que des travaux consacrés à la mise à jour des lignes directrices du G29 relatives aux notions de responsable de traitement et de sous-traitant (avis n° 1/2010 du 16 février 2010) sont en cours de réalisation au niveau du Comité européen sur la protection des données et que les conclusions de ces travaux concernant les critères à retenir pour établir une responsabilité conjointe de traitement font à ce jour l’objet d’échanges entre autorités de protection des données. Par ailleurs, elle rappelle que, par application des dispositions de l’article 26 du RGPD, les responsables conjoints de traitement doivent définir par voie d’accord, de manière transparente et préalablement à la mise en œuvre du traitement, leurs obligations respectives aux fins d’assurer le respect des exigences du RGPD ; elle constate qu’un tel accord n’a pas été conclu. Aussi, si le ministère fait le choix de retenir une responsabilité conjointe, la Commission signale que des modifications doivent être apportées au projet d’arrêté, dans la mesure où celui-ci désigne comme seul responsable de traitement la CNAM, et prend acte de l’engagement du ministère de procéder aux modifications nécessaires. Par ailleurs, elle demande que l’accord prévu par l’article 26 du RGPD aux fins de formaliser les relations entre les responsables conjoints de traitement soit finalisé préalablement au déploiement des téléservices.
Sur l’utilisation d’identifiants autres que l’INS
Dans la version soumise à l’examen de la Commission, le projet d’arrêté vise un maintien des identifiants locaux en plus de l’INS à des fins de prise en charge sanitaire ou médico-social, au-delà du 1

l’obligation de référencement par l’INS (R. 1111-8-3 III) n’implique pas de supprimer tout autre identifiant local (exemple : IPP) pour le remplacer par l’INS. Il n’est pas non plus exigé par le législateur de remplacer les éléments d’identité gérés dans le SIS par les données provenant des bases de référence. L’INS (et les éléments d’identité provenant des bases de référence définis dans la partie suivante) s’ajoutent aux données déjà gérées dans le SIS ou peuvent les remplacer (cf chapitre 5.3.3 du présent référentiel) .
La Commission rappelle que les articles L. 1111-8-1 et R. 1111-8-1 I du CSP posent le principe selon lequel l’INS est le NIR. L’article R. 1111-8-1 II du CSP précise que
tout autre identifiant ne peut être utilisé pour le référencement qu’en cas d’impossibilité d’accès à l’identifiant national de santé, afin de ne pas empêcher la prise en charge sanitaire et médico-sociale des personnes
il est procédé au référencement des données (…) avec l’identifiant national de santé dès qu’il est possible d’y accéder .
lorsque l’identification d’une personne par un professionnel, un établissement, un service ou un organisme (…) est nécessaire pour sa prise en charge à des fins sanitaires ou médico-sociales, cette identification ne peut être faite que par l’identifiant national de santé (…)
les professionnels, établissements, services et organismes mentionnés à l’article R. 1111-8-3 du code de la santé publique sont tenus de se mettre en conformité avec les dispositions des articles R. 1111-8-1 à R. 1111-8-7 du même code
avant le 1

Compte tenu de ces éléments, la Commission indique que le maintien des identifiants locaux par les acteurs concernés ne pourra être justifié au-delà du 1




Sur les droits des personnes :
Le projet d’arrêté vise le principe de l’information des personnes et l’absence de droit d’opposition.
La Commission relève que, conformément aux dispositions de l’article L. 1111-8-1 et R. 1111-8-1 et s. du CSP, l’opération de référencement des données est nécessaire au respect d’une obligation légale et que les conditions d’exercice des droits des usagers doivent être examinées sur cette base. En conséquence, elle invite le ministère à présenter aux responsables de traitement concernés le dispositif complet applicable à l’exercice des droits des usagers afin de prendre en compte les dispositions du RGPD. Elle demande que le projet d’arrêté soit complété pour y intégrer les modalités spécifiques de l’exercice des droits dont peuvent se prévaloir les personnes concernées par l’opération de référencement, tels que ces droits figurent aux articles 12 et s. du RGPD (notamment droit d’accès, de rectification, droit à la limitation du traitement).
Sur la maîtrise du risque d’erreur dans l’identification des personnes :
Le projet d’arrêté impose de disposer d’un INS et de traits d’identité qualifiés. Dans cette perspective, il impose notamment, en matière d’identitovigilance, de contrôler l’identité de l’usager en respectant les procédures locales prévues par les acteurs et d’exclure toute utilisation de l’INS en cas de doute sur l’identité de l’usager.
La Commission relève que le nouvel article R. 1111-8-6 du CSP mentionne que
le recours aux téléservices n’exonère pas les personnes susmentionnées
de mettre en place toute procédure de surveillance, de correction et de prévention des erreurs relevant de l’organisation de la prise en charge des personnes et concourant à la maîtrise du risque d’erreur dans l’identification des personnes .
La Commission prend également acte de la volonté du ministère de ne pas reprendre, dans son intégralité, l’ensemble des mesures applicables en matière d’identitovigilance auquel l’usage de l’INS est nécessairement subordonnée et de n’y inscrire que celles d’entre elles qu’il convient de respecter pour le cas particulier de l’INS. En effet, l’identitovigilance reste sous la responsabilité de chacun des acteurs concernés et son cadre doit être localement défini dans le cadre de procédures.
Toutefois, la Commission estime, comme elle l’a déjà indiqué dans la délibération n° 2019-102 du 18 juillet 2019 susvisée, que les données de santé et les données administratives le cas échéant, leur échange et leur partage doivent reposer sur un dispositif d’indexation fiable, ce qui implique de disposer de l’identité exacte de l’usager, conformément aux dispositions de l’article 5-1-d) du RGPD, en particulier dans les établissements de santé, tant lors de l’admission que tout au long du parcours de soins, afin d’éviter tout risque de confusion d’identité dont les conséquences pourraient être particulièrement graves. Elle rappelle qu’un recueil d’identité, qui ne serait pas suffisamment fiable, remettrait en cause non seulement l’opération de référencement en résultant mais aussi toute la chaîne de traitements de données de santé et de données administratives indexés sur l’INS à partir de ce référencement. Un recueil insuffisamment fiable d’identité constituerait en outre un risque important pour l’interopérabilité des systèmes d’information locaux, alors même que cette interopérabilité avait été initialement conçue par le ministère pour faciliter le décloisonnement des parcours de soins et éviter les doublons de dossiers ainsi que les collisions d’identité conduisant à rattacher des données d’une personne à une autre. Ainsi, il pourrait être un obstacle important au déploiement de réformes portées par les pouvoirs publics, comme par exemple celle introduite récemment par l’article 45 de la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé prévoyant la création d’un espace numérique de santé conçu aux fins de permettre à chacun la construction d’un parcours de soins coordonné entre les acteurs des secteurs sanitaires et médico-sociaux. Plus largement, il affecterait la qualité et la sécurité des soins prodigués aux usagers.
Aussi, compte tenu des enjeux, la Commission appelle à ce que le projet d’arrêté ne renvoie pas simplement aux procédures locales d’identitovigilance mais précise les modalités de vérification de l’identité des usagers concernés par l’opération de référencement.
Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la Commission.
La Présidente
M-L. DENIS