Décret n° 2013-175 du 26 février 2013 portant création d'un traitement automatisé de données à caractère personnel dénommé « NutriNet-Santé »
Article 3

I. - Le numéro d'inscription au répertoire national des personnes physiques (NIR) est recueilli auprès des personnes participant à l'étude NutriNet-Santé qui y consentent après avoir reçu une information suffisante sur les conditions d'utilisation et de conservation de cette donnée par l'Institut national de la santé et de la recherche médicale. II. - Le numéro d'inscription au répertoire national des personnes physiques ne peut être utilisé qu'en vue d'effectuer un appariement des données relatives aux personnes participant à l'étude, mentionnées aux 2° et 3° de l'article 2 du présent décret, avec les données issues du système national d'information inter-régimes de l'assurance maladie (SNIIR-AM) mentionnées au 4° de ce même article 2. III. - Le numéro d'inscription au répertoire national des personnes physiques est enregistré sous forme chiffrée, à l'aide d'une clé fournie par la Caisse nationale de l'assurance maladie des travailleurs salariés, dès sa communication à l'Institut national de la santé et de la recherche médicale par la personne participant à l'étude. Ce numéro d'identification chiffré est transmis au moyen d'un support physique par l'Institut national de la santé et de la recherche médicale à la Caisse nationale de l'assurance maladie des travailleurs salariés. Dès que cette transmission est effectuée, l'Institut national de la santé et de la recherche médicale supprime le fichier transmis et n'en garde aucune trace. La Caisse nationale de l'assurance maladie des travailleurs salariés procède à l'extraction du système national d'information inter-régimes de l'assurance maladie (SNIIR-AM) des données individuelles mentionnées au 4° de l'article 2 du présent décret. Ces données sont transmises par la Caisse nationale de l'assurance maladie des travailleurs salariés à l'Institut national de la santé et de la recherche médicale au moyen d'un support physique. Cette communication de données ne comporte pas le numéro d'identification au répertoire national des personnes physiques des personnes concernées mais un identifiant anonymisé. Le rapprochement des informations relatives aux personnes participant à l'étude NutriNet-Santé avec les données extraites du système national d'information inter-régimes de l'assurance maladie est effectué par l'Institut national de la santé et de la recherche médicale. IV. - L'utilisation du numéro d'inscription au répertoire national des personnes physiques n'est autorisée que pendant une durée de trois ans à compter de la date de sa communication par la personne concernée participant à l'étude, dans la limite de la durée de l'étude. A l'issue de ce délai, le consentement de cette personne peut à nouveau être sollicité, après information suffisante sur les conditions d'utilisation et de conservation de cette donnée par l'Institut national de la santé et de la recherche médicale. Lorsque la personne participant à l'étude a manifesté son intention de ne plus autoriser l'utilisation de son numéro d'inscription au répertoire national des personnes physiques avant la fin du délai de trois ans suivant la date de communication de cette donnée ou n'a pas renouvelé cette autorisation à l'issue de cette période de trois ans, le responsable du traitement procède sans délai à la suppression du NIR de ses bases de données. V. - L'Institut national de la santé et de la recherche médicale remet tous les trois ans à la Commission nationale de l'informatique et des libertés un rapport sur l'évolution des systèmes de sécurité du traitement mis en œuvre pour l'étude NutriNet-Santé.