Délibération portant refus d'autorisation de mise en oeuvre par MFP SERVICES d'un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la relation client.
Nature: Autre autorisation

   La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation présentée par MFP SERVICES le 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
   Formule les observations suivantes :   La MFP SERVICES a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion de la relation client.   La Commission observe qu'aux termes de la déclaration, le traitement permettra notamment aux différents services (sinistres, finances...) de se partager les mêmes informations et de disposer des même bases documentaires ; le traitement permet également la centralisation des activités des centres d'appels téléphoniques.   Elle relève que parmi les informations traitées figure le numéro de sécurité sociale.   La Commission constate que ce traitement relève de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-1-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et où il apparaît que ce numéro est utilisé à des fins de gestion de la relation client.   La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadrée par la loi.   La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.   L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.   Par ailleurs, le caractère unique et signifiant du NIR pour chaque individu le place dans une position particulière de vulnérabilité au regard des usurpations d'identité.   Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et à la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général et en tenant compte de l'intérêt des personnes concernées.   Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être prise en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.   La Commission relève que la Mutualité fonction publique services (MFP SERVICES) est un organisme gestionnaire du régime d'assurance maladie obligatoire et de la complémentaire santé de mutuelles de la Fonction publique regroupées au sein de la Mutualité Fonction Publique.
   A l'appui de sa demande MFP SERVICES invoque l'intérêt d'identifier le client, l'adhérent ou l'assuré par le NIR afin d'éviter les risques d'homonymie et d'erreur, repérer les doublons et permettre la gestion centralisée de la relation client.   MFP SERVICES expose de surcroît qu'il dispose déjà du NIR dans le cadre de la gestion des régimes d'assurance maladie obligatoires et complémentaires, et que l'utilisation du NIR à des fins de gestion de la relation client permettrait de simplifier et rationaliser la gestion commerciale de ses fichiers.   MFP SERVICES précise que l'utilisation du NIR concerne la gestion de la relation commerciale se rapportant à la gestion des prestations prévues par les contrats des adhérents du régime complémentaire.   L'identification de l'adhérent par le NIR permettrait de déterminer quelle personne a téléphoné ou s'est déplacée dans une section départementale ainsi que le motif de l'appel ou du déplacement.   La Commission relève que les mutuelles ne sont autorisés à traiter le NIR que dans le cadre réglementaire défini par les articles R. 115-1 et R. 115-2 du code de la sécurité sociale.   La Commission considère que ces dispositions ne permettent pas un usage du NIR dans des traitements mis en oeuvre par les mutuelles, entreprises régies par le code des assurances et les institution de retraite complémentaire et de prévoyance à des fins autres que l'exercice des activités d'assurance maladie, maternité et invalidité complémentaire ou dans leurs activités d'assurance vieillesse ; qu'en particulier, elles n'autorisent pas les organismes visés à utiliser le NIR en qualité d'identifiant unique à des fins de prospection commerciale ou de gestion de la relation commerciale.   La Commission observe que les éléments présentés par MFP SERVICES n'apportent aucune garantie sur le fait que le numéro de sécurité sociale n'est pas utilisé à des fins autres que celle prévues par les articles R. 115-1 et R. 115-2 du code de la sécurité sociale.   La Commission estime en conséquence le traitement contraire aux dispositions des articles 6-3° et 7-5° de la loi du 6 janvier 1978.   N'autorise pas, en l'état des informations dont elle dispose, MFP SERVICES à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client.   Le président, Alex TURK.