Délibération n°2009-576 du 20 octobre 2009 refusant d’autoriser la mise en œuvre par la société MANPOWER FRANCE d’un traitement automatisé de données à caractère personnel utilisant le numéro de sécurité sociale et ayant pour finalité la gestion des salariés intérimaires
Nature: Autre autorisation

(Demande d’autorisation n°1287032)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le Code du travail et le Code de sécurité sociale ;
Vu le décret n°91-1404 du 27 décembre 1991 autorisant l'utilisation du répertoire national d'identification des personnes physiques par les employeurs dans les traitements automatisés de la paie et de la gestion du personnel ;
Vu la demande d’autorisation présentée par la société Manpower portant sur l’utilisation du numéro de sécurité sociale à des fins de gestion des intérimaires ;
Après avoir entendu M. Hubert BOUCHET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La société Manpower France a saisi la CNIL d’une déclaration relative à la mise en œuvre d’un traitement de données à caractère personnel utilisant le numéro de sécurité sociale ayant pour finalité d’améliorer la gestion des salariés intérimaires et éviter les risques de confusion d’identité afin de permettre à ces derniers de faire valoir leurs droits (calcul de la rémunération, de l’ancienneté, requalification éventuelle en CDI).
La Commission observe qu’aux termes de cette déclaration, le traitement comporte une fonctionnalité permettant de créer un identifiant unique pour chaque intérimaire. L’identifiant est obtenu à partir du NIR de l’intérimaire en appliquant sur ce numéro un algorithme (de type MD5 avec clé).
Le traitement envisagé permet de faciliter la gestion de l’activité des intérimaires détachés chez les entreprises utilisatrices (gestion des commandes, gestion de l’activité, gestion des missions, éditions de statistiques et de documents) en attribuant une empreinte unique dérivée du NIR à chaque intérimaire limitant ainsi les erreurs sur l’identité des personnes. 
Par ailleurs, il permet également d’établir une corrélation entre le numéro de sécurité sociale de l’intérimaire (détenu par les entreprises de travail temporaire) et celui communiqué par l’entreprise utilisatrice (collecté au moment de l’embauche d’un intérimaire ou en cas d’accident du travail).
A terme, la société Manpower France envisage de proposer son logiciel à d’autres sociétés de travail temporaire ayant accepté de conclure un contrat de licence. L’identifiant unique attaché aux intérimaires pourrait par conséquent être partagé par d’autres entreprises utilisatrices.
La Commission constate que ce traitement relève de la procédure de demande d’autorisation prévue par les dispositions de l’article 25-I-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
La Commission rappelle que le numéro d’inscription au répertoire national d’identification des personnes physiques ou NIR, communément appelé « numéro de sécurité sociale », constitue un identifiant particulièrement signifiant, dont l’utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadrée par la loi.
L’utilisation généralisée d’un identifiant unique dans l’ensemble des fichiers, en ce qu’elle faciliterait leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.
Ces considérations ont conduit la Commission à limiter l’usage du NIR en tant qu’identifiant propre à la sphère de la santé et à la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d’activité. Les dérogations prévues par le législateur n’ont porté que sur des cas limités, justifiés par l’intérêt général et en tenant compte de l’intérêt des personnes concernées.
La Commission rappelle qu’il résulte de l’article 6-3° de la loi du 6 janvier 1978 modifiée qu’un traitement ne peut porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Par ailleurs, il résulte des dispositions de l’article 7-5° de ladite loi que la réalisation de l’intérêt légitime du responsable de traitement doit être prise en compte sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.
A l’appui de sa demande, la société Manpower France invoque l’intérêt légitime d’identifier de manière fiable les intérimaires afin d’éviter les risque de confusion d’identité dû à des phénomènes d’homonymie et d’erreurs d’orthographe empêchant les intérimaires de faire valoir leur droit, ou ayant des conséquences directes sur l’instruction des dossiers d’embauche ou encore étant susceptible de causer un préjudice tant aux intérimaires qu’aux entreprises utilisatrices.
La société Manpower France considère en effet qu’une identification certaine des intérimaires est nécessaire pour assurer en particulier :
le droit pour les salariés intérimaires d’avoir un traitement identique à celui des salariés embauchés en CDI en termes d’avantages et de rémunération,
la prise en compte de l'ancienneté du salarié intérimaire en cas d'embauche en CDI, 
le droit pour les salariés intérimaires de demander la requalification du contrat d'intérim en CDI, lorsque le cumul des contrats de travail temporaire dépasse dix-huit mois,
la prise en compte du salarié intérimaire dans le calcul de l'effectif de l'entreprise utilisatrice.
La société Manpower estime que l’utilisation du NIR et son traitement sont justifiés par le respect de ses obligations légales résultant du code du travail et du code de la sécurité sociale qui obligent l’entreprise utilisatrice à identifier de manière fiable les personnes détachées compte tenu du fait qu’elles peuvent cumuler des périodes d’intérim (ou d’autres contrats) et être missionnées par différentes entreprises de travail temporaire.
Elle ajoute que l’utilisation du numéro de sécurité sociale est source de sécurité juridique tant pour l’entreprise utilisatrice que pour le salarié et que cette utilisation demeure cantonnée à la sphère sociale conformément à la doctrine dégagée par la Commission.
La Commission relève que les entreprises de travail temporaire ne sont autorisées à utiliser le NIR que dans le cadre réglementaire défini par le décret n°91-1404 du 27 décembre 1991. 
La Commission observe toutefois que ces dispositions ne permettent pas un usage du NIR dans des traitements de gestion des intérimaires mis en œuvre par des entreprises de travail temporaire pour d’autres finalités que celles visées par l’article 1er du décret précité, à savoir la gestion de la paie et du personnel pour la réalisation d'opérations résultant de dispositions légales ou réglementaires et concernant les déclarations, les calculs de cotisations et de versements destinés aux organismes de sécurité sociale. 
Elle relève également que les entreprises utilisatrices clientes de la société Manpower ne peuvent avoir communication du NIR des salariés intérimaires qu’en cas de survenance d’un accident de travail pour les seules finalités prévues à l’article R.242-6-2 du code de la sécurité sociale. Elle rappelle que les entreprises utilisatrices ne sont pas habilitées à collecter le NIR auprès des salariés intérimaires de façon systématique, dès lors qu’elles ne sont pas l’employeur des salariés intérimaires. 
Par ailleurs, la Commission estime que la gestion du risque d’homonymie est une préoccupation légitime des responsables de traitement, découlant d’ailleurs de l’obligation de sécurité à laquelle ils sont tenus visée à l’article 34 de la loi, mais que cet argument ne peut constituer une justification précise et motivée de l’utilisation du NIR compte tenu de la finalité envisagée.
Elle observe que d’autres solutions techniques existent pour lutter contre le risque d’erreur et d’homonymie telles que le traitement du nom, de la date et du lieu de naissance. 
La Commission estime en conséquence que le traitement est contraire aux dispositions des articles 6-3° et 7-5° de la loi du 6 janvier 1978.
Au vu de l’ensemble de ces éléments, la Commission n’autorise pas, en l’état, la société Manpower France, sise 7/9 rue Jacques Bingen 75017 Paris,  à mettre en œuvre un traitement de données à caractère personnel utilisant le numéro de sécurité sociale et ayant pour finalité la gestion des intérimaires.
Le Président
Alex TURK