Le cadre général du traitement de l’identifiant Nir est fixé

Le décret précisant les conditions spécifiques de traitement du numéro d’inscription des personnes au répertoire national d’identification des personnes physiques, dit Nir, prévu à dans l’ordonnance sur la protection des données (lire notre article) a été publié au Journal officiel (JO) du 21 avril. Ce dernier détermine notamment les catégories de responsables des traitement dans différents champs, dont ceux de la protection sociale et de la santé, ainsi que les finalités de ces traitements. Ce décret est accompagné de la délibération de la Commission nationale de l’informatique et des libertés (Cnil) saisie sur le projet de décret par le ministère de la Justice. Elle y rappelle que « seules les personnes habilitées au regard des missions qui leur sont confiées ne devront pouvoir accéder et utiliser les données contenues dans les traitements mis en œuvre« .

Si le texte autorise le traitement de la donnée qu’est le Nir en tant que telle, « il n’a en revanche pas pour objet […] la mise en œuvre de l’ensemble des traitements nécessaires aux finalités » mentionnées dans le premier article. Ainsi, les responsables devront respecter les principes et les obligations du règlement général européen de protection de la donnée (RGPD). Le ministère a aussi indiqué que le décret a vocation à reprendre l’ensemble des traitements utilisant le Nir et que ceux qui n’auraient pas été repris « ne deviennent pas illégaux de ce seul fait« . Pour ceux autorisés, notamment par un acte réglementaire unique, ils « ne sont pas soumis jusqu’à leur modification, et au plus tard le 25 mai 2020« , à l’obligation d’être mentionnés dans le décret.

Recensement détaillé

Pour ce qui est de la catégorie protection sociale, le décret prévoit d’autoriser le traitement du Nir pour toute une série d’organismes afin de permettre l’accomplissement de leurs missions en la matière, « y compris lorsque l’utilisation du Nir est nécessaire pour la réalisation d’évaluations, d’études, de statistiques et de recherches ou pour mettre en œuvre des échanges ou traitements intéressant plusieurs acteurs de la protection sociale« . Sont par exemple concernés : les maisons départementales des personnes handicapées (MDPH), les établissements et services sociaux et médico-sociaux, les agents de la Caisse nationale de solidarité pour l’autonomie (CNSA).

Pour ce qui est du champ de la santé, le décret, comme le relève la Cnil, procède « à un recensement complet et particulièrement détaillé de l’ensemble des hypothèses d’utilisation du Nir et détermine, pour chacune d’entre elles, les catégories de responsables de traitement et les finalités de traitement« . Si le texte reprend des traitements existants antérieurs utilisant le Nir, de nouvelles finalités ont fait leur apparition : pour les opérations liées à la facturation et à la prise en charge financière de dépenses relatives aux actes de télémédecine ; pour la gestion et le suivi des alertes sanitaires. Concrètement, souligne la Cnil, la majorité des hypothèses d’utilisation du Nir dans le secteur sanitaire sont couverts : mise en œuvre des programmes de dépistage organisé des cancers, gestion des cabinets médicaux et paramédicaux, prise en charge des coordonnées des patients diabétiques…

Les fournisseurs de solutions techniques non visés

Sur le sujet de la télémédecine plus précisément, la Cnil note qu’au-delà des responsables de traitements, d’autres acteurs participent au déploiement de ce dispositif et ont besoin de traiter le Nir à des fins de facturation ou de prise en charge financière « et ne semblent pas être visés dans le projet de décret« . Elle cite ainsi les fournisseurs de solutions techniques qui distribuent, notamment dans le cadre de l’expérimentation Etapes (pour expérimentations de télémédecine pour l’amélioration du parcours en santé), la solution technique permettant d’effectuer la télésurveillance médicale du patient et collectent le Nir à des fins de facturation auprès de l’Assurance maladie. Il conviendrait donc de les intégrer, estime-t-elle. Dans le texte final publié au JO, ils n’apparaissent pas. Mais le décret est rédigé comme suit : « Outre les acteurs mentionnés à l’alinéa précédent, [est concernée] toute personne concourant à cette activité et à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel » prévu par le Code pénal.