La fiche 3 du guide CNIL pour les SPST encadre les données collectées et rappelle que seules les données nécessaires au suivi peuvent figurer au dossier. Ce semestre, la montée en charge de l’Identité Nationale de Santé (INS) et de l’identitovigilance précise la place du NIR dans les services.
Le NIR n’est plus un simple numéro administratif. Il devient le matricule de l’identité de santé, dont l’usage est strictement encadré. Un service qui reçoit des NIR par plusieurs canaux doit désormais les tenir séparés.
Ce qui change
L’INS se compose d’un matricule (le NIR, ou le NIA en attente) et de cinq traits stricts : nom de naissance, premier prénom de naissance, date de naissance, sexe et lieu de naissance. L’identité passe par quatre statuts : provisoire, validée, récupérée, qualifiée. Seule une identité qualifiée permet d’échanger des données de santé.
Le téléservice INSi, opéré par l’Assurance Maladie, est appelé par le logiciel métier au moyen d’un certificat : carte de professionnel de santé, e-CPS, Pro Santé Connect ou certificat de la structure. Il rend deux services. La récupération interroge les bases nationales (RNIPP de l’INSEE, SNGI de la Cnav, RFI de la Cnam) à partir des traits ou de la carte Vitale, et renvoie le matricule et les traits de référence. La vérification confirme qu’une INS connue correspond bien à la personne.
La règle de cloisonnement découle de ce cadre : un NIR obtenu par un autre canal, par exemple transmis par l’employeur pour le passeport de prévention, ne peut pas être réutilisé pour référencer le dossier médical. Le cadre s’appuie sur le Référentiel INS, le Référentiel National d’Identitovigilance (RNIV) et le décret n° 2023-1073 du 20 novembre 2023 sur l’usage du NIR dans l’emploi et la formation professionnelle, pris sur le fondement du décret n° 2019-341 du 19 avril 2019.
Ce que cela implique pour un SPST
L’identitovigilance touche directement deux principes du RGPD. L’exactitude (article 5.1.d) : une identité mal qualifiée rattache des données de santé à la mauvaise personne, au risque de confondre deux travailleurs homonymes. La limitation des finalités (article 5.1.b) : un NIR collecté pour une finalité ne peut pas être réemployé pour une autre sans base.
Le service doit vérifier que son logiciel métier est raccordé à INSi et que les appels reposent sur des certificats nominatifs. Un certificat partagé entre plusieurs personnes empêche de savoir qui a interrogé le téléservice et affaiblit la traçabilité attendue pour des données de santé.
Une procédure d’identitovigilance écrite doit décrire les statuts, les conditions de qualification (INSi et pièce d’identité), la gestion des doublons et des collisions. Les secrétariats, infirmiers et médecins doivent savoir qu’un NIR reçu par un autre canal ne se ressaisit jamais dans le dossier.
Le cloisonnement doit se lire dans le registre : le NIR du passeport et l’INS du dossier médical relèvent de deux traitements distincts, avec des finalités, des accès et des durées différents.
Comment le traiter dans DPO SUITE
Ouvrez la fiche du traitement « Suivi individuel de l’état de santé » dans le registre et précisez, dans les catégories de données, que le dossier est référencé par l’INS qualifiée obtenue via INSi. DPO SUITE ne contient jamais de NIR : la fiche décrit la catégorie de données, aucune valeur n’y est saisie. Vérifiez que la fiche du passeport de prévention, si elle existe, mentionne bien une origine et une finalité distinctes.
Dans le registre des logiciels, rattachez le logiciel métier au traitement et notez son raccordement à INSi. Dans le registre des sous-traitants, envoyez à l’éditeur le questionnaire d’audit pour documenter le mode d’appel au téléservice et le type de certificat utilisé.
Créez une procédure d’identitovigilance, faites-la approuver puis suivez son plan de tâches : rédaction par le service, validation par le médecin référent, diffusion aux équipes. Le document reste chez le service ; rattachez la version approuvée depuis le drive connecté.
Si l’audit révèle des certificats non nominatifs ou une ressaisie de NIR externes, ouvrez une non-conformité et une action corrective avec un responsable et une échéance. Dans un SPSTI engagé dans la SPEC 2217, localisez ensuite la procédure comme preuve dans l’audit SPEC 2217.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Référentiel INS et Référentiel National d’Identitovigilance (RNIV) ; téléservice INSi
- Décret n° 2023-1073 du 20 novembre 2023 (usage du NIR dans l’emploi et la formation professionnelle) ; décret n° 2019-341 du 19 avril 2019
- RGPD, article 5.1.b (limitation des finalités) et article 5.1.d (exactitude)
- Guide CNIL SPST, fiche 3
