La fiche 3 du guide CNIL pour les SPST encadre les données que le service collecte, l’usage de l’INS et les règles d’identitovigilance. Le NIR y occupe une place à part : son usage est réservé aux échanges de santé prévus par les textes, notamment l’article R. 1111-8-1 du code de la santé publique.
Aucune nouvelle version du référentiel INS ni du référentiel national d’identitovigilance n’a été publiée en octobre. Les incidents du mois montrent en revanche, une fois de plus, que le NIR fuit rarement par le logiciel métier et presque toujours par des outils qui l’ont reçu sans en avoir besoin.
Ce qui change
Le prestataire de prise de rendez-vous dont la compromission avait été signalée en septembre a informé les personnes concernées le 20 octobre. Les données extraites les 27 et 28 septembre comprenaient nom, date de naissance, téléphone, courriel, adresse et NIR, sans donnée médicale selon le prestataire.
Deux autres revendications, non confirmées par les organismes visés, vont dans le même sens. Le 23 octobre, une revendication visant un réseau d’aide à domicile portait sur 4,5 millions de lignes, avec un NIR sur près de quatre fiches sur dix. Le 26 octobre, un fichier de tiers payant en audioprothèse publié en ligne contiendrait plus de 60 000 NIR distincts.
Le 8 octobre, au salon Préventica, les équipes du passeport de prévention ont indiqué que la gestion du NIR comme identifiant des apprenants appelle « une vigilance particulière ».
Le point commun de ces dossiers tient à l’outil concerné : prise de rendez-vous, tiers payant, plateforme de gestion. Le NIR y circulait alors que la finalité de l’outil ne l’exigeait pas toujours. Le principe de minimisation (article 5.1.c du RGPD) devient alors la première mesure de sécurité.
Ce que cela implique pour un SPST
Un service transmet des fichiers à de nombreux destinataires : prestataire de convocation et de rappel par SMS, organisme de formation, portail du passeport de prévention, partenaire d’une enquête, prestataire d’archivage. Chacun de ces fichiers est un export du logiciel métier, souvent paramétré une fois pour toutes, et qui contient parfois le NIR par défaut.
- Le service doit recenser les flux sortants qui contiennent le NIR et, pour chacun, identifier le texte qui l’exige.
- Là où aucun texte ne l’exige, le NIR doit être retiré de l’export. Un identifiant interne ou une combinaison nom, prénom, date de naissance suffit pour une convocation.
- Avant de transmettre une liste de stagiaires au passeport de prévention, le service vérifie que le NIR passe uniquement par le canal prévu par le portail, jamais par un fichier libre envoyé par messagerie.
- Les contrats des prestataires qui reçoivent malgré tout le NIR doivent le mentionner et prévoir des mesures de sécurité adaptées.
Un contrôle simple consiste à générer un export de test de chaque flux et à vérifier les colonnes. L’exercice prend peu de temps et révèle souvent des champs oubliés.
Comment le traiter dans DPO SUITE
DPO SUITE ne contient jamais de NIR : l’application décrit les traitements, elle ne reçoit pas les données des salariés suivis. Le travail porte donc sur la documentation des flux.
Ouvrez dans le registre des traitements chaque fiche dont un destinataire reçoit un export (convocations, formation, passeport de prévention, enquêtes, archivage). Dans la rubrique des catégories de données, indiquez si le NIR est transmis et à quel destinataire. Retirez-le de la fiche lorsque l’export a été corrigé, puis soumettez la fiche à validation.
Dans le registre des sous-traitants, complétez la fiche de chaque prestataire destinataire du NIR et lancez, si nécessaire, un audit par questionnaire portant sur le chiffrement, la limitation des accès et la durée de conservation. Pour chaque export qui contient le NIR sans fondement, créez une non-conformité et une action corrective confiée au référent du logiciel métier, avec une échéance. Rattachez la capture de l’export corrigé, conservée dans le drive du client connecté, comme preuve.
Tester la création de votre registre dans DPO SUITE.
Repères
- Article 5.1.c du RGPD
- Article R. 1111-8-1 du code de la santé publique, legifrance.gouv.fr
- Référentiel INS v2.1 (arrêté du 12 décembre 2024) et référentiel national d’identitovigilance (janvier 2025)
- Guide CNIL SPST, fiche 3
