La fiche 3 du guide pratique de la CNIL pour les SPST encadre les données collectées : identité, identifiant national de santé (INS), NIR et données de santé, chacune avec sa justification. Le guide rattache l’usage du NIR et de l’INS au dossier médical et aux échanges de santé autorisés, dans le respect du référentiel INS et du référentiel national d’identitovigilance.
Aucune nouvelle version de ces référentiels n’est parue en septembre 2026. Les incidents du mois rappellent en revanche que le NIR reste la donnée la plus recherchée. Depuis le 28 septembre, un prestataire de prise de rendez-vous utilisé par des centres médicaux fait l’objet d’une revendication de pirates portant sur plusieurs millions de personnes et plusieurs centaines de milliers de NIR. L’entreprise ne l’a pas confirmée ; elle avait reconnu en août une intrusion limitée à un serveur de développement.
Ce qui change
La revendication reste à confirmer. Elle met toutefois en lumière une pratique courante : des NIR présents dans un outil de rendez-vous, qui n’en a pas besoin pour fonctionner. Un outil de convocation ou de rappel par SMS a besoin d’une identité et d’un moyen de contact. Le NIR et l’INS servent à l’identification dans le dossier médical et aux échanges de santé ; ils n’ont pas de rôle dans l’envoi d’une date de visite.
Le principe de minimisation (article 5.1.c du RGPD) interdit de transmettre à un sous-traitant des données qui ne servent pas à la finalité confiée. L’article 25 (protection des données dès la conception et par défaut) demande que l’export soit paramétré en conséquence. Un NIR transmis « parce que c’était dans l’export » constitue une collecte excessive. En cas d’incident chez le prestataire, il aggrave aussi la gravité de la violation au sens des articles 33 et 34.
Ce que cela implique pour un SPST
Les flux vers les prestataires périphériques se construisent souvent par export du logiciel métier, avec un modèle de fichier préparé une fois et jamais relu. Le service a intérêt à vérifier chaque export :
- lister les prestataires de convocation, de rappel, d’enquête ou de prise de rendez-vous qui reçoivent un fichier issu du logiciel métier ;
- pour chacun, relever les champs effectivement transmis à partir d’un export de test ;
- retirer le NIR, l’INS et tout libellé de visite révélateur (type de visite, motif, reprise après arrêt) quand ils ne sont pas nécessaires ;
- demander au prestataire la purge des NIR déjà reçus et une confirmation écrite ;
- documenter le nouveau modèle d’export et en confier la maîtrise à une personne identifiée.
Le libellé de visite mérite la même attention que le NIR. Un SMS « rappel de votre visite de reprise » révèle un arrêt de travail à quiconque voit l’écran du téléphone.
Comment le traiter dans DPO SUITE
Ouvrez le registre des sous-traitants et sélectionnez chaque prestataire de convocation, de rappel ou de rendez-vous. Dans la fiche, détaillez les catégories de données reçues et retirez celles qui ne sont pas nécessaires. Vérifiez la localisation cloud et la liste des sous-traitants ultérieurs, puis envoyez le questionnaire d’audit en demandant explicitement si le prestataire détient des NIR et depuis quand. DPO SUITE ne contient jamais de NIR : la vérification porte sur la présence du champ, pas sur sa valeur.
Dans le registre des traitements, mettez à jour la fiche « convocation et organisation des visites » : catégories de données, destinataires, mesures de sécurité. Dans le registre des logiciels, rattachez l’outil de convocation à cette fiche et au sous-traitant.
Si un NIR figure dans un export sans justification, créez une non-conformité « collecte excessive vers un prestataire » et l’action corrective associée : modification du modèle d’export, demande de purge, contrôle d’un nouvel export de test. Rattachez la confirmation de purge comme preuve depuis le drive du client.
Si le prestataire confirme un incident, ouvrez un incident de sécurité, utilisez la qualification de la violation et suivez le calcul du délai de 72 heures. Reliez l’incident aux autres incidents du même prestataire grâce aux liens entre incidents.
Pour vérifier vos flux vers les prestataires, testez la création de votre registre.
Repères
- RGPD, articles 5.1.c, 25, 28, 33 et 34
- Référentiel INS v2.1 (arrêté du 12 décembre 2024)
- Référentiel national d’identitovigilance (janvier 2025)
- Guide CNIL SPST, fiche 3
