Un décret détermine « les traitements dont les finalités nécessitent l’utilisation [du] numéro d’inscription des personnes au répertoire national d’identification des personnes physiques », le NIR, ou qui « requièrent une consultation de ce répertoire ». Le texte, publié au Journal officiel (JO) le 21 avril 2019 après avis de la Cnil, identifie une série d’acteurs, notamment dans les champs de la santé et de la protection sociale.
Dans sa délibération sur le projet de décret, datée du 14 mars 2019 mais publiée dans le même JO du 21 avril, la Cnil souligne qu’elle a « toujours considéré » que l’emploi du NIR comme identifiant des personnes dans les fichiers « ne devait être ni systématique, ni généralisé » et qu’elle a toujours veillé à ce que les projets de textes autorisant le traitement du NIR « soient cantonnés à la sphère médico-sociale » .
Dans le champ de la santé, le décret cite notamment :
• les professionnels de santé ou qui constituent une équipe de soins « intervenant dans la prise en charge sanitaire ou médico-sociale de la personne concernée », « pour l’opération de référencement des données de santé » au moyen du NIR « utilisé en tant qu’identifiant national de santé dans le cadre de la prise en charge des personnes à des fins sanitaires et médico-sociales » ;
• la Caisse nationale de l’assurance maladie des travailleurs salariés « pour la mise en œuvre du dossier médical partagé » ;
• le Conseil national de l’Ordre des pharmaciens « pour la mise en œuvre du dossier pharmaceutique »;
• l’Agence technique de l’information sur l’hospitalisation , « pour les remontées d’informations nominatives vers les organismes d’assurance maladie » ;
• « pour les opérations liées à la facturation et à la prise en charge financière des dépenses de santé » , les professionnels, institutions, structures ou établissements, ainsi que leurs groupements, qui dispensent « des actes ou prestations pris totalement ou partiellement en charge par l’assurance maladie » ;
• « pour les opérations liées à la facturation et à la prise en charge financière de dépenses relatives aux actes de télémédecine », les professionnels cités à l’alinéa précédent ainsi que « toute personne concourant à cette activité et à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel » ;
• « pour la gestion et le suivi des alertes sanitaires », l’Agence nationale de santé publique « ainsi que les organismes ou les services chargés d’une mission de service public figurant sur une liste fixée par arrêté conjoint des ministres chargés de la santé et de la sécurité sociale », pris après avis de la Cnil.
Le NIR dans le champ de la protection sociale
« Dans le champ de la protection sociale », le décret livre une liste d’acteurs, soulignant que l’autorisation leur est accordée « pour l’accomplissement de leurs missions en matière de protection sociale », y compris lorsque l’utilisation du NIR « est nécessaire pour la réalisation d’évaluations, d’études, de statistiques et de recherches », ou « pour mettre en œuvre des échanges ou traitements intéressant plusieurs acteurs de la protection sociale ».
Les acteurs identifiés sont notamment :
- les administrations et organismes chargés de la gestion d’un régime de base de sécurité sociale légalement obligatoire ;
- les organismes chargés de la gestion de l’assurance maladie complémentaire ou de la retraite complémentaire ;
- les groupements constitués par les organismes et administrations ou services chargés de la gestion d’un régime de protection sociale entre eux et, le cas échéant, avec l’État, « dont la liste est publiée et notifiée » à la Cnil ;
- les organismes chargés de la prévoyance ;
- la Caisse des dépôts et consignations « pour assurer les services relatifs aux caisses ou aux fonds dont la gestion lui a été confiée » ;
- les collectivités territoriales et leurs groupements, les centres communaux et intercommunaux d’action sociale, « pour l’attribution des prestations d’aide sociale qu’ils servent » ;
- les établissements et services sociaux et médico-sociaux, « pour les traitements nécessaires à la prise en charge des personnes à des fins sanitaires et médico-sociales » et aux échanges avec les organismes mentionnés par le décret ;
- les agents de la Caisse nationale de solidarité pour l’autonomie , « sous réserve » que le NIR ait « fait l’objet de mesures adéquates de pseudonymisation permettant d’assurer la confidentialité de l’identité des personnes » ;
- la Caisse nationale d’assurance vieillesse ;
- l’Institut de recherche et documentation en économie de la santé (Irdes).
Une recommandation du rapport Libault
La publication de ce décret intervient alors que le rapport Libault sur la prise en charge des personnes âgées dépendantes, remis le 28 mars 2019 à la ministre des Solidarités et de la Santé, préconise dans sa proposition 153 d’« intégrer systématiquement les identifiants nationaux des personnes et des structures dans les systèmes d’information pour faciliter les échanges et les études d’appariement » et « en particulier » de « faire remonter le NIR » dans Galaad, le logiciel de saisie des évaluations Pathos et Aggir, afin de permettre leur appariement avec d’autres données comme le panel Eneas.