Pixabay
Un récent décret (1) est venu préciser comment le numéro d’inscription au répertoire national d’identification des personnes physiques, communément appelé « numéro de sécurité sociale », peut être exploité en conformité avec le RGPD.
Des règles propres
Le numéro de sécurité sociale n’est pas une donnée personnelle comme les autres et son exploitation est strictement encadrée (2) et les obligations générales issues du RGPD doivent être respectées mais aussi des règles propres à cette donnée.
De plus, les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre sont précisément encadrées.
Rappel
Pour mémoire, un traitement de données personnelles est une opération ou un ensemble d’opérations portant sur de telles données comme la collecte, l’enregistrement, la conservation, etc.
Evolution des textes
Les employeurs sont particulièrement concernés par ces évolutions, surtout que les dispositions antérieures à l’entrée en vigueur du RGPD ont été abrogées et notamment le décret (3) qui autorisait l’utilisation du « numéro de sécu » par les employeurs dans les traitements automatisés de la paie et de la gestion du personnel.
Pour la CNIL, l’utilisation du numéro de sécurité sociale doit rester cantonnée aux échanges avec les organismes de sécurité sociale (opérations de paie et déclarations sociales). La CNIL considère que cet identifiant ne doit pas devenir un numéro de matricule pour identifier les salariés dans les fichiers de la DRH.
Les autres utilisations possibles
Les traitements pouvant utiliser le numéro de sécurité sociale se situent dans les domaines du travail, de l’emploi ou de la protection sociale ; il s’agit en particulier de la caisse des dépôts et consignations et les OPCO pour la mise en œuvre du compte personnel de formation, de la CNAM pour la mise en œuvre du compte personnel de prévention et des organismes de prévoyance.
A la marge, les avocats peuvent également mettre en œuvre un traitement intégrant le numéro de « sécu » pour la gestion des procédures juridictionnelles.
- Décret 2019-341 du 19 avril 2019, JO du 21
- délib. CNIL 2019-029 du 14 mars 2019, JO du 21 avril
- 91-1404 du 27 décembre 1991
