Hors collection - Droit des données à caractère personnel - 1re - 357

CHAPITRE 1 - LES

TRAITEMENTS DE DONNÉES RELEVANT DU

RGPD

357

demeurant soumis aux dispositions générales assurant la protection des données à caractère
personnel71. Il s'agit des traitements qui ont exclusivement :
- des finalités de statistiques publiques, qui ne comportent pas de données sensibles ou relatives à des
infractions ou des condamnations pénales et mis en œuvre au sein du service statistique public72 ;
- des finalités de recherche scientifique ou historique ;
- pour finalité de mettre des téléservices à la disposition des usagers ou des administrations.
En cas d'utilisation du NIR à des fins de statistiques publiques ou de recherche scientifique ou
historique73, ce numéro doit avoir fait l'objet, à titre préalable, d'une opération cryptographique lui substituant un code statistique non signifiant. Cette opération de traitement n'est pas soumise au régime du
traitement du NIR. Lorsque le NIR est utilisé dans une finalité de recherche scientifique ou historique,
l'opération cryptographique et l'interconnexion de deux fichiers ne peuvent être opérées par la même
personne, ni par le responsable du traitement74 ; l'objectif est de réduire le risque de réidentification des
personnes. La CNIL donne, sur son site Internet, l'exemple d'une recherche médicale qui supposerait
« un appariement au Système national des données de santé (SNDS) sur la base du NIR »75.
778. Exceptions à l'application du décret-cadre : domaine de la santé. Échappent également à
l'emprise du décret sur le NIR, les traitements de données à caractère personnel dans le domaine de
la santé impliquant l'usage du NIR ou la consultation du RNIPP76. Ces traitements sont soumis à un
régime spécifique qui repose sur une déclaration préalable en cas de conformité du traitement à un
référentiel édicté par la CNIL ou d'autorisation77.
Toutefois, par exception, sont soumis aux exigences du décret du 19 avril 2019, les traitements du
NIR destinés à répondre à une alerte sanitaire en cas de situation d'urgence, encore faut-il cependant
qu'une telle utilisation constitue le seul moyen de collecter des données de santé à caractère personnel
nécessaires pour faire face à l'urgence sanitaire78.
C'est aussi le cas des traitements du NIR utilisé comme identifiant de santé par les professionnels et
établissements de santé pour la prise en charge à des fins sanitaires et médico-sociales des personnes
physiques, ce que prévoit l'article L. 1118-1-1 du Code de la santé publique79. Le législateur a prévu
l'adoption d'un décret en Conseil d'État, pris après avis de la CNIL afin de préciser « les modalités
d'utilisation de cet identifiant, notamment afin d'en empêcher l'utilisation à des fins autres que sanitaires et médico-sociales »80. Exception à l'exception, les traitements du NIR ou les consultations du
RNIPP « mis en œuvre à des fins de recherche ou servant à constituer des bases de données à des fins
ultérieures de recherche, d'étude ou d'évaluation dans le domaine de la santé » ne relèvent pas du
décret du 19 avril 201981.

71. L., 6 janv. 1978, art. 30, al. 2.
72. L., 6 janv. 1978, art. 30, al. 3.
73. L., 6 janv. 1978, art. 30, al. 2, 1º et 2º.
74. L., 6 janv. 1978, art. 30, al. 4.
75. CNIL, Tout savoir sur le décret « cadre NIR » dans le champ de la santé, 31 oct. 2019.
76. L., 6 janv. 1978, art. 30, al. 6.
77. L., 6 janv. 1978, art. 64 et s.
78. L., 6 janv. 1978, art. 67 ; D., 29 mai 2019, art. 86 ; D., 19 avr. 2019, art. 2, B, 10º.
79. D. nº 2019-341, 19 avr. 2019, art. 2, B.
80. CSP, art. L. 1118-1-1, al. 2.
81. L., 6 janv. 1978, art. 30, al. 6, 2º in fine.
Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re
