Expertises des Systèmes d'information - Mars 2020 - N°455 - Le mensuel du droit de l'informatique et du multimédia - 114

D

O

C

T

R

I

N

E

relative à la protection des
données personnelles (I), dont il
faut espérer qu'elle ne portera pas
atteinte à son efficacité.
Ce cadre juridique fixe non pas
un droit mais une obligation pour
certains acteurs d'utiliser le NIR
comme INS et les autres acteurs
sont dans l'interdiction d'en faire
usage. Il est donc essentiel de bien
comprendre les contours de cette
nouvelle obligation (II). L'analyse
de son régime juridique (III)
montre que la numérisation de la
santé invite le législateur à trouver
de nouveaux modes de régulation
pour trouver l'équilibre entre des
objectifs sociétaux pouvant entrer
en contradiction  : en l'espèce, la
fiabilisation de l'identification des
usagers aux fins de fluidification
des parcours et de facilitation
du croisement des données
personnelles de santé, versus
l'exigence de protéger la vie privée
de ces mêmes usagers en limitant
le croisement de ces mêmes
données à des fins malveillantes.

Présentation du cadre
juridique de l'utilisation
du NIR comme INS
Aux côtés de la pyramide dense
mais somme toute classique de
textes relatifs à l'INS (loi / décret /
arrêté), s'est dressé un autre édifice
de textes justifiés par l'obligation
de prendre en compte en matière
d'identification des personnes
physiques les règles relatives
à la protection des données
personnelles. En effet, l'utilisation
d'un identifiant est prévue
dans le règlement  européen
sur la protection des données
personnelles5 dit « RGPD ».
En application de son article 87,
les États membres qui font le choix
de mettre en place un numéro
d'identification national peuvent
préciser les conditions spécifiques
du traitement de ce numéro.
Au surplus, le fait de procéder
au référencement des données
de santé avec l'INS constitue

114

un traitement au sens de l'article
4 de ce même règlement RGPD et
de la loi n°78-17 du 6 janvier 1978
relative à l'informatique, aux
fichiers et aux libertés (dite loi
Informatique et libertés - LIL).
La LIL comporte un chapitre III
dédié aux garanties appropriées
pour circonscrire le recours au
NIR6. Ce chapitre comporte un
unique article, l'article 30, qui
renvoie à un décret en Conseil
d'Etat (pris après avis motivé et
publié de la Commission nationale
de l'informatique et des libertés),
lequel détermine «  les catégories
de responsables de traitement et les
finalités de ces traitements au vu
desquelles ces derniers peuvent être
mis en œuvre lorsqu'ils portent sur
des données comportant le numéro
d'inscription des personnes au
répertoire national d'identification
des personnes physiques. La mise
en œuvre des traitements intervient
sans préjudice des obligations qui
incombent aux responsables de
traitement ou à leurs sous-traitants
en application de la section 3 du
chapitre IV du règlement (UE)
2016/679 du 27 avril 2016. »
Le même article exclut de cette
réglementation relative au NIR
certains traitements dont les
traitements de données à caractère
personnel dans le domaine de
la santé, qui sont régis «  par la
section 3 du chapitre III du titre II7,
à l'exception :
1.	des traitements mentionnés à
l'article 678 ;
2.	des traitements comportant le
numéro d'inscription au répertoire national d'identification
des personnes physiques utilisé
comme identifiant de santé des
personnes en application de
l'article L. 1111-8-1 du code de
la santé publique, en dehors de
ceux de ces traitements mis en
œuvre à des fins de recherche. »
En mathématique juridique, l'exception de l'exception donne un
résultat qui permet de revenir au
principe... Si tant est que le principe
ait été identifié à la base !
EXPERTISES Mars 2020

En synthèse, il ressort de cet
imbroglio que, dans le domaine
de la santé, l'utilisation du NIR ne
peut être justifiée que par :
■	 la poursuite d'une finalité
mentionnée
expressément
dans le décret d'application de
l'article 30, dit «  Décret cadre
NIR9  ». Par exemple, le décret
cadre NIR prévoit expressément l'autorisation d'utiliser le
NIR dans les dossiers nationaux
que sont le DMP et le DP dont les
responsables de traitement ne
sont pas des acteurs de la prise
en charge sanitaire10 ;
■	 ou la finalité du référencement
des données de santé avec le
NIR comme identifiant national de santé par les acteurs sur
qui pèsent cette obligation  ; le
décret NIR procède logiquement au renvoi aux dispositions
du code de la santé publique
pour ce qui concerne les traitements ayant pour finalité le
référencement des données de
santé au moyen du NIR ;
■	 ou enfin, une finalité de
recherche régie par la «  Soussection 2 : Dispositions particulières relatives aux traitements à
des fins de recherche, d'étude
ou d'évaluation dans le domaine
de la santé  » de la LIL (articles
72 à 77). Le plus souvent, les
données des bases de données
de recherche sont pseudonymisées. Il se peut cependant que
des projets de recherche justifient de disposer du NIR. Dans ce
cas, une autorisation devra être
sollicitée auprès de la Cnil. En la
matière, il n'existe pas de référentiel fixant des repères sur les
mesures de sécurité à prendre.
On peut s'interroger à cet égard
sur l'articulation avec les référentiels de sécurité mentionnés
à l'article L. 1110-4-1 du code
de la santé publique établis par
l'agence du numérique en santé
sous l'égide du ministère chargé
de la Santé. La recherche n'étant
pas mentionnée dans l'article
relatif à ces référentiels de sécurité, on pourrait en déduire que
le champ de la recherche ne
relève pas de son ressort (l'article
Expertises des Systèmes d'information - Mars 2020 - N°455 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mars 2020 - N°455 - Le mensuel du droit de l'informatique et du multimédia
