Article 87 RGPD : l'encadrement du NIR décrypté

L’article 87 du RGPD permet aux États membres de préciser les conditions d’utilisation des numéros d’identification nationaux. En France, le numéro d’inscription au répertoire national d’identification des personnes physiques, ou NIR, relève d’un encadrement particulier. Le numéro de sécurité sociale n’est pas un identifiant que toute entreprise peut demander pour simplifier ses fichiers.

La vérification porte sur un couple : quel acteur, pour quelle finalité ? L’autorisation de traiter le NIR pour une déclaration sociale ne permet pas de le réutiliser dans un annuaire, un programme de fidélité ou un outil de connexion. Ce guide a été vérifié le 27 septembre 2026.

Ce qu’il faut retenir

• L’Art. 87 ouvre une faculté d’encadrement national ; il ne constitue pas une autorisation générale de collecter le NIR.
• En France, l’Art. 30 de la loi Informatique et Libertés et le décret n° 2019-341 doivent être lus avec leurs dérogations et les textes sectoriels applicables.
• Les usages autorisés dépassent la seule DSN : le décret couvre différents secteurs et des finalités précises. Il ne faut pas les réduire à cinq catégories approximatives.
• Un contrat de sous-traitance, un consentement ou un chiffrement ne rendent pas licite un usage qui ne dispose pas du fondement requis.

Ce que prévoit l’article 87

Le texte de l’Art. 87 vise le numéro d’identification national et les autres identifiants d’application générale. Il permet des conditions nationales spécifiques tout en exigeant des garanties appropriées pour les personnes.

Il s’articule avec les règles ordinaires du RGPD : base légale de l’Art. 6(1), finalité, minimisation, information, conservation et sécurité. Identifier une base légale RGPD ne dispense pas de vérifier le régime français du NIR. Inversement, un usage prévu par un texte ne dispense pas de limiter les données et les accès au besoin.

Le caractère particulièrement sensible de cet identifiant au sens courant ne le transforme pas automatiquement, à lui seul, en catégorie particulière de données de l’Art. 9(1). Le contexte peut toutefois comprendre des données de santé ou d’autres informations soumises à ce second régime.

Le cadre français : une autorisation à lire précisément

L’Art. 30 de la loi Informatique et Libertés prévoit un décret déterminant les catégories de responsables et les finalités concernées. Il comporte aussi des dérogations encadrées, notamment pour certaines statistiques publiques, recherches et certains téléservices administratifs. Les traitements de santé suivent une articulation particulière prévue par le même article.

Pour les dérogations de statistique publique et de recherche visées par ce texte, la substitution cryptographique du NIR et les conditions d’organisation ne sont pas facultatives. Il ne suffit pas de déclarer qu’un fichier est « pseudonymisé » ou qu’il servira à une étude.

Le décret n° 2019-341 dans sa version consolidée énumère des catégories et finalités détaillées. Consultez la rédaction en vigueur lors de la décision : le texte a évolué depuis 2019. La présentation de la CNIL pour la protection sociale fournit un point d’entrée, sans remplacer cette vérification.

Quatre situations à examiner

Employeur, paie et déclarations sociales

L’Art. 2(C)(1°) du décret vise les employeurs privés et publics et leurs tiers mandatés pour les obligations déclaratives et les opérations de paie et de gestion du personnel définies par les textes cités. Son périmètre ne se réduit donc pas à la seule émission d’une DSN, mais il ne couvre pas indistinctement tous les fichiers RH.

Application pratique : gardez le NIR dans les flux autorisés de paie et de protection sociale. Utilisez un identifiant distinct pour les autres usages de gestion. Dans son avis n° 2019-029 du 14 mars 2019, la CNIL souligne que le NIR ne doit pas devenir le matricule unique des salariés dans tous les fichiers RH. Cette distinction doit être vérifiée dans les exports, interfaces et outils annexes, pas seulement dans l’écran principal du SIRH.

L’autorisation d’un traitement ne doit pas non plus être confondue avec une obligation d’afficher le NIR sur tous les documents produits. Vérifiez séparément les mentions exigées sur chaque document. Le guide RGPD et ressources humaines replace ces flux dans le cycle de vie du salarié.

Santé et recherche

L’utilisation du NIR comme identifiant de santé et la recherche sur des données de santé ne répondent pas à un régime unique. La nature du projet, ses acteurs et le circuit d’appariement déterminent les textes, garanties et formalités à appliquer.

Ne présentez pas une technique de hachage particulière comme la règle universelle de tous les projets. Documentez le circuit réel : qui détient l’identifiant, qui réalise la transformation, qui peut rapprocher les données et qui accède au résultat. La CNIL distingue les usages dans le champ de la santé. Un code réidentifiable reste soumis aux règles des données personnelles.

Logement

Le décret prévoit expressément des usages liés au logement social, notamment en son Art. 2(H). Affirmer qu’aucun organisme du logement ne peut jamais traiter le NIR serait donc inexact. Cela ne permet pas à un bailleur ordinaire de demander une carte Vitale simplement pour enrichir un dossier candidat.

Vérifiez le dispositif précis, l’organisme habilité et les pièces autorisées pour le dossier concerné. Pour la location courante, la procédure de collecte des pièces d’un candidat locataire permet de trier les demandes avant de construire le formulaire.

Secteur financier et assurance

Les cas du décret ne doivent pas être résumés par une formule « FICOBA et saisies uniquement ». L’Art. 2(D)(11°) comporte, par exemple, un cas lié aux listes de gel ou de sanctions financières où le NIR figure sur ces listes ; d’autres dispositions visent des opérations déterminées d’assurance ou de retraite.

L’existence d’une obligation de vigilance ne justifie cependant pas toute collecte. Avant d’ajouter un champ obligatoire à l’entrée en relation, identifiez le texte et la finalité exacts, ainsi que la nécessité du numéro pour cette opération.

Cas complet : empêcher la propagation du NIR dans un SIRH

Exemple hypothétique. Une PME française de 88 salariés remplace son outil de paie. Le prestataire propose un import unique comprenant le NIR, puis la reprise de ce numéro comme identifiant dans le portail des congés, l’annuaire et le suivi des formations. La responsable RH souhaite éviter des doublons entre les outils.

Le besoin de rapprochement est réel, mais il ne suffit pas à autoriser ce choix. La juriste vérifie l’Art. 2(C)(1°) du décret pour les opérations de paie et déclarations concernées. Elle retient la base de l’obligation légale pour les flux qui la nécessitent. Elle distingue ensuite les autres fonctions, pour lesquelles aucun besoin autorisé du NIR n’est établi dans ce scénario.

La décision est de maintenir le NIR dans le périmètre de paie justifié et d’utiliser un matricule interne distinct dans les autres applications. La table de correspondance nécessaire à la paie reste protégée. Les équipes chargées des congés n’obtiennent pas le numéro complet par simple héritage du fichier d’import.

La fiche de décision renseignée

Cette fiche n’autorise pas un usage dans un autre dispositif. Par exemple, certains acteurs de la formation disposent de missions prévues par les textes ; cela ne permet pas de recopier le numéro dans chaque fichier de formation interne. Consignez le périmètre retenu dans le registre des activités de traitement.

Contrôler l’import avant de l’accepter

Le premier essai utilise des données fictives. L’équipe vérifie les colonnes réellement reçues par chaque application, les vues accessibles à chaque profil et les exports. Dans ce scénario, le portail des congés masque le NIR à l’écran mais le conserve dans son export administrateur : la séparation annoncée n’est pas effective.

L’import est corrigé à la source, puis rejoué. Le contrôle constate que le portail reçoit seulement le matricule prévu, tandis que le flux de paie contient les informations nécessaires. La RH conserve le résultat et la version du paramétrage validé, sans recopier des numéros réels dans le compte rendu.

Que faire si le fournisseur exige le numéro partout ?

Demandez quelle opération nécessite le NIR et quelle disposition autorise cet usage. « Le logiciel fonctionne ainsi » décrit une contrainte technique, pas un fondement juridique. Faites rechercher un identifiant distinct, une table de correspondance limitée ou une séparation des flux.

Si aucune configuration vérifiable n’est proposée, n’ouvrez pas la fonction concernée avec des données réelles. Le dirigeant arbitre l’évolution du projet ou le choix d’une autre solution avec les responsables compétents. Le contrat commercial et une attestation de conformité ne remplacent pas l’analyse du traitement.

Si les numéros ont déjà été diffusés dans des espaces inutiles, identifiez les copies et destinataires, restreignez les accès et organisez leur retrait. Maintenez les données nécessaires aux usages légalement fondés. Examinez séparément si cette situation constitue une violation de données nécessitant les mesures des Art. 33 et 34 ; une correction d’import ne résout pas à elle seule cette qualification.

Sécuriser les usages autorisés

Un NIR peut faciliter des rapprochements et une usurpation. Réduisez sa présence dans les espaces libres : commentaires, tickets d’assistance, captures d’écran, noms de fichiers et journaux techniques. Masquez-le dans les vues qui n’en ont pas besoin et examinez les exports de masse.

L’Art. 32 impose des mesures adaptées aux risques. Il ne fixe pas, pour toute base contenant un NIR, une version universelle de TLS, un algorithme unique ou six années obligatoires de journaux. Choisissez et documentez les mesures réelles : chiffrement, gestion des clés, authentification, séparation des accès, détection d’extractions et vérification de leur efficacité.

Lorsqu’un prestataire traite ces données pour votre compte, l’encadrement par l’Art. 28 organise les instructions et garanties. Il ne lui confère pas un droit de réutilisation pour ses propres finalités. Les autres intervenants, par exemple un organisme agissant pour sa mission propre, ne deviennent pas automatiquement des sous-traitants.

Examinez la nécessité d’une AIPD au regard de l’Art. 35 et des listes applicables. Le seul mot « NIR » ne remplace pas cette qualification. En cas de fuite, appréciez les obligations des Art. 33 et 34 selon les faits, les protections effectives et le risque pour les personnes ; une conclusion automatique fondée sur un seul champ serait insuffisante.

FAQ

Le consentement permet-il d’utiliser librement le NIR ?

Non. Un accord de la personne ne remplace pas les conditions nationales d’utilisation. Il faut identifier le régime applicable à l’acteur et à la finalité, en plus des autres exigences du RGPD.

Le NIR peut-il devenir le login de tous les outils RH ?

Il ne doit pas être généralisé comme identifiant unique à l’ensemble des fichiers RH. Réservez-le aux flux autorisés et choisissez un identifiant distinct pour les autres fonctions. Vérifiez également les interfaces qui pourraient le recopier automatiquement.

Un organisme du logement social peut-il demander le NIR ?

Certains acteurs et traitements sont expressément prévus par le décret. La réponse dépend du dispositif et de sa finalité ; elle ne doit pas être étendue à toute demande d’un bailleur ni à toute pièce du dossier.

Hacher le NIR suffit-il à sortir du RGPD ?

Non. Une transformation réidentifiable n’est pas une anonymisation. Elle ne dispense ni de vérifier l’autorisation du traitement initial ni d’appliquer les garanties et formalités propres au projet.

Thiébaut Devergranne, docteur en droit de l’informatique, accompagne les professionnels sur la protection des données et la conformité numérique depuis plus de vingt ans.

Recevoir la newsletter sur le RGPD et la conformité numérique.