Les modalités de circulation du NIR pour la recherche en santé

La Commission nationale de l’informatique et des libertés (Cnil) a mis en ligne sur son site Internet le 8 janvier 2021 un “guide pratique” à l’intention des chercheurs qui souhaiteraient apparier des données de santé avec le Système national des données de santé (SNDS) à partir du numéro d’inscription au répertoire d’identification des personnes physiques (NIR), ou numéro de Sécurité sociale. Les huit pages du document présentent ainsi des schémas-types de circuits d’appariement de données “conformes aux obligations légales”, la Cnil précisant qu’ils ont “déjà été validés” par ses soins, “soit dans le cadre d’avis rendus sur des projets de décrets en Conseil d’État, soit d’autorisations”.

L’objectif de ce guide est d’éviter à l’avenir “plusieurs écueils fréquents (…) identifiés dans le cadre du traitement des demandes d’autorisation : le recours superflu à un tiers alors que le NIR est déjà connu du responsable de traitement ou du centre investigateur qui participe au projet de recherche ; une circulation inutile du NIR et/ou des données de santé ; un mauvais usage des identifiants techniques temporaires (appelés “numéros d’accrochage”) ; une conservation excessive de ces identifiants techniques, qui devraient être détruits rapidement ; l’implication d’une entité faisant en réalité partie du même organisme que le responsable de traitement et ne pouvant donc pas être considérée comme un ‘tiers’”. Car, pour rappel, différents types d’intermédiaires peuvent intervenir dans les circuits d’appariement et participer à leur sécurisation : pour la centralisation des données, pour la reconstruction du NIR à partir des traits d’identités ou pour la mise en forme des fichiers d’identités.

Toutefois, parce que “le recours à un tiers n’a pas à être systématique”, le guide de la Cnil détaille également les deux critères permettant de déterminer la pertinence de faire appel à un tiers indépendant pour l’appariement de données mobilisant le NIR : s’il s’agit d’une recherche multicentrique et si le NIR est collecté à la source. Critères également présentés sous forme d’arbre décisionnel. Le chercheur devra ensuite s’assurer que ce tiers est “réellement indépendant du responsable de traitement”. 

La Cnil précise que cette notion recouvre “notamment” une indépendance juridique – “il s’agit d’une personne morale juridique distincte du responsable de traitement, il n’appartient pas au même organisme de recherche, il n’appartient pas au même centre de recherche, etc.” – et une indépendance économique – “il n’est pas lié capitalistiquement (ni maison-mère, ni société-sœur, etc.), n’est pas en situation de dépendance économique à l’égard du responsable de traitement (principal ou unique client), etc.” En outre, le tiers ne doit pas “se trouver en situation de conflit d’intérêt vis-à-vis du responsable de traitement”. Il devra enfin “respecter a minima les mesures suivantes : ne fournir ni le NIR ni les traits d’identité des personnes au responsable de traitement ; n’associer le NIR avec aucune autre donnée que les données d’identification des personnes concernées (identifiants d’accrochage ou traits d’identité) ; et garantir la confidentialité de l’identifiant utilisé”.