La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu les articles R. 115-1 et R. 115-2 du code de la sécurité sociale ;   Vu la demande d'autorisation présentée par le GIE 50 le 11 mai 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de "gestion de la relation client en mode multicanal" ;
Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :
Le GIE 50 a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel portant sur l'utilisation du numéro de sécurité sociale à des fins de "gestion de la relation client en mode multi-canal".
La Commission constate que ce traitement relève de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).
La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.
Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être prise en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadré par la loi.
L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait ainsi leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.
La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.
Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.
La Commission relève que le Groupement d'intérêt économique 50 (GIE 50) appartient au groupe IONIS, groupe de protection sociale comprenant des institutions de retraite complémentaire, des institutions de prévoyance et des mutuelles, ainsi qu'une société d'assurances et une autre d'épargne salariale.
A l'appui de sa demande d'autorisation le GIE 50 invoque l'intérêt d'identifier le client, l'adhérent ou l'assuré par le NIR afin d'éviter les risques d'homonymie et d'erreur, de repérer les doublons et permettre la gestion centralisée de la relation client.
Le GIE 50 expose de surcroît qu'il dispose déjà du NIR dans le cadre soit de la gestion du régime obligatoire ou des régimes et produits facultatifs, et que l'utilisation du NIR à des fins de "gestion de la relation client multi-canal" permettrait de simplifier et de rationaliser la gestion commerciale de leurs fichiers.
Le GIE 50 indique de plus que l'utilisation du NIR en tant qu'identifiant à des fins commerciales serait exclusivement interne et accessible seulement à un certain nombre de personnes définies et permettrait d'avoir une vision unifiée de l'ensemble des clients des diverses institutions et sociétés membres du groupement pour une meilleure gestion commerciale, assurant notamment des rapprochements des différents référentiels, en évitant les homonymies de patronymes ou d'entreprises.
La Commission relève que la gestion du risque d'homonymie est une préoccupation légitime des responsables de traitement, découlant d'ailleurs de l'obligation de sécurité à laquelle ils sont tenus mais que cet argument ne peut constituer une justification précise et motivée de l'utilisation du NIR compte tenu de l'activité du GIE 50.
La Commission relève par ailleurs que les organismes d'assurance et de prévoyance ne sont autorisés à traiter le NIR que dans le cadre réglementaire défini par les articles R 115-1 et R115-2 du code de la sécurité sociale.
La Commission considère toutefois que ces dispositions ne permettent pas un usage du NIR dans des traitements mis en oeuvre par les mutuelles, entreprises régies par le code des assurances et les institution de retraite complémentaire et de prévoyance à des fins autres que l'exercice des activités d'assurance maladie, maternité et invalidité complémentaire ou dans leurs activités d'assurance vieillesse ; qu'en particulier, elles n'autorisent pas les organismes visés à utiliser le NIR en qualité d'identifiant unique à des fins de gestion de la relation commerciale comme la relance téléphonique, la prise de rendez-vous, le maintien du portefeuille.
La Commission relève aussi que le GIE 50 ne peut se prévaloir d'aucune disposition législative ou réglementaire constatant la poursuite d'un intérêt général.
La Commission estime en conséquence le traitement contraire aux dispositions des articles 6-3° et 7-5° de la loi du 6 janvier 1978.
N'autorise pas le GIE 50 à mettre en oeuvre un traitement de données à caractère personnel portant sur l'utilisation du numéro de sécurité sociale à des fins de contrôle de "gestion de la relation client en mode multi-canal".
Le président, Alex TURK.
