La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation présentée par la société VIE PLUS le 28 septembre 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client dans le cadre de la souscription de contrats d'épargne retraite individuelle et collective ;
Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :
La société VIE PLUS a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client dans le cadre de la souscription de contrats d'épargne retraite individuelle et collective.
La Commission constate que ce traitement relève de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).
La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.
Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être prise en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadré par la loi.
L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait ainsi leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.
La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.
Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.
La Commission relève que la société VIE PLUS, filiale du groupe GENERAL ELECTRICS, est une société régie par le code des assurances, gérant des contrats d'épargne retraite.
A l'appui de sa demande d'autorisation la société VIE PLUS invoque l'intérêt d'identifier le client, l'adhérent ou l'assuré par le NIR afin d'éviter les risques d'homonymie et d'erreur, identifier les doublons.
La Commission relève que la gestion du risque d'homonymie est une préoccupation légitime des responsables de traitement, découlant d'ailleurs de l'obligation de sécurité à laquelle ils sont tenus mais que cet argument ne peut constituer une justification précise et motivée de l'utilisation du NIR compte tenu de l'activité de la société VIE PLUS.
La Commission relève par ailleurs que les organismes d'assurance et de prévoyance ne sont autorisés à traiter le NIR que dans le cadre réglementaire défini par les articles R. 115-1 et R. 115-2 du code de la sécurité sociale.
La Commission considère toutefois que ces dispositions ne permettent pas un usage du NIR dans des traitements mis en oeuvre par les mutuelles, entreprises régies par le code des assurances et les institution de retraite complémentaire et de prévoyance à des fins autres que l'exercice des activités d'assurance maladie, maternité et invalidité complémentaire ou dans leurs activités d'assurance vieillesse ; qu'en particulier, elles n'autorisent pas les organismes visés à utiliser le NIR en qualité d'identifiant unique.
La Commission relève aussi que la société VIE PLUS ne peut se prévaloir d'aucune disposition législative ou réglementaire constatant la poursuite d'un intérêt général.
La Commission estime en conséquence le traitement contraire aux dispositions des articles 6-3° et 7-5° de la loi du 6 janvier 1978.
N'autorise pas la société VIE PLUS à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client dans le cadre des contrats d'épargne retraite individuelle et collective.
Le président, Alex TURK.
