Dans quel cadre pouvez-vous collecter et utiliser le numéro de sécurité sociale (NIR) des stagiaires ?
Lorsque vous déclarez une attestation de formation ou un justificatif de réussite, vous devez obligatoirement renseigner le numéro de sécurité sociale (NIR) des stagiaires pour lesquels vous faites la déclaration. Cette saisie est essentielle pour permettre la transmission des données de vos formations aux employeurs et aux travailleurs concernés, et ainsi alimenter leurs espaces respectifs.
Au titre de l'alimentation du Passeport de prévention, la réglementation prévoit qu'en tant qu'organisme de formation, vous avez l’autorisation d'utiliser le numéro de sécurité sociale du titulaire (NIR) (décret n° 2019-341 du 19 avril 2019, article 2, C, 12°).
Comment collecter le NIR ?
Vous pouvez donc organiser la collecte du numéro de sécurité sociale par deux moyens :
- De manière directe, auprès des stagiaires que vous formez ;
- Auprès de l’employeur qui vous sollicite, et tant qu’il participe également à la mise en œuvre et à l’alimentation du passeport de prévention, et qu’il peut traiter le NIR dans ce cadre (arrêté du 11 octobre 2019 relatif à la mise en œuvre du traitement automatisé de données à caractère personnel dénommé « Système d'information du compte personnel de formation » listant les données à caractère personnel pouvant être enregistrées dans le traitement automatisé SI-CPF, dont le NIR ; décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire (décret cadre NIR) disposant que les employeurs peuvent traiter le NIR notamment « pour remplir leurs obligations déclaratives nécessitant l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques »).
Cette transmission par l’employeur peut s’effectuer sans que celui-ci n’ait à obtenir l’accord du salarié : en effet, le traitement du NIR par l’organisme de formation étant « nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis » (article 6.1.c du RGPD et article L. 4141-5 du Code du travail), il n’est pas conditionné au recueil du consentement des personnes concernées prévu à l’article 6.1.a du RGPD. De même, le droit d’opposition des personnes concernées au traitement de leurs données, prévu à l’article 21 du RGPD, n’est pas applicable s’agissant des opérations de traitement de données mises en œuvre pour l’alimentation du compte personnel de formation et du passeport de prévention.
Dans les deux cas, et conformément aux articles 12 à 14 du RGPD, il vous revient d’informer le stagiaire que son NIR est collecté, par qui et que cette collecte est justifiée par l’obligation légale liée à l’alimentation de son passeport de prévention, et sans que cela n’emporte le risque que le stagiaire informé refuse la collecte de son NIR et empêche la déclaration de la formation concernée dans le passeport de prévention, dès lors que l’information des personnes concernées n’emporte pas la nécessité de recueillir leur consentement pour traiter leurs données.
Comment transmettre le NIR en toute sécurité ?
Dans le cadre de la collecte et de la conservation du NIR, et conformément à l’article 32 du RGPD, l’organisme de formation et l’employeur, en tant que responsables de traitement, « mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ».
Le NIR étant une donnée sensible, un niveau hautement sécurisé de transmission de cette donnée est requis par la CNIL. Ainsi, par exemple sa transmission ne peut pas être faite par mail simple, une messagerie n’étant pas considérée comme un moyen de transfert sécurisé.
Deux moyens de transmission sécurisés sont possibles.
L’utilisation d’une plateforme sécurisée
Cette démarche assure un transfert chiffré du document, une telle plateforme permet de s’assurer de la sécurité de la transmission du NIR. A titre d’exemple, la CDC utilise l’outil « Lockself » https://www.lockself.com/.
L’envoi du document par mail dans une archive sécurisée
Vous devez :
- Archiver le document à l’aide d’une outil tel que 7-Zip (solution gratuite) ;
- Sécuriser l’archive avec un mot de passe (mot de passe fort répondant aux exigences de sécurité de l’ANSSI en la matière – 12 caractères minimum, incluant lettres, chiffres et caractères spéciaux) ;
- Envoyer l’archive ainsi sécurisée par mail ;
- Envoyer le mot de passe permettant l’accès à l’archive par un autre moyen (ex : par SMS sur le numéro de téléphone du destinataire du mail).
Par ailleurs, un accès restreint et tracé à ces données doit être prévu aux personnes dûment habilitées au sein de votre organisme, et la collecte de ce NIR ne doit servir qu’à l’alimentation du passeport de prévention et ne doit être conservée que pour la durée nécessaire au traitement.
À noter : Si l’employeur ou le stagiaire refuse de vous transmettre le numéro de sécurité sociale (NIR), il est important de conserver une trace écrite de ce refus (par exemple, un e-mail ou une note datée). En effet, sans cette information, vous ne pourrez pas compléter le Passeport de prévention pour le stagiaire concerné. Dans ce cas, la responsabilité de renseigner le Passeport reviendra à l’employeur.
Source juridique : décret n° 2023-1073 du 20 novembre 2023 complétant la liste des finalités et des catégories de responsables des traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire dans le champ de l'emploi et de la formation professionnelle.