Votre employeur vous réclame votre numéro de sécurité sociale et, dans le même message, une photocopie recto verso de votre carte Vitale à envoyer par courriel. Le contrat vient d’être signé, la paie doit partir, et vous hésitez entre obéir vite et protéger un identifiant qui suivra toute votre vie professionnelle. La question se pose aussi en cours d’emploi, quand un nouveau logiciel RH, un badge ou un tableau de suivi réclame à nouveau le numéro.
Le numéro en cause porte un nom précis : le numéro d’inscription au répertoire national d’identification des personnes physiques, le NIR. Il se compose de treize chiffres et d’une clé, et sa structure renseigne le sexe, l’année et le mois de naissance, le département et la commune de naissance. Cette richesse explique son régime : un seul identifiant permet de relier entre eux des fichiers de paie, de santé, de banque ou d’administration. Le traiter n’est donc pas un geste de gestion ordinaire.
Les rôles doivent être posés avant tout envoi. Vous êtes la personne concernée. L’employeur qui collecte et stocke le numéro est responsable du traitement, y compris lorsqu’il confie la paie à un prestataire : le prestataire agit alors comme sous-traitant et l’employeur répond de ses instructions. Le contrat de travail est le cadre, mais il n’autorise pas tout : la paie et les déclarations sociales ouvrent un usage étroit, tandis que le badge, le recrutement, le classement par numéro ou la copie conservée « au cas où » restent en dehors.
Cet article distingue d’abord ce que l’employeur peut vraiment exiger de ce qu’il doit cesser de stocker, puis la méthode pour refuser l’excès sans bloquer la paie, récupérer vos données et saisir la Commission nationale de l’informatique et des libertés ou le juge en cas de refus.
I. Ce que l’employeur peut exiger de vous, et ce qu’il doit cesser de stocker
A. Le NIR, un identifiant national sous autorisation préalable, même pour l’employeur
Le droit européen a laissé à chaque État le soin d’encadrer l’usage d’un numéro d’identification national. La France l’a fait à l’article 30 de la loi du 6 janvier 1978, en vigueur depuis le 2 juin 2019 : « Un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, détermine les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu’ils portent sur des données comportant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques. » Hors des catégories et des finalités ouvertes par ce décret, le NIR n’est pas un identifiant libre, même avec votre signature au bas d’un formulaire. La Commission le rappelle en des termes simples sur sa page consacrée au NIR : l’enregistrement et l’usage du numéro exigent un texte juridique spécifique ainsi que des formalités auprès d’elle, et elle range les employeurs, publics ou privés, parmi les usages autorisés pour la gestion de la paie et le calcul des cotisations versées aux organismes de protection sociale.
Le texte d’application est l’article 2 du décret du 19 avril 2019, dans sa version en vigueur depuis le 1er janvier 2026. Son paragraphe C concerne le travail et l’emploi : « Pour remplir leurs obligations déclaratives nécessitant l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques, notamment celles prévues par l’article L. 133-5-3 du code de la sécurité sociale, et pour le traitement automatisé de la paie et de la gestion du personnel résultant de dispositions légales ou réglementaires et de conventions collectives concernant les déclarations, les calculs de cotisations et de versement destinées aux organismes mentionnés à l’article 1er du décret du 3 avril 1985 susvisé : les employeurs privés, les employeurs publics et leurs tiers mandatés ». Chaque mot compte. Sont visés les employeurs et leurs prestataires de paie mandatés, pour les déclarations et la paie qui résultent de la loi, du règlement ou de la convention collective. N’y figurent ni le recrutement, ni le badge d’accès, ni un numéro de dossier interne, ni un fichier de suivi commercial ou disciplinaire indexé sur le NIR.
L’obligation déclarative qui justifie la demande est concrète. L’article L. 133-5-3 du code de la sécurité sociale, en vigueur depuis le 28 février 2025, dispose que « Tout employeur de personnel salarié ou assimilé adresse », à l’organisme de recouvrement dont il relève, « une déclaration sociale nominative établissant pour chacun des salariés ou assimilés le lieu d’activité et les caractéristiques de l’emploi et du contrat de travail, les montants des rémunérations, des cotisations et contributions sociales et la durée de travail ». Communiquer votre numéro au service de paie, une fois le contrat signé, répond à cette obligation. Le recopier sur le contrat lui-même, l’imprimer sur le badge, l’utiliser comme identifiant du dossier de carrière ou le diffuser à des managers n’y répond pas.
Le fondement européen confirme cette lecture. Le traitement du NIR par l’employeur repose en général sur l’article 6, paragraphe 1, point c, du règlement (UE) 2016/679, qui vise le traitement nécessaire au respect d’une obligation légale incombant au responsable (texte du règlement). Nécessaire signifie ici strictement utile à la paie et aux déclarations, pas commode pour le classement. Tout usage qui dépasse cette nécessité change de fondement et doit être justifié à nouveau, ce que le décret ne permet pas pour les finalités qu’il n’ouvre pas. Un consentement arraché à l’embauche, quand le salarié ne peut pas réellement refuser, ne répare pas un traitement que le décret n’autorise pas.
Le droit du travail resserre encore le cadre. Pour un candidat, l’article L. 1221-6 du code du travail prévoit que « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Le NIR ne dit rien des aptitudes : exiger le numéro ou la carte Vitale dès le dossier de candidature, avant toute embauche, méconnaît ce texte. Pour un salarié, l’article L. 1222-2 du même code limite les demandes à l’appréciation des aptitudes professionnelles, et l’article L. 1121-1 ajoute que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Conserver le NIR là où la paie ne l’exige pas échoue à ce test de proportion.
B. La photocopie de la carte Vitale et les fichiers parallèles, des excès à faire cesser
La carte Vitale n’est pas un justificatif d’identité et sa photocopie n’est pas le moyen normal de transmettre le numéro. Le service de paie a besoin d’une suite de chiffres exacte, pas de l’image de la carte, de votre photographie ni des droits affichés sur l’attestation. Or une image circule, se recopie et se stocke sans contrôle : messagerie personnelle du recruteur, drive partagé, pièce jointe conservée des années, coffre-fort numérique du salarié confondu avec le système d’information de l’entreprise. Le principe de minimisation s’y oppose directement. l’article 5 du règlement européen impose des données adéquates, pertinentes et limitées au nécessaire au regard des finalités (texte de l’article 5). Pour établir la paie, le numéro saisi une fois dans le logiciel suffit ; le scan recto verso conservé dans la messagerie ne passe pas ce filtre.
La durée de conservation suit la même logique. Le même article 5 limite l’identification des personnes à une durée n’excédant pas le nécessaire au regard des finalités (limitation de la conservation, article 5). Le NIR utile à la paie se conserve le temps de la relation de travail puis des délais de contrôle et de contentieux qui s’y rattachent, avec des accès restreints au personnel de paie habilité. La copie de la carte Vitale du candidat non retenu, le NIR collé dans un vivier de candidatures, le numéro affiché dans l’organigramme ou le fichier des anciens salariés réutilisé pour de la prospection n’ont plus de finalité : ils doivent être supprimés, pas archivés « au cas où ». La conservation n’est pas un droit de rétention général.
La sécurité du stockage engage aussi l’employeur. Le Conseil d’État a jugé le 17 avril 2019, dans l’affaire Optical Center (n° 422575), qu’un site laissant accéder librement à des factures contenant des NIR, sans vérifier que le client était connecté à son espace personnel, manquait à son obligation de sécurité : 1 207 clients concernés et 158 NIR exposés après export d’un échantillon, dans une base d’au moins 334 769 documents accessibles par simple modification d’un paramètre visible. La sanction de 250 000 euros a été ramenée à 200 000 euros en tenant compte de la mise en conformité rapide, et la décision a été publiée pendant deux ans. Transposée à l’entreprise, la leçon est directe : un NIR diffusé par courriel non chiffré, un tableau partagé sans droits d’accès, un drive ouvert à toute la direction exposent à la même critique, et la réaction rapide après l’alerte ne fait qu’atténuer, sans effacer, le manquement initial.
Certains usages courants doivent donc être passés au crible. Utiliser le NIR comme matricule unique du système d’information des ressources humaines, conditionner l’accès au bâtiment à la saisie du numéro, le graver sur le badge, le reprendre comme identifiant du dossier disciplinaire ou du suivi médical : aucun de ces emplois ne figure parmi les finalités ouvertes aux employeurs par le décret, et chacun heurte la minimisation. Le NIR n’est pas non plus une preuve d’identité pour le contrôle des absences ni un moyen de surveiller les connexions. Si l’employeur veut fiabiliser l’immatriculation d’un salarié qui ne dispose pas encore de numéro définitif, la voie passe par les organismes de protection sociale et la déclaration préalable à l’embauche, pas par la photocopie de la carte d’un proche ou d’un ancien numéro.
La frontière avec le contrat informatique se trace au même endroit. Quand la paie est externalisée, le prestataire traite le NIR pour le compte de l’employeur, dans la limite des instructions documentées et des finalités du décret. L’employeur choisit un prestataire qui garantit la sécurité, limite les accès, chiffre les flux et restitue puis supprime les données à la fin du contrat. Un contrat de prestation qui autoriserait le sous-traitant à réutiliser les NIR pour ses propres statistiques ou à les héberger hors de l’Union sans garanties sort du cadre : la responsabilité se partage alors entre un donneur d’ordre qui a mal défini le traitement et un prestataire qui a outrepassé ses instructions. Avant de signer, le salarié n’a pas à auditer le contrat ; il lui suffit de savoir que l’existence d’un sous-traitant ne supprime aucun de ses droits et que la demande d’accès peut viser l’employeur pour l’ensemble de la chaîne.
II. Refuser l’excès sans bloquer votre paie, puis contraindre l’organisme à s’exécuter
A. Transmettre le numéro utile, refuser la copie inutile, puis écrire et prouver
La première question n’est pas celle du conflit, mais celle du tri : quelle opération, pour quelle finalité, sur quel fondement, avec quelle conservation. Le contrat signé, le service de paie demande le numéro pour la déclaration sociale nominative : communiquez la suite de chiffres par un canal limité, sans joindre l’image de la carte, sans l’adresser en copie à des tiers, en demandant qui y accédera et combien de temps elle sera conservée. Au stade de la candidature, tant qu’aucune embauche n’est décidée, refusez la communication : le numéro n’apprécie aucune aptitude et aucune déclaration ne l’exige encore. En cours d’emploi, refusez chaque nouvel usage qui n’est ni la paie ni une déclaration prévue par un texte : badge, organigramme, enquête interne, fichier partagé.
L’écrit protège les deux parties. Un courriel bref au service des ressources humaines peut rappeler que le numéro est transmis pour la seule paie et les déclarations, demander la suppression de la copie de la carte déjà envoyée, et solliciter la confirmation des destinataires et de la durée de conservation. Joignez-y, si l’image a déjà circulé, une demande d’effacement ciblée : détruire la pièce jointe dans la messagerie, retirer le numéro des fichiers hors paie, restreindre les accès aux personnes habilitées. Une demande ciblée obtient plus vite satisfaction qu’une injonction générale de « tout supprimer », qui se heurtera à l’obligation de déclaration que l’employeur doit continuer d’exécuter.
Le droit d’accès donne ensuite une vision complète du traitement. L’article 15 du règlement européen ouvre à toute personne la confirmation de l’existence d’un traitement et l’accès aux données, avec les finalités, (texte de l’article 15), les catégories de données, les destinataires, la durée de conservation ou les critères qui la déterminent, et l’existence des droits de rectification, d’effacement, de limitation et d’opposition. Pour un NIR, cette demande révèle s’il figure seulement dans le logiciel de paie ou aussi dans un fichier de recrutement, une messagerie, un outil de badge ou un tableau partagé.
La cour d’appel de Rennes l’a illustré le 27 février 2025 (n° RG 24/02772) : une directrice licenciée a obtenu, sous astreinte provisoire de 50 euros par jour de retard pendant 90 jours, son dossier de ressources humaines complet, ses relevés de connexion, son agenda et l’ensemble des courriels dont elle était l’émettrice ou la destinataire principale sur quatre années, dans un format électronique courant et sécurisé, avec anonymisation des tiers et usage réservé au contentieux prud’homal. La méthode vaut pour le NIR : demander la copie des données et la liste des lieux où le numéro apparaît.
Le tempo est fixé par l’article 12, paragraphe 3, du règlement : le responsable répond dans les meilleurs délais et au plus tard sous un mois à compter de la réception (texte de l’article 12), avec une prolongation possible de deux mois pour les demandes complexes, annoncée et motivée dans le mois. Le paragraphe 4 ajoute que, s’il ne donne pas suite, il informe sans tarder et au plus tard sous un mois des motifs de son inaction, du droit de réclamation auprès de l’autorité de contrôle et du recours juridictionnel (article 12, paragraphe 4). Un silence de plusieurs mois n’est pas une réponse et un accusé de réception automatique ne vaut pas mesure prise. Datez chaque envoi, conservez les accusés et les captures : la preuve du délai fera la différence devant la Commission comme devant le juge.
Lorsque le numéro ou la copie n’a plus de finalité, ou n’en a jamais eu, l’article 17 du règlement ouvre l’effacement, notamment quand les données ne sont plus nécessaires au regard des finalités de collecte (cas d’ouverture de l’article 17) ou quand elles ont fait l’objet d’un traitement illicite (même article 17). La copie de la carte dans un vivier, le scan diffusé à la direction, le numéro indexé dans un fichier disciplinaire relèvent de ces motifs. À l’inverse, l’effacement ne permet pas d’exiger la disparition du NIR encore nécessaire à la paie et aux déclarations en cours : la demande doit viser la copie et les usages hors paie, pas la radiation du logiciel de paie pendant la relation de travail. La limitation du traitement, pendant l’échange, permet de geler l’usage contesté hors conservation, le temps d’obtenir la réponse.
B. Saisir la Commission, puis le juge : ce que les décisions récentes changent pour vous
La plainte devant la Commission suit l’échec ou l’insuffisance de la réponse. Elle s’exerce en ligne, pièces jointes à l’appui : demande initiale, réponse ou silence, copie de la pièce contestée, captures des lieux de stockage. La Commission examine les faits et décide des suites : rappel à l’ordre, mise en demeure, injonction de mise en conformité sous astreinte, sanction pécuniaire publique. Elle peut aussi clore la plainte après un rappel à l’employeur, et cette clôture se conteste. Le Conseil d’État a précisé le 27 juillet 2026 (n° 510839) que la Commission dispose en principe d’un large pouvoir d’appréciation, tenant compte de la gravité des manquements, du sérieux des indices, de leur date et du contexte, mais que, lorsque la plainte invoque les droits individuels d’accès, de rectification, d’effacement, de limitation ou d’opposition, ce pouvoir s’exerce « sous l’entier contrôle du juge de l’excès de pouvoir ». Dans cette affaire, une salariée demandait à son employeur l’accès aux données de sa messagerie, de l’outil de visioconférence, du suivi du temps de travail et des entretiens : la clôture après rappel à l’employeur de ses obligations a été validée parce que l’entreprise ne refusait pas l’accès et que le litige portait pour l’essentiel sur ses modalités pratiques. La portée pratique est nette : documentez un refus ou une réponse incomplète plutôt qu’un simple désaccord sur les modalités, car le juge contrôle étroitement le premier et laisse une marge à la Commission sur les secondes.
Devant le juge judiciaire, deux voies se distinguent. En référé prud’homal, le salarié peut obtenir la communication des données sous astreinte, comme l’a fait la cour de Rennes, avec des modalités précises qui protègent aussi les tiers. Au fond, il peut demander l’effacement des traitements illicites, la cessation de l’usage détourné et la réparation de son préjudice. La procédure complète, de la première demande jusqu’au juge, est décrite dans notre article de fond sur le droit d’accès quand l’organisme ne répond pas, qui détaille la plainte devant la Commission et les recours juridictionnels : le présent article s’y articule en traitant le cas particulier du NIR et de la carte Vitale exigés par l’employeur.
La réparation obéit depuis juin 2026 à une règle clarifiée qu’il faut connaître avant de chiffrer. Le 24 juin 2026, la chambre sociale de la Cour de cassation (pourvoi n° 24-22.792, arrêt n° 571, publié au Bulletin) a cassé un arrêt qui déduisait automatiquement un préjudice de la simple violation du règlement par l’employeur. Reprenant l’article 82, paragraphe 1, du règlement : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », la Cour rappelle, dans le sillage de la Cour de justice de l’Union européenne, que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », que le préjudice doit être établi sans seuil de gravité imposé, et que la réparation remplit une fonction compensatoire, non punitive (arrêt n° 571 du 24 juin 2026). Concrètement, le salarié dont le NIR a circulé sans autorisation doit prouver un dommage réel : démarches pour surveiller ses comptes après une exposition, perte de temps et anxiété documentées, refus d’embauche lié à un fichier, usurpation d’identité avérée. Un dossier médical de la situation, des attestations, des relevés et la chronologie des faits valent mieux qu’un montant réclamé sans pièces.
Les sanctions administratives, elles, frappent l’organisme indépendamment du préjudice individuel. Outre l’affaire Optical Center déjà citée, la Commission peut prononcer des amendes dont le montant tient à la nature et à la gravité des manquements, au nombre de personnes concernées, au caractère sensible des données et à la coopération de l’organisme. Pour un employeur, une base RH exposant des NIR sans contrôle d’accès, une messagerie conservant des cartes Vitale des candidats ou un prestataire de paie mal encadré cumulent ces aggravants. Côté salarié, signaler les faits avec précision, plutôt que dénoncer l’entreprise en bloc, accélère l’instruction : périmètre des fichiers, nombre approximatif de personnes concernées, captures des accès, date de la demande restée sans réponse.
Le contentieux prud’homal complète le tableau quand le NIR sert d’instrument de pression. Un salarié sanctionné ou écarté après avoir refusé de remettre sa carte Vitale, ou dont l’employeur a exploité le numéro pour le surveiller, peut lier la violation des données au litige du contrat : nullité ou absence de cause réelle de la sanction, dommages pour exécution déloyale, demande de remise en état des fichiers. La compétence appartient au conseil de prud’hommes du lieu de travail, avec appel devant la chambre sociale de la cour d’appel. La violation du règlement n’y décide pas tout à elle seule, comme le montre l’arrêt Natixis, mais elle colore l’exécution du contrat et pèse sur l’appréciation du comportement de l’employeur.
Conclusion : transmettre peu, exiger beaucoup, et prouver chaque étape
Refuser de remettre la photocopie de votre carte Vitale n’est pas de la désobéissance quand la paie n’en a pas besoin : le décret limite l’employeur aux déclarations et à la paie, le règlement impose des données limitées au nécessaire et conservées peu de temps, et le code du travail n’autorise que les informations liées aux aptitudes. Transmettez le numéro seul, par un canal restreint, une fois l’embauche décidée. Demandez par écrit où il sera stocké, qui y accédera et quand la copie déjà envoyée sera détruite. Exercez l’accès pour cartographier les fichiers, puis l’effacement ciblé pour les usages hors paie. En cas de silence ou de refus, saisissez la Commission avec un dossier daté, puis le juge pour obtenir la communication sous astreinte et la réparation d’un préjudice établi. La fermeté paie quand elle est précise : un numéro transmis à la paie, une copie refusée ou détruite, des accès limités aux habilités.
Besoin d’un avis rapide sur votre dossier
Votre employeur exige votre numéro de sécurité sociale ou une copie de votre carte Vitale et vous voulez savoir ce que vous devez vraiment transmettre en matière de numérique et de données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond lors d’une consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.