Un nouvel employeur vous réclame une photocopie de votre carte Vitale pour « compléter le dossier ». Une salle de sport l’exige à l’inscription. L’école de votre enfant la demande avec le dossier de rentrée. Un commerçant veut noter votre numéro de Sécurité sociale pour « la garantie ». Faut-il obtempérer ? La réponse du droit français est plus protectrice qu’on ne l’imagine : votre numéro d’inscription au répertoire national d’identification des personnes physiques, le NIR, celui qui figure sur votre carte Vitale, obéit à un régime fermé. Hors des cas prévus par les textes, sa collecte est interdite, sa copie doit être effacée, et sa réclamation abusive ouvre des recours précis devant la CNIL et le juge.
Ce régime existe parce que le NIR est un identifiant unique, stable toute la vie, qui permet de relier entre eux des fichiers d’origines différentes. La CNIL le dit sans détour : l’utilisation du NIR est particulièrement encadrée en raison de la sensibilité particulière de cette donnée unique à chaque Français. Comprendre qui peut l’exiger, comment refuser une demande abusive, comment obtenir l’effacement et la réparation, tel est l’objet de cet article, à jour au 11 octobre 2026.
I. Votre numéro de Sécu n’est pas une donnée comme les autres : qui peut le collecter ?
A. Un identifiant enfermé dans des usages fermés par la loi
Le règlement général sur la protection des données ne traite pas le numéro d’identification national comme une donnée ordinaire. Son article 87 dispose : « Les États membres peuvent préciser les conditions spécifiques du traitement d’un numéro d’identification national ou de tout autre identifiant d’application générale. Dans ce cas, le numéro d’identification national ou tout autre identifiant d’application générale n’est utilisé que sous réserve des garanties appropriées pour les droits et libertés de la personne concernée adoptées en vertu du présent règlement. » Autrement dit, le droit européen renvoie chaque État membre à un encadrement national strict, assorti de garanties.
La France a choisi un système d’autorisation fermée. L’article 30 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 2 juin 2019, prévoit : « Un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, détermine les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu’ils portent sur des données comportant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques. » Aucun organisme ne peut donc collecter le NIR parce qu’il le trouve « pratique » : il doit entrer dans l’une des catégories et l’une des finalités fixées par décret en Conseil d’État, après avis de la CNIL.
Le principal de ces décrets est le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques ou nécessitant la consultation de ce répertoire, en vigueur au 11 octobre 2026. Son article 2 énonce : « Pour la mise en œuvre de l’article 30 de la loi du 6 janvier 1978 susvisée, les finalités et les catégories de responsables de traitement sont celles énumérées ci-après : », avant de détailler, au A, le champ de la protection sociale. Le décret recense ainsi exhaustivement les utilisations possibles du NIR pour chaque secteur d’activité : protection sociale, santé, logement, travail, justice, financier, fiscal et douanier, statistique publique et recensement, éducation. La CNIL en tire la conséquence : toute utilisation du NIR qui n’entre pas dans ces cas d’usage est interdite.
Ce verrouillage est contrôlé par le juge administratif. Saisi de recours contre le décret n° 2018-390 du 24 mai 2018 relatif au « système national de gestion des identifiants », le Conseil d’État, par sa décision du 29 mars 2019 n° 422545, a statué : « Article 1er : Les requêtes de M.C…, de M. D…et du syndicat des travailleurs assurés librement en Europe pour leur sécurité sociale (TALESS) sont rejetées. » L’architecture d’ensemble — des identifiants nationaux créés et bornés par décret en Conseil d’État — subsiste donc sous le contrôle du juge.
À ce régime spécial s’ajoutent les principes généraux du RGPD, qui s’appliquent à toute collecte de données personnelles, NIR compris. Les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) », selon l’article 5, paragraphe 1, point c), du règlement. Et l’article 6, paragraphe 1, du même règlement rappelle : « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie », au premier rang desquelles le consentement, l’exécution d’un contrat ou le respect d’une obligation légale. Quand un organisme vous réclame votre NIR, deux questions priment donc : entre-t-il dans un cas d’usage autorisé par décret, et la collecte est-elle vraiment nécessaire à la finalité invoquée ?
B. Les collectes légitimes et celles que vous pouvez refuser
Première situation, la plus courante : la sphère sociale et médicale. Votre NIR sert à vous identifier auprès de votre caisse d’assurance maladie et des organismes de protection sociale : c’est son usage historique, admis de longue date. L’assurance maladie le confirme : le numéro de sécurité sociale est indispensable pour toutes vos démarches auprès des organismes de la sécurité sociale, et il sert à vous identifier auprès de votre caisse comme de tous les autres organismes. Dans ce cadre, la loi organise aussi l’information des assurés et la confidentialité. L’article R. 161-32 du code de la sécurité sociale impose aux organismes gestionnaires de prendre « toutes les dispositions nécessaires aux fins de préserver […] la confidentialité des données transmises et traitées », « en particulier pour limiter aux seuls personnels habilités l’accès direct aux données médicales relatives aux assurés ou à leurs ayants droit ». La Cour de cassation veille à cette exigence : par un arrêt du 7 juillet 2022, n° 20-21.365, publié au Bulletin, la deuxième chambre civile a jugé « qu’ont accès aux systèmes de traitements de données à caractère personnel, les agents intervenant dans la prise en charge des assurés, individuellement habilités par le directeur de l’organisme d’assurance maladie auquel ils appartiennent ». Tout agent d’une caisse ne peut donc pas consulter votre dossier : l’habilitation individuelle est la règle, et son absence vicie les contrôles menés à partir de ces accès.
Deuxième situation : votre employeur. Oui, il peut collecter votre NIR pour établir vos bulletins de paie et accomplir les déclarations sociales : la finalité est légale et nécessaire. Mais ce « oui » est borné par le droit du travail. L’article L. 1221-6 du code du travail dispose : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. » Une fois embauché, l’article L. 1222-2 du même code reprend la même exigence pour le salarié : « Les informations demandées, sous quelque forme que ce soit, à un salarié ne peuvent avoir comme finalité que d’apprécier ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’évaluation de ses aptitudes. » Et aucun dispositif de collecte ne peut être déployé dans votre dos : l’article L. 1221-9 énonce : « Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». Concrètement, si le NIR suffit à la paie, exiger en plus une photocopie de la carte Vitale conservée dans un dossier non sécurisé, sans information sur la durée de conservation et les destinataires, contrevient au principe de minimisation : demandez quelle donnée exacte est nécessaire, pour quelle finalité, conservée combien de temps, et par qui.
Troisième situation, celles où le refus est en principe fondé : le commerce, l’école et l’associatif, le bailleur hors pièces autorisées, la banque. Pour le secteur bancaire et financier, la CNIL a historiquement refusé l’usage du NIR comme identifiant client : elle « a exigé la création d’un identifiant spécifique », contrairement au secteur de la sécurité sociale où l’enregistrement du NIR dans les fichiers a été admis. Une banque, un assureur ou un commerçant ne peuvent donc pas faire du NIR leur numéro de client. Une carte de fidélité, un programme commercial, un service après-vente n’ont pas de base dans le décret cadre : la collecte du NIR à ces fins entre dans les utilisations interdites. Il en va de même pour une école, une association sportive ou culturelle, ou un bailleur qui réclamerait le numéro de Sécu ou la copie de la carte Vitale en dehors des pièces limitativement exigibles : aucun de ces cas ne relève en principe des finalités listées par le décret. Face à une telle demande, la borne à opposer est simple : hors cas d’usage visé par le décret cadre, l’utilisation du NIR est interdite.
Reste la carte Vitale elle-même. C’est une carte personnelle et confidentielle, qui matérialise votre NIR avec votre photographie. En exiger une photocopie, c’est collecter votre NIR : la copie suit donc exactement le même régime que le numéro. Présenter sa carte au professionnel de santé pour être pris en charge, ou la remettre à son employeur le temps strict de la saisie pour la paie, n’a rien d’anormal. En revanche, sa photocopie systématique, sa conservation prolongée dans un dossier commercial, scolaire ou locatif, sa transmission à des tiers non habilités : autant de pratiques à contester, car la nécessité de conserver une image de la carte, au-delà de la saisie ponctuelle du numéro quand elle est autorisée, est rarement établie.
II. Refuser, faire effacer et obtenir réparation : la méthode pas à pas
A. Dire non, exiger l’effacement et saisir la CNIL
Le réflexe le plus efficace est aussi le plus simple : demander par écrit le fondement de la collecte. Quand on vous réclame votre NIR ou une copie de votre carte Vitale, répondez par un message qui fait apparaître quatre questions : sur quel texte se fonde la demande, pour quelle finalité précise, pendant quelle durée la donnée sera conservée, et qui y aura accès. Un organisme en règle répond sans difficulté. Un organisme qui collecte par habitude élude, et son silence constitue déjà un indice utile pour la suite.
Si la réponse confirme une collecte hors cas autorisé, ou l’absence de réponse à l’expiration d’un délai raisonnable, opposez un refus net et exigez l’effacement. L’article 17, paragraphe 1, du RGPD, consacre le droit à l’effacement dans ces termes : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique ». Le premier de ces motifs vise le cas où « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière », et un autre vise le retrait du consentement quand il était la seule base du traitement. Conservez la preuve de votre demande et de la collecte contestée : copie du formulaire qui exige le NIR, photographie de l’affichette en magasin, courriels échangés, attestation de la personne qui a recueilli la demande au guichet. Pour un salarié, le dialogue avec l’employeur mérite une mention à part. L’information préalable exigée par le code du travail n’est pas une formalité : c’est elle qui vous permet de vérifier la finalité, la durée de conservation et les destinataires avant toute remise. Demandez la notice d’information du traitement de paie, vérifiez que seul le NIR strictement nécessaire est collecté, et proposez la présentation ponctuelle du document plutôt que la remise d’une photocopie conservée. Si l’employeur conditionne l’embauche ou le maintien dans l’emploi à une copie systématique de la carte Vitale, faites-le écrire : un refus de régularisation motivé par la seule protection de vos données fragilise ensuite toute sanction. Les représentants du personnel, quand ils existent, peuvent relayer une demande collective de mise en conformité des dossiers du personnel, ce qui déplace le débat du cas individuel vers la règle commune.
En cas de litige avec un employeur, ajoutez les bulletins de paie qui montrent que le NIR était déjà connu, ce qui rend la photocopie supplémentaire difficile à justifier, ainsi que tout document interne d’information ou, à l’inverse, l’absence d’une telle information.
L’étape suivante, si l’organisme maintient sa position, est la plainte devant la CNIL. L’article 77, paragraphe 1, du RGPD ouvre cette voie : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise ». En France, cette autorité est la CNIL, saisie en ligne. Une plainte documentée — fondement contesté, demande d’effacement restée sans effet, preuves de la collecte — a plus de chances d’aboutir à une mise en demeure, puis, si l’organisme persiste, à une sanction. La plainte devant la CNIL n’exclut aucun autre recours : le texte le dit expressément, et c’est un atout tactique. Vous pouvez mener de front la réclamation administrative et l’action devant le juge pour l’effacement et la réparation.
Deux précautions encadrent cette méthode. D’abord, ne confondez pas la présentation ponctuelle de la carte et la conservation de sa copie : exiger de voir votre carte Vitale au guichet d’une caisse ou chez un professionnel de santé pour vérifier vos droits relève du fonctionnement normal ; en conserver une photocopie dans un fichier commercial ou associatif, non. Ensuite, quand la collecte est légitime — paie, déclarations sociales, prise en charge par l’assurance maladie —, exercez vos droits d’accès et de rectification plutôt que d’opposition : vérifiez quelles données sont conservées, pendant combien de temps, et qui y accède, au lieu de bloquer un traitement nécessaire à vos propres droits. L’objectif n’est pas de paralyser les organismes qui appliquent la loi, mais d’assécher les collectes de confort.
B. Porter l’affaire devant le juge et chiffrer le préjudice
Quand l’effacement amiable et la plainte devant la CNIL ne suffisent pas, le juge peut ordonner la suppression et réparer le préjudice. Le fondement européen de la réparation est l’article 82, paragraphe 1, du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » La Cour de justice de l’Union européenne a précisé le régime de ce texte dans un arrêt du 4 mai 2023, Österreichische Post, n° C-300/21, dont le dispositif tient en trois points, tels que rappelés par la Cour de cassation le 24 juin 2026 : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » ; le texte « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral […] à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » ; et les juges nationaux fixent le montant selon leurs règles internes, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union.
La Cour de cassation applique exactement cette grille. Par un arrêt du 24 juin 2026, n° 24-22.792, publié au Bulletin, la chambre sociale, visant l’article 82, paragraphe 1, du RGPD, rappelle : « Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Elle en déduit, dans le droit fil de la Cour de justice, que la violation du RGPD n’ouvre pas, à elle seule, droit à réparation. Concrètement, celui qui invoque une collecte abusive de son NIR doit démontrer un dommage réel et son étendue : démarches imposées, temps perdu, refus de service ou retard dans l’embauche, diffusion à des tiers non habilités, anxiété caractérisée liée à l’exposition d’un identifiant sensible. En revanche, aucun seuil de gravité n’est exigé : un préjudice modeste mais établi ouvre droit à réparation, et son montant se chiffre selon les règles françaises de la responsabilité.
Le choix de la juridiction dépend du litige. Pour l’effacement et la réparation contre un commerce, une association, une école privée, un bailleur ou une banque, le tribunal judiciaire est compétent. Dans un litige salarial — NIR utilisé pour un fichage parallèle, sanction liée au refus de remettre une copie de la carte Vitale, surveillance via des données détournées de leur finalité —, le conseil de prud’hommes connaît de la contestation, avec les règles de preuve propres au contentieux du travail. Devant le juge, demandez à titre principal la suppression des données et de leurs copies, y compris chez les éventuels sous-traitants, sous astreinte, puis la réparation : l’effacement vaut souvent plus que des dommages et intérêts, car il tarit la source des utilisations futures. Joignez la plainte déposée devant la CNIL et ses suites : une mise en demeure restée sans effet éclaire le juge sur la persistance du manquement, même si elle ne lie pas sa décision.
Reste la question du montant. Il n’existe pas de barème public de la réparation des violations de données personnelles, et méfiez-vous de qui vous promet un chiffre : seul le juge apprécie, au vu des pièces. Documentez chaque poste : frais engagés pour faire valoir vos droits, correspondances et relances, jours de retard subis pour une embauche, un logement ou un remboursement, captures prouvant la diffusion, attestations de témoins. Pour un salarié, ajoutez les conséquences professionnelles concrètes : avertissement contesté, évolution bloquée, rupture. Plus le dossier montre un préjudice incarné, moins la défense pourra soutenir que la violation serait restée sans effet. Et si la collecte incriminée s’accompagne d’une discrimination ou d’une sanction abusive — refus d’embauche, refus de location, mise à l’écart —, articulez les deux contentieux au lieu de les confondre : la violation des données prouve le moyen, la discrimination ou la sanction fonde le préjudice.
Votre numéro de Sécurité sociale vous suit toute votre vie : c’est précisément pour cela que la loi en verrouille l’usage. Retenez l’essentiel. Hors des cas d’usage fixés par décret en Conseil d’État, pris après avis de la CNIL, la collecte du NIR est interdite, et la photocopie de votre carte Vitale suit le même sort. Quand la collecte est légitime — assurance maladie, paie, déclarations sociales —, elle reste bornée par la minimisation, l’information préalable et l’habilitation des personnes qui accèdent aux données. En cas d’abus, la méthode tient en quatre temps : exiger le fondement par écrit, demander l’effacement, saisir la CNIL sans renoncer au juge, puis faire ordonner la suppression et chiffrer un préjudice réel, sans seuil de gravité mais sans automatisme. À chaque étape, les textes cités dans cet article portent votre demande ; seul le juge, saisi de votre dossier, tranchera.
Un dernier conseil pratique conditionne l’ensemble : conservez tout, dès le premier jour. Les litiges de données personnelles se gagnent sur pièces : formulaires exigent le NIR, échanges écrits avec l’organisme, demande d’effacement et preuve de son envoi, réponse ou silence constaté, dépôt de plainte devant la CNIL et ses suites, justificatifs du préjudice subi. Datez chaque document, privilégiez l’écrit sur l’oral, et refusez les arrangements verbaux qui effacent sans tracer. Un dossier ordonné fait souvent la différence entre une violation reconnue mais non réparée, faute de préjudice démontré, et une suppression assortie d’une indemnisation.