NIR (numéro de sécurité sociale) : les enjeux pour la PME
Le législateur encadre strictement l’usage du NIR en raison de sa sensibilité. Le décret n° 2019-341 du 19 avril 2019, dit décret-cadre NIR, liste les catégories de responsables de traitement et les finalités pour lesquelles il peut être utilisé. Selon la CNIL, il couvre la santé, mais aussi la protection sociale, les ressources humaines et le logement. Hors des cas prévus par les textes, il n’a pas vocation à être collecté.
Pour une PME, le NIR apparaît surtout en paie et en gestion du personnel. Le décret autorise le traitement du numéro lui-même, pas l’ensemble du traitement qui l’utilise : celui-ci doit toujours respecter le RGPD et la loi Informatique et Libertés. La collecte peut être confiée à un sous-traitant, comme un prestataire de paie, dans le respect de l’article 28 du RGPD. Lorsque le traitement présente un risque élevé, une AIPD est nécessaire.
Dans le champ de la santé, le NIR peut servir d’identifiant national de santé pour référencer les données d’un patient. La CNIL indique que, hors des cas listés par le décret, sa collecte dans un traitement de données de santé est en principe interdite. Une entreprise qui traite ce type de données vérifie aussi les exigences applicables à son hébergement.
Notre réflexe : chercher où le NIR se trouve réellement dans l’entreprise, puis le retirer de tous les endroits où il n’a rien à faire, comme un tableur partagé, un CRM ou une conversation avec un outil d’IA. Il ne reste alors que dans les outils de paie et de gestion RH, avec un accès limité aux personnes qui en ont besoin. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Une entreprise de nettoyage de 150 salariés recherche le NIR dans ses fichiers. Elle le retrouve dans son logiciel de paie, mais aussi dans un tableur de suivi des embauches partagé avec 12 chefs d’équipe et dans 40 courriels échangés avec son expert-comptable. Elle supprime la colonne du tableur, fait transiter les données d’embauche par le logiciel de paie et limite l’accès au NIR à 3 personnes du service RH.
Questions fréquentes
Un employeur peut-il collecter le numéro de sécurité sociale de ses salariés ?
Oui, pour les finalités prévues par les textes, le décret-cadre NIR couvrant notamment les ressources humaines et la protection sociale. Il ne doit pas être utilisé au-delà de ces finalités.
Peut-on demander le numéro NIR à un client ou à un prospect ?
En principe non, sauf si l’activité relève d’un cas prévu par le décret-cadre ou par un autre texte. Hors de ces cas, le NIR n’a pas à être collecté.
Le NIR est-il une donnée sensible ?
La CNIL le qualifie de donnée à caractère hautement personnel, et son usage est strictement encadré par la loi. Il justifie des précautions renforcées d’accès et de sécurité.
Faut-il une AIPD pour traiter le NIR ?
Selon la CNIL, les organismes visés par le décret doivent réaliser une AIPD lorsque leur traitement présente un risque élevé pour les personnes.
Sources
- Tout savoir sur le décret-cadre NIR dans le champ de la santé, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.