NIR dans un logiciel de paie : ce que l'éditeur a le droit de faire

Le numéro de sécurité sociale est la donnée la plus banale d'un logiciel de paie : il figure sur chaque bulletin et dans chaque déclaration sociale nominative. C'est aussi l'une des rares données personnelles dont le droit français fixe la liste fermée des usages, sous peine de cinq ans d'emprisonnement et de 300 000 euros d'amende pour une personne physique. Un éditeur qui s'en sert comme clé de base de données, le laisse remonter dans un export vers un outil de reporting ou le copie en recette sort du cadre sans s'en rendre compte. Cet article dit où le NIR peut vivre dans votre produit, où il ne le peut pas, et comment le traduire en règles de conception.

Pourquoi le NIR n'est pas une donnée comme les autres

Le NIR, numéro d'inscription au répertoire national d'identification des personnes physiques, est attribué à la naissance et ne change pas. Il encode le sexe, l'année et le mois de naissance, le lieu de naissance et un rang, suivis d'une clé de contrôle. Unique, stable, signifiant et partagé par les administrations sociales et fiscales, c'est une clé d'interconnexion idéale : c'est pour cela que le législateur l'encadre depuis 1978.

Le RGPD laisse cette porte ouverte. Son article 87 autorise les États membres à préciser les conditions spécifiques du traitement d'un numéro d'identification national, qui n'est alors utilisé « que sous réserve des garanties appropriées pour les droits et libertés de la personne concernée ». La France a usé de cette faculté à l'article 30 de la loi Informatique et Libertés : un décret en Conseil d'État, pris après avis motivé et publié de la CNIL, détermine les catégories de responsables de traitement et les finalités pour lesquelles un traitement portant sur le NIR peut être mis en oeuvre.

Ce décret est le décret n° 2019-341 du 19 avril 2019, dit décret cadre NIR. Il raisonne par liste : un acteur, une finalité. La CNIL le résume sans détour sur son site : toute utilisation du NIR qui ne relève pas des cas prévus par le décret est interdite. Pour un éditeur, la conséquence est simple : la question n'est pas « ai-je une base légale au sens de l'article 6 du RGPD ? », mais « cet usage précis figure-t-il dans la liste ? ».

Ce que coûte une sortie de cadre

Le risque n'est pas seulement administratif. L'article 226-16-1 du code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende le fait de procéder ou faire procéder à un traitement incluant le NIR hors des cas autorisés par la loi Informatique et Libertés. Pour une personne morale, l'article 131-38 porte le maximum au quintuple, soit 1,5 million d'euros. L'article 226-21 réprime dans les mêmes termes le détournement de finalité par toute personne détentrice des données. Côté CNIL, un manquement à la sécurité ou à la protection des données dès la conception relève de l'article 83, paragraphe 4, du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.

Le décret cadre NIR : ce que l'employeur peut en faire

L'article 2 du décret classe les usages par champ : protection sociale, santé, travail et emploi, fiscalité, justice, statistique, éducation, logement. Celui qui concerne votre client est le C, « insertion, travail et emploi du secteur privé et du secteur public », dans sa version en vigueur depuis le 1er janvier 2026.

Son 1° autorise les employeurs privés, les employeurs publics « et leurs tiers mandatés » à utiliser le NIR pour deux finalités : remplir leurs obligations déclaratives, notamment celles de l'article L. 133-5-3 du code de la sécurité sociale, c'est-à-dire la DSN ; et assurer « le traitement automatisé de la paie et de la gestion du personnel résultant de dispositions légales ou réglementaires et de conventions collectives concernant les déclarations, les calculs de cotisations et de versement » destinés aux organismes sociaux.

Le champ D ajoute, au 5°, la mise en oeuvre du prélèvement à la source par les employeurs chargés de collecter l'impôt sur le revenu. La déclaration préalable à l'embauche mentionne aussi le numéro national d'identification du salarié s'il est déjà immatriculé, selon l'article R. 1221-1 du code du travail.

Ce que la liste ne contient pas

Lisez la formule du 1° avec attention. La « gestion du personnel » n'y est pas un blanc-seing : elle est qualifiée par ce qui suit, les déclarations et les calculs de cotisations. Rien dans le texte n'autorise l'employeur à utiliser le NIR pour identifier un salarié dans l'annuaire, le planning, l'outil d'entretiens annuels, la plateforme de formation, le badge d'accès ou le tableau de bord RH. La jurisprudence de la CNIL tend à lire ces listes de façon stricte, et le référentiel de gestion du personnel qu'elle a adopté le 21 novembre 2019 range d'ailleurs le « numéro d'identification interne » parmi les données de situation professionnelle, distinct du numéro de sécurité sociale, réservé à l'établissement des fiches de paie et aux obligations connexes.

Le même référentiel donne un exemple utile aux éditeurs d'outils de recrutement : le NIR est justifié à la conclusion du contrat de travail, pour les formalités déclaratives, mais « il ne saurait être demandé à un candidat avant la validation définitive de sa candidature ». Un champ NIR dans un formulaire de candidature ou un ATS est donc un défaut de conception, pas un simple excès de zèle.

L'éditeur de paie sous-traitant : traiter le NIR pour le compte du client

Dans un logiciel de paie en SaaS, l'employeur est responsable de traitement et l'éditeur, en principe, sous-traitant. C'est la répartition classique que je détaille dans l'article sur les rôles RGPD entre l'éditeur de SIRH et son client. Elle a une conséquence directe sur le NIR : l'éditeur traite le numéro parce que l'employeur, lui, y est autorisé. Le décret mentionne d'ailleurs expressément les « tiers mandatés » de l'employeur.

Ce statut ne couvre que ce que fait le client. L'article 28, paragraphe 3, sous a), du RGPD impose au sous-traitant de ne traiter les données que sur instruction documentée du responsable de traitement, et l'article 29 étend cette règle à toute personne agissant sous son autorité. L'article 28, paragraphe 10, ferme la boucle : un sous-traitant qui détermine lui-même les finalités et les moyens devient responsable de traitement pour ce traitement.

Appliquée au NIR, la mécanique est redoutable. Un éditeur qui réutilise les numéros de ses clients pour son propre compte, qu'il s'agisse de dédoublonner des salariés passés d'un client à l'autre, d'alimenter un benchmark de rémunérations ou d'enrichir un produit de données, ne peut plus s'abriter derrière l'autorisation de l'employeur. Il devient responsable d'un traitement absent du décret : le cas d'école de l'article 226-16-1.

Ce qu'il faut écrire dans le contrat

Sur ce dernier point, la dématérialisation des bulletins multiplie les acteurs. Les règles propres à la remise électronique sont traitées dans l'article sur le bulletin de paie électronique et le coffre-fort numérique RH.

Les usages du NIR interdits les plus fréquents dans un logiciel

Le NIR comme clé d'identification interne

C'est l'erreur la plus répandue dans les logiciels anciens. Le NIR sert de clé primaire de la table des salariés, donc de clé étrangère partout : absences, notes de frais, formation, entretiens, matériel. Chaque module étranger à la paie traite alors le NIR hors de toute finalité autorisée. La règle de conception est nette : un identifiant technique interne, sans signification, et le NIR comme simple attribut de la fiche paie, dans une table ou une colonne à part.

L'affichage en clair à tous les profils

L'article 25, paragraphe 2, du RGPD impose que, par défaut, seules les données nécessaires à chaque finalité soient traitées, y compris dans leur accessibilité. Un manager qui consulte la fiche d'un collaborateur n'a pas à voir son numéro de sécurité sociale. Le NIR doit être masqué par défaut et révélé seulement aux profils paie, avec une action explicite et journalisée.

La recherche par NIR sans limite

Une recherche par numéro de sécurité sociale est légitime pour un gestionnaire de paie qui traite un retour d'organisme. Elle ne l'est pas ouverte à tous les comptes, sur tous les établissements, en recherche partielle. L'affaire France Travail l'illustre : dans sa délibération SAN-2026-003 du 22 janvier 2026, la CNIL relève qu'environ 2 300 salariés des structures Cap emploi pouvaient rechercher parmi l'ensemble des personnes de la base, y compris hors de leur région. Des attaquants ayant pris la main sur des comptes de conseillers par ingénierie sociale ont exfiltré les données de 36 820 828 personnes, NIR compris. Amende : 5 millions d'euros pour manquement à l'article 32.

Les exports vers des outils tiers

L'export complet de la fiche salarié vers un outil de reporting, un tableur partagé, un ATS ou une plateforme de formation embarque le NIR dans un traitement dont la finalité n'est ni la paie ni une déclaration. Le connecteur DSN et l'export vers le cabinet qui établit les déclarations restent dans le cadre ; le reste ne doit pas contenir la colonne. L'état par défaut d'un modèle d'export est donc sans NIR, et son ajout est un choix explicite du client, réservé aux destinataires qui figurent dans le décret.

Point de vigilance. L'API publique de votre produit est un export comme un autre. Si l'objet « salarié » renvoyé par défaut contient le NIR, chaque intégration tierce le reçoit, y compris celles qui n'en ont aucun usage. Créez un périmètre d'accès distinct pour les données de paie, et ne l'accordez qu'aux intégrations déclaratives.

NIR et environnements de test

Copier la base d'un client en recette pour reproduire un bug de calcul pose trois problèmes. La finalité change : tester le logiciel n'est pas établir la paie du client. Les destinataires s'élargissent : développeurs, prestataires, outils d'intégration continue. La sécurité baisse, car la recette est rarement protégée comme la production.

La CNIL range l'usage de données réelles pour les phases de développement et de test parmi les pratiques à proscrire, dans la fiche de son guide de la sécurité des données personnelles consacrée aux développements informatiques, mise à jour en 2024. Elle recommande des données fictives ou anonymisées. Lorsque cela ne suffit pas, elle admet un environnement de préproduction alimenté de données réelles, à condition qu'il soit configuré et sécurisé au même niveau que la production.

Pour un éditeur de paie, la traduction est la suivante. Un générateur de NIR fictifs, syntaxiquement valides et clé de contrôle comprise, permet de tester les contrôles de format et la génération de la DSN sans un seul numéro réel. La reproduction d'un bug sur données réelles se fait dans un environnement dédié, à la sécurité de la production, avec l'accord écrit du client et une purge datée. La méthode générale de sortie des données de production des environnements de recette est développée dans l'article consacré au privacy by design dans le cycle de développement.

La pseudonymisation du NIR : utile, mais pas une sortie du RGPD

L'article 4, point 5, du RGPD définit la pseudonymisation comme un traitement qui empêche d'attribuer les données à une personne précise sans informations supplémentaires conservées séparément. Les lignes directrices 01/2025 du Comité européen de la protection des données, publiées le 16 janvier 2025, rappellent que des données pseudonymisées restent des données personnelles.

Deux conséquences pour le NIR. Un simple hachage n'est pas une pseudonymisation sérieuse : l'espace des NIR possibles est structuré et assez réduit pour être énuméré, ce qui rend un condensat sans secret réversible par force brute. Il faut un hachage à clé, avec une clé conservée hors de la base et des journaux. Ensuite, le NIR pseudonymisé reste dans le périmètre du décret : il ne devient pas un identifiant libre que l'on peut faire circuler vers un entrepôt analytique. Le décret conditionne d'ailleurs certains usages à des « mesures adéquates de pseudonymisation » : c'est une garantie supplémentaire, pas un passe-droit.

Sécurité du NIR : masquage, chiffrement, journalisation

L'article 32 du RGPD cite en premier, parmi les mesures appropriées, « la pseudonymisation et le chiffrement des données ». Pour le NIR, ce socle se décline en quatre mesures vérifiables.

Le support client, angle mort habituel

Le support est le premier consommateur de données de production chez un éditeur. Un accès permanent de l'équipe support à toutes les fiches de tous les clients n'est pas une instruction documentée du responsable de traitement. La bonne architecture prévoit un accès temporaire, déclenché sur ticket, limité au client concerné, avec le NIR toujours masqué et une trace consultable par le client. Les captures d'écran jointes aux tickets font entrer le NIR dans l'outil de ticketing, qui devient un sous-traitant ultérieur à déclarer.

Ce que la CNIL a sanctionné autour du NIR

Les sanctions publiées que j'ai retrouvées ne visent pas l'usage du NIR en tant que tel. La CNIL le relève en revanche comme une donnée « faisant l'objet d'une protection particulière » lorsqu'il figure parmi les données exposées, et ses décisions dessinent ce qu'elle attend d'un éditeur.

Un éditeur sous-traitant sanctionné en propre. Par sa délibération SAN-2025-015 du 22 décembre 2025, la formation restreinte a infligé 1 700 000 euros d'amende à Nexpublica France, anciennement Inetum Software France, éditeur et hébergeur d'un progiciel de gestion de la relation usagers utilisé par la MDPH du Nord. Deux erreurs de paramétrage avaient permis à des usagers d'accéder aux données de tiers, dont celles de 14 170 personnes pour le second incident. La formation restreinte relève que le progiciel contenait notamment le NIR et des données de santé, que la société n'a pas pu dire quelles données avaient été consultées, signe d'une « traçabilité inefficiente », et que le manquement résultait d'une négligence alors que le logiciel était son coeur de métier. La société invoquait son autonomie limitée de sous-traitant. Réponse de la formation restreinte : « il revient au sous-traitant de proposer et de mettre en œuvre les solutions techniques et organisationnelles adéquates en matière de sécurité des traitements ».

Un export sans authentification. Par sa délibération SAN-2018-002 du 7 mai 2018, la CNIL a sanctionné de 250 000 euros un opticien dont le site permettait d'exporter au format CSV, sans authentification, des fichiers clients faisant apparaître 158 NIR.

Des pièces justificatives accessibles. Par sa délibération SAN-2019-005 du 28 mai 2019, une amende de 400 000 euros a frappé un gestionnaire immobilier dont les documents de candidats locataires, dont des cartes Vitale et attestations de sécurité sociale portant le NIR, étaient téléchargeables sans authentification, par simple modification de l'adresse URL.

La CNIL juge la sécurité au regard de l'état de l'art et de la sensibilité des données : le NIR place la barre haut. Si vous préparez un contrôle ou une réponse à une mise en demeure, c'est précisément le travail que je mène comme avocat CNIL auprès des éditeurs.

Checklist de conception du NIR dans un logiciel de paie

Voici la grille que j'utilise en audit de produit. Chaque ligne se vérifie en démonstration, pas sur une politique écrite.

Cette grille répond aussi aux questionnaires de sécurité des grands comptes. Les éditeurs que j'accompagne au sein de ma pratique dédiée aux éditeurs de logiciels et SaaS s'en servent comme d'une annexe à leur contrat de sous-traitance.

Conclusion : le NIR se traite comme une donnée de paie, pas comme un identifiant

Le droit du NIR tient en une règle de conception : le numéro vit dans le module paie et dans les flux déclaratifs, et nulle part ailleurs. Tout le reste, clé interne, affichage généralisé, export vers un outil tiers, copie en recette, réutilisation par l'éditeur, est soit interdit par le décret cadre, soit difficile à défendre devant la CNIL. La mise en conformité reste un chantier technique borné et mesurable.

Si votre modèle de données utilise encore le NIR comme clé, ou si un client vous demande de justifier vos pratiques avant de signer, je peux auditer votre produit et votre contrat de sous-traitance sur ce point précis. Échangeons sur la place du NIR dans votre logiciel.