C. COMME SI LA CRISE N'ÉTAIT QUE SANITAIRE
Tous les développements qui précèdent concernent la mobilisation du numérique par la France dans le domaine sanitaire. Mais une crise telle que celle du Covid-19 n'est pas seulement sanitaire : c'est une crise tout court, une crise « totale » , une épidémie dont les implications dépassent largement le domaine habituel de la santé publique, et qui appelle par conséquent à des mesures bien plus larges .
De fait, des mesures ont été prises : un soutien massif à l'économie touchée de plein fouet, un basculement de nombreuses activités en télétravail, et surtout des restrictions d'ampleur inédite en temps de paix aux libertés fondamentales, qu'il s'agisse de la liberté d'aller et venir, d'entreprendre ou de voyager - sans parler de leurs conséquences sur des libertés plus « intimes » telles que celle de voir ses proches, de les enterrer le cas échéant, de faire la fête, de se cultiver ou de pratiquer un rite religieux.
Or, dans ce domaine, nulle trace ou presque d'une volonté de recourir aux outils numériques, qu'il s'agisse d'assurer le bon respect de ces restrictions, ou mieux encore, de leur substituer des modalités plus fines de gestion de l'épidémie, grâce à l'intervention au niveau individuel que permettent les nouvelles technologies.
Il n'en a, tout simplement, jamais été question en France 68 ( * ) . Au prix, sans doute, de nombreux morts et d'un confinement qui n'est toujours pas entièrement levé à l'heure où sont écrites ces lignes.
1. Des restrictions générales, un contrôle dérisoire
Si les restrictions édictées par les pouvoirs publics sont aussi dures et pénibles à supporter (confinement généralisé, couvre-feu, etc.), c'est parce que leur modèle même intègre le fait qu'elles ne seront pas entièrement respectées . Pendant les deux mois du premier confinement (17 mars-11 mai 2020), près de 1,1 million de contraventions ont été dressées : le chiffre peut paraître important, mais il représente en réalité une fraction tout à fait dérisoire des infractions , c'est-à-dire du nombre de fois où quelqu'un, quelque part en France, est sorti de chez lui pour aller voir des amis, a retiré son masque dans la rue, s'est éloigné de plus d'un kilomètre de son domicile, etc. Il n'est évidemment ni possible, ni souhaitable, de contrôler chacun des faits et gestes de la population .
Ces sanctions ne visent donc pas à empêcher 100 % des infractions, mais à dissuader suffisamment la population de les commettre pour atteindre l'objectif recherché, en l'occurrence la diminution des interactions sociales. Ainsi, la sanction doit être d'autant plus forte (ici 135 euros) que la « chance » de se faire prendre est faible . D'un point de vue économique, cette logique se prête à une analyse en termes de coût d'opportunité et de bilan coût-bénéfice 69 ( * ) . Concrètement, c'est entre autres le principe du contrôle fiscal ou du contrôle routier « à l'ancienne » : les agents du fisc ne surveillent pas la comptabilité de toutes les entreprises, et les forces de l'ordre ne sont pas présentes sur tous les ronds-points. En revanche, si une infraction est constatée, la sanction doit être forte pour dissuader non seulement son auteur, mais aussi les autres, « pour l'exemple ». Toutefois, dans le cadre d'une crise sanitaire, une telle logique atteint vite ses limites , puisque qu'il s'agit ici de chaque petit geste de la vie quotidienne, dans laquelle l'État ne peut s'immiscer, et qui au cas par cas sont porteurs d'un risque faible qui n'incite pas à une vigilance constante (on ne transmet évidemment pas le virus à chaque fois qu'on retire son masque).
Le numérique permettrait d'adopter une toute autre logique : au lieu de repérer une fraction dérisoire des infractions mais de les sanctionner très sévèrement, il serait théoriquement possible d'atteindre un taux de contrôle de 100 %, et d'alléger les règles en conséquence.
Bien entendu, les règles seraient entièrement différentes : il n'est pas question de demander à chacun de prendre un selfie toutes les cinq minutes pour s'assurer qu'il porte bien son masque ou qu'il éternue dans son coude. Dans un tel modèle, fondé sur le suivi exhaustif des règles sanitaires plutôt que sur des sanctions inversement corrélées à la probabilité d'être contrôlé, les mesures ont vocation à être ciblées au niveau individuel et très limitées dans le temps .
Par exemple, les seules personnes diagnostiquées positives, soit 65 000 personnes actuellement (0,1 % de la population) 70 ( * ) , pourraient être astreintes à des mesures sanitaires spécifiques (quarantaine), dont le respect serait contrôlé (géolocalisation, etc.) et le cas échéant fortement sanctionné. Aucune restriction ne serait par contre imposée aux 99,9 % du reste de la population : les déplacements seraient libres, les magasins seraient ouverts, les écoles et les musées aussi. Les forces de l'ordre pourraient quant à elles être employées à des tâches plus utiles que la surveillance du port du masque dans la rue et le contrôle aléatoire du respect du confinement et du couvre-feu. Enfin, et surtout, la progression de l'épidémie serait arrêtée rapidement .
Il s'agit bien sûr d'un modèle théorique : les choses sont bien plus complexes en réalité, notamment, dans l'exemple précédent, parce que le nombre de cas diagnostiqués ne correspond pas au nombre de cas réels. Mais ces limites ne remettent nullement en cause la pertinence du raisonnement ni son efficacité potentielle. Or de telles mesures n'ont tout simplement jamais été envisagées dans le débat public, car elles font trop peur : nous avons préféré rester confinés « libres » et « égaux » pendant un an et demi , et compter 100 000 morts sûrs de ne pas être espionnés dans leur cercueil.
2. Une sous-exploitation des données disponibles
a) Les données agrégées
Au-delà des données strictement médicales, de nombreuses autres données auraient pu être utilement exploitées dans le cadre de la gestion de l'épidémie, et pas seulement des données personnelles, loin s'en faut. Or tel n'a pas été le cas, sinon de manière marginale, en ce qui concerne les autorités chargées de la gestion de la crise.
Dans le domaine de la recherche scientifique , et notamment de l'épidémiologie , les chercheurs ont su mobiliser de nombreux jeux de données pour leurs travaux, dans la mesure de ce que permettaient l'urgence, leurs propres moyens et les obstacles matériels ou juridiques restreignant la disponibilité des données. À titre d'exemple, on pourra citer l'utilisation par l'INSERM des données de l'opérateur téléphonique Orange pour analyser la mobilité des Français pendant le confinement 71 ( * ) (cf. encadré), qui a permis de montrer que 17 % des habitants du Grand Paris avaient quitté la région entre le 13 et le 20 mars 2020, ou encore les données d'analyse des eaux usées suivies par le réseau Obépine 72 ( * )
Exemple de l'utilisation des données de
l'opérateur Orange
pour les travaux de modélisation
épidémiologique de l'Inserm
Nouvelle analyse de la mobilité des
Français
au cours de la première semaine du
confinement
Depuis fin octobre, la France est entrée dans un deuxième confinement afin de ralentir la circulation du virus et le nombre d'hospitalisations. Bien que plus légères que lors du confinement mis en place au printemps, ces mesures restrictives ont un impact sur la mobilité des personnes à différentes échelles spatiales et temporelles.
Une équipe de recherche, coordonnée par les chercheurs Inserm Vittoria Colizza et Eugenio Valdano en collaboration avec l'opérateur téléphonique Orange , s'est appuyé sur les données des téléphones mobiles pour analyser la mobilité de la population française au cours de la première semaine ouvrée du confinement actuel (du 2 au 6 novembre 2020). Ces données rendent compte pour chaque journée des déplacements sur 1 436 différentes zones géographiques réparties sur tout le territoire français et sont stratifiées en fonction de l'âge des personnes et de l'heure de la journée à laquelle intervient le déplacement .
Dans un nouveau rapport, les chercheurs présentent donc une analyse spatiale (mobilité nationale, régionale et locale), temporelle (par semaine, par jour, par heure) et par classe d'âge (jeunes, adultes, seniors) des déplacements au cours de la première semaine du confinement. De plus, la mobilité est comparée avec celle enregistrée au cours de la première semaine de travail du premier confinement (23-27 mars 2020).
Les données suggèrent que la mobilité a bien diminué depuis l'annonce de ce deuxième confinement . En effet, elle est inférieure de 33 % par rapport aux niveaux de mobilités observés en 2020 avant que la pandémie ne prenne de l'ampleur. Elle est toutefois plus importante que celle observée en mars, au début du premier confinement (elle atteignait alors - 67% des niveaux de mobilité pré-pandémique) et est caractérisée par de fortes disparités régionales.
Cette moindre réduction est notamment expliquée par les mesures de confinement moins restrictives , notamment le maintien de l'ouverture des écoles et d'un plus grand nombre de secteurs d'activité.
Autre résultat d'intérêt : les chercheurs mesurent aussi une forte association entre la réduction de la mobilité et les indicateurs socio-économiques, indiquant que les restrictions de mobilité sont les plus prononcées parmi les catégories de population les plus aisées , confirmant les résultats déjà trouvés lors du premier confinement, apparus sur Lancet Digital Health.
Cette première analyse constitue un outil supplémentaire pour évaluer l'impact des politiques publiques actuelles mises en place dans le contexte de la crise sanitaire et pour éclairer les futurs ajustements possibles.
Source : communiqué de presse de l'Inserm du 3 novembre 2020
De même, les entreprises ont, d'une manière générale, exploité au mieux les données dont elles disposaient pour faire face à la pandémie. On pourra notamment citer le cas des entreprises de transport public , qui ont ainsi pu adapter leurs moyens à l'évolution des flux de passagers. La même remarque vaut pour les hôpitaux et établissements de santé.
En revanche, si ces mêmes données ont fort heureusement contribué à éclairer la décision publique, elles n'ont presque jamais été utilisées par les pouvoirs publics pour intervenir de façon ciblée pour assurer le suivi des restrictions sanitaires .
Certes, utiliser ces données afin de contrôler au niveau individuel le respect des mesures aurait de fait posé un problème d'acceptabilité politique. Mais pourquoi ne pas les avoir, au moins, utilisées au niveau agrégé ? Par exemple, et sans présumer de la pertinence de ces mesures puisqu'elles n'ont pas été testées, peut-être aurait-il été possible d'utiliser les données des antennes GSM pour repérer des attroupements ou des rassemblements trop importants , permettant le cas échéant d'intervenir, sans pour autant lever l'anonymat des personnes. Il aurait aussi été possible d'exploiter les données - publiquement disponibles - de fréquentation des commerces ou des transports , pour ajuster les mesures.
De même, une exploitation plus systématique et en temps réel des données des eaux usées aurait pu permettre d'identifier un cluster à l'échelle d'un quartier 73 ( * ) , et ne confiner que celui-ci.
Pourquoi les autorités en charge de la gestion de la crise sanitaires n'ont-elles pas exploité ces données ? Pour une part, elles n'ont pas voulu le faire : ce n'est pas dans leur culture. Mais quand bien même elles l'auraient souhaité, les administrations n'auraient de toute façon pas été en capacité de le faire , ne disposant sur le moment ni des ressources humaines et matérielles, ni des procédures, ni de l'expérience nécessaires.
b) Les données individuelles
S'agissant de mesures plus ciblées, au niveau individuel , celles-ci n'auraient pas nécessairement été très intrusives : par exemple, l'envoi automatique d'un SMS de rappel à toute personne s'éloignant de sa zone de quarantaine , sans levée de l'anonymat ni transmission des données à qui que ce soit.
Techniquement, il n'existe aucun obstacle à un tel dispositif, que les opérateurs téléphoniques pourraient mettre en oeuvre rapidement . Du reste, il existe déjà dans certains pays, et notamment aux États-Unis depuis 2002 avec le dispositif Amber Alert , l'équivalent de l' Alerte Enlèvement française, qui prévoit non seulement la diffusion de messages sur les canaux publics (radio, télévision, panneaux routiers, gares, etc.) mais aussi l'envoi automatique d'un SMS à toute personne se trouvant dans la zone de l'enlèvement . Depuis plus de 10 ans, les messages sont aussi diffusés directement par Facebook , Google et Bing à toutes les personnes géolocalisés dans la zone .
L'utilité d'un tel dispositif est évidente, non seulement dans le cadre d'une crise sanitaire, mais aussi en cas de catastrophe naturelle ou industrielle, ou encore d'attaque terroriste . C'est d'ailleurs l'objet même de la fonction Safety Check de Facebook (cf. supra ).
3. La coûteuse absence de l'identité numérique
Au-delà du strict domaine médical et sanitaire, où l'identifiant numérique de santé (INS) aurait pu, comme on l'a vu, se révéler précieux, c'est l'identité numérique en général qui aurait pu constituer un atout précieux pour la gestion de crise , entre autres bénéfices qui dépassent le cadre du présent rapport (cf. encadré).
Les enjeux de l'identité numérique
L'identité numérique est la clé de voûte de l'État-plateforme . Celle-ci permettrait à chacun d'accéder à l'ensemble des services publics au moyen d'un identifiant unique prouvant son identité de façon certaine et sécurisée. Elle ouvrirait la voie non seulement à l'allègement considérable des démarches de la vie quotidienne, mais aussi au développement d'une offre de services nouvelle, venant aussi bien de l'État que des collectivités locales et de la sphère sociale, mais aussi du secteur privé ou associatif.
En Estonie, par exemple, l'identité numérique est obligatoire pour tous les citoyens depuis 2007 , et l'ensemble de leurs données - santé, fiscalité, justice, éducation, etc. - sont rattachées à un même identifiant. Elle possède la même valeur juridique que la carte d'identité physique, à laquelle elle est adossée, et qui est tout à la fois un titre d'identité, une carte d'électeur, un permis de conduire, une carte Vitale, un abonnement pour les transports, et peut servir à tout autre chose (piscine, bibliothèque, etc.). En Allemagne , le titre d'identité électronique est universel et obligatoire depuis 2010. En Belgique , l'identité numérique est déployée depuis 2004, et permet à tous les citoyens d'accéder à une large gamme de services publics nationaux et locaux.
Au total, près de 70 pays dans le monde ont mis en place un dispositif similaire.
Le problème est que la France, contrairement à d'autres pays, s'est toujours refusée à franchir le pas décisif : il n'existe pas, à ce jour, d'identité numérique appuyée sur un numéro unique d'identification. Du reste, il n'est même pas obligatoire d'avoir une carte d'identité, une « liberté » théorique qui laisse songeur quand on considère qu'elle est de facto nécessaire pour ouvrir un compte, s'inscrire à un concours, voyager, etc.
L'opposition de la CNIL à l'utilisation du NIR dans le domaine de la santé, récemment assouplie avec l'INS, vaut a fortiori - et vaut toujours - pour les autres domaines de l'action publique. Par conséquent, toutes les autres administrations attribuent à leurs usagers des identifiants sectoriels spécifiques : administration fiscale, enseignement primaire et secondaire, enseignement supérieur, police, justice, permis de conduire, etc., sans compter les innombrables identifiants locaux ou particuliers.
D'une façon générale, cette position, qui n'est pas sans justifications historiques (cf. infra ), fait obstacle à la mise en place d'un État-plateforme. S'agissant plus particulièrement de la gestion d'une crise sanitaire, cela interdit de recourir de façon simple à des outils numériques qui pourraient, par exemple, permettre d'alléger les restrictions (aux voyages, aux déplacements, etc.) pour les personnes ne présentant aucun risque, ou offrir à chacun un service public adapté.
Pourtant, l'idée selon laquelle un numéro unique serait en soi une menace pour les libertés est loin d'être partagée au-delà de nos frontières. Il s'agit bien d'une spécificité française , et d'une construction essentiellement doctrinale, qui n'a pas valeur législative 74 ( * ) . Tout à fait compatible avec le règlement général sur la protection des données (RGPD) 75 ( * ) , l'identité numérique est même au coeur du règlement européen « eIDAS » de 2014 76 ( * ) , qui établit un socle commun pour les transactions et interactions sécurisées. À ce jour, 18 États-membres ont déjà notifié la mise en place d'un dispositif d'identification présentant un niveau de sécurité « substantiel » ou « élevé ».
Dès 2007, dans une étude de législation comparée portant sur onze pays européens 77 ( * ) , le Sénat relevait que sept d'entre eux possédaient déjà un numéro unique d'identification, ou un numéro sectoriel utilisé comme tel. Les autres ont largement évolué depuis, à l'instar de l'Allemagne, dont la Cour constitutionnelle interdisait l'identifiant unique au nom des droits à la dignité et à la liberté, protégés par la Loi fondamentale... et qui a rendu le titre d'identité obligatoire et universel en 2010.
Les choses sont toutefois en train de changer . Lancé en 2014, le service France Connect permet déjà à ses 20 millions utilisateurs d'accéder à quelque 700 services en ligne - mais il ne s'agit que d'une étape intermédiaire, un fédérateur d'identités multiples, qui n'est pas en soi une identité numérique et qui n'implique aucune interconnexion des services eux-mêmes. Du reste, France Connect n'offre pas le niveau de sécurité « élevé » qui permettrait d'accéder aux services les plus sensibles (banque, e-santé, recommandé électronique, etc.).
Quant à la nouvelle carte d'identité (eCNI) déployée cette année, celle-ci offre un niveau de sécurité inédit, notamment grâce aux données biométriques. Elle pourrait être le support d'une future identité électronique, mais le Gouvernement s'est toujours refusé à sortir de l'ambigüité à ce sujet.
Reste encore à franchir le pas décisif, celui d'une identité numérique universel et obligatoire, qui aurait, comme en Estonie et dans d'autres pays, pu se révéler précieuse face à la crise.
4. Les collectivités locales dans la crise
Dans une période de crise qui appelle au pragmatisme, un accès facilité à certaines données aurait permis aux collectivités locales , qui ont été des acteurs de terrain importants, de remplir plus efficacement leur mission. Le cadre juridique en vigueur, pourtant, n'a pas facilité les choses.
S'agissant des données épidémiologiques , le rapport de la mission Bothorel sur l' open data relève ainsi que « l'enrichissement de l'information des collectivités territoriales sur l'évolution des données épidémiologiques concernant leur territoire constitue une demande forte afin d'adapter la réponse locale à la crise sanitaire . À titre d'exemple, disposer de données épidémiologiques à une maille géographique plus fine que la commune, ou de données ventilées selon les caractéristiques sociodémographiques de la population permettrait d'apporter une réponse plus ciblée en matière de prévention, d'implantation des barnums, etc. »
« Plus globalement, cela pose la question de l'anonymisation des données et du risque de réidentification : sans aller jusqu'à la mise à disposition du public de ces indicateurs, la question du partage des données entre Santé publique France et les collectivités territoriales pourrait être envisagée dans un souci d'efficience de l'action publique . Ce partage de données pourrait se faire dans le cadre du Health Data Hub ».
S'agissant de l'action au niveau individuel, les collectivités locales ont joué un rôle important auprès des personnes vulnérables : distribution de masques (sur rendez-vous, à domicile ou par voie postale), visites à domicile pour garder le lien social, information individuelle, etc. Toutefois, les communes n'ont pas pu s'appuyer sur un fichier fiable et exhaustif des coordonnées de leurs administrés , le législateur n'ayant pas créé de tel « fichier de population » au bénéfice de celles-ci, comme le rappelle la CNIL 78 ( * ) .
Certes, au cas particulier et compte tenu des circonstances, la CNIL a fait preuve de souplesse et estimé que d'autres fichiers pouvaient être utilisés , et notamment :
- le fichier de la taxe d'habitation , dont la finalité est en principe la seule gestion de la fiscalité locale ;
- le fichier de communication municipale , destiné à informer les administrés des événements de la vie locale, dont la situation sanitaire fait évidemment partie ;
- les registres d'information et d'alerte des populations constitués par les communes, soit à titre obligatoire dans le cadre du « plan départemental d'alerte et d'urgence au profit des personnes âgées et handicapées en cas de risques exceptionnels », qui vise par exemple les cas de canicule, soit au titre d'un « plan communal de sauvegarde », qui permet de constituer un registre plus large et général, mais où l'inscription est facultative ;
- les fichiers liés aux services municipaux (par exemple, le fichier des inscriptions scolaires pour informer sur les horaires adaptés de la cantine, etc.).
Il reste qu'il s'agit là d'outils partiels, incomplets, et qui n'ont pas été prévus pour cela . Par exemple, comme le remarquait Véronique Guillotin lors d'une audition publique organisée dans le cadre du présent rapport, « sur les territoires, il a fallu recenser les patients de plus de 75 ans dans les différentes communes. Certaines d'entre elles ont utilisé des fichiers constitués sur demande active des plus de 75 ans : ils se sont annoncés eux-mêmes comme personnes fragiles afin que les mairies puissent leur envoyer des courriers. Mais dans ce système, une partie de la population de plus de 75 ans a échappé à l'information sur la vaccination 79 ( * ) ».
Lors de la même audition, Jean-Raymond Hugonet a cité l'exemple des tests salivaires conduits dans les écoles primaires : « j'ai assisté à un événement kafkaïen où étaient présents l'inspecteur de l'Éducation nationale, le directeur du laboratoire qui gère le territoire, les enseignants et les représentants de la commune. Le Logiciel Onde, géré par l'Éducation nationale, permet de disposer des renseignements sur l'ensemble des enfants scolarisés. Cependant, alors que les parents avaient été prévenus de ce test salivaire, nous étions dans l'impossibilité de faire basculer le fichier de l'Éducation nationale vers le laboratoire parce que le ministère était tétanisé » à l'idée d'utiliser le numéro de Sécurité sociale 80 ( * ) .
Toutes ces questions ne se seraient tout simplement jamais posées s'il avait existé, avant la crise, un identifiant unique . Celui-ci aurait permis, face à l'urgence, de communiquer les bonnes données aux bons acteurs et au bon moment, de façon sécurisée et comprise par la population.
* 68 Les développements de cette partie concernent bien les outils permettant spécifiquement de freiner la propagation de l'épidémie, par des mesures relevant davantage de l'ordre public que de la sécurité sanitaire. Dans un sens plus large, le numérique a bien entendu constitué un recours en France comme dans la plupart des pays : télétravail, école à la maison, etc.
* 69 En 1968, l'économiste Gary Becker a proposé un modèle micro-économique de « l'offre de crime », en vertu duquel la décision de commettre un crime résulte d'un arbitrage rationnel entre le gain attendu et le coût attendu (arrestation, amende, etc.). En termes de probabilités, toute hausse de l'amende correspond à une hausse du coût attendu et donc à une baisse du gain net espéré.
* 70 Correspondant au taux d'incidence de 100 pour 100 000 habitants constaté fin mai 2021, soit le nombre de cas positifs pour 100 000 habitants sur une période d'une semaine. Au plus haut de l'épidémie - mais les mesures évoquées ici auraient précisément pour but de ne pas en arriver là -, ce taux d'incidence était de 501 pour 100 000 habitants, soit 335 000 personnes (0,5 % de la population).
* 71 Des initiatives similaires existent dans d'autres pays, par exemple en Allemagne avec le partenariat entre Deutsche Telekom et l'Institut Robert Koch. La Commission européenne a également lancé un projet en ce sens avec les principaux opérateurs européens.
* 72 Les différents acteurs français de l'eau et de l'assainissement, dont Eau de Paris, réunis au sein du réseau OBEPINE (Observatoire EPIdémiologique daNs les Eaux usées), ont mis en place le suivi de 150 stations d'épuration représentatives et réparties sur le territoire national. Ce suivi permet d'évaluer le niveau de circulation du virus dans les populations. Cet indicateur, publié toutes les deux semaines, est pris en compte par les pouvoirs publics. Voir à ce sujet : http://eaudeparis.fr/nc/lespace-culture/actualites/actualite/news/sebastien-wurtzer-nous-participons-activement-a-la-recherche-sur-le-coronavirus/
* 73 À plus long terme, on pourrait même imaginer la mise en place de spectromètres de masse pour mesurer les eaux usées à l'échelle d'un immeuble ou d'une école, ou la quantité de virus en circulation dans l'air d'une salle de concert. La technologie, courante en laboratoire, est toutefois loin d'être mature pour une telle application.
* 74 Aux termes de l'article 30 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les traitements de données personnelles utilisant le NIR sont subordonnés à un avis motivé et publié de la CNIL : la quasi-interdiction de l'utilisation du NIR au-delà de la sphère sociale est donc bien le fait de cette dernière, et non du législateur.
* 75 Fondé sur le principe de responsabilisation a priori des acteurs, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) a conduit le législateur à supprimer la quasi-intégralité des formalités préalables d'autorisation ou de déclaration auprès de la CNIL. Toutefois, comme l'y autorise le RGPD, la France a fait le choix de maintenir le régime d'autorisation préalable pour les traitements comportant le NIR.
* 76 Règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur.
* 77 Étude de législation comparée n° 181, Le numéro unique d'identification des personnes physiques, décembre 2007.
* 78 CNIL, « COVID-19 : les traitements de données associés aux opérations de distribution de masques » , 1 er mai 2020, https://www.cnil.fr/fr/covid-19-les-traitements-de-donnees-associes-aux-operations-de-distribution-de-masques
* 79 Audition de Gilles Babinet, co-président du Conseil national du numérique, digital champion de la France auprès de la Commission européenne, le 18 mars 2021.
* 80 Les communes ne peuvent ni demander, ni conserver, ni utiliser le numéro de Sécurité sociale (NIR) des enfants en école primaire. Voir à cet égard : https://www.cnil.fr/fr/cnil-direct/question/numero-de-securite-sociale-nir-des-enfants-en-ecole-primaire-une-mairie-peut