Numéros d’identification nationaux dans les documents : les règles pays par pays
L’article 87 du RGPD laisse chaque pays encadrer les numéros nationaux. Les règles de 8 pays et comment masquer ces numéros dans vos documents.
Un numéro national dans un document ne relève pas du seul RGPD. L’article 87 permet à chaque pays de l’UE d’ajouter ses conditions, et plusieurs ont des règles strictes. La règle prudente : gardez le numéro seulement là où une loi l’exige ou l’autorise, et masquez-le en entier partout ailleurs.
Ce guide couvre huit pays, à jour en octobre 2026. C’est une information générale, pas un conseil juridique : pour un cas réel, consultez votre délégué à la protection des données (DPO) ou un avocat.
Que dit l’article 87 du RGPD ?
L’article 87 tient en deux phrases. D’abord, « les États membres peuvent préciser les conditions spécifiques du traitement d’un numéro d’identification national ». Ensuite, dans ce cas, le numéro ne peut servir qu’avec des garanties appropriées pour les droits et libertés de la personne.
Autrement dit, le RGPD fixe le socle et chaque pays ajoute ses conditions. L’article vise aussi « tout autre identifiant d’application générale », soit un numéro utilisé par de nombreux services.
Quelles règles dans chaque pays ?
| Pays et numéro | Où il apparaît | Règle nationale | Conseil de masquage |
|---|---|---|---|
| France : NIR (numéro d’inscription au répertoire, dit numéro de sécurité sociale) | Paie, assurance maladie | Art. 30 de la loi Informatique et Libertés : un décret en Conseil d’État fixe qui peut utiliser le NIR et pourquoi. C’est le décret n° 2019-341 du 19 avril 2019. La CNIL invite à vérifier que l’usage y figure. | Masquez-le dans les fichiers RH hors paie (injustifié selon la CNIL). |
| Belgique : numéro de Registre national (Rijksregisternummer) | Copies de la carte eID | Loi du 8 août 1983, art. 8 : l’usage pour des tâches d’intérêt général requiert l’autorisation du ministre de l’Intérieur, sauf si une loi, un décret ou une ordonnance le prévoit explicitement. L’art. 8 prévoit d’autres exceptions. | Masquez-le si le destinataire n’a pas cette base légale. |
| Pays-Bas : BSN (burgerservicenummer, numéro de service citoyen) | Copies d’identité, dossiers de santé et scolaires | UAVG (loi néerlandaise d’exécution du RGPD), art. 46 : un numéro prescrit par la loi ne sert qu’à exécuter cette loi ou à des fins fixées par la loi. | Masquez-le pour tout organisme sans base légale. |
| Allemagne : steuerliche Identifikationsnummer (identifiant fiscal) | Formulaires fiscaux | § 139b, al. 2, AO : sans consentement, les autres organismes ne le traitent que pour échanger avec le fisc. Une loi peut aussi le permettre ou l’ordonner expressément. | Gardez-le seulement dans la copie pour le fisc. |
| Allemagne : Versicherungsnummer (numéro de sécurité sociale) | Paie, déclarations sociales | § 18f, al. 3, SGB IV : employeurs et tiers ne le traitent que pour les déclarations imposées par la loi, les cotisations ou les prestations. | Masquez-le hors paie et sécurité sociale. |
| Autriche : Sozialversicherungsnummer (SVNR, numéro de sécurité sociale) | Documents de sécurité sociale | § 460d ASVG : usage permis dans les traitements de la sécurité sociale et de l’AMS (service public de l’emploi). Le texte ignore les autres usages. | Masquez-le hors dossiers de sécurité sociale. |
| Espagne : DNI et NIE (numéros des Espagnols et des étrangers) | Copies d’identité, publications officielles | LOPDGDD, disposition additionnelle 7 : un acte administratif publié donne le nom et quatre chiffres, jamais le nom avec le numéro complet. | Suivez les chiffres fixés ci-dessous, ou masquez tout. |
| Luxembourg : numéro d’identification (le matricule) | Carte d’identité, dossiers du personnel, ordonnances médicales | Loi du 19 juin 2013, art. 2 : elle liste les documents qui peuvent le porter, comme les dossiers du personnel. | Masquez-le hors de ces usages. |
| Italie : codice fiscale (code fiscal) | Tessera sanitaria (carte de santé), avis publics | Lignes directrices n° 243 du 15 mai 2014 du Garante (autorité italienne de protection des données), antérieures au RGPD. Recommandation et non loi : les organismes publics ne doivent pas le publier sur leurs pages de transparence. | Masquez-le avant toute mise en ligne. |
Espagne : quels chiffres peut-on montrer ?
L’Espagne encadre l’affichage partiel. La disposition additionnelle 7 de la LOPDGDD, la loi espagnole de 2018 sur la protection des données, vise les actes publiés par une administration. L’acte cite le nom et quatre chiffres aléatoires du numéro, jamais le nom avec le numéro complet.
En mars 2019, l’autorité espagnole de protection des données (AEPD) et trois autorités régionales ont publié un critère provisoire. Pour un DNI écrit 12345678X, on montre les chiffres 4 à 7 : ***4567**. Pour un NIE écrit L1234567X, on montre ****4567*.
Pourquoi ces numéros sont-ils si risqués en cas de fuite ?
D’abord, ils sont durables. La Steuer-ID est un identifiant uniforme et permanent selon le § 139a AO. Le SVNR autrichien reste en général le même à vie, selon une réponse parlementaire de 2008. Ensuite, ils relient les fichiers, comme le souligne l’autorité néerlandaise de protection des données (AP) pour le BSN. Enfin, beaucoup cachent des données personnelles dans leurs chiffres.
- France : le NIR indique le sexe, l’année et le mois de naissance, et le lieu de naissance.
- Belgique : la date de naissance, puis un numéro d’ordre pair pour une femme, impair pour un homme.
- Allemagne : le numéro de sécurité sociale contient la date de naissance et l’initiale du nom de naissance. Son numéro de série peut indiquer le sexe.
- Autriche et Luxembourg : le SVNR finit en général par la date de naissance, le matricule commence par elle.
- La Steuer-ID est différente : la loi interdit de la tirer d’autres données sur la personne.
Masquer le nom protège donc peu si le numéro reste. Un numéro belge à côté d’un intitulé de poste révèle l’âge et le sexe d’un coup d’œil.
Où se cachent ces numéros dans un document ?
- En-têtes et pieds de page, répétés sur chaque page d’un modèle de paie ou d’assurance.
- Cases de fiche de paie et champs remplis d’un formulaire PDF.
- Copies de cartes d’identité : au Luxembourg, la loi de 2013 inscrit le numéro sur la carte.
- Codes-barres et QR codes, qui peuvent contenir le numéro. Vous ne les lisez pas, un téléphone si.
- Noms de fichiers et objets d’e-mail, qui livrent le numéro avant toute ouverture.
En Allemagne, le § 20 PAuswG n’autorise une copie d’identité que par le titulaire ou avec son accord. Elle doit être clairement marquée comme copie, et nul autre que le titulaire ne peut la transmettre à des tiers. L’AP néerlandaise conseille de rendre le BSN illisible sur une copie si l’organisme ne peut pas l’utiliser.
Prenons la fiche de paie de Claire Exemple, envoyée à un cabinet d’audit. Son NIR figure dans l’en-tête et dans une case. L’auditeur vérifie des totaux, pas des identités. Le numéro disparaît donc partout où il apparaît.
ONYRI Sanitize cherche ces numéros pays par pays. Il vérifie la clé du numéro national belge, de la Steuer-ID, du numéro de sécurité sociale allemand et du SVNR autrichien. Le BSN exige son libellé ou une clé valide. Il reconnaît le NIR, le DNI, le NIE, le codice fiscale et le matricule luxembourgeois à leur format. Limite : un numéro à clé fausse (scan mal lu) peut rester visible. Relisez la liste « Données détectées ».
Comment bien masquer un numéro national ?
- Vérifiez si une loi exige ou autorise le numéro pour ce destinataire, comme le fisc. Sinon, il disparaît.
- Masquez le numéro entier, sauf si une règle comme celle de l’Espagne fixe les chiffres visibles.
- Trouvez chaque occurrence : en-têtes, pieds de page, champs, annexes et scans.
- Tracez un cadre sur les codes-barres, les QR codes et les photos d’identité.
- Exportez un fichier aplati, puis essayez de copier le texte masqué. Rien ne doit sortir.
- Renommez le fichier si son nom trahit le numéro ou la personne. Gardez l’original en lieu sûr.
Questions fréquentes
Puis-je cacher seulement les premiers chiffres d’un numéro national ?
En général, non : d’autres copies peuvent compléter les chiffres visibles. L’Espagne fait exception pour les actes administratifs publiés, avec des positions fixes. Sinon, masquez tout le numéro.
Mon employeur peut-il mettre mon numéro de sécurité sociale dans mon dossier RH ?
Cela dépend du pays. En France, la CNIL admet le NIR pour la paie, mais le juge injustifié dans les autres fichiers RH. En Allemagne, le § 18g SGB IV annule les clauses exigeant le numéro hors des usages du § 18f. Ailleurs, demandez à votre DPO.
Un document est-il anonyme une fois le numéro national masqué ?
Non. Noms, adresses, dates de naissance et détails rares peuvent encore désigner une personne. Masquer le numéro retire le lien le plus fort, pas tous les liens.
Quelle règle s’applique quand un document passe une frontière ?
L’article 87 laisse les conditions à chaque État membre : il n’y a pas de réponse unique. Tout dépend de qui traite le document, et où. Demandez à votre DPO ou à un avocat.
Sources et références
- RGPD, article 87 – Traitement du numéro d’identification nationalCNIL
- Le décret « cadre NIR » en questionsCNIL
- Loi n° 78-17 du 6 janvier 1978 (Informatique et Libertés), art. 30, texte consolidéCNIL
- Peut-on utiliser le numéro de sécurité sociale (NIR) pour la gestion des ressources humaines ?CNIL
- Numéro de Sécurité sociale : compositionService-Public (DILA)
- Le numéro de sécurité sociale (NIR)Assurance Maladie (ameli.fr)
- Loi du 8 août 1983 organisant un Registre national des personnes physiquesJustel, SPF Justice
- Arrêté royal du 3 avril 1984 relatif à la composition du numéro d’identificationJustel, SPF Justice
- Uitvoeringswet Algemene verordening gegevensbescherming, art. 46wetten.overheid.nl (Pays-Bas)
- Burgerservicenummer (BSN)Autoriteit Persoonsgegevens
- § 139a AO (Abgabenordnung, code fiscal allemand) – IdentifikationsmerkmalMinistère fédéral de la Justice (gesetze-im-internet.de)
- § 139b AO (Abgabenordnung, code fiscal allemand) – IdentifikationsnummerMinistère fédéral de la Justice (gesetze-im-internet.de)
- § 18f SGB IV (Sozialgesetzbuch, Code social, livre IV) – Zulässigkeit der VerarbeitungMinistère fédéral de la Justice (gesetze-im-internet.de)
- § 18g SGB IV (Sozialgesetzbuch, Code social, livre IV) – Angabe der VersicherungsnummerMinistère fédéral de la Justice (gesetze-im-internet.de)
- § 147 SGB VI (Sozialgesetzbuch, Code social, livre VI) – VersicherungsnummerMinistère fédéral de la Justice (gesetze-im-internet.de)
- § 20 PAuswG (Personalausweisgesetz, loi sur la carte d’identité) – Verwendung durch öffentliche und nichtöffentliche StellenMinistère fédéral de la Justice (gesetze-im-internet.de)
- § 460d ASVG (Allgemeines Sozialversicherungsgesetz, loi générale sur les assurances sociales)RIS, Chancellerie fédérale (Autriche)
- Réponse parlementaire 4690/AB XXIII. GP sur le numéro de sécurité socialeParlement autrichien
- Ley Orgánica 3/2018 (LOPDGDD), texte consolidéBoletín Oficial del Estado (BOE)
- Orientación para la aplicación provisional de la disposición adicional séptima de la LOPDGDDAEPD
- Loi du 19 juin 2013 relative à l’identification des personnes physiques (Mémorial A n° 107)Legilux
- Structure du numéro d’identité (matricule)Centre commun de la sécurité sociale (Luxembourg)
- Il Codice Fiscale – Che cos’è e come si ottieneAgenzia delle Entrate
- Linee guida per finalità di pubblicità e trasparenza sul web (n. 243 du 15 mai 2014)Garante per la protezione dei dati personali