L’essentiel : Le Décret n° 2020-1385 du 14 novembre 2020 a permis l’adaptation des traitements de données personnelles pour identifier les chaînes de contamination du Covid-19. Il prolonge la mise en œuvre de « Contact Covid » et SI-DEP jusqu’au 1er avril 2021, tout en étendant la conservation des données pseudonymisées à des fins de surveillance épidémiologique. Ce dispositif autorise également la remontée des résultats de tests de dépistage et l’accompagnement social des personnes infectées, tout en imposant des garanties strictes pour protéger la vie privée et assurer un accès limité aux données sensibles.

Le Décret n° 2020-1385 du 14 novembre 2020 a adapté les traitements de données à caractère personnel destinés à permettre l’identification des chaînes de contamination du virus covid-19 et à assurer le suivi et l’accompagnement des personnes (traitement de données « Contact Covid »).

Surveillance épidémiologique du Covid 19

Il permet la mise en œuvre de Contact Covid et SI-DEP pour la durée correspondant à celle de la période de sortie d’état d’urgence sanitaire, soit jusqu’au 1er avril 2021, et prolonge la durée la conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche sur le virus jusqu’à cette même date.

Il permet également la remontée des résultats de l’ensemble des tests et examens de dépistage réalisés par des professionnels de santé et d’assurer, sous réserve de leur consentement, l’accompagnement social des personnes infectées et susceptibles de l’être. Il autorise les organismes nationaux d’assurance maladie et la Caisse nationale militaire de sécurité sociale, ainsi que les autres organismes d’assurance maladie à avoir recours à des sous-traitants pour le traitement Contact Covid et permet aux personnes mises à leur disposition d’accéder au traitement. Il complète enfin la liste des données traitées dans les traitements SI-DEP et Contact Covid pour les adapter aux besoins.

Consultation de la CNIL

Le Décret a été adopté après l’adoption de la Délibération n° 2020-108 du 5 novembre 2020. Outre la prolongation de la durée de mise en œuvre de « Contact Covid », on notera i) l’allongement de la durée de conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche sur le virus ; et ii) l’extension de la remontée des résultats à tous les examens de dépistage (sérologique ou virologique) réalisés par des professionnels de santé.

La CNIL avait pris soin de rappeler au Gouvernement les points suivants:

– le caractère sensible, par nature, de la mise en œuvre de tels dispositifs qui permettent notamment le traitement et le partage de données de santé, pouvant être consultées par un grand nombre d’acteurs et nécessitant une protection supplémentaire ;

– que l’atteinte portée à la vie privée par ces traitements n’est admissible que si cette politique constitue une réponse appropriée et nécessaire pour ralentir la propagation de l’épidémie ;

– que, quel que soit le contexte d’urgence, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être apportées;

– l’information et la sensibilisation des personnels aux règles d’usage du système d’information et à leurs obligations en matière de protection des données à caractère personnel, de respect du secret professionnel et des risques de sanctions pénales encourues en cas de détournement de finalité du traitement ;

– la nécessité de définir une politique d’habilitation de leurs agents très stricte afin que seuls ceux qui ont en besoin d’en connaître accèdent à « Contact Covid ». Les habilitations délivrées doivent être limitées dans le temps et régulièrement revues, notamment pour intégrer les éventuels départs d’agents ou changements d’affectation ;

– l’obtention préalablement à l’habilitation d’un engagement formalisé de respecter ces principes, qui devra comprendre une information claire et complète sur les dispositifs de traçage des accès mis en place, permettant un contrôle régulier de l’utilisation des données contenues dans le traitement.

Informations transmises par «Contact Covid»

L’application « Contact Covid» conservera l’historique des quatorze derniers jours concernant les déplacements (nationaux et internationaux), les lieux fréquentés, les mesures de quarantaine suivies, les contacts avec une personne infectée ou présentant des symptômes mais aussi la date et la nature des rassemblements de plus de 10 personnes auxquels la personne a assisté dans les quatorze derniers jours ainsi que la précision tenant à l’intervention de l’examen de dépistage dans le cadre d’une campagne organisée par une agence régionale de santé.

Transmission des données collectées

Toutes les données collectées dans « Contact Covid » seront transmises à des catégories de professionnels de santé à l’exception :

– des données d’identification de la personne infectée, des personnes cas contacts et des professionnels de santé ou établissements assurant l’enregistrement des données ;

– des coordonnées postales, téléphoniques et électroniques de la personne infectée, des personnes cas contacts et des professionnels ou établissements assurant l’enregistrement des données ;

– des données relatives à l’identification de l’organisme d’affiliation assurant la prise en charge des frais de santé de la personne infectée et des personnes cas contacts ;

– des coordonnées et de la spécialité du médecin ayant réalisé l’inscription de la personne infectée ;

– des coordonnées du médecin traitant ou du médecin ayant été désigné par la personne cas contacts ;

– du consentement de la personne infectée pour la divulgation de son identité à chaque personne évaluée comme cas contact.

Q/R juridiques soulevées :

Quel est l’objectif principal du Décret n° 2020-1385 du 14 novembre 2020 ?

Le Décret n° 2020-1385 du 14 novembre 2020 a été mis en place pour adapter les traitements de données à caractère personnel dans le cadre de la lutte contre la pandémie de Covid-19.

Il vise spécifiquement à permettre l’identification des chaînes de contamination du virus et à assurer le suivi et l’accompagnement des personnes potentiellement infectées.

Ce traitement de données, connu sous le nom de « Contact Covid », est essentiel pour la surveillance épidémiologique et la recherche sur le virus, en facilitant la collecte et l’analyse des données nécessaires.

Quelles sont les principales mesures prises par le Décret concernant la conservation des données ?

Le Décret prolonge la durée de conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche jusqu’au 1er avril 2021.

Cela inclut les données relatives aux tests et examens de dépistage réalisés par des professionnels de santé.

Cette prolongation est cruciale pour permettre une analyse continue de l’évolution de l’épidémie et pour garantir un suivi adéquat des personnes infectées.

Quels sont les rôles des organismes d’assurance maladie dans le cadre de Contact Covid ?

Les organismes nationaux d’assurance maladie, ainsi que la Caisse nationale militaire de sécurité sociale, jouent un rôle clé dans le traitement des données liées à Contact Covid.

Ils sont autorisés à recourir à des sous-traitants pour faciliter ce traitement, ce qui permet d’optimiser les ressources et d’assurer un suivi efficace des personnes infectées.

De plus, ces organismes peuvent assurer l’accompagnement social des personnes touchées, sous réserve de leur consentement.

Quelles recommandations la CNIL a-t-elle formulées concernant le traitement des données ?

La CNIL a émis plusieurs recommandations importantes au Gouvernement avant l’adoption du Décret.

Elle a souligné la nécessité de protéger les données de santé, qui sont particulièrement sensibles, et a insisté sur le fait que toute atteinte à la vie privée doit être justifiée par l’urgence de la situation.

Des garanties doivent être mises en place pour respecter les principes fondamentaux du droit à la protection des données, même en période d’urgence.

Quelles informations sont conservées par l’application « Contact Covid » ?

L’application « Contact Covid » conserve un historique des quatorze derniers jours concernant divers aspects des déplacements de l’utilisateur.

Cela inclut les lieux fréquentés, les mesures de quarantaine suivies, ainsi que les contacts avec des personnes infectées ou présentant des symptômes.

De plus, elle enregistre la date et la nature des rassemblements de plus de 10 personnes auxquels l’utilisateur a assisté, ainsi que des informations sur les examens de dépistage.

Quelles données ne seront pas transmises aux professionnels de santé ?

Certaines données sensibles ne seront pas transmises aux professionnels de santé dans le cadre de Contact Covid.

Cela inclut les données d’identification de la personne infectée et des cas contacts, ainsi que leurs coordonnées postales, téléphoniques et électroniques.

De plus, les informations relatives à l’organisme d’affiliation pour la prise en charge des frais de santé et les coordonnées des médecins impliqués ne seront pas divulguées sans consentement explicite.