[Brèves] Publication de la loi prorogeant l’état d’urgence sanitaire : conditions du partage de données médicales dans le cadre de la création d'un système d'information aux seules fins de lutter contre l'épidémie de covid-19

► La loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions (N° Lexbase : L8351LW9) a été publiée au Journal officiel du 12 mai 2020 et proroge l’état d’urgence sanitaire jusqu’au 10 juillet 2020 inclus ;

saisi de cette loi, le Conseil constitutionnel a validé la veille plusieurs de ses dispositions mais, concernant les traitements de données à caractère personnel de nature médicale aux fins de « traçage », le Conseil a décidé deux censures partielles et énoncé trois réserves d’interprétation, cependant que, concernant le régime des mesures de quarantaine et d’isolement, il prononce une réserve d’interprétation et une censure (Cons. constit., décision n° 2020-800 DC du 11 mai 2020 N° Lexbase : A32573L9).

L'article 11 de la loi organise les conditions dans lesquelles les données médicales des personnes atteintes par le covid-19 et de celles ayant été en contact avec ces dernières peuvent être partagées entre certains professionnels chargés de traiter les chaînes de contamination.

Un décret, publié au Journal officiel du 13 mai 2020 complète et précise les dispositions de cet article 11 (décret n° 2020-551 du 12 mai 2020, relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions N° Lexbase : L8483LW4). Plus précisément ce décret autorise l'adaptation et la création de traitements de données à caractère personnel destinées à permettre l'identification des chaînes de contamination du virus covid-19 et assurer le suivi et l'accompagnement des personnes. Il définit à ce titre les responsables de traitements, les catégories de données traitées, les accès, les destinataires, ainsi que leur durée de conservation et les modalités d'exercice, par les personnes concernées, des droits prévus par le « RGPD » (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I).

Une collecte de données à caractère personnel limitée. Les données à caractère personnel collectées par ces systèmes d'information à ces fins ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte.
Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique ou sérologique de la personne à l'égard du virus ainsi qu'à des éléments probants de diagnostic clinique et d'imagerie médicale, qui sont précisés par décret.

Finalités des systèmes d’information. Ces systèmes d'information ont pour finalités :

• l'identification des personnes infectées, par la prescription et la réalisation des examens de biologie ou d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection. Ces informations sont renseignées par un médecin ou un biologiste médical ou sous leur responsabilité, dans le respect de leur devoir d'information à l'égard des patients ;
• l'identification des personnes présentant un risque d'infection, par la collecte des informations relatives aux contacts des personnes infectées et, le cas échéant, par la réalisation d'enquêtes sanitaires, en présence notamment de cas groupés ;
• l'orientation des personnes infectées, et des personnes susceptibles de l'être, en fonction de leur situation, vers des prescriptions médicales d'isolement prophylactiques, ainsi que l'accompagnement de ces personnes pendant et après la fin de ces mesures ;
• la surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sous réserve, en cas de collecte d'informations, de supprimer les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques et leur adresse.

Toutefois, il est précisé que les données d'identification des personnes infectées ne peuvent être communiquées, sauf accord exprès, aux personnes ayant été en contact avec elles.
Sont exclus de ces finalités le développement ou le déploiement d'une application informatique à destination du public et disponible sur équipement mobile permettant d'informer les personnes du fait qu'elles ont été à proximité de personnes diagnostiquées positives au covid-19.

Exclusion des organismes assurant l’accompagnement social des intéressés des personnes susceptibles d’avoir accès à ces données à caractère personnel. Le paragraphe III de l’article 11 liste les personnes susceptibles d’avoir accès à ces données à caractère personnel, sans le consentement de l’intéressé. Dans sa décision du 11 mai 2020, le Conseil constitutionnel estime que, ce champ étendu est rendu nécessaire par la masse des démarches à entreprendre pour organiser la collecte des informations nécessaires à la lutte contre le développement de l’épidémie. Sont également inclus dans ce champ, pour le partage des données, les organismes qui assurent l’accompagnement social des intéressés. Or, selon le Conseil constitutionnel, s’agissant d’un accompagnement social, qui ne relève donc pas directement de la lutte contre l’épidémie, rien ne justifie que la communication des données à caractère personnel traitées dans le système d’information ne soit pas subordonnée au recueil du consentement des intéressés. Dès lors, la deuxième phrase du paragraphe III de l’article 11, qui méconnaît le droit au respect de la vie privée, est contraire à la Constitution. 

Conséquences de l’inscription d’une personne dans le système de suivi des personnes contacts. L'inscription d'une personne dans le système de suivi des personnes contacts emporte prescription pour la réalisation et le remboursement des tests effectués en laboratoires de biologie médicale, par exception à l'article L. 6211-8 du Code de la santé publique (N° Lexbase : L4040IGQ), ainsi que pour la délivrance de masques en officine.

Modalités d'application. Le paragraphe V de l’article 11 prévoyait que le décret d’application de la loi est pris après avis public conforme de la CNIL. Or, selon le Conseil constitutionnel, en vertu de l’article 21 de la Constitution (N° Lexbase : L0847AHT) et sous réserve de son article 13 (N° Lexbase : L0839AHK), le Premier ministre exerce le pouvoir réglementaire à l’échelon national. Ces dispositions n’autorisent pas le législateur à subordonner à l’avis conforme d’une autre autorité de l’Etat l’exercice, par le Premier ministre, de son pouvoir réglementaire. Dès lors, le mot « conforme » figurant à la première phrase du paragraphe V de l’article 11 est contraire à la Constitution. Comme le précise un communiqué de presse du 13 mai, la CNIL s’est prononcée en urgence le 8 mai, sur le projet de décret encadrant les deux systèmes d’information, « SI-DEP » et « Contact Covid », permettant la mise en place de cette politique sanitaire. La CNIL a estimé le dispositif conforme au « RGPD » si certaines garanties sont respectées. Elle avait appelé à des garanties supplémentaires, ces demandes ayant été prises en compte par le décret. La présidente de la CNIL a annoncé qu’elle diligenterait des contrôles dans les premières semaines suivant la mise en place de ces nouveaux fichiers (cf. CNIL, délibération n° 2020-051 du 8 mai 2020 N° Lexbase : Z705799T).

Transmission obligatoire des données individuelles. Le covid-19 fait l'objet de la transmission obligatoire des données individuelles à l'autorité sanitaire par les médecins et les responsables des services et laboratoires de biologie médicale publics et privés.

Modalités de rémunération des professionnels de santé conventionnés. Selon le paragraphe VII de l’article 11, le directeur général de l'Union nationale des caisses d'assurance maladie mentionnée à l'article L. 182-2 du Code de la sécurité sociale (N° Lexbase : L2119LWE) peut, en tant que de besoin, fixer les modalités de rémunération des professionnels de santé conventionnés participant à la collecte des données nécessaires au fonctionnement des systèmes d'information mis en œuvre pour lutter contre l'épidémie. La collecte de ces données ne peut faire l'objet d'une rémunération liée au nombre et à la complétude des données recensées pour chaque personne enregistrée.

Instauration d’un Comité de contrôle et de liaison covid-19. Le paragraphe VIII de l’article 11 dispose que ce comité est chargé d'associer la société civile et le Parlement aux opérations de lutte contre la propagation de l'épidémie par suivi des contacts ainsi qu'au déploiement des systèmes d'information prévus à cet effet. Ce comité est chargé de réaliser des audits réguliers d’évaluation et du respect des garanties entourant le secret médical et la protection des données personnelles.

Méconnaissance du principe de séparation des pouvoirs. Le paragraphe IX prévoyait que l'Assemblée nationale et le Sénat sont informés sans délai des mesures mises en œuvre par les autorités compétentes.
Selon le Conseil constitutionnel, en prévoyant une transmission immédiate à l’Assemblée nationale et au Sénat d’une copie de chacun des actes pris en application de cet article 11, le législateur, compte tenu du nombre d’actes en cause et de la nature des données en jeu, a méconnu le principe de séparation des pouvoirs, de sorte que cette disposition est contraire à la Constitution.

Création de deux fichiers par le décret du 13 février 2020. Conformément à l’article 11 de la loi du 11 mai 2020, le décret procède à la création temporaire, pour une durée de six mois à compter de la fin de l'état d'urgence sanitaire, soit le 10 janvier 2021, de deux fichiers nationaux : le fichier « SI-DEP » et le fichier « Contact Covid ». Ils doivent permettre d’identifier les personnes infectées (« patients 0 »), les personnes qu’elles sont susceptibles d’avoir contaminées (« cas contact ») et les chaînes de contamination. Ils visent à assurer la prise en charge sanitaire et l’accompagnement des personnes atteintes du virus ou susceptibles de l’être car ayant été en contact avec elles, ainsi que la surveillance épidémiologique du virus. Ces fichiers comprendront des données de santé et d’autres données personnelles (identité, hébergement, déplacement, participation à des rassemblements, etc.). Elles pourront être consultées par un grand nombre d’acteurs, notamment par les enquêteurs sanitaires, le législateur ayant autorisé la levée du secret médical.

Le fichier « SI-DEP » centralisera notamment les résultats des tests au covid-19, tandis que le fichier « Contact Covid » recueillera des informations sur les cas contact et les chaînes de contamination.
 

© Reproduction interdite, sauf autorisation écrite préalable