[Brèves] Publication du décret relatif au traitement automatisé de données à caractère personnel dénommé « Portail Autotest Covid-19 »

► Le décret autorise la mise en œuvre d'un traitement automatisé de données à caractère personnel relatif aux résultats des autotests de dépistage de la Covid-19, afin de recueillir les données relatives à la réalisation de ces autotests pour les analyser dans le cadre de la gestion de l'épidémie de Covid-19.

Contexte. Dans le cadre de la lutte contre l'épidémie de Covid-19, il est désormais possible d'acheter des autotests pour obtenir un diagnostic rapidement. Ces derniers sont tests antigéniques dont le prélèvement et la lecture du résultat peuvent être réalisés seuls. Ces autotests donnent ainsi lieu à une collecte de données personnelles, lesquelles vont être agrégées dans un portail numérique spécifique. En effet, après avoir réalisé son autotest, la personne concernée doit indiquer son résultat sur le site « monautotest.gouv.fr » (pour plus de précisions sur les autotests, v. ministère des Solidarités et de la Santé, Les autotests, 30 mars 2021). Il s'agit donc d'un traitement automatisé de données à caractère personnel, que le décret vient encadrer.

Finalités du traitement (art. 1). Le décret crée un traitement automatisé de données à caractère personnel, dénommé « Portail Autotest Covid-19 », relatif aux résultats des autotests de dépistage de la Covid-19. La Direction générale de la Santé est responsable de ce traitement.

Il est mis en œuvre avec le consentement des personnes concernées, conformément au a) du paragraphe 1 de l'article 6 et au a) du paragraphe 2 de l'article 9 du « RGPD » (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I).

Ce traitement de données a pour finalité le recueil des résultats des autotests de dépistage de la Covid-19 dans un système autonome, afin de produire des résultats agrégés destinés au suivi épidémiologique et à l'analyse statistique des administrations et organismes intervenant dans la gestion de l'épidémie de Covid-19.

Catégories de données enregistrées (art. 2). Les données à caractère personnel et les informations suivantes peuvent être enregistrées dans le traitement mentionné à l'article 1er du décret :

1° les données d'identification des personnes ayant fait l'objet d'un autotest : nom, prénom, année de naissance, sexe et adresse électronique ;

2° les informations relatives aux conditions de réalisation du test : cadre (cercle privé, établissement scolaire, établissement universitaire, milieu professionnel, hébergement collectif, autre), lieu de réalisation (code INSEE de la commune de prélèvement) et date de réalisation du test ;

3° le résultat du test, positif ou négatif ;

4° le consentement de la personne concernée, ou d'un représentant légal s'il s'agit de mineurs ou de majeurs sous tutelle, à l'enregistrement et au traitement des données mentionnées aux 1°, 2° et 3° la concernant dans le « Portail Autotest Covid-19 ».

Personnes ayant accès à ces données (art. 3). L'utilisateur du « Portail Autotest Covid-19 », qui a ouvert un compte et y a enregistré des données, a accès à ses propres données à caractère personnel et aux informations mentionnées à l'article 2 du décret le concernant. Il peut accéder le cas échéant au récépissé de sa déclaration de résultat.

La Direction du numérique des ministères chargés des Affaires sociales est destinataire des seules données ayant fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes.

Durée de conservation (art. 4). Les données mentionnées aux 1° et 4° de l'article 2 du décret sont conservées jusqu'à ce que l'utilisateur supprime son compte, et au plus tard, pour la durée de mise en œuvre du traitement « Portail Autotest Covid-19 ».

Les données mentionnées aux 2° et 3° de l'article 2 du décret sont conservées pour une durée de trois mois à compter de leur enregistrement.

Le retrait du consentement, comme la suppression du compte, entraînent l'effacement des données à caractère personnel traitées dans le portail.

Droits reconnus aux personnes concernées et modalités d'exercice (art. 5). Les personnes concernées par le traitement reçoivent l'information prévue à l'article 13 du « RGPD » lors de chaque enregistrement de données sur le « Portail Autotest Covid-19 ». Cette information figure également sur le site internet du ministère chargé de la Santé.

Le retrait du consentement, les droits d'accès, de rectification et d'effacement des données, le droit à la limitation du traitement et le droit à la portabilité des données prévus respectivement aux articles 7, 15, 16, 17, 18 et 20 du « RGPD » s'exercent auprès de la Direction générale de la Santé.

Entrée en vigueur. Le décret entre en vigueur le lendemain de sa publication, soit le 20 juin 2021.

© Reproduction interdite, sauf autorisation écrite préalable