Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions

I. - La caisse nationale de l'assurance maladie est autorisée, en application de l'article 11 de la loi du 11 mai 2020 susvisée, pour une durée de six mois à compter de la fin de l'état d'urgence sanitaire déclaré par l'article 4 de la loi du 23 mars 2020 susvisée, à adapter le système d'information « amelipro », aux fins de mettre en œuvre un traitement de données, dénommé « Contact Covid », dans le cadre de sa mission d'intérêt public, conformément aux dispositions du e du 1. de l'article 6 du règlement (UE) du 27 avril 2016 susvisé et pour les motifs d'intérêt public mentionnés au i du 2. de l'article 9 de ce même règlement.

II. - Pour l'application du présent décret :

1° Le « patient zéro » désigne une personne testée comme positive ou confirmée positive par l'établissement de santé qui a posé le diagnostic ;

2° Le « cas contact » désigne la personne qui a eu un contact avec le patient zéro durant la période, qui ne peut être supérieure à quatorze jours avant le diagnostic, pendant laquelle ce dernier était susceptible d'être contagieux au virus du covid-19 ;

3° L'évaluation d'une personne comme « contact à risque de contamination » s'effectue au regard des recommandations sanitaires du ministre chargé de la santé, prises après avis du Haut Conseil de santé publique et rendues publiques.

III. - Ce traitement de données a pour finalités :

1° L'identification des personnes infectées, par la prescription et la réalisation des examens de biologie ou d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection ;

2° L'identification des personnes présentant un risque d'infection, par la collecte des informations relatives aux contacts des personnes infectées et, le cas échéant, par la réalisation d'enquêtes sanitaires, en présence notamment de cas groupés ;

3° L'orientation des personnes infectées, et des personnes susceptibles de l'être, en fonction de leur situation, vers des prescriptions médicales d'isolement prophylactiques, ainsi que le suivi médical et l'accompagnement de ces personnes pendant et après la fin de ces mesures ;

4° Permettre la surveillance épidémiologique et la recherche sur le virus et les moyens de lutter contre sa propagation.

I. - Le traitement autorisé par l'article 1er porte sur :

1° Les données recueillies auprès du patient zéro ou de la personne évaluée comme contact à risque de contamination, lorsque ces derniers les ont communiquées ;

2° Les données collectées par l'intermédiaire du traitement autorisé par l'article 8 ;

3° Les données collectées dans les conditions prévues au III.

II. - Le traitement de données autorisé par l'article 1er comprend les catégories de données suivantes :

1° Pour le patient zéro :

a) Les données d'identification (noms, prénoms, date de naissance, sexe) de la personne et de ses éventuels représentants légaux et le numéro d'inscription au répertoire national d'identification des personnes physiques ou le code d'admission au bénéfice de l'aide médicale d'Etat sous la mention « immatriculation » lorsque la personne en dispose d'un ;

b) Les coordonnées de contact (adresse de résidence, le numéro de téléphone et l'adresse électronique) ;

c) La désignation de l'organisme d'affiliation assurant la prise en charge des frais de santé ;

d) Les coordonnées et la spécialité du médecin à l'origine de l'inscription dans le traitement de données ;

e) Les données permettant de déterminer que la personne est infectée (caractère positif du test, date de prélèvement ou, pour patient hospitalisé, l'existence de symptômes associés à un scanner ;

f) Le cas échéant, l'existence de symptômes et la date de leur apparition ;

g) Les données relatives à la situation de la personne au moment du dépistage (hospitalisé, à domicile ou déjà à l'isolement) ;

h) La déclaration d'un besoin d'accompagnement social et d'appui à l'isolement ;

i) La mention de la profession et du lieu d'exercice professionnel ;

j) Le cas échéant, les régions ou Etats, autres que ceux de résidence, dans lesquels la personne s'est rendue dans les quatorze derniers jours ;

k) Le cas échéant, la fréquentation, dans les quatorze derniers jours, des catégories d'établissements suivantes : établissement d'hébergement pour personnes âgées dépendantes, établissement médico-social, milieu scolaire, crèches, établissement de santé, établissement pénitentiaire ainsi que les coordonnées de l'établissement ;

l) Le cas échéant, la participation, dans les quatorze derniers jours, à un rassemblement de plus de dix personnes (localisation et date) ;

m) La mention d'une identification dans le traitement comme ancien cas contact ;

n) Les données d'identification et les coordonnées des personnes évaluées comme contacts à risque de contamination (nom, prénom, sexe, date de naissance, numéro de téléphone, adresse électronique) ;

o) Le cas échéant, le consentement du patient zéro à la divulgation de son identité à chaque personne évaluée comme étant un contact à risque de contamination ;

p) Les dates et heures de création, modification, traitement de la fiche et des contacts ;

2° Pour chaque personne évaluée comme contact à risque de contamination :

a) Les données d'identification de la personne et de ses éventuels représentants légaux (noms, prénoms, date de naissance, sexe) et le numéro d'inscription au répertoire national d'identification des personnes physiques ou le code d'admission au bénéfice de l'aide médicale d'Etat sous la mention « immatriculation » lorsque la personne en dispose d'un ;

b) Les coordonnées (adresse de résidence, le numéro de téléphone et l'adresse électronique) ;

c) La désignation de l'organisme d'affiliation assurant la prise en charge des frais de santé ;

d) Les coordonnées du médecin traitant ou du médecin désigné par le patient pour assurer sa prise en charge ;

e) Les données permettant de déterminer que cette personne est infectée (caractère positif du test, date de prélèvement ou, pour patient hospitalisé, existence de symptômes associés à un scanner) ;

f) Le cas échéant, l'existence de symptômes et la date de leur apparition ;

g) Les données relatives à la situation de la personne au moment de la prise de contact (hospitalisé, à domicile ou déjà à l'isolement) ;

h) La déclaration d'un besoin d'accompagnement social et d'appui à l'isolement ;

i) La mention de la profession et du lieu d'exercice professionnel ;

j) Le cas échéant, les régions ou Etats, autres que ceux de résidence, dans lesquels la personne s'est rendue dans les quatorze derniers jours ;

k) Le cas échéant, la fréquentation, dans les quatorze derniers jours, des catégories d'établissements suivantes : établissement d'hébergement pour personnes âgées dépendantes, établissement médico-social, milieu scolaire, crèches, établissement de santé, établissement pénitentiaire ainsi que les coordonnées de l'établissement ;

l) Le cas échéant, la participation, dans les quatorze derniers jours, à un rassemblement de plus de dix personnes (date et localisation) ;

m) La confirmation du niveau de risque à la suite de sa réévaluation lors de l'entretien réalisé avec cette personne lors de l'enquête sanitaire ;

n) La connaissance éventuelle par cette personne du patient zéro, lorsque ce dernier a consenti à la divulgation à cette personne de son identité ;

o) L'information relative à une éventuelle cohabitation avec le patient zéro ;

p) La date du dernier contact avec le patient zéro ;

q) Les dates de prélèvement et les résultats des tests ;

r) La déclaration d'un besoin d'un prélèvement à domicile ;

s) Les dates de création, modification et traitement de la fiche et des contacts ;

3° Pour les professionnels de santé ou établissements assurant l'enregistrement des données et réalisant le suivi :

a) Les données d'identification comportant le nom, le prénom, le numéro ADELI, le numéro d'inscription au répertoire partagé des professionnels de santé (RPPS), le numéro SIRET, le numéro FINESS) ;

b) La profession et, le cas échéant, la spécialité ;

c) L'adresse postale, les numéros de téléphone et l'adresse électronique.

III. - En l'absence dans le traitement autorisé par l'article 1er des coordonnées des patients zéro et des personnes évaluées comme contact à risque de contamination, les agents habilités des organismes nationaux et locaux d'assurance maladie peuvent les contacter aux moyens des coordonnées administratives provenant de traitements de données déjà mis en œuvre par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie au titre de l'une de leurs missions.

IV. - Les données mentionnées au h du 1° et au h du 2° du II ne peuvent être recueillies qu'avec le consentement des intéressés.

I. - Sont autorisés à enregistrer l'ensemble des données prévues au II de l'article 2 et à les consulter dans la limite de leurs besoins respectifs d'en connaître, pour assurer les seules finalités mentionnées aux 1° à 3° du III de l'article 1er :

1° Les agents spécialement habilités des organismes nationaux et locaux d'assurance maladie, de la caisse nationale militaire de sécurité sociale ainsi des autres organismes de protection sociale ;

2° Les agents spécialement habilités des agences régionales de santé ainsi que de leurs sous-traitants mentionnés à l'article 14.

L'habilitation des agents mentionnés au 1° est délivrée par l'autorité responsable de chaque organisme. L'habilitation des agents mentionnés au 2° est délivrée par le directeur général de l'agence régionale de santé.

II. - Sont autorisés à enregistrer les données prévues au II de l'article 2 et à les consulter, pour assurer les seules finalités mentionnées aux 1° à 3° du III de l'article 1er :

1° Les professionnels de santé et personnels spécialement habilités du service de santé des armées ;

2° Les personnels spécialement habilités des communautés professionnelles territoriales de santé, des maisons de santé, des centres de santé ou structures créées pour lutter contre le covid-19, des organismes de protection sociale à qui l'assurance maladie, par convention, délègue, les missions dévolues aux agents des organismes locaux d'assurance maladie ;

3° Les professionnels de santé et personnels spécialement habilités des établissements de santé ;

4° Les médecins libéraux ou les personnes placées sous leur autorité.

III. - Les agents, personnels et médecins mentionnés aux 1° à 4° du II ne sont autorisés à consulter, dans la limite de leurs besoins respectifs d'en connaître, que les seules données prévues au II de l'article 2 qui sont relatives :

1° Aux personnes qu'ils prennent en charge ;

2° Aux personnes désignées par les personnes mentionnées au 1° comme cas contacts et évaluées comme contacts à risque de contamination, à l'exception des données mentionnées aux g et h du 1° et aux g, h et r du 2° du II de l'article 2.

IV. - Sont autorisés à enregistrer et à consulter les données mentionnées aux a, b, c et d du 1° et du 2° du II de l'article 2, qui sont nécessaires à la réalisation du ou des tests pris en charge par l'assurance maladie, les professionnels placés sous la responsabilité des services ou laboratoires de biologie médicale, publics ou privés, qui réalisent des examens de dépistage du covid-19.

V. - Sont autorisés à enregistrer et à consulter les données des a et b du 1° et du 2° du II de l'article 2, les pharmaciens et personnes placées sous leur autorité, aux fins de dispenser les masques pris en charge par l'assurance maladie.

VI. - Sont destinataires des seules données relatives aux personnes infectées et aux personnes ayant été en contact avec ces personnes, ayant fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes, notamment par la suppression des nom et prénoms des intéressés, de leur numéro d'inscription au répertoire national d'identification des personnes physiques, de leur adresse et de leurs coordonnées de contact téléphonique ou électronique :

1° L'Agence nationale de santé publique, pour les données nécessaires à ses missions de surveillance épidémiologique ;

2° La direction de la recherche, des études, de l'évaluation et des statistiques du ministère chargé de la santé, pour les données nécessaires à sa mission d'analyse et de diffusion des informations statistiques dans le domaine de la santé ;

3° Le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie, aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus ;

4° La Caisse nationale de l'assurance maladie pour le pilotage et l'évaluation du fonctionnement du dispositif ;

5° Le service de santé des armées.

I. - Les personnes autorisées aux I à V de l'article 3 enregistrent, sans délai, les données relatives aux personnes infectées et aux personnes évaluées comme contacts à risque de contamination mentionnées à l'article 2.

II. - Le traitement est accessible par les moyens d'identification et d'authentification suivants :

1° Pour les agents des organismes nationaux et locaux d'assurance maladie habilités, selon les modalités propres au service dont ils relèvent ;

2° Pour les médecins libéraux, les pharmaciens, les services de biologie et laboratoires de biologie médicale et des personnes placées sous leur autorité, au moyen du portail « amelipro » ;

3° Pour les personnes relevant des autres catégories autorisées à accéder aux données, selon les modalités fixées par la Caisse nationale de l'assurance maladie.

I. - Sous réserve du II du présent article, les données à caractère personnel contenues dans le traitement « Contact Covid » ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte. Elles ne peuvent davantage être conservées au-delà de la durée maximale pendant laquelle ces données peuvent être traitées et partagées en application du premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.

II. - Les opérations de mise à jour, de suppression et de consultation du traitement font l'objet d'un enregistrement, qui est conservé pendant une durée maximale de six mois à compter de la fin de l'état d'urgence sanitaire déclaré par l'article 4 de la loi du 23 mars 2020 susvisée.

Cet enregistrement comporte l'identification de l'utilisateur, les données de traçabilité, notamment la date, l'heure et la nature de l'intervention dans le traitement et les données relatives aux actions sur la fiche (initialisation de la fiche, validation, fin).

Les personnes diagnostiquées positives au covid-19 et leurs contacts à risque de contamination reçoivent les informations prévues par les dispositions des a à e du 1. et des a, b, d et e du 2. de l'article 13 du règlement (UE) du 27 avril 2016, susvisé préalablement à la collecte des données recueillies auprès d'elles.

Les contacts à risque de contamination des personnes diagnostiquées positives au covid-19 reçoivent les informations prévues par les dispositions des a à e du 1. et des a à f du 2. de l'article 14 du même règlement lors de leur première prise de contact dans le cadre de la réalisation de l'enquête sanitaire, préalablement à la collecte de données complémentaires les concernant.

Les informations prévues aux articles 13 et 14 du même règlement sont également diffusées sur les sites internet du ministère chargé de la santé et de la Caisse nationale de l'Assurance maladie.

I. - Dans les conditions prévues à l'article 21 du règlement (UE) du 27 avril 2016 susvisé, les personnes évaluées comme contacts à risque de contamination peuvent exercer, pour des raisons tenant à leur situation particulière, leur droit d'opposition au traitement des données les concernant recueillies auprès des patients zéro, à moins que ne prévalent les intérêts impérieux de santé publique mentionnés au I de l'article 11 de la loi du 11 mai 2020 susvisée. Lorsqu'il est fait droit à leur demande, leurs données sont alors effacées, conformément à l'article 17 du même règlement.

Les patients zéro ne peuvent, en application de l'article 23 du règlement (UE) du 27 avril 2016 mentionné précédemment, exercer le droit d'opposition prévu à l'article 21 de ce même règlement au traitement mentionné à l'article 1er du présent décret qu'en ce qui concerne la transmission, telle que prévue au 3° du VI de l'article 3, des données au groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et à la Caisse nationale de l'assurance maladie. Lorsqu'il est fait droit à leur demande, leurs données sont alors effacées, conformément à l'article 17 du même règlement du 27 avril 2016.

Le droit d'opposition s'exerce auprès du directeur de l'organisme de rattachement des personnes concernées.

II. - Les droits d'accès et de rectification ainsi que le droit à la limitation s'exercent auprès du directeur de l'organisme de rattachement des personnes concernées, dans les conditions prévues aux articles 15, 16 et 18 du même règlement.

En application de l'article 11 de la loi du 11 mai 2020 susvisée, il est autorisé, pour une durée de six mois à compter de la fin de l'état d'urgence sanitaire déclaré par l'article 4 de la loi du 23 mars 2020 susvisée, la création, d'un système d'information national de dépistage, dénommé « SI-DEP », dont le responsable est le ministre chargé de la santé (direction générale de la santé) et dont l'Assistance publique-Hôpitaux de Paris assure, pour le compte de ce dernier, la gestion, en qualité de sous-traitant, dans les conditions prévues à l'article 28 du règlement (UE) du 27 avril 2016 susvisé.

Ce traitement, mis en œuvre dans le cadre de sa mission d'intérêt public, conformément aux dispositions du e du 1. de l'article 6 du même règlement et pour les motifs d'intérêt public mentionnés au i du 2. de l'article 9 de ce même règlement, a pour finalités de centraliser les résultats d'examens de dépistage du covid-19 afin de les mettre à disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées, de réaliser des enquêtes sanitaires en présence de cas groupés pour rompre les chaînes de contamination, d'orienter, de suivre et d'accompagner les personnes concernées, et de faciliter le suivi épidémiologique aux niveaux national et local et la recherche sur le virus de même que les moyens de lutter contre sa propagation.

Les catégories de données enregistrées dans le traitement sont les suivantes :

1° Les données d'identification de la personne ayant fait l'objet d'un examen de biologie médicale de dépistage du covid-19 : nom, prénom, sexe, date de naissance, lieu de naissance, numéro d'inscription au répertoire national d'identification des personnes physiques ou code d'admission au bénéfice de l'aide médicale d'Etat sous la mention « immatriculation » lorsque la personne en dispose d'un ;

2° Les informations portant sur la situation du patient nécessaires pour la réalisation des enquêtes sanitaires : professionnel du secteur sanitaire ou médico-social, résident dans un lieu d'hébergement collectif, patient hospitalisé dans un établissement de santé et, le cas échéant, date d'apparition des premiers symptômes ;

3° Les coordonnées du patient ou, à défaut, d'une personne de confiance : adresse postale, numéro de téléphone, adresse électronique ;

4° Les données d'identification et coordonnées des médecins : numéro RPPS, nom, prénom, adresse du lieu d'exercice et adresse de messagerie sécurisée ;

5° Les caractéristiques techniques du prélèvement : numéro de prélèvement, date et heure du prélèvement, lieu de prélèvement ;

6° Les informations relatives au résultat des analyses biologiques : identification et coordonnées du laboratoire, type d'analyse réalisée, date et heure de la validation de l'analyse, résultat de l'analyse, compte-rendu d'analyse.

I. - Les médecins ou les professionnels placés sous la responsabilité des services ou laboratoires de biologie médicale qui procèdent à des examens de dépistage du covid-19 sont habilités à accéder aux données des personnes qu'ils prennent en charge figurant dans le traitement autorisé par l'article 8, aux seules fins de renseigner les résultats de leurs examens et d'envoyer, le cas échéant, les résultats à ces mêmes personnes, au médecin traitant et au médecin ayant prescrit l'examen.

Les données recueillies auprès des personnes dépistées lors du prélèvement et les données relatives aux résultats d'analyse mentionnées à l'article 9 sont enregistrées sans délai.

II. - Sont destinataires des données enregistrées dans le traitement :

1° Les médecins, pour les catégories de données mentionnées aux 1°, 2°, 3° et 6° de l'article 9 pour les données relatives à leurs patients ;

2° Les agents des agences régionales de santé ainsi que de leurs sous-traitants mentionnés à l'article 14, qui ont été spécialement habilités à cette fin par les directeurs généraux de ces agences ;

3° Les agents, spécialement habilités par le responsable de chaque organisme ou établissement concerné, de l'Agence nationale de santé publique, des organismes nationaux et locaux d'assurance maladie, de la caisse nationale militaire de sécurité sociale et du service de santé des armées, pour les catégories de données mentionnées à l'article 9 nécessaires à la réalisation des investigations concernant les personnes évaluées comme contacts à risque de contamination, au suivi et à l'accompagnement des personnes et à la réalisation des enquêtes sanitaires.

III. - Sont destinataires des seules données relatives aux personnes infectées et aux personnes ayant été en contact avec ces personnes, ayant fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes :

1° Les personnes habilitées par le directeur général de l'Agence nationale de santé publique, pour les données nécessaires à ses missions de surveillance épidémiologique et les personnes habilitées par les directeurs généraux des agences régionales de santé ;

2° Les personnes habilitées par le directeur de la recherche, des études, de l'évaluation et des statistiques du ministère chargé de la santé, pour les données nécessaires à sa mission d'analyse et de diffusion des informations statistiques dans le domaine de la santé ;

3° Le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.

I. - Sous réserve du II, les données à caractère personnel contenues dans le traitement « SI-DEP » ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte. Elles ne peuvent davantage être conservées au-delà de la durée maximale pendant laquelle ces données peuvent être traitées et partagées en application du premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.

II. - Les opérations de mise à jour, de suppression et de consultation du traitement font l'objet d'un enregistrement, qui est conservé pendant une durée maximale de six mois à compter de la fin de l'état d'urgence sanitaire déclaré par l'article 4 de la loi du 23 mars 2020 susvisée.

Cet enregistrement comporte l'identification de l'utilisateur ainsi que les données de traçabilité, notamment la date, l'heure et la nature de l'intervention dans le traitement.

Les personnes ayant fait l'objet d'un examen de biologie médicale de dépistage du covid-19 reçoivent les informations prévues par les a à e du 1. et les a, b, d et e du 2. de l'article 13 du règlement (UE) du 27 avril 2016 susvisé, préalablement à la réalisation du test de dépistage, puis lors de l'envoi des résultats individuels, ainsi que par une information sur le site internet du ministère chargé de la santé.

Les personnes de confiance mentionnées au 3° de l'article 9 reçoivent les informations prévues par les dispositions des a à e du 1. et des a à f du 2. de l'article 14 du même règlement lors de l'envoi des résultats individuels, ainsi que par une information sur le site internet du ministère chargé de la santé.

En application de l'article 23 du règlement (UE) du 27 avril 2016 susvisé, le droit d'opposition prévu à l'article 21 de ce même règlement ne s'applique au présent traitement qu'en ce qui concerne la transmission des données à des fins de recherche au groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et à la Caisse nationale de l'assurance maladie, telle que prévue au 3° du III de l'article 10 du présent décret. Il s'exerce auprès de la direction générale de la santé.

Compte tenu des motifs d'intérêt public mentionnés au c du 3. de l'article 17 du même règlement du 27 avril 2016, le droit à l'effacement s'exerce uniquement dans l'hypothèse prévue au c du 1. de son article 17.

Les droits d'accès et de rectification ainsi que le droit à la limitation s'exercent auprès de cette même direction, dans les conditions prévues aux articles 15, 16 et 18 du même règlement.

Pour leurs traitements mis œuvre afin de répondre à la situation d'urgence sanitaire, dans les conditions de l'article 67 de la loi du 6 janvier 1978 susvisée, les agences régionales de santé peuvent avoir recours à des sous-traitants pour exercer, dans les conditions prévues à l'article 28 du règlement (UE) du 27 avril 2016 susvisé, les missions de réalisation des enquêtes sanitaires, d'orientation, de suivi et d'accompagnement des personnes et de surveillance épidémiologique.

Les agences régionales de santé s'assurent notamment que leurs sous-traitants présentent des garanties de compétence suffisantes pour assurer la mise en œuvre des mesures techniques et organisationnelles appropriées et le respect des règles de confidentialité.

Pour l'application du présent décret, les hôpitaux des armées, les autres éléments du service de santé des armées et l'Institution nationale des invalides sont considérés comme des établissements de santé.

Le ministre des solidarités et de la santé est chargé de l'exécution du présent décret, qui sera publié au Journal officiel de la République française et entrera en vigueur immédiatement.