« Comment juguler une épidémie sans devoir confiner la population ? »  résumerait l’intervention du député Cédric Villani qui se référant à ses consultations d’experts français, britanniques, allemands et suisses, a placé malheureusement l’expérimentation des outils technologiques au-dessus du respect des libertés individuelles.

Stop Covid n’est pas un outil de traçage géographique, il s’intéresse à la proximité physique entre des personnes. A comparer aux alertes pandémiques de ses trente dernières années, la surprise vient cette fois de la réaction des Etats. Des mesures de confinement aussi générales auraient-elles été prises si les Etats avaient connu par avance avec précision les flux de contacts entre les personnes ? S’il s’agit d’expérimenter les mesures de ces flux, l’avis de la CNIL devait en tenir compte, et les parlementaires en être informés. Dans cette finalité d’expérimentation des mesures des flux des populations, des données pseudonymes seraient-elles nécessaires ou bien des données anonymes seraient-elles suffisantes ?  L’urgence de ces questions n’est pas celle de l’état d’urgence sanitaire invoquée le 27 mai.

L’article Coronavirus : Stop Covid serait-elle devenue une application expérimentale ? est apparu en premier sur Philippe Schmitt Avocats.

Si le Conseil constitutionnel contrôle la loi adaptant en droit interne un règlement de l’Union européenne[1], il a maintenu jusqu’ici sa jurisprudence traditionnelle lorsqu’il examine une loi sur le fondement des articles 61 et 61-1  de la Constitution.  Le Conseil constitutionnel ne procède pas au contrôle de sa compatibilité avec les engagements internationaux et européens de la France « un tel moyen ne saurait être regardé comme grief d’inconstitutionnalité et relève de la compétence des juridictions administratives et judiciaires [2] ».

Avec la pandémie, l’accès aux juges administratifs et judiciaires étant fortement perturbé, le Conseil constitutionnel aurait donc pu à plus forte raison examiner au regard du RGPD la loi du 11 mai 2020 prorogeant l’état d’urgence. Peut-être que l’existence de la loi de 1978 modifiée par ce règlement a évité cet examen ou peut-être qu’il est apparu préférable de laisser au Conseil d’Etat [3]cette confrontation quitte à en fixer les premières limites ? Peu importe finalement les motivations, notons simplement que le règlement du 27 avril 2016 n’est mentionné qu’une seule fois dans la décision du 11 mai 2020 à  propos « des principes régissant les traitements des données à caractère personnel  et aux droits reconnus aux personnes dont les données sont collectées,  notamment leurs droit d’accès,  d’information et de rectification »[4] mais pour ne pas y voir d’atteinte.

C’est donc sans l’appui du RGPD, que le Conseil constitutionnel retient le 11 mai 2020  « l’objectif de valeur constitutionnelle de protection de la santé », ( points 63,  64 ) pour enfermer strictement le  champ des données à caractère personnel …aux seules données strictement nécessaires à la poursuite des quatre finalités de la loi, – démarche très  RGPD compatible –  , ajoutant d’ailleurs pour celle relative à la surveillance épidémiologique et à la recherche contre le virus la suppression des coordonnées des contacts téléphoniques ou électroniques des intéressés. De même, le Conseil constitutionnel retient le respect de la vie privée pour censurer l’emploi à l’accompagnement social des données personnelles recueilles sans consentement ( point 70), exiger des mécanismes d’habilitation des agents pour l’accès à ces données (point 74), et limiter leur conservation au-delà des trois mois après leur collecte ( point 76).

C’est essentiellement à la CNIL de veiller au respect du RGPD en lui reconnaissant une étonnante adaptabilité à cette situation de pandémie.

Le RGPD est compatible avec une pandémie, « Certains types de traitement peuvent être justifiés à la fois par des motifs importants d’intérêt public et par les intérêts vitaux de la personne concernée, par exemple lorsque le traitement est nécessaire à des fins humanitaires, y compris pour suivre des épidémies et leur propagation, ou dans les cas d’urgence humanitaire, notamment les situations de catastrophe naturelle et d’origine humaine » ( considérant 46 ). Et quitte même à prévoir des aménagements avec le secret professionnel comme le prévoit la loi avec celui des personnels de santé « Le  traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l’Union ou du droit de l’État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel » (Article 9. 2 i).

Le 8 mai,  la CNIL délibère sur SI-DEP et Contact – Covid et les 24 avril et 25 mai pour StopCovid. N’oublions pas que dès le 20 avril, la CNIL s’était prononcée sur des données des patients sur le Hub santé.

Il ne s’agit pas ici de reprendre ces différents avis et délibérations. Limitons-nous à une observation très générale sur ces différents dispositifs de traitements des données personnelles. Tous sont soumis aux mêmes exigences du RGPD par la CNIL bien que seuls les deux premiers aient nécessité une loi d’urgence sanitaire. Le RGPD n’a que faire de la séparation constitutionnelle entre pouvoir législatif (article 34) et  les attributions réglementaires (article 37), et la CNIL exercer son contrôle  sans distinguer entre la loi et la voie réglementaire !

• La CNIL confronte dans les mêmes termes du RGPD les trois dispositifs même si les parlementaires ont exclu des dispositifs techniques requis par l’urgence sanitaire l’information des contacts des personnes infectées par application mobile.
  

La loi du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions initiales n’a créé que deux traitements d’informations dénommés au décret du 12 mai SI-DEP, les données des personnes infectées, et Contact-Covid pour les personnes en contact avec celles identifiées par le premier système informatique. Ces deux traitements ne requièrent pas l’emploi d’une application mobile. Le fichier des personnes infectées est rempli par les médecins et les responsables des laboratoires d’analyse biologique et d’imagerie médicale. Quant aux informations relatives aux personnes en contact avec des personnes infectées, elles sont saisies par ces mêmes professionnels de la santé, par différents personnels d’organismes publics spécialement habilités ou  proviennent du traitement des informations de SI-DEP. Très clairement, la loi en son article 11 écarte le recours à une application mobile de type Stop Covid : « Sont exclus de ces finalités le développement ou le déploiement d’une application informatique à destination du public et disponible sur équipement mobile permettant d’informer les personnes du fait qu’elles ont été à proximité de personnes diagnostiquées positives au Covid-19 ». Dans sa décision, le 11 mai 2020, le Conseil constitutionnel prend acte de cette exclusion.

Bien que soumis à deux régimes juridiques différents par leur origine, ces trois dispositifs sont traités de manière analogue par la CNIL.

 Dès son avis du 8 mai, la CNIL rappelle les exigences applicables aux deux premiers dispositifs autorisés par la loi  « La Commission rappelle que, quel que soit le contexte d’urgence, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être apportées. Ainsi, au-delà de son l’avis sur ce projet de décret, la Commission se montrera attentive aux conditions de mise en œuvre de ces traitements, notamment en ce qui concerne les mesures de sécurité prévues. A ce titre, elle demande à être informée des conditions de leur déploiement par la CNAM et le ministère, notamment dans le cadre de la réalisation et de l’évaluation des analyses d’impact relatives à la protection des données (AIPD) qui devront, pour chacun des traitements, être réalisées en application de l’article 35 du RGPD. La Commission demande à ce que celles-ci lui soient transmises dans leur version définitive ainsi que, le cas échéant, leurs mises à jour. »

• L’avis de la CNIL retient comme base légale à Stop Covid la mission d’intérêt public de lutte contre la pandémie et non une quelconque urgence qui avait habilitée le gouvernement à intervenir par ordonnance. 

Le 27 mai, les parlementaires ne votent pas sur une nouvelle loi relative à l’état d’urgence. Ils se prononcent sur une déclaration du gouvernement « relative aux innovations numériques de la lutte contre l’épidémie ». Dans cet intitulé, l’urgence n’apparait pas. Quand le secrétaire d’État au numérique précise que « l’application pouvait être déployée à droit constant sans modifier aucunement la législation existante », il se réfère à l’avis de la CNIL dont la base légale est la mission d’intérêt public de lutte contre la pandémie.  A l’Assemblée nationale, les prises de parole opposent les libertés publiques à l’épidémie sans citer en tant que telle l’urgence même si celle-ci est sous-entendue « s’il ne devait sauver qu’une seule vie humaine, cela justifierait son existence » .

L’urgence et les mesures prises en son nom ne sont pas loin. Stop Covid interagit avec les deux traitements SI-DEP et Contact-Covid. Mais n’est-ce pas d’ailleurs ce que demande la CNIL son déploiement doit s’inscrire dans un plan d’ensemble et « mettant en garde le gouvernement contre la tentation du « solutionnisme technologique » Informée par son mobile d’un contact avec un patient contaminé,  la personne présumée infectée aura un avantage à se voir inscrire dans le fichier Contact-Covid pour obtenir le remboursement des tests effectués en laboratoire de biologie médicale et pour la délivrance de masque en officine.

Cette interaction entre Stop Covid et les deux traitements est un point de vigilance de la CNIL qui a par avance indiqué qu’aucune conséquence négative ne devait être attachée à l’absence de téléchargement ou l’utilisation de l’application. Stop Covid se fonde sur le volontariat des utilisateurs quand les deux traitements sont obligatoires. En séance, le gouvernement a pris l’engagement d’inclure Stop Covid dans la mission d’évaluation des outils numériques du Comité de contrôle et de liaison créé par la loi du 11 mai. Et dans son avis du 26 mai, la CNIL admet que le caractère temporaire de l’application est respecté quand celle-ci voit sa durée calquée sur celle prévue pour les traitements SI-DEP et Contact- Covid.  A cette application qui ressemblerait de plus en plus aux deux traitements qui n’ont été autorisés que par la loi sur l’état d’urgence sanitaire, la CNIL a néanmoins voulu voir dans le projet de décret qui lui était soumis,  l’exclusion de certaines finalités des deux traitements : «  soit expressément exclues des finalités poursuivies par le traitement : les opérations de recensement des personnes infectées, d’identification des zones dans lesquelles ces personnes se sont déplacées, de prise de contact avec la personne alertée ou de surveillance du respect des mesures de confinement ou de tout autre recommandation sanitaire. Le traitement ne doit pas non plus permettre de réaliser le suivi des interactions sociales des personnes ». A nouveau, les deux avis de la CNIL dessinent le fil rouge des libertés publiques et de la vie privée.

Aux trois dispositifs de données personnelles en relation avec la pandémie, issus de la loi ou de la voie règlementaire, et sans distinguer selon cette origine,  la CNIL oppose le RGPD et les principes fondamentaux des libertés publiques.

[1] Décision n°2018-765 DC du 12 juin 2018

[2] Décision  n° 2010-605 DC du 12 mai 2010  cons. 11 et 12 ; n° 2014-694 DC du 28 4, Loi relative à l’interdiction de la mise en culture des variétés de maïs génétiquement modifié, cons. 2.

[3] Voir par exemple au point 71 de la décision du 11 main

[4] Point 75

L’article CORONAVIRUS et Etat d’urgence sanitaire : la CNIL garante des libertés publiques grace au RGPD appliqué indistinctement aux bases de données personnelles instaurées par la Loi ou par Décret est apparu en premier sur Philippe Schmitt Avocats.

Ni dépistage virologique ni test sérologique n’étant autorisés pour les entreprises reste à la seule personne publique l’organisation d’un système d’information générale. C’est chose faite par la loi votée le 9 mai et publié le 11 après la censure partielle du Conseil constitutionnel le 10 mai, et à son décret d’application du 12 mai.  Limitons-nous ici à quelques observations relatives à ce système d’informations de lutte contre l’épidémie de covid-19 prévu à l’article 11 et à son décret d’application.

Deux traitements informatisés des données sont créés par la loi du 11 mai et son décret d’application du 12 mai.

– « SI-DEP » pour « Système d’information nationale de dépistage populationnel ». Le fichier des personnes infectées par la covid-19

– « contact-Covid » : ce fichier concerne les personnes ayant été en contact avec les personnes du 1^er fichier. Ce fichier utilise le système existant « amelipro ».

Ces traitements informatisés n’informeront pas par leur mobile les personnes concernées : un 3^ème système est attendu pour la fin mai

Nouvelle déception pour ceux qui espéraient être informés de la bonne santé de leur fréquentation. Ce système n’a pas vocation à informer les personnes via un dispositif mobile qu’elles auraient été à proximité d’une personne infectée. Un nouveau dispositif technique, – peut-être celui dénommé Stop-civid – , serait annoncé le 27 mai.

Quelles données personnelles des personnes infectées et des personnes en contact avec celles-ci peuvent être collectées et traitées dans ces systèmes informatiques ?

La loi n’a pas énuméré les données présentes dans ces fichiers mais les a autorisées au regard de l’une ou de l’autre de quatre finalités :

– L’identification des personnes infectées appelées au décret les patients zéro. Sont donc incluses les données relatives 

– aux diagnostics cliniques probants,

– aux résultats d’analyse biologique ou d’imagerie médicale. Et par la prescription de ces examens. Des résultats négatifs (non positifs) n’écartent pas cette finalité.

– l’identification des personnes présentant un risque d’infection  par leur contact avec les personnes infectées , le cas contact du décret

– L’orientation et l’accompagnement de ces deux catégories de personnes pendant et après la fin des prescriptions et des mesures médicales d’isolements

– la 4^ème finalité ne s’intéresse plus exclusivement à la situation sanitaire des personnes dont les données sont collectées et traitées, mais à l’intérêt de ces données pour la surveillance épidémiologique nationale et locale, la recherche sur le virus et les moyens de lutter contre sa propagation. 

Le décret est venu préciser les données contenues dans ces fichiers.

Les données traitées au fichier SI-DEP, le système d’information national de dépistage. Il centralise les informations relatives aux personnes ayant fait l’objet d’un dépistage à la covid-19.

• Les données d’identification du patient (D art.9)

1° Les données d’identification de la personne ayant fait l’objet d’un examen de biologie médicale de dépistage du covid-19 : nom, prénom, sexe, date de naissance, lieu de naissance, numéro d’inscription au répertoire national d’identification des personnes physiques ou code d’admission au bénéfice de l’aide médicale d’Etat sous la mention « immatriculation » lorsque la personne en dispose d’un ;

…

3° Les coordonnées du patient ou, à défaut, d’une personne de confiance : adresse postale, numéro de téléphone, adresse électronique ;

• Les données de la situation sociale du patient (D art. 9)

2° Les informations portant sur la situation du patient nécessaires pour la réalisation des enquêtes sanitaires : professionnel du secteur sanitaire ou médico-social, résident dans un lieu d’hébergement collectif, patient hospitalisé dans un établissement de santé et, le cas échéant, date d’apparition des premiers symptômes ;

• Les données de santé (D art 9)

2° …. La date d’apparition des symptômes

5° Les caractéristiques techniques du prélèvement : numéro de prélèvement, date et heure du prélèvement, lieu de prélèvement ;
6° Les informations relatives au résultat des analyses biologiques : identification et coordonnées du laboratoire, type d’analyse réalisée, date et heure de la validation de l’analyse, résultat de l’analyse, compte-rendu d’analyse.

• Les données relatives au médecin (D art. 9)

4° Les données d’identification et coordonnées des médecins : numéro RPPS, nom, prénom, adresse du lieu d’exercice et adresse de messagerie sécurisée ;

Qui fournit ces informations (D art. 10) ?

1. – Les médecins ou les professionnels placés sous la responsabilité des services ou laboratoires de biologie médicale qui procèdent à des examens de dépistage du covid-19 sont habilités à accéder aux données des personnes qu’ils prennent en charge figurant dans le traitement autorisé par l’article 8, aux seules fins de renseigner les résultats de leurs examens et d’envoyer, le cas échéant, les résultats à ces mêmes personnes, au médecin traitant et au médecin ayant prescrit l’examen.

Les données recueillies auprès des personnes dépistées lors du prélèvement et les données relatives aux résultats d’analyse mentionnées à l’article 9 sont enregistrées sans délai.

L’article 11 de la loi prévoit que cette transmission est obligatoire.

Qui a accès à ces données ?

L’article 10 du décret autorise des praticiens à accéder aux données de ce fichier. Est prévu également un accès par habilitation des agents de certains organismes en charge des questions de santé. L’accès est ouvert plus largement quand les données sont pseudonymisées.

• L’accès aux données de leurs seuls patients

– Les médecins et les laboratoires ayant procédés à ces examens et analyses.

-Le médecin ayant prescrit l’examen,

– Le médecin traitant.

• L’accès à toutes les informations de toutes les personnes présentes dans ce fichier
  

– Des agents habilités des agences régionales de santé et de leurs sous-traitants.

• Un accès limité pour les seules informations nécessaires pour i) l’évaluation des personnes contacts et ii) au suivi et à l’accompagnement des personnes et à la réalisation des enquêtes sanitaires.

L’agence nationale de santé publique, des organismes nationaux et locaux d’assurance maladie, de la caisse nationale militaire de sécurité sociale et du service de santé des armées  

• L’accès aux données d’identités pseudonymisées.

Il s’agit ici d’un accès par des personnes n’appartenant pas nécessairement aux organismes publics cités ci-dessus, leur accès ne sera autorisé que pour certaines finalités. 

• des missions de surveillance épidémiologique : habilitations par les directions de l’agence national de santé publique et des agences régionales de santé.
• pour l’accès aux données nécessaires à la mission d’analyse et de diffusion des informations statistiques dans le domaine de la santé : habilitation par le Ministre de la santé
• pour les besoins de la gestion de l’urgence sanitaire et de l’amélioration des connaissances sur le virus : l’accès est autorisé pour la Plateforme des données de santé ” et la Caisse nationale de l’assurance maladie

Toutes les interventions sur le traitement SI-DEP vont l’objet d’un suivi

1. – Les opérations de mise à jour, de suppression et de consultation du traitement font l’objet d’un enregistrement, qui est conservé pendant une durée maximale de six mois à compter de la fin de l’état d’urgence sanitaire déclaré par l’article 4 de la loi du 23 mars 2020 susvisée.

Cet enregistrement comporte l’identification de l’utilisateur ainsi que les données de traçabilité, notamment la date, l’heure et la nature de l’intervention dans le traitement. 

Le consentement du patient est-il requis à ce traitement informatisé de données le concernant ?

Comme il vient d’être dit la transmission au fichier de la demande de test, et les résultats est obligatoire par le médecin. L’accord du patient n’est pas prévu. L’article 11 de la loi prévoit en termes généraux que « des données à caractère personnel concernant la santé relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées ».

La durée de conservation des données.

Si la durée de trois mois de conservation est prévue à l’article 11 du décret, ce même article prévoit par renvoi à l’article 11 de la loi la durée de traitement de ces données jusqu’à six mois à compter de la fin de l’état d’urgence sanitaire

Le patient a-t-il accès aux données le concernant ?

Pour les données de santé introduites par son médecin, seuls les résultats Individuels d’examen biologique peuvent être consultés par le patient. Cette communication est prévue lors de l’envoi des résultats individuels. A priori, les personnes dont les données figurent dans ce traitement, n’auraient donc pas accès directement aux informations issues de ce traitement informatisé. Ni le décret ni la loi ne prévoit un accès direct à ces résultats via leur médecin traitant.

L’information préalable du patient à la collecte des données

Pour les informations à remettre au patient au moment de la collecte des données personnelles le concernant, l’article 12 du décret renvoie aux articles 12 et 13 du RGPD.  Se trouvent soumis à cette obligation d’information préalable le médecin qui prescrit, le médecin qui diagnostique et lors de l’envoi individuel des résultats des tests.

La possibilité pour le patient de mettre en œuvre le droit d’opposition est strictement limitée à la transmission des données personnelles concernant à la plate-forme du GIE.

L’article Coronavirus : les données personnelles des patients dans le traitement SI-DEP est apparu en premier sur Philippe Schmitt Avocats.