Le Décret n° 2020-1385 du 14 novembre 2020 a adapté les traitements de données à caractère personnel destinés à permettre l’identification des chaînes de contamination du virus covid-19 et à assurer le suivi et l’accompagnement des personnes (traitement de données « Contact Covid »).

Surveillance épidémiologique du Covid 19

Il permet la mise en œuvre de Contact Covid et SI-DEP pour la durée correspondant à celle de la période de sortie d’état d’urgence sanitaire, soit jusqu’au 1er avril 2021, et prolonge la durée la conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche sur le virus jusqu’à cette même date.

Il permet également la remontée des résultats de l’ensemble des tests et examens de dépistage réalisés par des professionnels de santé et d’assurer, sous réserve de leur consentement, l’accompagnement social des personnes infectées et susceptibles de l’être. Il autorise les organismes nationaux d’assurance maladie et la Caisse nationale militaire de sécurité sociale, ainsi que les autres organismes d’assurance maladie à avoir recours à des sous-traitants pour le traitement Contact Covid et permet aux personnes mises à leur disposition d’accéder au traitement. Il complète enfin la liste des données traitées dans les traitements SI-DEP et Contact Covid pour les adapter aux besoins.

Consultation de la CNIL

Le Décret a été adopté après l’adoption de la Délibération n° 2020-108 du 5 novembre 2020. Outre la prolongation de la durée de mise en œuvre de « Contact Covid », on notera i) l’allongement de la durée de conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche sur le virus ; et ii) l’extension de la remontée des résultats à tous les examens de dépistage (sérologique ou virologique) réalisés par des professionnels de santé.

La CNIL avait pris soin de  rappeler au Gouvernement les points suivants :

– le caractère sensible, par nature, de la mise en œuvre de tels dispositifs qui permettent notamment le traitement et le partage de données de santé, pouvant être consultées par un grand nombre d’acteurs et nécessitant une protection supplémentaire ;

– que l’atteinte portée à la vie privée par ces traitements n’est admissible que si cette politique constitue une réponse appropriée et nécessaire pour ralentir la propagation de l’épidémie ;

– que, quel que soit le contexte d’urgence, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être apportées ;

– l’information et la sensibilisation des personnels aux règles d’usage du système d’information et à leurs obligations en matière de protection des données à caractère personnel, de respect du secret professionnel et des risques de sanctions pénales encourues en cas de détournement de finalité du traitement ;

– la nécessité de définir une politique d’habilitation de leurs agents très stricte afin que seuls ceux qui ont en besoin d’en connaître accèdent à « Contact Covid ». Les habilitations délivrées doivent être limitées dans le temps et régulièrement revues, notamment pour intégrer les éventuels départs d’agents ou changements d’affectation ;

– l’obtention préalablement à l’habilitation d’un engagement formalisé de respecter ces principes, qui devra comprendre une information claire et complète sur les dispositifs de traçage des accès mis en place, permettant un contrôle régulier de l’utilisation des données contenues dans le traitement.

Informations transmises par « Contact Covid »

L’application « Contact Covid » conservera l’historique des quatorze derniers jours concernant les déplacements (nationaux et internationaux), les lieux fréquentés, les mesures de quarantaine suivies, les contacts avec une personne infectée ou présentant des symptômes mais aussi la date et la nature des rassemblements de plus de 10 personnes auxquels la personne a assisté dans les quatorze derniers jours ainsi que la précision tenant à l’intervention de l’examen de dépistage dans le cadre d’une campagne organisée par une agence régionale de santé.

Transmission des données collectées

Toutes les données collectées dans « Contact Covid » seront transmises à des catégories de professionnels de santé à l’exception :

– des données d’identification de la personne infectée, des personnes cas contacts et des professionnels de santé ou établissements assurant l’enregistrement des données ;

– des coordonnées postales, téléphoniques et électroniques de la personne infectée, des personnes cas contacts et des professionnels ou établissements assurant l’enregistrement des données ;

– des données relatives à l’identification de l’organisme d’affiliation assurant la prise en charge des frais de santé de la personne infectée et des personnes cas contacts ;

– des coordonnées et de la spécialité du médecin ayant réalisé l’inscription de la personne infectée ;

– des coordonnées du médecin traitant ou du médecin ayant été désigné par la personne cas contacts ;

– du consentement de la personne infectée pour la divulgation de son identité à chaque personne évaluée comme cas contact.