Deux outils pour traiter les données du système d’information !

Deux outils encadrés par un nouveau décret du 12 mai 2020(Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions) sont mis au service du système d’information prévu par la loi prorogeant l’état d’urgence sanitaire (Loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions) : il s’agit des fichiers « Contact Covid » et « SI-DEP ».

Le décret autorise ainsi, pour une durée de 6 mois, l’Assurance maladie à mettre en œuvre le fichier « Contact Covid » ainsi que le ministre de la santé à mettre en place le fichier « SI-DEP » (système d’information national de dépistage) (Article 1 et 8 du Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

En premier lieu, le décret prévoit les modalités applicables aux traitements de données réalisés dans le cadre du fichier « Contact Covid » et qui aura pour objet de permettre la conduite des enquêtes sanitaires. (Chapitre Ier, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions)

La finalité des données traitées par l’Assurance maladie dans le cadre de « Contact Covid » sont les mêmes que celles prévues par la loi prorogeant l’état d’urgence sanitaire (Loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions) et consiste en l’identification des personnes infectées ou présentant un risque d’infection, l’orientation de ces personnes, la surveillance épidémiologique, la recherche sur le virus et les moyens de lutter contre sa propagation (Article 1 II, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions)

A cet effet, les données à caractère personnel qui peuvent être traitées par le système d’information « Contact Covid » concernent aussi bien les personnes testées positives (dites « patient zéro ») que les personnes considérées comme contacts à risque ou encore les professionnels de santé ou établissements concernés (Article 2, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Les données traitées peuvent être à caractère personnel (données d’identifications, coordonnées de contact, profession…) mais aussi concerner des données plus sensibles telles que des données de santé (données permettant de déterminer que la personne est infectée, date de prélèvement et résultat du test…) (Article 2, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Si le décret prévoit que l’ensemble de ces données pourra être recueilli sans le consentement de la personne concernée, il tient compte de la réserve d’interprétation du Conseil Constitutionnel dans sa décision du 11 mai 2020, considérant que l’accompagnement social ne relève pas directement de la lutte contre l’épidémie et que rien ne justifie alors que le consentement des intéressés ne soit pas recueilli (Conseil Constitutionnel, Décision n° 2020-800 DC du 11 mai 2020).

Le décret précise ainsi que pour les données qui concernent la déclaration d’un besoin d’accompagnement social et d’appui à l’isolement, le consentement de l’intéressé devra nécessairement être recueilli (Article 2 IV Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Ces données, sensibles ou non, pourront être enregistrées et consultées par un grand nombre d’acteurs (professionnels de santé, personnels des établissements de santé et maisons de santé, pharmaciens, laboratoires…) (Article 3, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

En second lieu, le décret s’intéresse aux traitements effectués par le biais du fichier SI-DEP afin de centraliser les résultats des tests Covid-19. (Chapitre II, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions)

Les finalités de ce fichier « SI-DEP » consistent alors à centraliser les résultats d’examens de dépistage du covid-19 afin de les mettre à disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées, à réaliser des enquêtes sanitaires, orienter,  suivre et accompagner les personnes concernées et à faciliter le suivi épidémiologique et la recherche sur le virus (Article 8, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Les données pouvant être collectées par ce second fichier concernent de nouveau tant des données relatives à l’identification (noms, coordonnées…) que des données de santé (résultat des analyse biologiques, date d’apparition des premiers symptômes…) (Article 9, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Cependant, les personnes pouvant consulter ces données ne sont pas les mêmes que pour « Contact Covid ». En effet, les personnes pouvant consulter et enregistrer les données au sein du fichier « SI-DEP » sont plus limitées : ce sont les médecins ou les professionnels placés sous la responsabilité des services ou laboratoires de biologie médicale qui procèdent à des examens de dépistage du covid-19. Ces personnes sont également habilitées par le décret à envoyer les résultats aux patients qu’ils prennent en charge ainsi qu’au médecin traitant et au médecin ayant prescrit l’examen (Article 10 I, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Les médecins sont aussi destinataires des données d’identification de la personne ayant fait l’objet d’un examen de biologie médicale de dépistage du covid-19, des informations portant sur la situation du patient nécessaires pour la réalisation des enquêtes sanitaires, des coordonnées du patient (ou d’une personne de confiance) et des informations relatives au résultat des analyses biologiques. (Article 10 II 1°, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Autres destinataires des données du fichier « SI-SEP »  mais seulement pour les catégories de données nécessaires à la réalisation des investigations sanitaires, au suivi et à l’accompagnement des personnes : les agents des ARS et leurs sous-traitants ainsi que certains agents de l’Agence nationale de santé publique, des organismes d’assurance maladie, de la caisse nationale militaire de sécurité sociale et du service de santé des armées (Article 10 II, 2° et 3°, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Le décret prévoit également certaines modalités d’organisation communes aux deux fichiers mettant en œuvre le système d’information.

Ainsi, au sein de « Contact Covid » et de « SI-DEP »,  les destinataires des seules données relatives aux personnes infectées et aux personnes ayant été en contact avec elles sont  : l’Agence nationale de santé publique, la direction de la recherche, des études de l’évaluation et des statistiques du ministère chargé de la santé, de la plateforme des données de santé, de la Caisse nationale de l’assurance maladie et du service de santé des armées (Article 3  VI et Article 10 III, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Prenant en compte la décision du Conseil Constitutionnel (Conseil Constitutionnel, Décision n° 2020-800 DC du 11 mai 2020), le décret prévoit que toutes les données collectées feront l’objet de mesures adéquates de pseudonymisation permettant d’assurer la confidentialité de l’identité des personnes. (Article 3 VI, Article 10 III, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Ces données personnelles ne pourront, en outre, être conservées qu’au maximum pendant trois mois après leur collecte (Article 5 I et Article 11 I, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

De plus, les opérations de mise à jour, de suppression et de consultation du traitement font l’objet d’un enregistrement qui est conservé pour une durée de six mois après la fin de l’état d’urgence sanitaire. Cet enregistrement comporte l’identification de l’utilisateur, les données de traçabilité, notamment la date, l’heure et la nature de l’intervention dans le traitement et les données relatives aux actions sur la fiche. (Article 5 II et Article 11 II, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Le décret offre également des garantis de protection en ouvrant certains droits aux personnes concernées par la collecte des données.

En effet, le décret prévoit que le responsable du traitement doit fournir les informations prévues par RGPD aux personnes testées Covid-19, aux personnes diagnostiquées positives au virus ainsi qu’à leurs contacts à risques de contamination ou à défaut, à la personne de confiance (Article 6 et Article 12, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

En outre, pour des raisons tenant à leur situation particulière, les personnes évaluées comme des contacts à risque de contamination peuvent exercer leur droit d’opposition au traitement des données les concernant, recueillies auprès des patients zéro (Article 7 et Article 13 Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Cependant, ce droit d’opposition est limité puisqu’il ne pourra être exercé si les intérêts impérieux de santé publics prévalent. Il n’est, en outre, pas ouvert aux « patients zéro » pour la transmission à la plateforme des données de santé et à la CNAM, des seules données relatives aux personnes infectées et aux personnes ayant été en contact avec celles-ci (Article 7 et Article 13 Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Enfin, le décret offre aux ARS, dans le cadre des traitements qu’elles mettent en œuvre pour répondre à la crise sanitaire, la possibilité de recourir à des sous-traitants pour exercer les missions de réalisation des enquêtes sanitaires, d’orientation, de suivi et d’accompagnement des personnes et de surveillance épidémiologique. (Article 14, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).

Les ARS doivent cependant veiller, comme l’a d’ailleurs rappelé le Conseil Constitutionnel dans sa décision du 11 mai (Conseil Constitutionnel, Décision n° 2020-800 DC du 11 mai 2020),  à ce que leurs sous-traitants présentent des garanties de compétence suffisantes pour assurer la mise en œuvre des mesures techniques et organisationnelles appropriées et le respect des règles de confidentialité (Article 14, Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions).