Actualités de l'Urgence - APM

La loi prorogeant l'état d'urgence sanitaire et complétant ses dispositions a été publiée mardi au Journal officiel, rappelle-t-on (cf dépêche du 12/05/2020 à 10:16).

Ce décret autorise "l’adaptation et la création de traitements de données à caractère personnel destinées à permettre l’identification des chaînes de contamination du virus Covid-19 et assurer le suivi et l’accompagnement des personnes".

Il énumère, respectivement pour Sidep (cf dépêche du 12/05/2020 à 19:09) et Contact Covid (cf dépêche du 12/05/2020 à 10:33):

• les responsables de traitement des données
• les données enregistrées
• les personnes et organismes pouvant enregistrer ou modifier des données
• les personnes et organismes pouvant accéder aux données ou en être destinataires
• les institutions autorisées à accéder aux données pseudonymisées
• la durée de conservation des données
• les finalités des SI
• les modalités d'exercice des droits des personnes concernées prévues par le règlement général de protection des données (RGPD).

Le décret précise qu'"en l’absence [dans Contact Covid] des coordonnées des patients zéro et des personnes évaluées comme contacts à risque de contamination, les agents habilités des organismes nationaux et locaux d’assurance maladie peuvent les contacter aux moyens des coordonnées administratives provenant de traitements de données déjà mis en oeuvre par les organismes gestionnaires des régimes obligatoires de base de l’assurance maladie".

"Les hôpitaux des armées, les autres éléments du service de santé des armées [SSA] et l’Institution nationale des invalides sont considérés comme des établissements de santé" pour l'application du décret, est-il précisé.

Les "professionnels de santé et personnels spécialement habilités" du SSA sont autorisés à enregistrer des données dans Contact Covid, de même que ceux "des communautés professionnelles territoriales de santé [CPTS], des maisons de santé, des centres de santé ou structures créées pour lutter contre le Covid-19, des organismes de protection sociale à qui l’assurance maladie, par convention, délègue, les missions dévolues aux agents des organismes locaux d’assurance maladie".

Les agents habilités du SSA sont également destinataires des données saisies dans Sidep.

Par ailleurs, le SSA est autorisé à accéder aux données pseudonymisées de Contact Covid, mais le décret ne précise pas dans quel but.

La direction de la recherche, des études, de l’évaluation et des statistiques (Drees) du ministère chargé de la santé est, elle, autorisée à accéder aux données pseudonymisées des deux SI "pour les données nécessaires à sa mission d’analyse et de diffusion des informations statistiques dans le domaine de la santé", de même que le Health Data Hub et la Cnam (cf dépêche du 22/04/2020 à 11:07).

Sous-traitance autorisée pour les ARS

Le décret précise que les agences régionales de santé (ARS) "peuvent avoir recours à des sous-traitants pour exercer […] les missions de réalisation des enquêtes sanitaires, d’orientation, de suivi et d’accompagnement des personnes et de surveillance épidémiologique".

Les ARS devront "s’assurer notamment que leurs sous-traitants présentent des garanties de compétence suffisantes pour assurer la mise en oeuvre des mesures techniques et organisationnelles appropriées et le respect des règles de confidentialité", conformément à l'article 28 du règlement général de protection des données (RGPD).

Le gouvernement avait envisagé que la Caisse nationale de l'assurance maladie puisse elle aussi faire appel à la sous-traitance, note-t-on (cf dépêche du 12/05/2020 à 11:56).

Ce décret entre en vigueur immédiatement.

La Cnil estime le dispositif "globalement conforme" au RGPD

La Commission nationale de l'informatique et des libertés (Cnil) a rendu un avis favorable au dispositif dans une délibération publiée au Journal officiel mercredi et adoptée vendredi 8 mai.

La Commission s'est prononcée "en urgence" "sur un projet de décret pris en application d’un projet de loi [qui était] encore en cours de discussion au Parlement", souligne-t-elle.

Le dispositif est "globalement conforme" au RGPD, a-t-elle estimé dans un communiqué publié mercredi.

"Le décret paru [mercredi] a suivi les recommandations" émises dans l'avis adopté vendredi, se réjouit la Cnil.

"Un certain nombre de garanties sont apportées par le projet du gouvernement, telles que le caractère volontaire de la participation aux enquêtes, la limitation des données de santé traitées dans le cadre du dispositif ou encore le caractère temporaire de ce dernier", poursuit-elle.

"Un certain nombre de préconisations complémentaires de la Cnil relèveront de la mise en oeuvre du dispositif, telles que des mesures de sécurité relatives à la politique d’authentification par mots de passe, ou à la traçabilité de certaines actions", nuance-t-elle.

La Cnil "appelle à une grande vigilance dès lors que des données de santé et des données touchant à certains aspects de la vie privée […] vont être enregistrées dans deux fichiers nationaux accessibles à un grand nombre de personnes".

"Un premier contrôle sera diligenté dans les premières semaines suivant son déploiement", précise-t-elle.

(Journal officiel, mercredi 13 mai, textes 12 et 74)

lc/ab/APMnews