Covid-19 : pourquoi le Conseil constitutionnel a corrigé les traitements des données de santé
Réserves et censures à la clef
Le 12 mai 2020 à 15h23
11 min
Droit
Droit
La loi prorogeant l’état d’urgence sanitaire a donc été votée, examinée par le Conseil constitutionnel et publiée au Journal officiel. Retour sur l’article relatif aux traitements des données de santé.
Après de rapides débats au Parlement, le gouvernement a fait adopter son projet de loi repoussant jusqu’au 10 juillet l’état d’urgence sanitaire. Dans le secteur des nouvelles technologies, l’article 11 (ex article 6) mérite une attention particulière en ce qu’il met en place un mégatraitement portant sur des données classées comme sensibles par le RGPD.
Par dérogation au sacro-saint principe du secret médical, ce traitement est mis en place pour lutter contre la propagation de l’épidémie de Covid‑19. La logique ? Accompagner le déconfinement par « le déploiement de systèmes d’information et la mobilisation de ressources humaines », explique le gouvernement dans ses observations au Conseil constitutionnel.
Sa durée dépassera largement la date du 10 juillet, puisqu’il pourra s’étendre jusqu’à six mois à compter de la fin de l’état d’urgence.
Ce traitement va engloutir dans ses serveurs les données de santé des personnes non seulement atteintes par ce virus, mais également celles ayant été simplement en contact avec elles. Mieux, ces données pourront être traitées et partagées, le cas échéant sans le consentement des personnes intéressées. C’est un décret en Conseil d’État qui sera chargé de préciser ses modalités d’application.
Parler de traitement au singulier est une erreur. Deux fichiers sont mis en marche, comme le rappelle le gouvernement, toujours dans ses observations (voir notre actualité).
Un mégatraitement et deux fichiers : SIDEP et Contact Covid
« En premier lieu, le traitement ministériel relatif au dépistage (SIDEP) permettra le suivi des opérations de dépistage ». En second lieu, Contact Covid, « centralisera les informations médicales utiles relatives aux personnes affectées par la maladie, issues notamment du fichier SI-DEP, ainsi que les informations, recueillies par les médecins eux-mêmes puis dans le cadre de l’enquête sanitaire et sociale conduite auprès des malades ».
Ces enquêtes permettront l’identification des cas contacts susceptibles d’être contaminés. Mais aussi d’« avertir les intéressés et les inciter à aller retirer un masque, à se faire tester et, si besoin, à s’isoler » (mise en quarantaine, isolement).
Dans le texte soumis au Conseil constitutionnel, le gouvernement a précisé que Contact Covid serait déployé « dans les laboratoires et structures autorisés à réaliser les tests ». Ces structures « devront renseigner le système d’information avec des données relatives à l’identité de la personne testée et aux données relatives au test, notamment sa date de réalisation et son résultat ».
Ceci fait, les données seront diffusées « après pseudonymisation ou agrégation, aux acteurs du suivi épidémiologique (Agence nationale de la santé publique) et de la recherche ». Des diffusions sous forme identifiante sont également prévues : au patient d’abord, mais aussi au médecin, « aux personnes chargées, au sein de la caisse nationale d’assurance maladie (CNAM) et, secondairement, [aux] agences régionales de santé [chargées] d’identifier les cas contacts ».
Dans leur saisine, députés et sénateurs ont émis plusieurs critiques : violation de la vie privée, ampleur et sensibilité des données recueillies, absence de mesure d'anonymisation, nombre trop élevé de personnes qui auront accès à ces données et renvois trop généreux à un décret pour fixer des éléments relevant du pouvoir législatif...
« Ils estiment que les garanties dont est entouré le dispositif sont insuffisantes, faute notamment de prévoir le consentement des personnes dont les données sont collectées et partagées ou l'exercice normal des droits d'accès, d'information et de rectification desdites données » résume le Conseil constitutionnel.
Une atteinte à la vie privée, quatre finalités
Dans sa décision, il a posé que « la collecte, l'enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d'intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif ». Des principes découlant du droit au respect à la vie privée.
Les neuf Sages n’ont pas eu de difficultés à constater que le texte défendu par le gouvernement portait effectivement atteinte à la vie privée, d’autant qu’il ne concerne pas seulement les données de santé, mais également le graphe social d’une personne (identification et contacts).
L’atteinte à la vie privée poursuit cependant l’objectif à valeur constitutionnel de protection de la santé. Restait à savoir si elle restait dans les clous de la proportionnalité. Pour s’en convaincre, il a rappelé que les traitements avaient quatre finalités :
- L'identification des personnes infectées par le Covid-19, grâce à la prescription, la réalisation et la collecte des résultats des examens médicaux pertinents ainsi que la transmission des éléments probants de diagnostic clinique
- L'identification des personnes qui, ayant été en contact avec ces dernières, présentent un risque d'infection
- L'orientation des unes et des autres vers des prescriptions médicales d'isolement prophylactiques ainsi que leur accompagnement pendant et après la fin de ces mesures d'isolement
- La surveillance épidémiologique nationale et locale ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation.
De plus, le législateur a exclu du dispositif le « développement ou le déploiement d'une application informatique à destination du public et disponible sur équipement mobile permettant d'informer les personnes du fait qu'elles ont été à proximité de personnes diagnostiquées positives au Covid-19 ». Et donc a coupé les principaux ponts entre ces traitements et StopCovid.
Autre composante mise dans la balance de son analyse de proportionnalité et d’adéquation, d’une part, les seules données de santé concernées sont celles relatives au statut virologique ou sérologique des personnes concernées. On trouve également les éléments de diagnostic clinique et d'imagerie médicale.
D’autre part, tempère le Conseil, pour les trois premières finalités, « les autres données à caractère personnel en cause sont celles permettant l'identification des intéressés et celles précisant les contacts qu'une personne infectée a eus, au moment où elle a pu être infectée et pendant la période où elle était susceptible de contaminer d'autres personnes ». Soit des données « strictement nécessaires à la poursuite » de ces finalités.
Des réserves et des censures
Toutefois le Conseil constitutionnel a émis plusieurs réserves d’interprétation. Plutôt que d’avoir à le censurer, le juge impose alors sa grille de lecture à un texte. En l’occurrence, pour la dernière finalité, le législateur autorise la surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, mais « sous réserve, en cas de collecte d’informations, de supprimer les nom et prénoms des personnes, leur numéro d’inscription au répertoire national d’identification des personnes physiques et leur adresse ».
Le texte examiné en commission des lois avait conditionné cette exploitation à « l’anonymisation des informations collectées ». Le gouvernement avait toutefois fait voter cette réécriture au motif que « la notion d’anonymisation n’est pas définie par le RGPD ».
Le Conseil constitutionnel a cependant jugé la mesure encore trop timide, imposant que la suppression des données personnelles aurait dû aussi « s'étendre aux coordonnées de contact téléphonique ou électronique des intéressés ». Deux points oubliés par l’exécutif.
La liste des personnes en droit d’accéder sans consentement de la personne à ces masses d’information est très longue. Qu’on en juge :
- Le ministre de la Santé,
- L'Agence nationale de santé publique,
- L'assurance maladie,
- Les agences régionales de santé,
- Le service de santé des armées,
- Les communautés professionnelles territoriales de santé,
- Les établissements de santé, sociaux et médico-sociaux
- Les équipes de soins primaires
- Les maisons de santé,
- Les centres de santé,
- Les services de santé au travail et les médecins prenant en charge les personnes en cause,
- Les pharmaciens,
- Les dispositifs d'appui à la coordination des parcours de santé complexes
- Les dispositifs spécifiques régionaux
- Les dispositifs d'appui
- Les laboratoires et services autorisés à réaliser les examens de biologie ou d'imagerie médicale pertinents sur les personnes en cause.
C’est un décret qui précisera les données accessibles, en fonction des finalités poursuivies par chacun de ces organismes. Cette longue liste n’a pas particulièrement dérangé le Conseil, au regard de « la masse des démarches à entreprendre pour organiser la collecte des informations nécessaires à la lutte contre le développement de l'épidémie ».
Par contre, il a censuré la disposition de la loi qui autorisait également les organismes d’accompagnement social des personnes concernées (hébergement en cas de mise en quarantaine, etc.). « S'agissant d'un accompagnement social, qui ne relève donc pas directement de la lutte contre l'épidémie, rien ne justifie que la communication des données à caractère personnel traitées dans le système d'information ne soit pas subordonnée au recueil du consentement des intéressés ».
Au paragraphe 73 de sa décision, il a fixé une nouvelle réserve d’interprétation en exigeant du gouvernement qu’il définisse les modalités de collecte, de traitement et de partage des informations, tout en « assurant leur stricte confidentialité et, notamment, l'habilitation spécifique des agents chargés, au sein de chaque organisme, de participer à la mise en œuvre du système d'information ainsi que la traçabilité des accès à ce système d'information ».
La question des sous-traitants
La question des sous-traitants a également été épinglée. Dans ses observations, le gouvernement reconnait que « l’ampleur de la crise sanitaire est telle que le dispositif pourra nécessiter le recours à des sous-traitants pour prendre les contacts téléphoniques voulus pour les besoins des enquêtes sanitaires et sociales nécessaires à l’identification des cas contacts ».
L’exécutif a rappelé que l’article 28 du RGPD exige que ces sous-traitants « présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour garantir la protection des droits de la personne concernée et que les relations entre responsable de traitement et sous-traitant soient régies par un contrat ».
Le Conseil constitutionnel a là encore émis une autre réserve pour souligner que « d'une part, ces sous-traitants agissent pour leur compte et sous leur responsabilité. D'autre part, pour respecter le droit au respect de la vie privée, ce recours aux sous-traitants doit s'effectuer en conformité avec les exigences de nécessité et de confidentialité » prévues par sa décision.
Toutefois, après cette censure et ces multiples réserves d’interprétation, les neuf Sages ont considéré que les dispositions « ne méconnaissent pas le droit au respect de la vie privée ». Elles ne sont pas davantage « entachées d'incompétence négative ou inintelligibles ni ne méconnaissent d'autres exigences constitutionnelles ».
Interdiction des avis conformes de la CNIL
Il a tenu compte préalable de plusieurs autres paramètres comme le respect du RGPD et de la loi de 1978, l’application limitée dans le temps de cet article 11 (six mois après la fin de l'état d'urgence sanitaire, au maximum), sachant que les données devront être supprimées trois mois après leur collecte.
Enfin, il a au passage supprimé l’exigence d’un avis conforme de la CNIL en amont des décrets d’application. « En vertu de l'article 21 de la Constitution et sous réserve de son article 13, le Premier ministre exerce le pouvoir réglementaire à l'échelon national. Ces dispositions n'autorisent pas le législateur à subordonner à l'avis conforme d'une autre autorité de l'État l'exercice, par le Premier ministre, de son pouvoir réglementaire ».
Le 12 mai 2020 à 15h23
Covid-19 : pourquoi le Conseil constitutionnel a corrigé les traitements des données de santé
-
Un mégatraitement et deux fichiers : SIDEP et Contact Covid
-
Une atteinte à la vie privée, quatre finalités
-
Des réserves et des censures
-
La question des sous-traitants
-
Interdiction des avis conformes de la CNIL
Commentaires (38)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 12/05/2020 à 16h09
#1
Ouf ! C’est limité dans le temps après la crise du Covid19.
Oh, attends… Le Covid19 n’étant, en final (*), pas plus dangereux que n’importe quelle autre épidémie saisonnière, rien n’empêchera de nous ressortir cette superbe avancée législative pour la prochaine épidémie.
(*) Naïvement, je pensais qu’après le SIDA, l’hépatite B, le SRAS de 2003, la grippe A/H1N1, la grippe aviaire (j’en oublie ?), les gens seraient un peu plus méfiant, mais non.
Le 12/05/2020 à 16h57
#2
Le 12/05/2020 à 17h15
#3
Le 12/05/2020 à 17h44
#4
Le 12/05/2020 à 22h42
#5
Le 12/05/2020 à 23h13
#6
J’ai manqué de clarté pour mon (*).
Ce sont tout simplement des pandémies pour lesquelles on nous a annoncé des catastrophes. Prenons les 2 exemples les plus parlant.
Certains sont peut être trop jeunes pour avoir connu l’hystérie autour du SIDA dans la seconde moitié des années 80. Des morts annoncés par millions, l’Afrique notamment qui devait être dévastée.
Plus près de nous, 2009, la grippe A. Bizarrement, le gouvernement avait pris les devant avec, entre autres, des millions de masques, de vaccins et de doses de Tamiflu commandés. Résultat : une des années avec la plus faible mortalité de grippe.
Et pour 2020, les chiffres de la mortalité globale pour mars et avril se situent entre celle des mêmes mois de 2018 et 2019. Sans compter qu’en 2020, on ne soigne plus les malades. Officiellement, si tu as les symptômes, tu restes chez toi en attendant que ça s’aggrave. C’est nouveau.
Bref, peut être que certains seront d’accord pour abdiquer leur vie privée, le secret médical, pas moi.
Le 13/05/2020 à 06h34
#7
Le 13/05/2020 à 06h34
#8
Le (la ?) COVID-19 est tout nouveau tout frais, il frappe assez fort et on ne sais surtout rien de lui alors qu’effectivement ce sont avant tout des symptômes grippaux très forts.
Une fois qu’il sera mieux maîtrisé, il passera en maladie saisonnière (ou pas d’ailleurs) mais surtout on saura, et on devra, vivre avec.
il ne faut pas oublier que la collecte se terminera six mois APRES la fin de l’état d’urgence sanitaire, si celle-ci est encore repoussée, la fin de collecte le sera aussi.
Le 13/05/2020 à 06h49
#9
Le 13/05/2020 à 06h56
#10
De toutes façons, depuis le début de cette crise on entend tout et son contraire (souvent par les mêmes à quelques semaines d’intervalle) et on a même vu des soi-disant “génies” qui voulaient se faire passer pour des “sauveurs” en prétendant détenir le remède miracle…
Pour moi, les scientifiques et chercheurs qui sont finalement le plus dignes de foi sont ceux qui osent admettre que finalement ils ne savent pas avec certitude comment ça va évoluer car, quoi qu’en disent certains, ce virus a un comportement assez particulier par rapport à ceux qui sont connus.
Certains scientifiques et chroniqueurs “spécialisés” ont fait leur mea-culpa mais il y en a encore pas mal qui parlent de “grippette”.
Idem parmi certains dirigeants de certains pays où ce virus a été pris très à la légère voire carrément ignoré et qui cause des ravages.
Ces dirigeants devraient finir leur vie en taule si il existait une vraie justice internationale.
Mais bien sûr ça n’arrivera pas et même peut-être seront-ils réélus car les populations ont souvent la mémoire très courte… " />
Et je ne parle pas de tous les abrutis hautement médiatisés qui se sont présentés comme des spécialistes alors qu’ils sont complètement ignares sur ce sujet.
Le 13/05/2020 à 07h41
#11
la réponse t’a déjà été faite, mais tu devrais vraiment te renseigner sur le taux de mortalité du SIDA quand il n’est pas traité.
Certes, c’est une maladie qu’on a finalement assez peu de chances d’attraper - je me souviens d’une conférence donnée par un médecin quand j’étais au collège où il avait bien insisté sur le risque très faible - hors cas particulier comme une inoculation directe par transfusion sanguine. Néanmoins, il avait aussi bien insisté sur le fait qu’à l’époque, quand tu l’attrapais, c’était un aller simple pour le cimetière - je crois que sans les trithérapies la mortalité est proche de 100%.
Intéressant pour ceux qui voulaient jouer à la roulette russe avec leur zizi.
Quant aux autres, le SRAS a été contenu relativement vite mais a pu faire quelques dégâts dans les zones où il s’et étendu, donnant notamment à Hong Kong, Taïwan, la Corée, Singapour et le Japon une expérience dans la gestion d’une telle épidémie qui leur a été précieuse. Le H1N1, la grippe aviaire présentaient sans doute un niveau de risque non nul mais ont été largement montés en épingle à leur époque, provocant une sur-réaction. Ce qui en réaction a provoqué une sous-réaction chez nous dans la situation actuelle. En dehors des discours de quelques uns, malheureusement, rien n’est simple…
Le 13/05/2020 à 07h45
#12
Le 13/05/2020 à 08h00
#13
Le 13/05/2020 à 08h29
#14
Le 13/05/2020 à 08h35
#15
Le 13/05/2020 à 09h04
#16
Autre temps, autre moeurs, la grippe de 1957 :https://france3-regions.francetvinfo.fr/hauts-de-france/nord-0/temoignages-coron…
Estimation 100 000 morts, pas de confinement, de masque, des services d’urgence surement aussi débordé, mais la vie et la mort continuait. Pas de chaine d’info continue, de calcul journalier du nombre de mort, jusqu’à la surenchère, pas de culture de la domination par la peur, des politiques sans doute plus préoccupé par la vie du pays que par leur taux de satisfaction dans les sondages.
Les deux épidémies sont similaire, toutes deux venue d’Asie, avec un taux de mortalité 20 à 30 fois celui de la grippe, provoquant soit une forte fièvre et “assommant” le malade, soit se compliquant en une pneumonie fatale.
Le 13/05/2020 à 09h08
#17
Un gestion LIFO des stock en somme, Le cout étant celui du stockage, que l’on pourrait aménager dans les hôpitaux eux mêmes, le stock étant réapprovisionné au fur et à mesure de la consommation, avec un tampon pour les cas d’urgence. Mais c’est trop simple à mettre en oeuvre, pas assez centralisé " />
Le 13/05/2020 à 09h15
#18
Le 13/05/2020 à 09h24
#19
oups, oui, je confond tjs les deux, mais le dite pas à mon chef " />
Le 13/05/2020 à 09h28
#20
Le 13/05/2020 à 11h12
#21
Le 13/05/2020 à 11h19
#22
Le 13/05/2020 à 11h27
#23
Le 13/05/2020 à 13h42
#24
Le 13/05/2020 à 13h47
#25
+1. On peut ajouter population rurale contre population urbaine et 44 millions d’habitats contre 66 millions.
De là à imaginer l’impact d’un virus à une autre époque…
Le 13/05/2020 à 13h57
#26
Le 13/05/2020 à 13h57
#27
Le 13/05/2020 à 13h59
#28
Le 13/05/2020 à 15h06
#29
à ma connaissance il est pas mal utilisé quand-même dans les piles des microprocesseurs - et dans toutes les opérations sur “pile” plutôt que sur “file”.
Exemple avec le “pushd” dans la ligne de commande Windows, qui est quand-même beaucoup plus efficace que le bon vieux “cd”. Ou les “cd / cd -” dans les shells *nix. Il y en a sans doute d’autres.
C’est sûr que pour des masques ou des éléments périssables, c’est pas top.
Le 14/05/2020 à 09h17
#30
d’après les tests sérologiques, il y-aurait 10% des ‘Parisiens’
qui auraient développé le virus (asymptomatiques*) !
* donc, qui l’auraient ‘refilés’ sans s’en rendre compte " />
Le 15/05/2020 à 11h01
#31
C’est pour ça que je trouve trop précipité de la part des entreprises pour lesquelles le télétravail a démontré être une alternative viable de vouloir faire retourner les employés au bureau. Et on a encore trop peu de reculs pour ne pas risquer un nouvel éclatement (l’Allemagne et la Corée du Sud l’ont subit).
C’est triste, mais il aura fallu une pandémie pour se rendre compte que pas mal de boulots ne nécessitent pas d’être confiné dans un bureau pour se faire (sans oublier tous les à côté positif niveau environnement et logistique). Et je sens venir un énorme rollback… " />
Le 15/05/2020 à 13h43
#32
oui…..faudra en tirer DES* leçons de cette crise du ‘Covid 19’ !!!
* certaines RElocalisations, télétravail, etc… " />
Le 15/05/2020 à 13h58
#33
en tout cas grâce à cette crise, on s’est découvert ‘des talents”* !
* enseignant, coiffeur, boulanger, etc…
Le 15/05/2020 à 18h58
#34
Bah non, même pas, une fois qu’on a le stock, ça coûte pas plus cher de le faire tourner… voire moins cher puisque tu négocies plus facilement ton prix pour 50 millions d’unités que pour qql milliers (si chacun achète dans son coin).
quote:6203462:vizir67]oui…..faudra en tirer DES* leçons de cette crise du ‘Covid 19’ !!!
* certaines RElocalisations, télétravail, etc… " />[/quote]
Quand tu vois les réactions de certains Français devant des masques réutilisables produits en France (ah mais X euros, c’est trop cher, on en trouve à 10 centimes* en Chine), AMHA, tu te fourres le doigt dans l’oeil.
* des jetables en l’occurrence
Le 16/05/2020 à 09h02
#35
Le 16/05/2020 à 20h29
#36
Une fois le stock constitué, s’en servir comme tampon ne te coûtera rien puisque tu renouvelles les masques utilisés (donc que tu aurais de toute façon payés), simplement en les faisant passer par ton stock et en déstockant les plus anciens masques stockés. Comparativement au coût du contenant (un grand hangar ?), ce que tu peux gagner en négociant le prix pour fournir tous les hôpitaux + libéraux ne devrait pas te coûter plus cher (avec les libéraux, tu peux même te permettre de faire une légère marge tant que ton prix est inférieur au marché).
Le 16/05/2020 à 20h31
#37
Le 18/05/2020 à 11h40
#38
Sachant que les masques ont une durée de vie de 5 ans et que le prix de ceux à été multiplié par 10 en cette période de crise, il aurait fallut ne pas renouveler les stocks pendant 50 ans pour ne pas perdre d’argent…