🟧 DĂ©libĂ©ration du 20 janvier 2022 portant avis sur un projet de dĂ©cret modifiant le dĂ©cret du 12 mai 2020 relatif aux systèmes d’information mentionnĂ©s Ă  l’article 11 de la loi du 11 mai 2020 prorogeant l’Ă©tat d’urgence sanitaire et complĂ©tant ses dispositions

Références

NOR : CNIX2202360V
Source : JORF n°0019 du 23 janvier 2022, texte n° 44

La Commission nationale de l’informatique et des libertĂ©s,

Saisie par le ministre des solidaritĂ©s et de la santĂ© d’une demande d’avis concernant un dĂ©cret modifiant le dĂ©cret n° 2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnĂ©s Ă  l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l’Ă©tat d’urgence sanitaire et complĂ©tant ses dispositions ;
Vu le règlement (UE) 2016/679 du Parlement europĂ©en et du Conseil du 27 avril 2016 relatif Ă  la protection des personnes physiques Ă  l’Ă©gard du traitement des donnĂ©es Ă  caractère personnel et Ă  la libre circulation de ces donnĂ©es, et abrogeant la directive 95/46/CE (règlement gĂ©nĂ©ral sur la protection des donnĂ©es ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiĂ©e relative Ă  l’informatique, aux fichiers et aux libertĂ©s ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,

Emet l’avis suivant :

La Commission a Ă©tĂ© saisie d’un projet de dĂ©cret visant Ă  modifier les dispositions du dĂ©cret n° 2020-551 du 12 mai 2020 applicables au dispositif SI-DEP, suite Ă  l’adoption de la loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santĂ© publique.

Les modifications apportées visent à :

– ajouter une finalitĂ© au traitement afin de permettre « aux autoritĂ©s compĂ©tentes d’adapter la durĂ©e des mesures individuelles de mise en quarantaine ou de placement et de maintien en isolement prĂ©vues aux 3° et 4° de l’article L. 3131-15 et au 2° du I de l’article L. 3131-1 du mĂŞme code », et de prĂ©ciser les donnĂ©es pouvant ĂŞtre traitĂ©es dans ce cadre ainsi que les personnes habilitĂ©es Ă  en ĂŞtre destinataires ;
– prĂ©ciser qu’un justificatif d’absence de contamination par la covid-19 ou un certificat de rĂ©tablissement ne pourront ĂŞtre utilisĂ©s afin de satisfaire aux obligations mentionnĂ©es au II de l’article 1er de la loi n° 2021-689 du 31 mai 2021 et aux articles 12 et 13 de la loi n° 2021-1040 du 5 aoĂ»t 2021 que dans certains cas particuliers via l’ajout des termes « le cas Ă©chĂ©ant » ;
– permettre l’ajout de certaines informations relatives Ă  la vaccination au sein des codes QR gĂ©nĂ©rĂ©s par SI-DEP.

La Commission rappelle que l’intervention du lĂ©gislateur pour la mise en Ĺ“uvre des systèmes d’information SI-DEP et Contact Covid se justifie par la nĂ©cessitĂ© d’amĂ©nager une dĂ©rogation aux dispositions relatives au secret mĂ©dical garanti par le CSP.
Cet amĂ©nagement a pour effet d’entraĂ®ner le partage de donnĂ©es sensibles, susceptibles de concerner l’ensemble de la population, entre diverses catĂ©gories d’acteurs.
La Commission souligne que l’atteinte portĂ©e Ă  la vie privĂ©e par les mesures qui rendent nĂ©cessaires ces traitements de donnĂ©es Ă  caractère personnel n’est admissible que si elles constituent la rĂ©ponse appropriĂ©e pour ralentir la propagation de l’Ă©pidĂ©mie. En particulier, s’agissant de l’utilisation d’outils et de systèmes d’information dans le cadre de la lutte contre la covid-19, et comme elle l’a rappelĂ© Ă  maintes reprises, la Commission invite le Gouvernement Ă  Ă©valuer scientifiquement l’apport de ces outils Ă  sa politique sanitaire et Ă  lui transmettre cette Ă©valuation, qui permettrait de mieux apprĂ©cier la proportionnalitĂ© des traitements mis en place.
S’agissant de la finalitĂ© d’adaptation de la durĂ©e des mesures de quarantaine et d’isolement :
L’article 1er du projet vise Ă  modifier l’article 8 du dĂ©cret n° 2020-551 afin de prĂ©voir que la centralisation des rĂ©sultats d’examens de dĂ©pistage virologique ou sĂ©rologique du virus SARS-CoV-2 dans SI-DEP permet « aux autoritĂ©s compĂ©tentes d’adapter la durĂ©e des mesures individuelles de mise en quarantaine ou de placement et de maintien en isolement prĂ©vues aux 3° et 4° de l’article L. 3131-15 et au 2° du I de l’article L. 3131-1 du mĂŞme code ».

Ces dispositions renvoient :

– pour l’article L. 3131-15-I 3° et 4° du CSP, Ă  la facultĂ© du Premier ministre d’ordonner des mesures ayant pour objet la mise en quarantaine des personnes susceptibles d’ĂŞtre affectĂ©es ou de placement et de maintien en isolement des personnes affectĂ©es, par dĂ©cret pris sur le rapport du ministre chargĂ© de la santĂ©, et aux seules fins de garantir la santĂ© publique dans les circonscriptions territoriales oĂą l’Ă©tat d’urgence sanitaire est dĂ©clarĂ© ;
– pour l’article L. 3131-I 2° du CSP, aux mesures de mise en quarantaine ou de placement et de maintien en isolement, dans les conditions prĂ©vues au II des articles L. 3131-15 et L. 3131-17 du mĂŞme code.

L’ajout de cette finalitĂ©, qui est la consĂ©quence nĂ©cessaire des dispositions prĂ©vues par la loi, conduit Ă  introduire, Ă  cĂ´tĂ© des finalitĂ©s sanitaires, une finalitĂ© liĂ©e Ă  la rĂ©duction, au maintien ou Ă  la prolongation de la durĂ©e de mesures de quarantaine et d’isolement grâce Ă  la vĂ©rification des rĂ©sultats des examens de dĂ©pistage. Elle relève que cette finalitĂ© n’est pas de nature rĂ©pressive, ainsi que l’a confirmĂ© le ministère, et relève donc du RGPD.
La Commission recommande traditionnellement que la mise en Ĺ“uvre de traitements liĂ©s aux mesures de contrainte que peuvent imposer les pouvoirs publics soit distinguĂ©e, dans la mesure du possible, de celles permettant l’exercice d’autres activitĂ©s de service public.
En l’espèce, le ministère entend dĂ©roger Ă  ces principes en raison d’un contexte sanitaire exceptionnel. La Commission estime qu’en raison de l’urgence et de la très grande proximitĂ© des donnĂ©es actuellement prĂ©sentes dans SI-DEP avec celles dont auront besoin les services prĂ©fectoraux pour adapter la durĂ©e des mesures de quarantaine et d’isolement, la crĂ©ation d’un nouveau fichier ne semble pas adaptĂ©e.
Le ministère a indiqué, après avoir précisé que les données issues du traitement SI-DEP seront uniquement utilisées aux fins de réduire, maintenir ou augmenter la durée des mesures, que la nature exacte de leur adaptation, leur caractère systématique et leur délai de mise en œuvre pourraient être amenés à évoluer en fonction des recommandations sanitaires et, le cas échéant, des spécificités territoriales. Interrogé sur la procédure selon laquelle ces adaptations pourraient avoir lieu, le ministère a indiqué que les modalités étaient en cours de définition au niveau interministériel.
La Commission demande en consĂ©quence que soient dĂ©terminĂ©es très clairement et de manière exhaustive les modalitĂ©s selon lesquelles ces adaptations pourraient intervenir. En tout Ă©tat de cause, elle rappelle que l’utilisation de SI-DEP se trouvera circonscrite, dans ce cadre, Ă  la facultĂ© de rĂ©duire, maintenir ou augmenter la durĂ©e d’une mesure de quarantaine ou d’isolement, et exclut, de manière gĂ©nĂ©rale, le contrĂ´le du respect de cette mesure.
La Commission invite le ministère à établir de manière formelle et harmonisée les modalités de réalisation de ces adaptations et à en informer les agents en charge, afin que soit clairement établi le périmètre de leurs missions et habilitations. La Commission demande en outre à être informée de ces modalités.

S’agissant des donnĂ©es traitĂ©es :

Le projet de dĂ©cret prĂ©voit l’ajout d’un 6° au II de l’article 10 du dĂ©cret afin de fixer la liste des destinataires des donnĂ©es enregistrĂ©es dans le traitement, en y ajoutant les agents des services prĂ©fectoraux individuellement dĂ©signĂ©s et spĂ©cialement habilitĂ©s et de dresser la liste des catĂ©gories de donnĂ©es dont ils seraient rendus destinataires en vue de l’adaptation de la durĂ©e des mesures de quarantaine ou d’isolement.

Les données concernées sont :

– les donnĂ©es d’identification de la personne ayant fait l’objet d’un examen de dĂ©pistage, comprenant notamment le numĂ©ro d’inscription au rĂ©pertoire national d’identification des personnes physiques (NIR) ;
– les coordonnĂ©es de la personne ou d’une personne de confiance ;
– « les caractĂ©ristiques techniques du prĂ©lèvement » ;
– « les informations relatives au rĂ©sultat des examens de dĂ©pistage virologique ou sĂ©rologique ».

La Commission s’interroge sur la nĂ©cessitĂ© pour les agents prĂ©fectoraux, au vu des finalitĂ©s poursuivies pour l’exercice de leurs missions, de disposer de l’ensemble des donnĂ©es listĂ©es dans le dĂ©cret dans les catĂ©gories suivantes : « donnĂ©es relatives aux caractĂ©ristiques techniques du prĂ©lèvement » et « informations relatives aux examens de dĂ©pistage virologique ou sĂ©rologique ». En effet, il semble que l’objectif poursuivi, Ă  savoir l’adaptation de la durĂ©e d’une mesure en fonction des dates et des rĂ©sultats d’examens de dĂ©pistage virologique, pourrait ĂŞtre atteint en ayant accès Ă  l’information permettant limitativement de dĂ©terminer la date, le rĂ©sultat du test et, dans l’hypothèse oĂą cette information serait pertinente au regard des modalitĂ©s d’adaptation envisagĂ©es, le type d’examen virologique rĂ©alisĂ© (antigĂ©nique ou RT-PCR), d’une personne soumise Ă  une mesure de quarantaine ou d’isolement. A cet Ă©gard, la Commission prend acte de ce que le ministère s’est engagĂ© Ă  modifier le projet de dĂ©cret afin que les donnĂ©es accessibles aux agents des prĂ©fectures soient limitĂ©es aux date et heure du prĂ©lèvement, nĂ©cessaires pour Ă©valuer la validitĂ© des tests, au type d’examen rĂ©alisĂ© et au rĂ©sultat de l’examen.
Le ministère a prĂ©cisĂ© que le NIR pouvait ĂŞtre traitĂ© en tant qu’identifiant national de santĂ© (INS) dans SI-DEP. La Commission attire l’attention du ministère sur le fait que le NIR, traitĂ© en tant qu’INS, peut diffĂ©rer du NIR servant Ă  identifier les personnes dans des traitements mis en Ĺ“uvre Ă  d’autres fins (par exemple dans le cas du traitement du NIR de l’assurĂ© pour la prise en charge d’un ayant droit, ou de traitements concernant des mineurs, pour lesquels le NIR utilisĂ© pourra ĂŞtre celui de l’un ses reprĂ©sentants lĂ©gaux). Selon les prĂ©cisions du ministère, la nouvelle finalitĂ©, mise en Ĺ“uvre dans le cadre du projet de dĂ©cret et visant Ă  permettre aux autoritĂ©s publiques d’adapter la durĂ©e des mesures individuelles de quarantaine ou d’isolement, implique le traitement du NIR dans l’unique but de certifier l’identitĂ© des personnes. La Commission en prend acte. Elle invite nĂ©anmoins le ministère Ă  s’assurer que les agents des services prĂ©fectoraux ne seront pas destinataires du NIR en tant qu’INS pouvant figurer dans SI-DEP, dans l’hypothèse oĂą il diffèrerait du NIR utilisĂ© en dehors du champ de la prise en charge sanitaire et mĂ©dico-sociale. Elle l’invite Ă©galement Ă  s’assurer que le NIR des reprĂ©sentants lĂ©gaux des personnes mineures ne sera pas traitĂ© par les agents des services prĂ©fectoraux afin de les identifier, dans l’hypothèse oĂą elles seraient soumises Ă  une mesure de quarantaine ou d’isolement.
Elle estime en effet qu’un tel accès ne s’inscrirait pas dans le cadre des dispositions lĂ©gislatives et rĂ©glementaires applicables aux traitements comprenant l’INS, prĂ©vues par les articles L. 1111-8-1 et R. 1111-8-1 et suivants du CSP.
L’article 9 modifiĂ© par le projet de dĂ©cret prĂ©voit que les codes QR gĂ©nĂ©rĂ©s par SI-DEP pourront contenir les donnĂ©es relatives Ă  la vaccination mentionnĂ©es au 2° de l’article 9 du dĂ©cret (statut vaccinal, nom du vaccin et date de la ou des injections). Le ministère a prĂ©cisĂ© qu’un tel ajout vise Ă  permettre d’Ă©tablir un passe vaccinal valide dans divers cas actuellement prĂ©vus par la loi renforçant les outils de gestion de la crise sanitaire et modifiant le code de la santĂ© publique.
La Commission relève que, dans un premier temps, seule la mention « primo-vaccination » (via le sigle « PV ») sera intĂ©grĂ©e afin de permettre l’Ă©mission d’un justificatif d’engagement dans un schĂ©ma vaccinal valant justificatif de statut vaccinal pour la durĂ©e nĂ©cessaire Ă  l’achèvement de ce schĂ©ma. La rĂ©daction du projet de dĂ©cret permettra toutefois de rendre opĂ©rationnels d’autres cas d’usages envisagĂ©s par les textes, tel que le cumul des justificatifs pour certains lieux.
La Commission considère que la limitation des informations relatives Ă  la vaccination Ă  celles mentionnĂ©es au 2° de l’article 9 du dĂ©cret est pertinente au regard des objectifs poursuivis.

S’agissant des destinataires :

Le projet d’article 10-II-6° du dĂ©cret ajoute les agents individuellement dĂ©signĂ©s et spĂ©cialement habilitĂ©s des services prĂ©fectoraux aux destinataires de certaines donnĂ©es de SI-DEP, dans la limite de leur besoin d’en connaĂ®tre ; il n’est pas envisagĂ© que ces agents transmettent ces informations Ă  des tiers.
La Commission rappelle que seuls ces agents devront pouvoir accĂ©der Ă  des donnĂ©es concernant des personnes soumises Ă  une mesure de quarantaine ou d’isolement et qu’ils ne devront avoir accès qu’Ă  des donnĂ©es concernant des personnes soumises Ă  une mesure de mise en quarantaine ou d’isolement en cours au moment de la vĂ©rification et relevant de leur compĂ©tence, dĂ©terminĂ©e en fonction de celle du prĂ©fet dont ils dĂ©pendent, habilitĂ© Ă  prendre la mesure concernĂ©e, dĂ©finie Ă  l’article R. 3131-19 du CSP, et, le cas Ă©chĂ©ant, en fonction du lieu d’exĂ©cution de celle-ci.
Enfin, dans l’hypothèse oĂą ces donnĂ©es devraient faire l’objet d’un traitement autre qu’une simple consultation par les services prĂ©fectoraux, telle qu’une conservation, la Commission rappelle que cette durĂ©e ne pourra excĂ©der celle strictement nĂ©cessaire Ă  l’adaptation de la mesure et au prononcĂ© de la dĂ©cision affĂ©rente, conformĂ©ment au RGPD et Ă  la loi « informatique et libertĂ©s ».

Sur l’information des personnes :

L’information des personnes concernĂ©es par ce traitement et les modifications qui lui sont apportĂ©es, s’agissant notamment du dispositif et de la procĂ©dure d’adaptation de la durĂ©e de la mesure de quarantaine ou d’isolement, constitue une garantie essentielle pour leur permettre de disposer des renseignements nĂ©cessaires et des moyens de faire valoir leurs droits. A cet Ă©gard, le ministère a prĂ©cisĂ© que les mentions d’information relatives au traitement SI-DEP seront complĂ©tĂ©es de la nouvelle finalitĂ© poursuivie par le traitement, ainsi que des destinataires des donnĂ©es. La Commission en prend acte.
La Commission prend par ailleurs acte de ce que le ministère s’est engagĂ© Ă  ce que l’information prĂ©vue Ă  l’article 12 du dĂ©cret soit transmise aux personnes soumises Ă  la mesure de quarantaine ou d’isolement et aux personnes de confiance visĂ©es Ă  l’article 9-3° du dĂ©cret au moment du prononcĂ© de la mesure.
Enfin, elle demande au ministère des solidaritĂ©s et de la santĂ©, Ă  la CNAM ainsi qu’aux reprĂ©sentants de l’Etat dans le dĂ©partement d’informer Ă©galement le grand public des modifications apportĂ©es au traitement SI-DEP et des modalitĂ©s d’adaptation de la durĂ©e des mesures de quarantaine et d’isolement.

Sur la sécurité du dispositif « SI-DEP » :

Le système, mis en place en urgence et n’ayant pas vocation Ă  ĂŞtre mis en Ĺ“uvre de manière pĂ©renne, a vu son existence prolongĂ©e et ses modalitĂ©s de mise en Ĺ“uvre rĂ©gulièrement modifiĂ©es du fait de la crise sanitaire. La Commission souligne que le ministère s’est engagĂ© Ă  mettre Ă  jour l’analyse d’impact sur la protection des donnĂ©es relative au traitement SI-DEP prĂ©alablement Ă  la mise en Ĺ“uvre des Ă©volutions prĂ©vues par le projet de dĂ©cret et lui a fait parvenir une analyse de risque de type EBIOS.
La Commission rappelle que la mise Ă  jour de l’analyse d’impact devra intervenir prĂ©alablement Ă  la mise en Ĺ“uvre des modifications envisagĂ©es par le projet de dĂ©cret soumis Ă  la Commission.
Plus spécifiquement, la Commission rappelle au ministère que la persistance de la pandémie nécessite que des mesures de sécurité renforcées soient mises en place, dans une logique de défense en profondeur.

Date et signature(s)

La présidente,
M.-L. Denis