Episode 3 - Solutions numériques de lutte contre le COVID-19 : le Conseil constitutionnel saisi du volet numérique de la loi de prorogation de l’état d’urgence sanitaire

Dans le contexte du volet numérique de la lutte contre la pandémie de COVID-19, Fidal abordait lors de deux précédents épisodes les enjeux en termes de protection de la vie privée et les réserves de la CNIL au sujet du projet d’application français de lutte contre l’épidémie : StopCovid. Le cabinet continue sur sa lancée en présentant les mesures adoptées dernièrement par le gouvernement français.

Création d'un système d'information aux seules fins de lutter contre l'épidémie de COVID-19

Le Président de la République a promulgué le 11 mai dernier la loi n° 2020-546 prorogeant l'état d'urgence sanitaire. Son article 11 prévoit la création d'un système d'information aux seules fins de lutter contre l'épidémie de COVID-19. A noter que ce projet est distinct du projet d’application mobile « StopCovid », toujours en élaboration et attendu pour le 2 juin. Cependant, cette application pourra intervenir de manière complémentaire en s’interconnectant notamment avec ledit système d’information ici présenté.

La création de ce système d’information « ad hoc » autorise le partage des données personnelles - relative, notamment, à l’identité et à l’état de santé des personnes malades ou susceptibles de l’être - entre les personnels de santé et les autorités sanitaires compétentes. Ce système doit intervenir pour une durée strictement nécessaire à la lutte contre l’épidémie. Dans ce contexte, ce partage de données repose sur deux outils :

• une adaptation des systèmes d’information existants (dit « Contact Covid ») pour permettre, à partir des résultats des tests répertoriés dans le service intégré de dépistage et de prévention (SIDEP), le suivi des personnes contaminées et de celles avec lesquelles elles ont été en contact (contact tracing), la surveillance épidémiologique et la recherche sur le virus ;
• un service intégré de dépistage et de prévention (SIDEP) permettant de centraliser, au niveau national, les informations relatives aux tests de dépistage et de les partager, sous certaines conditions, avec les acteurs sanitaires participant à la lutte contre l’épidémie. Ce service serait créé par décret en Conseil d’État.

Réserves du Conseil constitutionnel

Dans le cadre de sa saisine sur l’ensemble du projet de loi prorogeant l'état d'urgence sanitaire et complétant ses dispositions, le Conseil constitutionnel s’est prononcé sur les dispositions relatives à « la création d’un système d’information aux seules fins de lutter contre l’épidémie de COVID 19 ». Le Conseil confirme une grande partie du dispositif tout en exprimant quelques réserves.

Si le Conseil constate une atteinte à la vie privée et met en garde sur le recours à des traitements de données de santé il considère également que ces atteintes semblent justifiées par « l'objectif de valeur constitutionnelle de protection de la santé» poursuivi par le législateur. En ce qui concerne les réserves exprimées, elles sont les suivantes :

• Première réserve : le Conseil prend acte de la liste étendue des personnes susceptibles d’avoir accès au traitement tout en précisant que cette extension est « rendue nécessaire par la masse des démarches à entreprendre pour organiser la collecte des informations nécessaires à la lutte contre le développement de l'épidémie ». Néanmoins, le Conseil censure l’extension des accès aux organismes assurant l’accompagnement des personnes atteintes, l’activité de ces organismes ne relevant pas strictement des finalités de lutte contre l’épidémie ;
• Seconde réserve : le projet nécessite un encadrement strict des agents chargés au sein de chaque organisme de participer à la mise en œuvre du système d’information en assurant également sa traçabilité ;
• Troisième réserve : un encadrement des relations avec les sous-traitants est indispensable notamment du point de vue la confidentialité.

Le Conseil constitutionnel a également pris en compte le choix du législateur de prévoir que ce dispositif ne peut s'appliquer au-delà du temps strictement nécessaire à la lutte contre la propagation de l'épidémie de COVID-19 ou, au plus tard, au-delà de six mois après la fin de l'état d'urgence sanitaire déclaré par la loi du 23 mars 2020.

Sous ces réserves, le Conseil constitutionnel a jugé que les dispositions de ce projet ne méconnaissent pas le droit au respect de la vie privée.

Décret relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020

Dans la foulée, le gouvernement a par conséquent publié le 12 mai un décret n°2020-551 précisant les modalités pratiques de mise en œuvre de ce système d’information. Celui-ci revient plus spécifiquement sur le traitement « Contact Covid » (qui, rappelons-le de nouveau, est différent du projet « StopCovid »). Contact Covid est géré par la caisse nationale de l’assurance maladie (Amelipro). Contact Covid a ainsi pour finalités d’identifier les personnes infectées par le biais d’actes médicaux ainsi que celles présentant un risque d’infection en lien avec les contacts de la personne malade, et de donner l’orientation médicale des personnes infectées ou susceptibles de l’être.

En ce qui concerne le traitement « SI-DEP », le responsable de traitement est le Ministère chargé de la Santé l’Assistance publique-Hôpitaux de Paris agissant en qualité de sous-traitant. Ce traitement a quant à lui pour objet de centraliser les résultats d'examens de dépistage du COVID-19 afin de les mettre à la disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées, de réaliser des enquêtes sanitaires en présence de cas groupés pour rompre les chaînes de contamination, d'orienter, de suivre et d'accompagner les personnes concernées, et de faciliter le suivi épidémiologique au niveau national et local et la recherche sur le virus de même que les moyens de lutter contre sa propagation.

Le décret détaille également les catégories de données qui font l’objet d’un traitement, les personnes habilitées à accéder et à traiter les informations, les destinataires des données, les durées de conservation, ainsi que les modalités d’exercice des droits des personnes concernées. Il prévoit également les modalités de journalisation des opérations de traitement.

Dans l’objectif d’endiguer cette épidémie, l’efficacité des dispositifs d’échanges d’informations semble ainsi être au centre des priorités de la stratégie du gouvernement. Force est de constater que nos institutions restent vigilantes sur le respect d’un équilibre difficile entre deux principes ayant même valeur constitutionnelle : la sauvegarde dela vie privée, et l’impératif de protection de la santé publique. Cette tension apparaissait déjà clairement dans l’avis de la CNIL sur StopCovid du 24 avril dernier que nous avions commenté dans notre précédent épisode.