Publication du décret sur les fichiers covid

24 heures après la loi qui les a autorisés, le décret n° 2020-551 du 12 mai 2020 fixe les règles applicables aux traitements de données de santé dans le cadre de la lutte contre l’épidémie de coronavirus.

Ces systèmes d’information seront au nombre de deux. Le traitement « Contact Covid », tout d’abord contiendra des informations sur les patients et leurs contacts. Il sera géré par la Caisse nationale d’assurance maladie (CNAM). Le système d’information national de dépistage (SI-DEP) doit centraliser les résultats d’examens de dépistage du covid-19. Il est placé sous la responsabilité du ministre chargé de la santé qui en a confié la gestion à l’Assistance publique-Hôpitaux de Paris en qualité de sous-traitant.

Si le gouvernement a pu aller aussi vite c’est que le décret a été préparé en amont de l’examen de la loi. La Commission nationale de l’informatique et des libertés (CNIL) a ainsi été consultée dès le 8 mai. Dans le communiqué qui a accompagné la publication de son avis, le 13 mai, la CNIL se félicite que ses recommandations aient été suivie.

L’autorité administrative indépendante a jugé le dispositif conforme au règlement général sur la protection des données. Elle a été convaincue « qu’en l’état des analyses scientifiques recueillies par le gouvernement, le dispositif d’enquêtes sanitaires et de suivi épidémiologique envisagé est nécessaire au déconfinement. » Elle demande toutefois que cette nécessité soit périodiquement réévaluée au vu de l’évolution de l’épidémie et des connaissances scientifiques. Elle appelle à une sécurisation maximale de l’accès à ces données et annonce qu’elle contrôlera « étroitement le dispositif ».

Il s’agit en effet de traiter des données très sensibles, touchant bien sûr à la santé des personnes mais aussi à leur vie privée puisque seront recueillies auprès des « patients zéro », les personnes testées positives, des informations sur les personnes avec lesquelles ils ont eu un contact dans les quatorze jours précédents (à moins qu’ils ne se refusent à en donner la liste, ce qu’ils sont en droit de faire). Pour des motifs de santé publique, le droit d’opposition a pratiquement été écarté. Le patient zéro peut cependant s’opposer à ce que son identité soit révélée aux « cas contact ». Ces derniers peuvent s’opposer au traitement des données les concernant recueillies auprès du patient zéro « à moins que ne prévalent les intérêts impérieux de santé publique. » En revanche, les autres droits prévus par le RGPD s’appliquent et toutes personnes concernées doivent en être informées.