La loi organisant l’état d’urgence sanitaire permet de conserver les données personnelles de santé dans le cadre de la lutte contre la propagation du Covid‑19. Dans un contexte de traçage des personnes infectées par le virus, on s’interroge sur la faculté du législateur à concilier le respect du secret médical avec la mise en place de mesures contre l’épidémie. En prolongeant la conservation des données au sortir de l’état d’urgence sanitaire, la loi du 11 mai 2020 relance le débat.
Dérogation au secret médical
Les professionnels intervenant dans le système de santé sont soumis au secret médical. Le patient a droit au respect de sa vie privée et au secret des informations médicales le concernant. Toutefois, les dispositions relatives à l’état d’urgence font dérogation à l’article L. 1110-4 du code de la santé publique. Le but est de lutter contre la propagation de l’épidémie de Covid-19. La principale dérogation réside dans la collecte, le traitement et le partage des données à caractère personnel concernant les personnes atteintes par le virus et les personnes ayant été en contact avec elles. Cela vise :
- Les systèmes d’information « Contact Covid » et « SI-DEP » créés spécifiquement.
- Les systèmes d’information existants que le ministre de la santé, l’Agence nationale de santé publique, un organisme d’assurance-maladie et les agences régionale de santé pourraient utiliser.
La Conservation des données durant l’urgence sanitaire
Conservation des données : l’avis des experts
Instauré par la loi du 11 mai 2020, le Comité de contrôle et de liaison Covid-19 vise à impliquer la société et le Parlement dans la mise en œuvre des systèmes d’information destinés à lutter contre la propagation du virus. À l’aide des retours effectués par les équipes sanitaires de terrain, le comité évalue :
- l’intérêt des outils numériques ;
- leur efficacité dans le traitement de l’épidémie.
Il est également le garant du respect du secret médical et de la protection des données personnelles. De même, la CNIL évalue la pertinence des mesures déployées tout en veillant au respect d’un certain nombre de garanties. Elle s’est ainsi opposée à la durée conservation des données d’un an. Cette durée était initialement préconisée par le projet de la loi prorogeant l’état d’urgence sanitaire.
Conservation des données : la position du Conseil d’État
Dans son avis rendu le 9 juin 2020, le Conseil d’État rappelle que le droit au respect de la vie privée est garanti :
- par l’article 2 de la Déclaration de 1789 ;
- par l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
Par ailleurs, l’article 5 du RGPD dispose que les données à caractère personnel doivent être conservées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées. L’allongement de cette durée peut être justifié par l’intérêt public lorsque le traitement de ces données permet de nourrir les travaux de recherches scientifiques ou statistiques.
Dans le cas présent, la conservation des données est nécessaire au regard de la finalité de surveillance épidémiologique. Elle est également nécessaire pour la recherche médicale et la lutte contre la propagation du virus. Il s’agit de rompre les chaînes de contamination. En prolongeant la conservation des données, le Gouvernement entend faciliter la recherche des cas contacts et les enquêtes sanitaires. Il s’agit d’identifier les personnes dépistées positives au virus du Covid-19 et de pouvoir en apprendre davantage sur leur immunité.
Garantie du respect de la vie privée
Si la conservation des données est validée, il faut toutefois veiller aux incidences de la conservation de données personnelles sur le droit au respect du secret médical et de la vie privée. Ainsi, les articles 13 et 14 du RGPD garantissent un traitement loyal et transparent des données à caractère personnel. Ils permettent ainsi aux intéressés d’exercer leurs droits d’accès, d’opposition, d’effacement et de rectification de celles-ci.
À ce titre, le dispositif doit prévoir d’informer immédiatement les personnes concernées de la prolongation de la durée de conservation des données les concernant. De même, le Conseil constitutionnel s’est exprimé sur la question des données identifiantes. S’il estime que la loi était conforme à la Constitution, il reconnaît qu’elle porte atteinte au respect de la vie privée.
Mais cela est justifié par la lutte contre le Covid-19 et la volonté d’identifier les chaînes de contamination. La loi est donc validée dans la mesure où elle poursuivit un objectif de valeur constitutionnelle : la protection de la santé. En revanche, le Conseil exclut la conservation des coordonnées de contact téléphonique ou électronique des personnes dans le cadre de la surveillance épidémiologique et de la recherche contre le virus.
