Pour permettre un déroulement optimal et un suivi efficace de la campagne de vaccination Covid-19, le gouvernement a mis en place un système de traitement d’information, dont des données personnelles, sous haute sécurité. La traçabilité est un élément essentiel. Toutefois elle pose question dans la mesure où elle repose sur le traitement de données à caractère personnel. Comment fonctionne ce dispositif et quelles garanties sont offertes aux personnes concernées ? Trouvez toutes les réponses ci-après.
Système de traitement de données personnelles
Autorisation de traitement
Le décret n° 2020-1690 du 25 décembre 2020 autorise la création d’un traitement de données à caractère personnel relatives aux personnes vaccinées contre le Covid-19. Ce sont le ministère de la Santé et la Caisse Nationale d’Assurance Maladie qui en ont la charge. Le système d’information SI « Vaccin Covid », ouvert depuis le 4 janvier 2020, est spécialement conçu pour piloter cette opération vaccinale hors du commun et en assurer la traçabilité.
Les données personnelles concernées
Il s’agit de collecter :
- l’identité ;
- les coordonnées des personnes vaccinées,
- leur numéro de sécurité sociale,
- certaines données de santé répondant aux critères d’éligibilité à la vaccination définis par le ministère de la Santé.
Le système collecte également des données relatives aux professionnels de santé.
Ce stockage d’informations soulève de grandes inquiétudes. Dans son avis du 10 décembre 2020, la CNIL rappelle que ces données ne peuvent être manipulées que par des personnes autorisées, dans le respect du secret médical. Aussi, le décret prévoit-il les strictes modalités de fonctionnement du traitement de données.
Fonctionnement du SI Vaccin Covid
Le système d’information est obligatoire. Il permet d’organiser la campagne de vaccination à toutes ses étapes, de l’information pré-vaccinale à la seconde injection. L’accès aux données est réglementé.
Contact des candidats à la vaccination
Le SI « Vaccin Covid » permet de contacter au fur et à mesure les personnes répondant aux conditions d’éligibilité à la vaccination. Les destinataires reçoivent alors un bon de vaccination. Puis, à chaque étape, le professionnel de santé identifie le patient avec un code spécifique. À la fin de l’opération, un bilan faisant office de certificat est remis au patient. Le système assure d’ailleurs la prise en charge financière des actes liés à la vaccination.
Suivi technique de la campagne
Le système permet aussi d’assurer :
- le suivi et l’approvisionnement en vaccins et autres équipements consommables ;
- la production d’informations à destination des personnes vaccinées ;
- le suivi de pharmacovigilance en cas d’apparition d’un risque nouveau ;
- la mise à disposition de données relatives à la vaccination à des fins de recherche : mesure de l’efficacité vaccinale et suivi statistique.
Accès aux données personnelles dans le cadre de la vaccination
Les données recueillies par le système sont transmises aux professionnels intervenant sur le parcours de vaccination, ainsi qu’au médecin traitant lorsque l’intéressé y a consenti. Elles peuvent également être accessibles à d’autres organismes. Le décret précise que la liste des sous-traitants et systèmes d’information avec lesquels le SI « Vaccin Covid » est mis en relation doit être rendu publique sur le site Internet du ministère de la Santé. C’est le cas de la Caisse nationale d’assurance-maladie et l’Agence nationale de sécurité du médicament et des produits de santé. De même, l’Agence nationale de santé publique, les Agences régionales de santé et les instances de recherche et d’études statistiques du ministère de la Santé, ont accès aux données rendues anonymes.
Les garanties du RGPD
Les données enregistrées dans le SI « Vaccin Covid » sont conservées pendant une durée de 10 ans. Cette durée est portée à 30 ans pour les données concernant la prise en charge des personnes vaccinées en cas d’identification de risques nouveaux. La conservation est assurée par la direction du numérique des ministères chargés des affaires sociales. Le décret encadre le traitement des données personnelles dans le respect du Règlement général de protection des données. Il prévoit notamment l’information et les droits des personnes concernées.
Information des personnes
Le système de traitement des données prévoit que les personnes font l’objet d’une information relative au traitement de leurs données à caractère personnel lorsqu’elles reçoivent leur bon de vaccination. Dans le respect du RGPD, la même information est dispensée lors de la consultation préalable à la vaccination. De même, les professionnels de santé participant à la prise en charge vaccinale reçoivent une information individuelle.
Droit des personnes vis à vis de ses données personnelles
Le décret précise dans son article 5 que les droits d’accès, de rectification et de limitation, s’exercent auprès du directeur de l’organisme d’assurance-maladie dont dépend la personne concernée. Le droit d’opposition peut être exercer jusqu’au consentement à la vaccination. Une fois l’acte réalisé, il n’est plus possible de s’opposer au traitement des données à caractère personnel, car celui-ci répond à un objectif d’intérêt public, notamment du point de vue de la pharmacovigilance. Enfin, le droit à l’effacement ne s’applique pas compte tenu du motif d’intérêt public.
