Les dispositifs de traçage mis en place dans le cadre de la crise sanitaire, SI-DEP, Contact Covid et l'application StopCovid « sont pour l'essentiel respectueux des données personnelles » et ont pris en compte les précédentes préconisations, salue la Commission nationale de l'informatique et des libertés (CNIL) dans un avis publié ce 14 septembre. La loi du 11 mai prorogeant l'état d'urgence sanitaire prévoit en effet que la Commission rende un avis public tous les trois mois sur ces outils destinés à identifier des cas contacts, et ainsi à enrayer l'épidémie.
Mauvaises pratiques
La Commission pointe néanmoins des « pratiques insatisfaisantes » dans le cadre de la mise en œuvre du fichier Contact Covid. Ce dernier recueille des informations sur les cas contacts et les chaînes de contamination. Sous l'égide de la Caisse nationale d'Assurance-maladie, il est d'abord rempli par les médecins (ville, établissements et centres de santé), avant que le personnel habilité de la Sécu (les « brigades » sanitaires) et des Agences régionales de santé (ARS) ne prennent le relais pour mener des enquêtes sanitaires.
La CNIL a effectué des contrôles au sein d’un établissement de santé, d’une caisse primaire d‘assurance maladie (CPAM), d’une ARS, du Conseil national de l’ordre des médecins (CNOM) et du Conseil national de l’ordre des pharmaciens (CNOP).
Tout en saluant les efforts des équipes pour prendre en compte les exigences liées à la protection des données personnelles, la CNIL a noté des problèmes dans la délivrance de l'information aux patients zéro et aux cas contacts sur les traitements (finalité, durée de conservation des données, destinataires des informations, etc.). Ainsi dans l'établissement de santé contrôlé, « les informations sont parfois parcellaires, en l’absence de remise d’un support d’information délivré par la CNAM », ce qui ne permet pas aux personnes de faire valoir leurs droits, notamment le droit d'opposition lit-on. Or au 25 juin 2020, 42 % des patients zéro qui ont déclaré des cas contacts ont exercé leur droit d’opposition à la communication de leur identité à au moins un contact ; 21 %, à l’ensemble de leurs contacts.
La CNIL soulève d'autres dysfonctionnements : dans certaines ARS, l'exercice des droits des personnes ne fait pas l'objet d'une procédure formalisée ; des transmissions de données entre une CPAM et une ARS se sont faites hors messagerie sécurisée ; enfin, un éparpillement de données - certes occasionnel - met en péril la gestion de la durée de conservation des données.
Voyants au vert pour StopCovid et Si-DEP
La CNIL considère que le fichier SI-DED, qui permet la centralisation des résultats des tests au SARS-CoV-2 réalisés par des laboratoires publics ou privés, au sein de l'Assistance Publique-Hôpitaux de Paris (AP-HP), présente un niveau global de conformité « satisfaisant », bien que « quelques améliorations puissent être apportées » en matière de sécurité des données (gestion des comptes d'administration et traçabilité des accès).
Quant à l'application StopCovid, qui permet, via la technologie bluetooth des téléphones portables, d'être prévenu si l'on a côtoyé plus de 15 minutes une personne testée positive au Covid-19, la CNIL a clôturé ce 3 septembre la mise en demeure adressée au ministère de la Santé en juin dernier, pour des manquements aux dispositions du règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés. « Les éléments de réponse apportés par le ministère au cours du mois d’août ont permis de démontrer que les manquements constatés lors du contrôle avaient cessé », indique la CNIL.
Plus largement, la Commission demande que des indicateurs soient mis en place pour évaluer la contribution de ces dispositifs à la gestion de la crise sanitaire. Elle poursuivra ses contrôles tout au long de leur existence, et jusqu'à leur suppression.
En réponse à la publication de cet avis, le ministère de la Santé assure de sa « pleine mobilisation auprès des acteurs en charge des outils et pratiques contrôlés, pour permettre la prise en compte de l’ensemble des observations de la CNIL ». Le Premier ministre Jean Castex a par ailleurs annoncé que 2000 personnes supplémentaires seront recrutées à l'Assurance maladie et dans les Agences régionales de santé (ARS) pour renforcer le traçage des contacts de personnes infectées.
Pollution de l’air : des modifications épigénétiques du placenta différentes selon le sexe du fœtus
Alzheimer : être homozygote APOE4, forme génétique de la maladie ou facteur de risque fort ?
Grève des cliniques, l’hôpital public débordé en juin ? Les syndicats de PH entre inquiétude et fatalisme
Risque cardiovasculaire : quand la colère échauffe le cœur