Blog Données personnelles

Covid-19 et traitement de données de santé : la censure partielle des dispositions de la loi de prorogation de l’état d’urgence sanitaire par le Conseil constitutionnel

Le Conseil constitutionnel a rendu sa décision le 11 mai 2020 sur la loi de prorogation de l’état d’urgence sanitaire déférée en application de l’article 61 de la Constitution.

S’il valide l’essentiel des dispositions de la loi, il prononce, concernant le traitement de données médicales aux fins de traçage, deux censures partielles (2) et énonce trois réserves d’interprétation (3).

L’occasion pour le Département données personnelles de DELSOL Avocats de revenir sur les éléments intéressants de la décision du Conseil constitutionnel.

1 - Sur les dispositions relatives au traitement des données de santé à des fins de traçage validées par le Conseil constitutionnel

L’article 11 de la loi n°2020-546 prorogeant l’état d’urgence sanitaire organise les conditions dans lesquelles les données médicales des personnes atteintes par le covid-19 et celles personnes ayant été en contact avec celles-ci peuvent être partagées entre certains professionnels chargés de traiter les chaînes de contamination.

Ainsi par dérogation aux exigences de l’article L. 1110-4 du code de la santé publique, aux seuls fins de lutte contre la propagation du virus et pour la durée strictement nécessaire à cet objectif, les données relatives à la santé des personnes atteintes du covid-19 et des personnes en contact avec elles, peuvent être traitées et partagées, sans le consentement des personnes, dans le cadre d’un système d’information ah hoc ainsi que dans le cadre d’une adaptation des systèmes d’information relatifs aux données de santé déjà existants.

Comme le souligne le Conseil constitutionnel (considérant 62) « la collecte, le traitement et le partage d’informations portent sur les données médicales mais également sur des éléments d’identification et sur les contacts qu’ils ont noués avec d’autres personnes (…) », ce qui porte atteinte au droit au respect de la vie privée. Toutefois, selon le Conseil constitutionnel cette atteinte serait justifiée par l’objectif de valeur constitutionnelle de protection de la santé, le législateur ayant entendu renforcer la lutte contre l’épidémie par l’identification des chaînes de transmission.
Plusieurs éléments sont repris dans la décision du Conseil constitutionnel pour déclarer conforme à la Constitution une partie des dispositions de l’article 11 de la loi de prorogation de l’état d’urgence sanitaire.

D’abord, le Conseil constitutionnel précise que selon l’article 11 II de la loi, le traitement et le partage des données des personnes atteintes du covid-19 et de celles qui ont été en contact avec elles, n’est mis en œuvre que pour l’une des quatre finalités suivantes (considérant 64).

  • l’identification des personnes infectées par le covid-19, grâce à la prescription, la réalisation et la collecte des résultats des examens médicaux pertinents ainsi que la transmission des éléments probants de diagnostic clinique ;
  • l’identification des personnes qui, ayant été en contact avec ces dernières, présentent un risque d’infection ;
  • l’orientation des unes et des autres vers des prescriptions médicales d’isolement prophylactiques ainsi que leur accompagnement pendant et après la fin de ces mesures d’isolement ;
  • la surveillance épidémiologique nationale et locale ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation.

Toutefois, contrairement à ce qui avait été annoncé par les pouvoirs publics il y a peu, le dispositif ne prévoit pas le développement d’une application informatique à destination du public permettant d’informer les personnes du fait qu’elles ont pu se trouver à proximité de personnes testées positives au covid-19.

Dans son appréciation, le Conseil constitutionnel a tenu compte du fait que les dispositions de la loi précisent que les données d’identification des personnes infectées ne peuvent être communiquées, sauf accord exprès, aux personnes ayant été en contact avec elles. Il précise que les agents des organismes sont soumis au respect du secret professionnel à ne peuvent, sous peine de se rendre coupables du délit prévu à l’article 226-13 du code pénal, divulguer à des tiers les informations dont ils ont eu connaissance par le biais du dispositif instauré.

Pour appuyer son raisonnement, le Conseil constitutionnel a pris en compte les principes de protection des données personnelles, puisqu’il précise que si le dispositif prévoit la collecte, le traitement et le partage des données de santé sans le consentement des personnes, ces mêmes opérations ne sont pas exemptées du respect des dispositions du RGPD et de la loi Informatique et Libertés notamment concernant le droit d’accès, d’information et de rectification (considérants 75 et 76).

Le Conseil constitutionnel note également que (i) le dispositif n’est prévu que pour une durée limitée (pour la durée nécessaire à l’objet de lutte contre l’épidémie, au plus tard, jusqu’à six mois après la fin de l’état d’urgence sanitaire prévu au 10 juillet), et (ii) que les données personnelles collectées seront supprimées trois mois après leur collecte.

2 - Sur les dispositions relatives au traitement des données de santé à des fins de traçage censurées par le Conseil constitutionnel

Deux censures ont été prononcées par le Conseil constitutionnel l’une sur le champ des personnes pouvant accéder aux données (i) et l’autre sur l’information des assemblées parlementaires par les organismes des mesures prises au titre dispositif du dispositif issu de l’article 11 (ii). En outre, la Conseil constitutionnel a jugé contraire à la Constitution l’avis conforme de la CNIL sur le décret d’application de la loi (iii)

(i) Limitation du champ des personnes pouvant accéder aux données

Le Conseil constitutionnel est venu limiter le champ des personnes pouvant accéder sans le consentement de l’intéressé, aux données enregistrées dans le système d’information (Agence nationale de santé publique, organismes d’assurance maladie, ARS, services de santé des armées, les CPTS, les établissements de santé, les établissements sociaux et médico-sociaux, les équipes de soins primaires, les maisons de santé les centre de santé, les services de santé au travail et leurs personnes, les pharmaciens, es dispositifs spécifiques régionaux prévus à l’article L. 6327-6 du même code, les dispositifs d’appui existants qui ont vocation à les intégrer mentionnés au II de l’article 23 de la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé ainsi que les laboratoires et services autorisés à réaliser les examens de biologie ou d’imagerie médicale pertinents sur les personnes concernées) tout en précisant que l’extension prévue par le législateur « est rendue nécessaire par la masse des démarches à entreprendre pour organiser la collecte des informations nécessaires à la lutte contre le développement de l’épidémie » (considérant 69).

En effet, le Conseil a jugé contraire à la Constitution car méconnaissant le droit au respect de la vie privée, la disposition de l’article 11 autorisant les organismes qui assurent l’accompagnement social des intéressés à accéder aux données au motif que l’accompagnement social ne relève pas directement de la lutte contre l’épidémie et que rien ne justifie que la communication des données dans le système d’information ne soit pas subordonnée au recueil du consentement des intéressés.

(ii) Censure des dispositions imposant l’information des assemblées parlementaires sur les mesures prises en application de l’article 11 de la loi

Au nom du principe de séparation des pouvoirs consacré par l’article 16 de la DDHC, le Conseil constitutionnel déclare contraire à la constitution les dispositions de l’article 11 de la loi qui imposent aux autorités mentionnées (ministre chargé de la santé, Agence nationale de santé publique, organisme d’assurance maladie et ARS) de transmettre sans délai à l’Assemblée nationale et au Sénat copie de tous les actes qu’elles prennent. L’article 11 a également été censuré sur la possibilité laissée aux assemblées de requérir toute information complémentaire dans le cadre du contrôle des mesures prises.

(iii) Suppression de l’avis conforme de la CNIL sur le décret d’application de la loi

Par le considérant 77 de sa décision, le Conseil constitutionnel a jugé contraire à la constitution la disposition du paragraphe V de l’article 11 qui prévoit que le décret d’application de la loi est pris après avis conforme de la CNIL. Pour justifier cette censure, le Conseil constitutionnel énonce que « en vertu de l’article 21 de la Constitution et sous réserve de son article 13, le Premier ministre exerce le pouvoir réglementaire à l’échelon national. Ces dispositions n’autorisent pas le législateur à subordonner à l’avis conforme d’une autre autorité de l’État l’exercice, par le Premier ministre, de son pouvoir réglementaire. »

1 - Sur les réserves d’interprétation émises par le Conseil constitutionnel

Le Conseil constitutionnel a émis trois réserves d’interprétation à propos des dispositions relatives au traitement des données de santé.

(i)Première réserve d’interprétation relative aux conditions d’utilisation des données d’identification à des fins de surveillance épidémiologique et de recherche sur le virus.

Comme précisé au point 1 du présent article, les données personnelles collectées au titre du dispositif de l’article 11 de la loi peuvent être utilisées afin d’identifier les personnes infectées et les personnes avec qui elles ont été en contact, pour les orienter et les accompagner dans le cadre de mesures d’isolement et enfin, pour assurer la surveillance épidémiologique ainsi que la recherche sur le virus.

La poursuite de ces finalités suppose la collecte de données relatives à la santé qui ont été limitées par la loi « aux seuls données relatives au statut virologique ou sérologique des personnes à l’égard de la maladie ou aux éléments probants de diagnostic clinique et d’imagerie médicale » (article 11 paragraphe II de la loi de prorogation de l’état d’urgence sanitaire).

Mais s’agissant de la poursuite des finalités d’identification et d’orientation des personnes infectées ou en contacts avec elles, il est nécessaire de collecter d’autres données, en particulier des données d’identification qui ont été listées par le décret n°2020-551 du 12 mai 2020 (nom prénom, date de naissance, sexe, le NIR, les coordonnées de contacts à savoir l’adresse de résidence, le numéro de téléphone et l’adresse électronique notamment).

Toutefois, pour ce qui concerne la finalité de surveillance épidémiologique et de recherche sur le virus, l’article 11 paragraphe II 4° conditionne le traitement des données des personnes à la suppression de leurs noms, prénoms, numéro d’inscription au répertoire national d’identification des personnes physiques et adresse. Sur ce point, le Conseil constitutionnel émet une première réserve d’interprétation en soulignant que «  sauf à méconnaître le droit au respect de la vie privée, l’exigence de suppression (…) doit également s’étendre aux coordonnées de contact téléphonique ou électronique des intéressés  » qui sont en effet des données enregistrées au sein des systèmes d’information créés par le dispositif de l’article 11 de la loi.

Les données des personnes infectées et de leurs contacts ne pourront donc être utilisés à des fins de surveillance épidémiologique et de recherches sur le virus sans méconnaitre le droit au respect de la vie privée que sous réserve que soient supprimés : leurs noms et prénoms, leur NIR, leur adresse postale mais également leur numéro de téléphone et leur adresse électronique.

(ii) Seconde réserve d’interprétation sur les modalités de collecte, de traitement et de partage des informations

Aux termes du considérant 73 de sa décision, le Conseil constitutionnel précise qu’il appartiendra au pouvoir réglementaire de définir les modalités de collecte, de traitement et de partage des informations afin d’assurer leur stricte confidentialité et notamment (i) l’habilitation spécifique des agents chargés, au sein de chaque organisme, de participer à la mise en œuvre du système d’information et (ii) la traçabilité des accès à ce système d’information.

(iii) Troisième réserve d’interprétation sur le recours à des sous-traitants par les organismes appelés à participer au système d’information en place

Le paragraphe V de l’article 11 autorise les organismes précités à recourir pour l’exercice de leur mission dans le cadre du dispositif examiné à des organismes sous-traitants. Toutefois, le Conseil constitutionnel est venu préciser « d’une part, ces sous-traitants agissent pour leur compte et sous leur responsabilité. Et « d’autre part, pour respecter le droit au respect de la vie privée, ce recours aux sous-traitants doit s’effectuer en conformité avec les exigences de nécessité et de confidentialité. »