“A propos du traitement des données aux fins d’identification et de tracing dans le cadre la lutte contre le Covid-19”, par Valérie Olech

Valérie Olech, docteur en droit privé et sciences criminelles

En préambule de ce billet, je tiens à remercier Monsieur Emmanuel Netter de m’avoir proposé de m’exprimer sur ce sujet et de m’avoir offert une place sur l’espace d’expression et de partage dédié à la thématique « droit et numérique » qu’il a construit. Les propos qui y sont tenus n’engagent que leur auteur. Pour les besoins de l’exercice, il a été renvoyé, autant que possible, vers des sources en accès libre.

Si l’on a beaucoup parlé, ces dernières semaines, de l’application « StopCovid », ce n’est pas le seul dispositif technique en projet ayant pour finalité de lutter contre la propagation de l’épidémie SRAS-Cov-2.

L’objet de ce billet est d’évoquer ces autres outils : les bases de données « SIDEP » et « contact tracing » formant un système d’information dont la création intègre le projet de loi prorogeant l’état d’urgence sanitaire et complétant ses dispositions dont le texte devrait être promulgué rapidement¹.

Ces traitements de données posent des questions et soulèvent des inquiétudes légitimes tant auprès du grand public que des professionnels de santé et plus particulièrement, en première ligne, des médecins. Par une série de questions, nous nous proposons de réfléchir aux implications juridiques de ce système d’information et de ces bases de données.

Quel rapport y a-t-il entre secret professionnel et épidémiologie ?

En préambule, rappelons que le recueil d’informations relatives à la santé des personnes ayant pour finalité la surveillance sanitaire des populations n’est pas une nouveauté.

Les finalités du recueil ont néanmoins évolué, de la surveillance et du contrôle des maladies transmissibles² vers l’épidémiologie.

L’épidémiologie repose sur le recueil et le traitement méthodique de l’information⁶. Or, les professionnels de santé, les médecins en premier lieu, sont la principale source des informations relatives à l’état de santé des personnes en ce qu’ils reçoivent, de la bouche des malades, toutes les informations nécessaires à l’élaboration du diagnostic des maladies et à leur prise en charge. Il se dresse toutefois un obstacle à l’utilisation des informations produites et recueillies à l’occasion de la relation de soin à des fins épidémiologique et de santé publique : le secret professionnel.

Le secret professionnel interdit-il toute révélation ? Quelle différence y a-t-il entre « secret partagé » et déclaration obligatoire des maladies ?

Instauré dans l’intérêt des malades¹², le secret professionnel n’est toutefois pas absolu, la protection d’autres intérêts impose d’en limiter la portée. Il existe de nombreuses situations justifiant que le professionnel choisisse la parole au silence ou soit obligé de parler.

Les permissions¹³ et obligations de révéler sont prévues par la loi ou le règlement et constituent autant « d’exceptions » au secret professionnel. Dans le domaine de la santé, il est notamment nécessaire que les professionnels intervenant auprès d’un même patient puissent communiquer de sorte à assurer le suivi de sa prise en charge. C’est ce que l’on nomme le « secret partagé »¹⁴, dans le cadre duquel le professionnel est autorisé à révéler des informations, dans l’intérêt du malade.

Concernant la lutte contre les maladies infectieuses, les professionnels de santé, et particulièrement les médecins, ont toujours été sollicités pour contribuer à enrichir les informations à disposition des autorités¹⁵. Le mécanisme actuel figure à l’article L. 3113-1 du Code de la santé publique, il prévoit l’obligation de notifier ou de signaler certaines maladies, non plus dans le seul intérêt du malade, mais à des fins plus vastes de protection de la santé.

Le choix a pourtant été fait de créer un système d’information et une procédure ad hoc pour la lutte contre le Covid-19.

Quel dispositif est prévu dans le cadre de la lutte contre le Covid-19 ?

Le texte du projet de loi a été modifié à plusieurs reprises. Le dispositif adopté repose sur deux bases de données répondant à deux méthodes complémentaires devant permettre le contact tracing¹⁹. Pour cela « les données à caractère personnel concernant la santé relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées ». Étant précisé qu’il s’agit d’une dérogation à l’article L. 1110-4 du Code de la santé publique.

La première méthode consiste à identifier les personnes infectées ou susceptibles de l’être et à transmettre les résultats aux personnes chargées du contact tracing et aux autorités chargées de la surveillance épidémiologique. C’est la finalité de la base SIDEP.

Les données accessibles aux personnes chargées du contact tracing, les « brigades sanitaires », sont identifiantes puisqu’elles doivent leur permettre d’engager des enquêtes sanitaires. Il était par ailleurs prévu que les nom et prénom des personnes, le numéro d’inscription au répertoire national d’identification des personnes physiques et leurs adresses soient supprimés lorsque les données sont ensuite transmises à des fins de surveillance épidémiologique et de recherche.

Les sages ont formulé une réserve d’interprétation sur ce dernier point : les coordonnées de contact téléphonique ou électroniques devront également être supprimées avant transmission des données aux fins de surveillance épidémiologique et de recherche.

Les personnes chargées du contact tracing doivent ensuite mettre en œuvre la seconde méthode : identifier les cas-contacts, « analyser les chaînes de transmission et le traitement des foyers d’infection »²⁰. C’est l’Assurance maladie qui est chargée d’organiser la collecte des données des enquêtes sur les cas-contacts, dans la seconde base.

Si le Conseil constitutionnel souligne que ces dispositions du texte portent atteinte au droit au respect de la vie privée, il estime néanmoins que les mesures mises en œuvre sont adéquates et proportionnées au regard de l’objectif poursuivi : l’objectif à valeur constitutionnelle de protection de la santé. Son analyse est toutefois conditionnée au strict respect des finalités de traitement.

Pourquoi mentionner l’article L. 1110-4 du Code de la santé publique ? Pourquoi ne pas avoir tout simplement ajouté le Covid-19 à la liste des maladies à déclaration obligatoire ?

La mention de l’article L. 1110-4 du Code de la santé publique s’explique sans doute par le fait que le mécanisme en cours de création doit permettre de partager les données et non pas seulement d’effectuer un signalement. Par « partage », il faut entendre « mise à disposition ». Mettre à disposition, c’est permettre un accès constant aux informations. Jusqu’alors, seule la prise en charge du malade pouvait justifier une prise de connaissance aussi étendue des informations le concernant. Là où le signalement est ponctuel, concerne des informations précises et est limité à une seule action de communication, le partage suppose une constance.

Les dispositions de la loi posent donc une nouvelle exception au secret professionnel, mais une exception bien plus étendue que d’ordinaire dans la mesure où elle reproduit le schéma du « secret partagé » sans servir l’intérêt du seul patient.

Par ailleurs, il aurait peut-être été possible d’ajouter le Covid-19 à la liste des maladies nécessitant un signalement obligatoire. Toutefois selon cette procédure, l’accès aux données nominatives ne peut se faire qu’après une première étape d’évaluation du signalement par le médecin de l’Agence régionale de santé, par le biais d’une demande d’information auprès du déclarant. Cela implique un examen au cas par cas avant de pouvoir accéder aux données nominatives. Outre les moyens humains nécessaires, et dont ne disposent pas les Agences régionales de santé, cette procédure ne permet pas une mise en œuvre rapide et à grande échelle des préconisations « identifier, tester, isoler ».

L’option a toutefois été envisagée lors de la rédaction de l’étude d’impact du projet de loi qui met en avant un autre argument : « Les systèmes d’information existants ne permettant pas le recensement des cas confirmés à destination d’un dispositif de tracing ni de mettre en oeuvre le tracing lui-même, il n’existait pas d’autre option que de permettre la création de systèmes et l’adaptation des systèmes existants à cette fin »²¹. C’est que le dispositif dépasse largement les seules visées épidémiologiques en prévoyant non plus la surveillance de la maladie, mais des malades et de leurs proches. C’est pourquoi certains considèrent que les dispositifs de tracing ne sont pas des instruments de santé publique, mais des instruments de « surveillance de masse »²².

Qui transmet les données à l’autorité sanitaire aux fins d’enrichissement de la base SIDEP ?

Les dispositions telles qu’elles figurent actuellement dans le projet de loi prévoient « la transmission obligatoire des données individuelles à l’autorité sanitaire par les médecins et les responsables des services et laboratoires de biologie médicale publics et privés prévue à l’article L. 3113‑1 du code de la santé publique. Cette transmission est assurée au moyen des systèmes d’information mentionnés au présent article ». Il s’agirait donc d’une obligation de révéler qui serait imposée aux médecins et aux médecins biologistes responsables des services et laboratoires de biologie médicale comme c’est le cas pour les maladies à déclaration obligatoire.

Quelles sont les données transmises par les médecins ?

Cette question a fait l’objet de débat. Le Conseil national de l’Ordre des médecins a notamment demandé au législateur « d’affirmer qu’aucun autre élément afférent à l’état de la personne, à ses antécédents et à ses éventuels traitements, autant d’éléments susceptibles de rompre le secret, ne doit être transmis »²³. La formulation de cette phrase prête à confusion : l’obligation de transmettre des éléments de diagnostic liés au COVID-19 constitue une « exception » au secret professionnel. Toutefois, la portée de cette exception doit être strictement délimitée afin de ne pas vider l’institution du secret professionnel de toute substance.

Les dispositions de la loi prorogeant l’état d’urgence ont donc été modifiées en ce sens : « Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique ou sérologique de la personne à l’égard du virus (…) ainsi qu’à des éléments probants de diagnostic clinique et d’imagerie médicale, précisés par le décret en Conseil d’État (…) »²⁴.

Les médecins seront-ils rémunérés pour enrichir la base de données ?

Il a été question, dans les médias, de rémunérer les médecins qui effectueraient les signalements et enrichiraient la base de données dédiée à l’identification des personnes infectées par le Covid-19. De nombreuses personnes se sont prononcées contre cette pratique qui tendrait à inciter les médecins à la « délation » faisant d’eux les « nouveaux flics du covid-19 »²⁵. C’est pourquoi le Conseil national de l’Ordre des médecins a demandé sa suppression du texte de l’article du projet de loi. Il nous semble toutefois important de mentionner que la rétribution du temps passé à renseigner, d’autant plus s’il s’agit d’une obligation, constitue également une reconnaissance du travail des médecins.

Les données des personnes infectées peuvent-elles être communiquées aux personnes qui ont été en contact avec elles ?

Sur ce point encore le texte a été modifié et prévoit désormais que « les données d’identification des personnes infectées ne peuvent être communiquées, sauf accord exprès, aux personnes ayant été en contact avec elles ».

Qui d’autre enrichit les bases de données ?

La méthode visant à identifier les cas-contacts fait l’objet d’un second traitement de données dans une base de données dont l’Assurance maladie serait le responsable. Cette base est enrichie par les « brigades sanitaires » chargées des enquêtes menées pour identifier les cas-contacts. Ces brigades seront, a priori, composées d’agents de l’Assurance maladie (beaucoup plus nombreux que ceux des Agences régionales de santé) eux-mêmes soumis au secret professionnel²⁶.

Qui a accès aux données ?

La liste des personnes supposées pouvoir accéder aux données stockées dans les bases est longue. Ce qui est également un motif d’inquiétude.

• Au titre des autorités sanitaires, pourraient y accéder : Le ministre chargé de la santé ; l’Agence nationale de santé publique ; les organismes de l’Assurance maladie, les agences régionales de santé.

 

• Pourraient également y accéder : le service de santé des armées ; les communautés professionnelles territoriales de santé ; les établissements de santé, sociaux et médico‑sociaux, les équipes de soins primaires (il s’agit des équipes construites sur la base d’un projet de santé spécifique); les maisons de santé, les centres de santé, les services de santé au travail; les médecins prenant en charge les personnes concernées ; les pharmaciens ; les dispositifs d’appui à la coordination des parcours de santé complexes; ainsi que les laboratoires et services autorisés à réaliser les examens de biologie ou d’imagerie médicale pertinents sur les personnes concernées.

Il faut souligner que toutes ces personnes interviennent dans le système de santé et sont donc, en principe, soumises au secret professionnel en vertu de l’article L. 1110-4 du Code de la santé publique. Le projet de loi précise tout de même que « les personnes ayant accès à ces données sont soumises au secret professionnel. En cas de révélation d’une information issue des données collectées dans ce système d’information, elles encourent les peines prévues à l’article 226‑13 du Code pénal ».

La longueur de cette liste est également un sujet d’inquiétude à propos duquel le Conseil constitutionnel s’est prononcé, estimant que l’étendue de la liste était justifiée par « la masse de démarches à entreprendre pour organiser la collecte des informations nécessaires à la lutte contre le développement de l’épidémie »²⁷. Il a néanmoins partiellement censuré cette disposition en ce qui concernait la possibilité pour les organismes assurant l’accompagnement social des individus d’accéder aux données, considérant que cet accompagnement ne relevait pas de la lutte contre le virus. Il reviendra ensuite à la CNIL de formuler son avis à propos de cette liste.

Pourquoi et dans quel cadre la CNIL doit-elle se prononcer ?

Pour mettre en œuvre le système d’information et ses bases de données, il ne suffit pas d’aménager le secret professionnel. Il faut également s’assurer du respect des dispositions du RGPD et de la loi informatique et libertés, car les informations issues de la prise en charge des malades sont également, des données d’une particulière sensibilité.

Celles-ci sont d’autant plus sensibles que le suivi des personnes inclut l’utilisation du numéro d’identification numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (le NIR), plus connu comme le numéro de sécurité de sociale. Indépendamment du traitement de données de santé, ce numéro étant le seul permettant d’identifier une personne, de sa naissance jusqu’après sa mort, son utilisation justifie à elle seule l’exigence d’un décret en Conseil d’État pris après avis motivé de la CNIL²⁸.

Le Conseil d’État, dans son avis sur le projet de loi prorogeant l’état d’urgence sanitaire et complétant ses dispositions, rendu le 1^er mai 2020, rappelle d’ailleurs que l’intervention de la CNIL se situe, non au stade de la loi en cause, puisque « ces dispositions ne déterminent pas dans leurs caractéristiques essentielles, les conditions de création ou de mise en œuvre d’un traitement »,²⁹ mais au stade de la mise en œuvre par décret.

Autrement dit, pour que la CNIL puisse se prononcer, il faut que la mise en œuvre du traitement soit détaillée. Ce qui sera l’objet des futurs décrets.

Dès lors, la CNIL analysera les conditions du respect de l’obligation de confidentialité qui incombe à tout responsable de traitement : il s’agit de vérifier que seules les données nécessaires aux finalités du traitement sont accessibles ; qu’elles ne sont accessibles qu’aux personnes autorisées à les recevoir et que l’accès par ces personnes est justifié par les finalités du traitement.

Ainsi, il incombera à la Commission de vérifier les conditions techniques et organisationnelles concourant au respect des dispositions du RGPD et de la loi informatique et libertés.

Et si le dispositif est inefficace ?

Parmi les motifs de réticence à la mise en œuvre des dispositifs de suivi des malades du Covid-19³⁰, la question de leur efficacité fait grandement débat. Si elle se pose de manière évidente pour l’application mobile StopCovid, elle pourrait également se poser pour le système d’information destiné à identifier les personnes atteintes ou suspectées d’être atteintes du virus. C’est encore la CNIL qui sera chargée d’analyser ce point. En effet, l’efficacité du traitement est une condition de sa licéité : en l’absence du consentement de la personne, les données « sensibles », dont les données de santé, ne peuvent être traitées que pour une finalité déterminée. Le système d’information en cause sera sans doute basé sur l’article 9 i) du RGPD car : « nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé », il faudra donc qu’il serve efficacement cette finalité.

Quel est le lien avec l’application StopCovid ?

Pour l’heure, il est difficile d’exclure toute possibilité de lien entre les deux dispositifs, l’un pouvant parfaitement servir à nourrir l’autre³¹. Néanmoins, il est expressément mentionné par le texte de loi que sont exclus des finalités du système d’information « le développement ou le déploiement d’une application informatique à destination du public et disponible sur équipement mobile permettant d’informer les personnes du fait qu’elles ont été à proximité de personnes diagnostiquées positives au covid‑19 ».