Publié au Journal Officiel le 16 février dernier et entrant en vigueur le même jour, le décret n°2023-99 du 15 février 2023[1] apporte des modifications sur les traitements de données à caractère personnel en lien avec la Covid-19.
Quel est le contexte ?
Ces modifications font suite à la loi n°2022-1089 du 30 juillet 2022, et plus particulièrement son article II. 2. qui a mis fin aux « régimes d’exception créés pour lutter contre l’épidémie de la Covid-19 ». Cet article limite la possibilité de mettre en œuvre des SI « dédiés à la lutte contre la Covid-19 aux seules fins d’identification de personnes infectées par le virus de la covid-19 et de délivrance d’un justificatif d’absence de contamination par la covid-19 ou d’un certificat de rétablissement, sous réserve du consentement des personnes, ainsi que de surveillance épidémiologique aux niveaux national et local et de recherche sur le virus et les moyens de lutter contre sa propagation ».
En quoi consistent concrètement les modifications apportées par le décret ?
La première modification consiste en l’abrogation des dispositions concernant « Contact Covid ». En conséquence, le traitement des données à caractère personnel « Contact Covid » est supprimé.
La seconde modification est relative aux caractéristiques du traitement « SI-DEP » et des traitements mis en œuvre par les agences régionales de santé pour lutter contre l’épidémie.
A titre d’exemples, concernant plus particulièrement le traitement « SI-DEP » :
- Il est désormais limité aux finalités suivantes : (i) « faciliter la surveillance épidémiologique aux niveau national et local, ainsi que la recherche sur le virus et sur les moyens de lutter contre sa propagation » ; (ii) « sous réserve du consentement des personnes concernées au partage à cette fin de leurs données à caractère personnel, générer et envoyer aux personnes concernées un justificatif d’absence de contamination par la covid-19 ou un certificat de rétablissement (…) » ;
- Cette seconde finalité illustre pleinement la limitation des possibilités de traitement des données personnelles dans le cadre du « SI-DEP » : alors que le consentement des personnes intéressées n’était pas, de façon générale, requis, il doit désormais être recueilli pour cette finalité particulière.
- « Le code postal du lieu dans lequel la personne envisage de séjourner pendant les sept jours suivant la réalisation du dépistage », ainsi que les données d’identification et coordonnées des médecins sont supprimés des catégories de données ;
- Le médecin traitant ou le médecin ayant prescrit l’examen ne fait plus partie de la liste des destinataires autorisés à recevoir les résultats d’examens ;
- Plus généralement, les médecins traitants et les professionnels de santé prescripteurs, les agents des agences régionales de la santé et leurs sous-traitants, « les agents, spécialement habilités par le responsable de chaque organisme ou établissement concerné, de l’Agence nationale de santé publique, des organismes nationaux et locaux d’assurance maladie, de la caisse nationale militaire de sécurité sociale et du service de santé des armées », mais également « les agents des services préfectoraux, spécialement habilités par le représentant de l’Etat dans le département et individuellement désignés, » ne sont plus des destinataires des données enregistrées dans le traitement ;
- Le droit d’opposition des personnes concernées ne s’applique pas pour le traitement ayant pour finalité de « faciliter la surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et sur les moyens de lutter contre sa propagation » ; par exception, les personnes concernées peuvent s’opposer à la transmission de leurs données à la « plateforme des données de santé » et à la Caisse nationale de l’assurance maladie.
Les professionnels de santé et les établissements de santé sont donc amenés à revoir l’organisation des traitements de données personnelles liées à lutte contre la covid-19.
Source : ici
[1] Ce décret modifie le décret n°2020-551 du 12 mai 2020 relatif aux systèmes d’information mentionnés à l’article 11 de la loi n°2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions, et le décret n°2020-1690 du 25 décembre 2020 autorisant la création d’un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19.
