Contact tracing : le texte final renforce protection des données et devoirs des professionnels (loi)

Le texte de la CMP énonce que le directeur général de l'Uncaml'Union nationale des caisses d'assurance maladie, Nicolas RevelNicolas Revel, « peut, en tant que de besoin, fixer les modalités de rémunération des professionnels de santé conventionnés participant à la collecte des données nécessaires au fonctionnement des systèmes d’information mis en œuvre pour lutter contre l’épidémie » mais que la collecte de ces données « ne peut faire l’objet d’une rémunération liée au nombre et à la complétude des données recensées pour chaque personne enregistrée ».

Cette disposition issue d’un amendement du gouvernement est un compromis trouvé après qu’un amendement LREM adopté en commission à l’Assemblée a voulu interdire la rémunération de  la collecte des données, jugée « non seulement contre-productive mais aussi moralement répréhensible ». Le CnomConseil national de l'ordre des médecins avait également demandé dans un communiqué daté du 7 mai de « déclarer ces données comme incessibles et ne pouvant faire l’objet d’une rémunération ».

Le texte final énonce à l’alinéa 1 que « des données à caractère personnel concernant la santé relatives aux personnes atteintes par [le] virus et aux personnes ayant été en contact avec elles » peuvent être « traitées et partagées (…) pour la durée strictement nécessaire » à la lutte contre l’épidémie ou, « au plus, pour une durée de six mois à compter de la fin de l’état d’urgence sanitaire ». Cette version est un compromis entre le texte adopté au Sénat qui évoquait « la durée de l’état d’urgence sanitaire » et celle de l’Assemblée, qui ouvrait cette possibilité pour « la durée strictement nécessaire à cet objectif ou, au plus, pour une durée de neuf mois à compter de la publication » de la loi.

Le texte de la CMP précise que les données à caractère personnel collectées par les systèmes d’information de contact tracing « ne peuvent être conservées à l’issue d’une durée de trois mois après leur collecte » et que la prorogation des systèmes d’information au-delà de la durée prévue au premier alinéa « ne peut être autorisée que par la loi ».

L’alinéa 11 énonce que si les fichiers peuvent servir à « la surveillance épidémiologique » et à « la recherche sur le virus », ce ne peut être le cas que « sous réserve, en cas de collecte d’informations, de supprimer les nom et prénoms des personnes, leur numéro d’inscription au répertoire national d’identification des personnes physiques (RNIPP) [numéro de Sécurité sociale] et leur adresse ». Cette disposition est issue d’un amendement du gouvernement adopté en séance à l’Assemblée, qui donne une définition de l’anonymisation requise par un amendement LREM adopté en commission.

La CMP a par ailleurs rétabli la nécessité d’un avis conforme de la Cnil pour la fixation des modalités d’application de l’article 6 par décrets en Conseil d’État : cette disposition avait été votée par le Sénat et supprimée à l’Assemblée sur amendement du gouvernement. L’exécutif précisait dans l’exposé des motifs que « , comme le Conseil constitutionnel l’a affirmé à plusieurs reprises, il est contraire à l’article 21 de la Constitution de subordonner l’exercice par le Premier ministre du pouvoir réglementaire qu’il tient de cet article à l’avis conforme d’une autorité administrative ».

La CMP a enfin conservé les alinéas introduits en commission à l’Assemblée par un amendement LREM imposant que les deux chambres soient « informées sans délai  » des mesures « mises en œuvre par les autorités compétentes en application de l’ensemble des dispositions » de l’article 6 avec  « copie de tous les actes » pris « en application de ces dispositions », et que le gouvernement « adresse au Parlement un rapport détaillé de l’application de ces mesures tous les 3 mois à compter de la promulgation » de la loi et « jusqu’à la disparition des systèmes d’information » en question « complétés d’un avis public » de la Cnil.