Contact tracing : le Conseil constitutionnel restreint l’accès aux données et renforce l’anonymat

Paris - Publié le mardi 12 mai 2020 à 15 h 43 - n° 10936 « La collecte, le traitement et le partage d’informations [prévus par le « contact tracing »] portent atteinte au droit au respect de la vie privée » mais le législateur a poursuivi « l’objectif de valeur constitutionnelle de protection de la santé » et « fixé des conditions propres à assurer [que les mesures prévues] ne soient mises en œuvre que dans les cas [où elles sont] adaptées, nécessaires et proportionnées ». C’est ce qu’explique le Conseil constitutionnel pour déclarer conforme à la Constitution la loi « prorogeant l'état d’urgence sanitaire et complétant ses dispositions », votée le 9 mai 2020 par les deux chambres. Cette décision a été publiée au Journal officielJournal Officiel (JO) le 12 mai en même temps que la loi amendée.

Le Conseil a cependant censuré plusieurs dispositions du texte, et notamment de l’article 11 (initialement article 6) qui crée des systèmes d’informations dédiés au « contact tracing » :

• celle autorisant « les organismes qui assurent l’accompagnement social des intéressés dans le cadre de la lutte contre la propagation de l’épidémie » à « recevoir les données strictement nécessaires à l’exercice de leur mission » ;
• celle qui prévoit que le décret d’application de la loi « est pris après avis public conforme de la Commission nationale de l’informatique et des libertés » ;
• celle qui « impose aux autorités » de transmettre « sans délai » à l'Assemblée nationale et au Sénat une « copie de tous les actes » qu’elles prennent en application de l’article.

Les Sages ont par ailleurs émis des « réserves d’interprétation », demandant notamment que l’anonymisation des données utilisées pour « la surveillance épidémiologique et la recherche contre le virus » impose de supprimer non seulement « les nom et prénoms des intéressés, leur numéro d’inscription au répertoire national d’identification des personnes physiques et leur adresse » mais également leurs « coordonnées de contact téléphonique ou électronique ».

Respect de la vie privée et séparation des pouvoirs

« S’agissant d’un accompagnement social, qui ne relève donc pas directement de la lutte contre l'épidémie, rien ne justifie que la communication des données à caractère personnel traitées dans le système d’information ne soit pas subordonnée au recueil du consentement des intéressés », estime le Conseil constitutionnel. Il juge « contraire à la Constitution » l’inclusion dans le champ du partage des données des « organismes qui assurent l’accompagnement social des intéressés » estimant qu’elle « méconnaît le droit au respect de la vie privée ».
- Cette mesure a été introduite en séance publique au Sénat par un amendement du gouvernement qui visait « les services des collectivités territoriales, de l’État dans les territoires ou des associations » et précisait dans l’exposé des motifs qu’ « il ne s’[agissait] que de ceux chargés spécifiquement du suivi des intéressés dans le cadre de la crise sanitaire ».
« Le paragraphe V de l’article 11 prévoit que le décret d’application de la loi est pris après avis public conforme de la Commission nationale de l’informatique et des libertés » : les Sages déclarent cette disposition « contraire à la Constitution » qui énonce que « le Premier ministre exerce le pouvoir réglementaire à l'échelon national » et « n'[autorise] pas le législateur à subordonner à l’avis conforme d’une autre autorité de l'État l’exercice, par le Premier ministre, de son pouvoir réglementaire ».
- Cette disposition introduite en séance publique au Sénat sur amendement porté par des parlementaires de gauche et du centre a été supprimée à l’Assemblée par un amendement du gouvernement rappelant la jurisprudence du Conseil constitutionnel.
Les Sages affirment qu'« en prévoyant une transmission immédiate à l’Assemblée nationale et au Sénat d'une copie de chacun des actes pris en application de l’article 11 de la loi déférée », le législateur, « compte tenu du nombre d’actes en cause et de la nature des données en jeu[,] a méconnu le principe de séparation des pouvoirs » et « les articles 20 et 21 de la Constitution » définissant les prérogatives du Premier ministre et du gouvernement.
- Ils censurent comme « contraire à la Constitution » cette mesure introduite en commission à l’Assemblée par un amendement LREM.

Anonymisation des données et habilitation des agents

Le Conseil constitutionnel émet parallèlement trois « réserves d’interprétation », selon une technique qui lui permet de « déclarer une disposition conforme à la Constitution, à condition que cette disposition soit interprétée ou appliquée de la façon [qu’il] indique ».

Concernant la finalité « relative à la surveillance épidémiologique et la recherche contre le virus », la loi prévoit que « soient supprimés » « les nom et prénoms des intéressés, leur numéro d’inscription au répertoire national d’identification des personnes physiques et leur adresse ».
- Le Conseil estime que « sauf à méconnaître le droit au respect de la vie privée », « cette exigence de suppression doit également s'étendre aux coordonnées de contact téléphonique ou électronique des intéressés ». Les Sages exigent ainsi de préciser la définition de l’anonymisation donnée par un amendement du gouvernement adopté en séance à l’Assemblée.
Le Conseil estime en outre qu'« il appartiendra au pouvoir réglementaire de définir des modalités de collecte, de traitement et de partage des informations assurant leur stricte confidentialité et, notamment, l’habilitation spécifique des agents chargés, au sein de chaque organisme, de participer à la mise en œuvre du système d’information ainsi que la traçabilité des accès à ce système d’information ».
Alors que l’article 11 autorise les entités chargées du contact tracing (Assurance maladieCaisse nationale d'assurance maladie et ARSARSAgence régionale de santé) « à recourir, pour l’exercice de leur mission » dans le cadre du dispositif examiné, à « des organismes sous-traitants précisés par décret en Conseil d'État », le Conseil constitutionnel précise dans une « réserve d’interprétation » que ces sous-traitants « agissent pour leur compte et sous leur responsabilité » et que « pour respecter le droit au respect de la vie privée », ce recours aux sous-traitants « doit s’effectuer en conformité avec les exigences de nécessité et de confidentialité ».

Fin