AgentPublic/cnil huggingface dataset:
S'agissant des données qui seraient susceptibles d'être transmises à la CNAM et à la PDS, la commission estime, au vu notamment des finalités et des durées de conservation prévues tant dans le projet de décret que dans l'arrêté du 23 mars 2020, que les données de Contact Covid n'auront vocation à intégrer le système national des données de santé (SNDS) ou un entrepôt pérenne au sein de la PDS, que dans l'hypothèse où le droit commun l'autoriserait. A défaut de modification du cadre juridique applicable à la PDS et au SNDS à l'issue la durée de conservation prévue par le projet de décret, l'ensemble des données collectées pendant cette période devra être détruit.
La commission précise par ailleurs que les traitements mis en œuvre à partir des données transmises à la CNAM et à la PDS ne pourront, en dehors de la réalisation de nouvelles formalités, être mis en œuvre au-delà de l'état d'urgence sanitaire déclaré à l'article 4 de la loi du 23 mars 2020, comme le prévoit l'arrêté du 23 mars 2020.
Sur les droits des personnes :
La base légale de l'intérêt public sur laquelle repose le traitement rend applicable l'ensemble des droits prévus par le RGPD au bénéfice des personnes, à l'exclusion du droit à la portabilité.
La commission relève que, au-delà du caractère volontaire de la participation aux enquêtes, le projet de décret exclut le droit d'opposition, qui doit s'analyser comme la faculté, prévue par l'article 23 du RGPD, de limiter les droits des personnes pour, notamment, des objectifs importants de santé publique. Seul un droit d'opposition des personnes quant à la transmission de leurs données à la PDS est prévu.
Au vu des explications qui lui ont été fournies, notamment sur le risque de fragiliser l'identification de cas contacts et des chaines de contamination, la commission ne remet pas globalement en cause ce choix. Cependant elle invite le Gouvernement à minimiser les cas d'exclusion du droit d'opposition. De plus, elle souligne que cela renforce la nécessité de mettre en œuvre un mécanisme d'archivage intermédiaire des données afin, notamment, que les cas contact qui souhaiteraient ne plus voir rendues accessibles leurs données aux enquêteurs soient rapidement retirés de la base active.
La commission relève qu'un droit d'opposition est également prévu au bénéfice des patients 0 pour la divulgation de leur identité aux personnes contact. Le ministère a précisé que cette disposition, contraire au principe du consentement à la révélation de l'identité prévue à l'article 2 (I-1°-l), serait supprimée. La commission en prend acte et invite ainsi le ministère à faire mention du droit au retrait du consentement.
La commission attire l'attention du responsable de traitement sur la parfaite information qui devra être donnée aux personnes concernées quant au traitement de leurs données à caractère personnel, tant en cas de collecte directe ( patient 0 ) qu'en cas de collecte indirecte ( cas contacts ). A ce titre, une information précise et adaptée devra être apportée aux personnes concernées, dans un contexte sanitaire particulier.
Concernant le droit d'accès des personnes, la commission rappelle que celui-ci devra couvrir également les données de traçabilité afin d'assurer aux personnes concernées un très haut niveau de transparence. Ainsi, les personnes devraient pouvoir accéder au détail des opérations effectuées sur leurs données, à l'exclusion des données qui pourraient permettre l'identification des personnes habilitées ayant réalisé lesdites opérations.
Enfin, la commission relève que le projet de décret ne prévoit pas la mise en œuvre de procédés de décision automatisée (utilisation de traitements algorithmiques tels que ceux dits d' intelligence artificielle ) ou de profilage.
Sur les mesures de sécurité :
A titre liminaire, au vu de la nature et du volume des données traitées ainsi que des risques pour les personnes en cas d'atteinte à la sécurité des données, la commission estime incontournable qu'un socle minimal de mesures de sécurité soit mis en place afin de garantir un niveau de sécurité à l'état de l'art du secteur de la santé. A cet égard, la commission rappelle que le respect de l'obligation de sécurité prévue à l'article 5-1-f et à l'article 32 du RGPD constitue une condition de licéité du traitement et souligne l'importance des mesures techniques et organisationnelles permettant d'assurer, notamment, la confidentialité des données, la traçabilité des actions et leur imputabilité. La commission considère donc que la mise en œuvre du traitement Contact Covid devra en particulier garantir la maîtrise de l'authentification des personnes et de la traçabilité des actions des utilisateurs.
A cet égard, la commission relève qu'une AIPD est en cours de réalisation par l'assurance maladie. Elle estime que l'ensemble des risques résiduels majeurs identifiés à ce jour devra être traité avant la mise en œuvre de l'application.
Concernant les modalités d'authentification des personnes, la commission relève que le dispositif prévu par le projet de décret autorise l'authentification par identifiant et mot de passe seuls, ce qui n'est pas conforme aux préconisations de la PGSSI-S et aux recommandations de la commission concernant l'accès à des données de santé. La commission estime préférable que l'ensemble des personnes habilitées à accéder aux données traitées utilise un mécanisme d'authentification forte comportant plusieurs facteurs d'authentification.
Si la mise en place d'une telle mesure devait être différée compte tenu de délais de mise en œuvre, la commission invite le ministère à s'assurer a minima que la politique de mot de passe prévue sera conforme à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, ainsi qu'à réaliser une surveillance renforcée du traitement afin de détecter toute utilisation anormale dès l'ouverture du service.
Par ailleurs, en cas d'ouverture du traitement à des personnes d'autres entités, la commission relève que les risques de contournement des mesures d'authentification seraient amplifiés et qu'une telle ouverture ne pourrait se faire que dans des conditions d'authentification parfaitement à l'état de l'art.
Concernant la traçabilité des actions, la commission relève que le décret prévoit la mise en place de mesures de traçabilité afin de permettre d'imputer de façon fiable toute opération réalisée par les personnes habilitées, y compris les opérations de recherche de patients ou de cas contact. Ces mesures de traçabilité sont applicables aux personnes listées à l'article 3 du projet de décret. Compte tenu des limitations en matière de gestion des accès et des habilitations, la commission estime que les mesures de traçabilité constituent l'une des pierres angulaires de la sécurité des traitements autorisés par le projet de décret.
En conséquence, celui-ci devrait prévoir la mise en place d'un mécanisme de surveillance et de scellement des traces, par exemple via des systèmes de détection automatique des connexions anormales ainsi que par la mobilisation d'équipes opérationnelles dédiées à l'analyse de ces traces de connexion, afin de garantir que d'éventuelles opérations illégitimes soient non seulement tracées mais effectivement détectées. A ce titre, la commission prend acte de ce qu'une supervision centralisée par un centre de sécurité opérationnel avec une gestion des alertes de sécurité est prévue et considère que ce système de supervision devrait inclure les alertes concernant la traçabilité des accès.
Concernant le système d'information national de dépistage SI-DEP :
Sur les finalités :
L'article 7 du projet de décret précise que le système d'information SI-DEP a pour finalités :
- de centraliser les résultats d'examens de dépistage du SARS-CoV-2 afin de les mettre à disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées ;
- de réaliser des enquêtes sanitaires en présence de cas groupés pour rompre les chaînes de contamination ;
- d'orienter, de suivre et d'accompagner les personnes concernées ;
- de faciliter le suivi épidémiologique aux niveaux national et local et la recherche sur le virus, de même que les moyens de lutter contre sa propagation.
La commission considère que les finalités prévues par le projet de décret s'inscrivent dans celles prévues à l'article 6 (II) du projet de loi prorogeant l'état d'urgence sanitaire et qu'elles sont déterminées, explicites et légitimes, conformément à l'article 5-1-b du RGPD.
Au vu de l'ampleur du traitement et de la sensibilité des données qui y seront traitées, la commission rappelle que ces finalités doivent s'entendre strictement et que tout usage des données qui ne s'inscrirait pas dans celles-ci est sanctionné pénalement.
Sur la responsabilité de traitement et la sous-traitance :
La CNIL prend acte de ce que le responsable de traitement du SI-DEP est le ministère, l'AP-HP étant désignée comme sous-traitant.
La commission rappelle qu'une convention devra être conclue avant toute mise en œuvre du traitement conformément à l'article 28 du RGPD.
Sur les catégories de données :
L'article 8 du projet de décret prévoit la collecte de données concernant la santé et de données relatives à l'identification (notamment le NIR), aux coordonnées et à la situation de la personne testée, à l'identification et aux cordonnées des médecins, aux caractéristiques techniques du prélèvement et aux résultats des analyses biologiques, comprenant un QR-code. Des données sont également collectées s'agissant de la personne de confiance qui aura été désignée par la personne faisant l'objet d'un examen de dépistage.
La commission relève, parmi les données collectées s'agissant de la situation des personnes concernées, une information relative aux personnes résidant en hébergement collectif . Elle invite le ministère à clarifier cette notion, notamment si elle devait comprendre, par exemple, des lieux de privation de liberté, ou encore des foyers ou centres d'accueil.
Elle s'interroge par ailleurs sur ce que recouvrent les termes autre information technique relatifs aux caractéristiques du prélèvement et recommande que cette information soit précisée ou supprimée. En ce sens, elle prend acte de l'engagement du ministère de ne pas prévoir de recueil d'informations dans des zones de texte libre.
Concernant les informations relatives aux résultats des analyses biologiques, la commission relève que la transmission du compte rendu d'analyse est prévue. Dans la mesure où son contenu n'est pas précisé dans le projet de décret, elle appelle l'attention du ministère sur le fait que la transmission de ce document ne doit pas avoir pour conséquence de révéler des informations qui ne seraient pas nécessaires eu égard aux finalités du traitement.
S'agissant du QR-code, la commission relève que si celui-ci ne contient pas de données identifiantes en tant que telles, le traitement envisagé a bien pour objet d'attribuer de façon unitaire un QR-code aux personnes testées comme positives. En conséquence, une fois cette attribution réalisée, le QR-code ne peut donc être considéré comme anonyme. La commission demande donc au ministère de supprimer le terme anonyme du projet de décret sur ce point.
S'agissant enfin des données de la personne de confiance, la commission demande que le projet de décret précise les modalités du recueil de ces données, en précisant les cas dans lesquels leur collecte serait nécessaire.
Sur le traitement du NIR, la commission prend acte de ce que le projet de décret en prévoit la possibilité, s'agissant de personnes et de finalités non prévues par les dispositions du code de la santé publique ou les dispositions du décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire. La commission prend acte de ce que cette collecte est justifiée par des motifs d'identitovigilance.
Sous ces réserves, la commission considère que ces catégories de données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l'article 5-1-c du RGPD.
Sur les destinataires des données :
L'article 9 du projet de décret prévoit limitativement les personnes qui peuvent accéder ou être destinataires des données contenues dans l'application SI-DEP.
La commission relève que le projet de décret autorise de nombreux organismes à être destinataires des données, pseudonymisées ou non, contenues dans SI-DEP, pour certains usages déterminés.
En premier lieu, sans remettre en cause la légitimité de ces accès, elle attire l'attention des organismes concernés sur la nécessité pour eux de définir une politique d'habilitation de leurs agents très stricte afin que seuls ceux qui en ont besoin accèdent à SI-DEP. Les habilitations délivrées doivent être régulièrement revues, notamment pour intégrer les éventuels départs ou changement d'affectation des agents. Il appartiendra au ministère de la santé ou, sous ses instructions, à son sous-traitant, de paramétrer ces accès en écriture et en lecture selon les fonctions de chacun des organismes ou personnes autorisés par le décret. Cette matrice d'habilitation doit être un élément central de l'AIPD.
En deuxième lieu, plus spécifiquement, la commission relève notamment qu'il est prévu que les enquêteurs auront accès à l'ensemble des données mentionnées à l'article 8 du projet de décret.
Elle considère cependant que l'accès de l'ensemble de ces personnes à l'ensemble des données, pour certaines desquelles une dérogation au secret médical a dû être aménagée par le législateur, n'apparaît pas nécessaire.
En ce sens, à titre d'exemple, le numéro du prélèvement et le compte rendu d'analyse ne paraissent pas nécessaires à la réalisation des investigations sur les personnes ayant été en contact avec des personnes testées positives au SARS-CoV-2.
Elle attire donc l'attention du ministère sur la nécessité de justifier, pour chaque catégorie de données dont le traitement est envisagé, du besoin d'en connaître de chaque catégorie de destinataires.
La commission estime qu'en cas d'impossibilité de définir des conditions d'accès limitées, notamment pour des besoins opérationnels impératifs, des mesures extrêmement protectrices doivent être mises en place.
Chaque organisme dont les agents (organismes d'assurance maladie, ARS, service de santé des armées, etc.) ou personnels (laboratoires privés de biologie médicale, pharmaciens, personnes placées sous l'autorité d'un médecin) seront autorisés à consulter ou enregistrer des données, devra avoir sensibilisé ceux-ci à leurs obligations : protection des données à caractère personnel, respect du secret professionnel, risques de sanctions pénales encourues en cas de détournement du traitement. Il serait pertinent qu'un engagement formalisé de respecter ces principes soit obtenu préalablement à l'habilitation. A ce titre, une information claire et complète devra leur être apportée sur les dispositifs de traçage des accès mis en place, permettant un contrôle régulier de l'utilisation des données contenues dans le traitement.
En troisième lieu, s'agissant de l'accès aux données par les personnels habilités de l'Agence nationale de santé publique (ANSP), la commission relève qu'il est prévu pour deux finalités distinctes, nécessitant la transmission de données d'une granularité différente. Ainsi les personnels de l'ANSP accéderaient, sous réserve d'habilitation :
- à l'ensemble des données listées à l'article 8 du projet de décret nécessaires à la réalisation des investigations sur les personnes ayant été en contact avec des personnes testées positives au SARS-CoV-2, au suivi et à l'accompagnement des personnes et à la réalisation des enquêtes sanitaires, comprenant possiblement des données nominatives ;
- dans le cadre de ses missions de surveillance épidémiologique, à des données pseudonymisées.
La commission attire l'attention du ministère sur la nécessité de distinguer les habilitations.
En quatrième lieu, le projet de décret prévoit que des organismes compétents en matière de santé publique (Agence nationale de santé publique, ministère de la santé [DREES], PDS, etc.) peuvent être destinataires de certaines données sous forme pseudonymisée . La commission attire l'attention du Gouvernement sur le fait que cette transmission devra être conforme à la loi telle qu'elle sera promulguée.
Elle relève en outre que la liste précise des données transmises n'est pas détaillée dans le projet de décret, et demande donc qu'il soit complété afin de mentionner la liste précise des données susceptibles d'être transmises à chaque organisme dans ce cadre.
S'agissant de la transmission d'informations à la CNAM et à la PDS, la commission prend acte qu'elle interviendra dans le strict respect des dispositions de l'arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire. Dès lors, il conviendra de s'assurer que les finalités des traitements qui seraient mis en œuvre dans ce cadre s'inscriront tant dans les finalités prévues par le projet de décret que par celles prévues par l'arrêté. La commission rappelle en outre que les seules données qui pourront être transmises dans ce cadre sont celles listées dans l'arrêté.
Sur l'information et les droits des personnes concernées :
La commission attire l'attention du ministère sur la nécessité de prévoir des modalités permettant une diffusion auprès de l'ensemble des personnes concernées d'une information claire, transparente et pédagogique.
En ce sens, elle invite le ministère à prévoir :
- la mise à disposition des laboratoires d'analyses et des médecins d'un document d'information, contenant l'ensemble des mentions prévues par l'article 13 du règlement général sur la protection des données, qui pourrait être remis aux personnes qui ne disposeraient pas d'un accès à Internet ou qui souhaiteraient disposer d'un tel document ;
- sur l'ensemble des supports d'information, la mention d'une adresse postale, en plus d'une adresse électronique, afin de permettre aux personnes concernées de demander des informations sur le traitement et d'exercer les droits par cette voie également.
La commission relève que le projet de décret exclut le droit d'opposition, ce qui doit s'analyser comme la mise en œuvre de la faculté, prévue par l'article 23 du RGPD, de limiter en particulier les droits des personnes pour notamment des objectifs importants de santé publique. Seul est prévu un droit d'opposition des personnes quant à la transmission de leurs données à la CNAM et à la PDS pour des traitements qui seraient mis en œuvre à des fins de recherche.
Elle invite à en informer très clairement les personnes concernées. Elle invite par ailleurs le ministère à prévoir des modalités permettant à chaque personne concernée de faire exercice de son droit d'opposition à la transmission d'informations à la CNAM et à la PDS de santé dès la création de la fiche la concernant dans le SI-DEP, par exemple par l'ajout d'une case à cocher par le personnel du laboratoire d'analyses.
Sur la durée de conservation :
Le projet de décret prévoit que les données sont conservées dans le traitement SI-DEP pendant une durée maximale d'un an à compter de la date de la publication de la loi prorogeant l'état d'urgence sanitaire.
Si la commission ne sous-estime pas l'intérêt, dans une logique notamment de politique sanitaire et dans un contexte évolutif de connaissances sur l'épidémie, de conserver les données ainsi collectées pour une période d'un an, elle relève que cette durée est fixée de manière générale, sans distinction des catégories de données traitées, des personnes qu'elles concernent ou des finalités pour lesquelles elles sont traitées. Elle souhaite, à l'issue de trois mois d'usage du dispositif, que la pertinence de cette durée indifférenciée fasse l'objet d'une évaluation et que la possibilité de supprimer certaines catégories de données soit étudiée.
S'agissant des données qui seraient susceptibles d'être transmises à la CNAM et à la PDS, la commission estime, au vu notamment des finalités et des durées de conservation prévues tant dans le projet de décret que dans l'arrêté du 23 mars 2020, que les données de SI-DEP n'auront vocation à intégrer le système national des données de santé (SNDS) ou un entrepôt pérenne au sein de la PDS, que dans l'hypothèse où le droit commun l'autoriserait. A défaut de modification du cadre juridique applicable à la PDS et au SNDS à l'issue de la durée de conservation prévue par le projet de décret, l'ensemble des données collectées pendant cette période devra être détruit. La commission précise par ailleurs que les traitements mis en œuvre à partir des données transmises à la CNAM et à la PDS ne pourront, en dehors de la réalisation de nouvelles formalités, être mis en œuvre au-delà de l'état d'urgence sanitaire déclaré à l'article 4 de la loi du 23 mars 2020, comme le prévoit l'arrêté du 23 mars 2020.
Sur les mesures de sécurité :
A titre liminaire, la commission estime qu'au vu de la nature, du volume des données traitées et des risques pour les personnes en cas d'atteinte à la sécurité des données, il apparait incontournable qu'un socle minimal de mesures de sécurité soit mis en place afin de garantir un niveau de sécurité à l'état de l'art applicable aux données de santé. A cet égard, la commission rappelle que le respect de l'obligation de sécurité prévue à l'article 5-1-f et à l'article 32 du RGPD constitue une condition de licéité du traitement et souligne l'importance des mesures techniques et organisationnelles permettant d'assurer notamment la confidentialité des données, la traçabilité des actions et leur imputabilité. La commission considère donc que la mise en œuvre du traitement SI-DEP devra en particulier garantir la maîtrise de l'échange et l'hébergement des données, de l'authentification des personnes et de la traçabilité des actions des utilisateurs.
La commission relève qu'une AIPD est en cours de réalisation par le ministère.
Concernant l'échange et l'hébergement des données, la commission prend acte de ce que les données transmises par les laboratoires de biologie médicale, les concentrateurs de données et les organismes externes feront l'objet de mesures de chiffrement à l'état de l'art, et que les bases de données ainsi que les sauvegardes du traitement seront chiffrées. Elle rappelle que des algorithmes cryptographiques à l'état de l'art doivent être utilisés et recommande que la mise en œuvre de cette mesure de sécurité fasse partie des priorités du ministère.
Concernant les modalités d'authentification des utilisateurs habilités à accéder aux traitements, la commission prend acte du recours à une authentification forte utilisant un mot de passe et un code à usage unique pour l'accès de certaines catégories de personnes habilitées, qu'elle estime souhaitable pour l'ensemble des personnes habilitées à accéder aux données. Elle relève également que les patients testés peuvent être avertis du résultat de leur analyse par SI-DEP. Elle prend note de ce que le ministère s'engage à ce que les modalités d'authentification des patients préalablement à l'accès à leurs résultats soient rendues conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.