AgentPublic/cnil huggingface dataset:
Le projet, résultant d’une saisine rectificative adressée à la Commission sur un projet de décret soumis à son examen le 2 décembre 2021, vise principalement à modifier l’article 2 du décret n° 2020-1690 du 25 décembre 2020 relatif au système d’information Vaccin Covid afin d’y ajouter l’information, au moyen d’une case à cocher, d’une vaccination contre la grippe faite concomitamment à celle contre la covid-19.
Au vu des précisions fournies par le ministère, la Commission précise que la collecte de cette information est déjà mise en œuvre. Elle rappelle néanmoins qu’une telle collecte n’aurait dû intervenir, que postérieurement à la modification du cadre réglementaire applicable au traitement concerné.
La Commission souligne que l’ajout de nouvelles données, sans lien direct avec la vaccination contre la covid-19, doit être limité et particulièrement justifié afin de ne pas changer la nature même du traitement Vaccin Covid .
Selon les précisions du ministère, la recommandation visant à effectuer une double vaccination contre la grippe et la Covid-19 fait suite à un avis de la Haute autorité de santé (HAS) en date du 27 septembre 2021, et vise à optimiser la couverture vaccinale contre ces deux épidémies, lutter contre les formes graves des deux maladies et permettre une meilleure gestion des épidémies par le système de santé. A ce titre, le ministère a précisé qu’outre les effets secondaires susceptibles d’apparaître, cette collecte était justifiée par un risque de diminution de la réponse immunitaire sur l’un ou l’autre des vaccins. L’arrêté du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire a donc été modifié le 5 novembre afin d’organiser la vaccination concomitante contre la covid-19 et contre la grippe saisonnière.
Selon les précisions du ministère, l’ajout de l’information selon laquelle une personne est concomitamment vaccinée contre la grippe et la covid-19 permet de poursuivre deux finalités : la mise en place d’un suivi de pharmacovigilance ainsi que la production de statistiques.
Sur la finalité liée à un objectif de pharmacovigilance
A titre liminaire, la Commission relève que la finalité poursuivie par le ministère, s’agissant de la pharmacovigilance, ne se limite pas à la seule gestion des suites de signalements d’événements indésirables, mais tend également à l’évaluation scientifique de ces éventuels effets. La modification permettrait par ailleurs aux professionnels de santé de disposer de cette information concernant patients qu’ils prennent en charge, notamment dans l’hypothèse où des événements indésirables seraient rapportés.
Selon les précisions du ministère, il n’est envisagé d’ajouter aux données contenues dans le système d’information Vaccin Covid qu’une simple case à cocher permettant d’indiquer qu’un vaccin contre la grippe saisonnière a été administré en même temps que celui contre la covid-19. La nécessité de cet ajout découlerait des avis n° 2021.0061/AC/SEESP du 23 août 2021 et n° 2021.0069/AC/SESPEV de la Haute autorité de santé.
Cette seule information ne permet donc pas, par exemple, d’obtenir des données concernant la dose de vaccin contre la grippe administrée (fabriquant, numéro de lot, etc.) ou de disposer d’informations sur l’administration d’un vaccin contre la grippe saisonnière effectuée antérieurement ou postérieurement à la vaccination contre la Covid-19.
Du fait du caractère très limité de cette information, dans l’hypothèse d’une enquête de pharmacovigilance, la Commission comprend que d’autres bases de données devront être consultées, notamment celles détenues par des pharmaciens ayant dispensé le produit ou encore le dossier médical du patient afin de disposer des informations nécessaires concernant les injections réalisées.
Au surplus, la direction du numérique des ministères chargés des affaires sociales, chargée de conserver certaines informations du système d’information Vaccin Covid afin d’en permettre l’accès aux professionnels de santé prenant en charge l’information de la personne vaccinée en cas d’identification de risques nouveaux, n’est pas destinataire de l’information relative à la double vaccination.
Enfin, la Commission rappelle qu’en l’état des systèmes d’information mis en œuvre pour les politiques de santé publique, il n’existe pas, par principe, de fichier centralisé pour chaque vaccination. La Commission souligne que la constitution d’une base centralisée concernant la vaccination contre la Covid-19 est intervenue dans un contexte de crise sanitaire lié à une épidémie particulièrement grave nécessitant l’organisation d’une campagne massive de vaccination. L’ajout d’une donnée relative à l’administration d’un vaccin contre la grippe simultanément au vaccin contre la Covid-19 constitue donc une extension significative des données enregistrées dans le système d’information Vaccin covid , qui ne saurait être autorisée que si son utilité est suffisamment établie.
Or, en l’état des éléments qui lui ont été communiqués, la Commission s’interroge sur l’utilité réelle de l’ajout de cette donnée au regard de la finalité de pharmacovigilance, eu égard au caractère très limité de l’information qu’elle permet de fournir. En outre, elle relève que, mis à part l’avis de la Haute autorité de santé, elle n’a reçu aucune précision sur les éventuelles études en cours sur l’interaction possible entre les deux vaccins lorsqu’ils sont administrés simultanément, ou sur les premiers résultats qui confirmeraient l’intérêt d’un enregistrement systématique et centralisé.
Sur la finalité liée à la production de statistiques
Au vu des éléments précédemment exposés concernant la pertinence de la donnée dont la collecte est envisagée, la Commission relève que la production de statistiques liées à la double vaccination pourrait être réalisée par des moyens autres que la constitution d’un fichier centralisé et général contenant à la fois des données de santé et des données identifiantes. Dans ces conditions, si l’information concernant une vaccination concomitante n’était pas retenue comme pertinente pour les finalités de pharmacovigilance, elle ne devra pas non plus être collectée pour des finalités purement statistiques.
 
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l’état d’urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Vu la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire ;
Vu la loi n° 2020-1379 du 14 novembre 2020 autorisant la prorogation de l'état d'urgence sanitaire et portant diverses mesures de gestion de la crise sanitaire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID ;
Vu le décret n° 2020-1018 du 7 août 2020 pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire et modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le décret n° 2020-1385 du 14 novembre 2020 modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le décret n° 2020-1387 du 14 novembre 2020 fixant la liste des professionnels de santé habilités à renseigner les systèmes d'information mentionnés à l'article 11 de la loi du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 ;
Vu l’arrêté du 10 juillet 2020 modifié prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé et notamment son article 30 ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
Dans le cadre de la stratégie de déconfinement progressif , la loi du 11 mai 2020 de prorogation de l’état d’urgence sanitaire a autorisé la création temporaire de deux fichiers nationaux : SI-DEP et CONTACT COVID1. Ces traitements de données à caractère personnel sont encadrés par un décret en Conseil d’Etat du 12 mai 2020 récemment modifié et qui précise leurs modalités de création et de mise en œuvre.
Au côté de ces fichiers, l’application mobile STOPCOVID , dont le traitement est encadré par le décret n° 2020-650 du 29 mai 2020, a été déployée. Celle-ci est aujourd’hui remplacée par l’application mobile TOUSANTICOVID .
 
Dans un contexte exceptionnel de crise sanitaire et d’urgence, la Commission a été amenée à se prononcer à plusieurs occasions sur le cadre normatif encadrant ces traitements : auditionnée à six reprises et ayant rendu neuf avis depuis mai 20202, elle a ainsi utilement éclairé les débats parlementaires autour des enjeux fondamentaux liés au respect de la vie privée et des données à caractère personnel. La Commission a également procédé à vingt-cinq contrôles depuis la mise en œuvre de ces dispositifs. Ses préconisations et constats ont été détaillés dans son premier avis, en date du 10 septembre 2020, relatif au fonctionnement de ces systèmes d’information3.
Ce deuxième avis de la Commission, rendu sur le fondement de l’article 11 de la loi du 11 mai 2020 modifiée, complète le second rapport trimestriel du Gouvernement qui sera adressé au Parlement et dont la Commission n’a pas encore eu connaissance. Cet avis s’attachera, notamment au regard des préconisations qu’elle a émises dans ses avis sur les projets de texte qui lui ont été soumis depuis août 2020 et de ses constatations lors des divers contrôles effectués, à rappeler les récentes évolutions du cadre normatif et à évaluer :
l’intérêt de ces traitements au regard de la situation sanitaire telle que décrite par le Gouvernement ;
les conditions opérationnelles de mise en œuvre de ces traitements.
ÉVOLUTIONS DU CADRE NORMATIF ET AVIS DE LA CNIL
Conformément à la loi, l’avis de la Commission a été sollicité par le Gouvernement sur les évolutions des textes encadrant la mise en œuvre des traitements liés à la crise sanitaire.
L’avis de la Commission sur les modifications apportées aux systèmes d’information SI-DEP et CONTACT COVID
La Commission avait, dans son avis du 10 septembre 2020 sur le fonctionnement des systèmes d’information, rappelé qu’elle devrait être saisie de toute modification qui y serait apportée.
La Commission a ainsi été saisie, en urgence, le 3 novembre 2020, d'un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 fixant les modalités dans lesquelles les systèmes d'information prévus à l'article 11 de la loi n° 2020-446 du 11 mai 2020 prorogeant l'état d'urgence sanitaire peuvent être mis en œuvre.
Le décret prévoyait notamment :
la prolongation de la durée de mise en œuvre des systèmes d'information CONTACT COVID et SI-DEP jusqu'à la date mentionnée à l'article 11 de la loi n° 2020-546 du 11 mai 2020, soit au plus tard jusqu’au 1er avril 2021 ;
l'allongement de la durée de conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche sur le virus jusqu'à la date mentionnée à l'article 11 de la loi n° 2020-546 du 11 mai 2020, soit au plus tard jusqu’au 1er avril 20214 ;
l'extension de la remontée des résultats à tous les examens de dépistage (sérologique ou virologique) réalisés par des professionnels de santé figurant sur une liste prévue par décret et habilités à la réalisation de ces tests.
Dans son avis du 5 novembre 20205, la Commission a réitéré certaines remarques émises dans son avis du 8 mai 2020, s’agissant notamment :
du caractère sensible, par nature, de la mise en œuvre de tels dispositifs qui permettent notamment le traitement et le partage de données de santé, pouvant être consultées par un grand nombre d'acteurs et nécessitant une protection supplémentaire ;
de l'atteinte portée à la vie privée par ces traitements, qui n'est admissible que si cette politique constitue une réponse nécessaire et appropriée pour ralentir la propagation de l'épidémie, impliquant que leur nécessité soit périodiquement réévaluée au vu de l'évolution de l'épidémie et des connaissances scientifiques ;
des garanties suffisantes qui doivent être apportées, quel que soit le contexte d'urgence, au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel.
 
Elle a également rappelé que :
des garanties doivent être mises en œuvre s’agissant du recours par les organismes nationaux et locaux d'assurance maladie, de la Caisse nationale militaire de sécurité sociale et des autres organismes de protection sociale à des sous-traitants et à des intérimaires pour l'enregistrement et la consultation de l'ensemble des données collectées. Elle a notamment pris acte de ce que le ministère s'est engagé à établir une liste exhaustive des sous-traitants auxquels il sera fait appel et a demandé que le responsable de traitement ait recours, pour le traitement des données, à des sous-traitants relevant exclusivement des juridictions de l'Union européenne et qu'aucun transfert de données ne soit effectué en dehors de l'Union européenne ;
pour les personnes pouvant consulter, enregistrer ou être destinataires des données :
des instructions claires et uniformes – reprenant les consignes des autorités sanitaires – devront être données à l'ensemble des intervenants et leurs sous-traitants quant à la définition des différentes notions utilisées dans le projet de décret qui justifient la collecte de données. La formation et la sensibilisation régulières des personnels qui sont amenés à intervenir sont en effet essentielles ;
il est nécessaire de définir une politique de gestion des habilitations adéquate et de mettre en œuvre des mesures d’authentification forte afin que seuls ceux qui ont besoin d'en connaître accèdent aux systèmes d’information, le ministère ayant été appelé à la vigilance sur ce point ;
 
l'ensemble des supports d'information relatifs aux traitements devra être modifié afin de tenir compte des modifications apportées et que l'ensemble des personnes concernées devra en être informé.
 
Dans son avis, la Commission s’est également interrogée sur la compatibilité de la durée légale de conservation des données pseudonymisées issues de CONTACT COVID et de SI-DEP transmises à des fins de surveillance épidémiologique et de recherche sur le virus6, avec l'hypothèse d'une intégration de ces dernières au système national des données de santé, dont la durée de conservation est de vingt ans en application de l'article L. 1461-1-IV-4° du code de la santé publique, ou de leur conservation dans un entrepôt pérenne au sein de la Plateforme des données de santé7.
Enfin, elle a demandé à ce que les analyses d'impact relatives à la protection des données (AIPD) réalisées en application de l'article 35 du RGPD et actualisées en conséquence lui soient transmises.
A ce titre, la Commission rappelle qu’en application de l’article 67 de la loi informatique et libertés modifiée (LIL), les traitements de données à caractère personnel mis en œuvre dans le domaine de la santé par les agences régionales de santé (ci-après ARS) et ayant pour seule finalité de répondre à une alerte sanitaire et d'en gérer les suites, doivent faire l’objet d’une AIPD.
Elle rappelle également que les dérogations prévues par l’article 67 de la LIL précitée, qui permettent à certains responsables de traitement de mettre en œuvre des traitements de données de santé sans effectuer de formalités préalables auprès de la Commission, notamment les ARS du dispositif CONTACT COVID ,prennent fin un an après la création des traitements. Des formalités devront donc être effectuées auprès d’elle dans l’hypothèse où les traitements de données seraient mis en œuvre durant plus d’une année.
Certaines observations de la Commission relatives au traitement CONTACT COVID ont été suivies, s’agissant des garanties apportées au recours aux sous-traitant par les organismes de protection sociale ainsi que la suppression de l’accès par l’ensemble des professionnels de santé et personnels habilités d’un établissement de santé ou social et médico-social aux données des personnes prises en charge par l’établissement, afin de limiter l’accès aux données des personnes effectivement prises en charge par ces professionnels et personnels.
La Commission a également pris acte de ce que la liste des données pseudonymisées transmises à des fins de surveillance épidémiologique et de recherche a été précisée, répondant ainsi aux demandes formulées dans ses avis du 8 mai 2020 et du 23 juillet 2020.
Elle relève toutefois que certaines remarques concernant le traitement SI-DEP n’ont pas été prises en compte, et plus particulièrement s’agissant de l’ajout de la durée de conservation des données par le Service public d’information en santé (SPIS) et de la précision que la collecte du code postal du lieu dans lequel la personne envisage de séjourner pendant les sept jours suivant la réalisation du dépistage est nécessaire afin de déterminer l'ARS territorialement compétente pour procéder aux enquêtes sanitaires et pour permettre à l'Agence nationale de santé publique France d'effectuer des statistiques géographiques précises.
Le système d’information VACCIN COVID
La Commission a été saisie pour avis le 30 novembre 2020 par le ministère des solidarités et de la santé d’un projet de décret en conseil d’Etat autorisant la création d’un système d’information (SI) pour la mise en œuvre, le suivi et le pilotage des campagnes vaccinales contre la covid-19 dénommé VACCIN COVID (SI VACCIN COVID ).
Ce traitement de données, mis en œuvre sous la responsabilité conjointe de la direction générale de la santé et de la Caisse nationale d’assurance maladie (CNAM), a pour finalités d’identifier les personnes éligibles à la vaccination au regard des recommandations du ministre de la santé, la gestion de la campagne vaccinale, la mise à disposition de données à des fins de calcul d’indicateurs et de recherche, la délivrance d’une information aux personnes concernées en cas de risque nouveau et leur orientation vers un parcours de soins adaptés, la prise en charge financière des actes liés à la vaccination.
La CNIL a, dans son avis du 10 décembre 2020, relevé que ce SI n’est pas fondé sur les dispositions applicables dans le cadre de l’état d’urgence et qu’il n’a pas vocation à s’étendre à d’autres vaccinations que celle contre le coronavirus SARS-CoV-2. Elle a également relevé qu’à terme, lorsque la campagne vaccinale sera étendue à l’ensemble de la population adulte tel qu’envisagé par le ministère, le SI VACCIN COVID comportera certaines données de santé d’une majeure partie de la population française. En effet, ce traitement sera alimenté, au fur et à mesure de l’extension de l’éligibilité à la vaccination, par des versements successifs de données issues des bases des régimes d’assurance maladie obligatoire et complétés par des professionnels de santé.
Elle a ainsi rappelé :
que les dispositions du code de la santé publique relatives au secret médical s’appliquent aux données traitées dans le cadre de ce SI et que seules les personnes habilitées et soumises au secret professionnel pourront y accéder dans les strictes limites de leur besoin d’en connaître pour l’exercice de leur mission ;
qu’une AIPD doit être effectuée avant la mise en œuvre du traitement.
Elle a invité le Gouvernement à préciser notamment :
les autres systèmes d’information avec lesquels le SI VACCIN COVID serait mis en relation et l’éventuel recours à une sous-traitance. Le cas échéant, la Commission invitait le ministère à diffuser ces informations, par exemple en les rendant publiques sur son site web ;
à des fins de transparence, la liste des données pseudonymisées pouvant être transmises aux destinataires identifiés ;
qu’aucune donnée traitée dans le cadre de ce SI ne serait transférée hors de l’UE ;
que le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) serait traité .
Si ces précisions n’ont pas été apportées au décret n° 2020-1690 publié le 25 décembre 2020, des modifications ont toutefois été apportées s’agissant de l’information des personnes concernées. Dans son avis, la Commission avait insisté sur la parfaite information des personnes, notamment concernant l’exercice de leurs droits. Le décret a été précisé s’agissant de l’information qui sera apportée aux personnes invitées à se faire vacciner, à celles ayant consenti à la vaccination et aux professionnels de santé participant à la vaccination.
La Commission a également été suivie s’agissant de la possibilité pour les personnes d’exercer leur droit d’opposition jusqu’à l’expression d’un consentement à la vaccination, ainsi que pour l’utilisation de leurs données à des fins de recherche. En pratique, le droit d’opposition pourra être exercé par les personnes concernées après la réception des bons de vaccination et, le cas échéant, jusqu’au recueil du consentement à la vaccination par un professionnel de santé. Une fois le consentement à la vaccination exprimé, les personnes concernées pourront uniquement s’opposer à la transmission de leurs données à la CNAM et à la Plateforme des données de santé à des fins de recherche. La Commission considère en effet qu’une fois la vaccination réalisée, le traitement des données répond à un objectif important d’intérêt public, notamment dans le cadre de la pharmacovigilance.
La Commission a précisé qu’elle sera vigilante quant aux conditions de mise en œuvre du SI VACCIN COVID et qu’elle exercera son pouvoir de contrôle.
L’application mobile TOUSANTICOVID 
 
Le Gouvernement a déployé, le 22 octobre 2020, une nouvelle version de son application de traçage des cas contacts pour lutter contre la propagation de la covid-19 en France.
L’application a fait l’objet d’évolutions
L’application 
TOUSANTICOVID
, qui vient remplacer STOPCOVID 8, a connu des évolutions successives suite aux annonces du Gouvernement le 22 octobre 2020.