AgentPublic/cnil huggingface dataset:
La CNIL a également observé que les informations recueillies par l’investigateur à la suite de l’appel téléphonique à un patient zéro afin d’identifier ses cas contacts sont renseignées dans un tableur. Ce fichier est ensuite adressé à la CNAM par une messagerie sécurisée de santé pour qu’elle reporte les données dans le téléservice CONTACT COVID . La Commission relève que cette pratique est prévue par les circulaires MINSANTE n° 99 et n° 155. Elle considère cependant qu’elle entraîne une dispersion des données dans les messageries. Les fichiers sont ensuite, au moins en partie, conservés dans les serveurs. Cette pratique n’est pas, faute de précaution suffisantes, de nature à garantir l’effectivité du respect de durées de conservation raisonnables. La Commission demande, par exemple, soit de cesser de transmettre des tableurs via des messageries sécurisées de santé et d’alimenter les données relatives aux cas contacts du patient zéro dans le logiciel CONTACT COVID prévu à cet effet, soit de procéder à la suppression immédiate des courriels contenant les tableurs à la suite de leur envoi via les messageries sécurisées de santé, soit de procéder à un archivage régulier des courriels contenant ces tableurs.
Un manquement à l’obligation d’assurer la sécurité des données : l’outil développé spécifiquement par l’ARS est accessible depuis un dossier partagé à accès restreint administré et hébergé par cette dernière. Aucune authentification supplémentaire n’est nécessaire pour accéder à cette application. Cette absence d’authentification ne permet pas de retracer finement les événements en cas d’accès à cette application par un tiers non autorisé, ni de déterminer par l’intermédiaire de quelle personne ce tiers y a eu accès.
Au sein de cette ARS, il a également été relevé un manquement à l’obligation de réaliser une AIPD : conformément à l’article 67 de la loi informatique et libertés modifiée, les traitements de données à caractère personnel mis en œuvre dans le domaine de la santé par les ARS et ayant pour seule finalité de répondre à une alerte sanitaire et d'en gérer les suites, doivent faire l’objet d’une AIPD.
A la lumière des constatations effectuées, la présidente de la Commission a adressé une mise en demeure de se conformer aux exigences du RGPD dans un délai d’un mois à cette ARS.
Enfin, la Commission souhaite faire part de certaines recommandations à l’ensemble des ARS s’agissant de mauvaises pratiques relevées lors des contrôles.
Tout d’abord, s’agissant de l’information des personnes, l’information qui est délivrée aux personnes concernant la réutilisation des données issues de CONTACT COVID à des fins de suivi épidémiologique est, soit absente, soit incomplète, soit difficilement accessible. La Commission invite les ARS à veiller à faire preuve de vigilance sur ce point. En particulier, la délégation a relevé dans une des ARS contrôlés que, lors de l’entretien téléphonique, les patients zéro ou cas contacts ne sont pas mis en mesure d’être redirigés vers une information exhaustive sur le traitement de leurs données à caractère personnel, alors même qu’un courriel leur est systématiquement adressé sur les consignes sanitaires à respecter. Dès lors, la Commission recommande dans un premier temps de procéder à l’information des patients zéro et cas contacts lors des appels téléphoniques, par exemple, dans le cas d’un serveur vocal, par une mention orale automatisée en début de conversation intégrant un renvoi vers le site web ou vers une touche du téléphone pour la délivrance de l’ensemble des mentions d’information prescrites. Dans un second temps, la Commission recommande de prévoir un accès immédiatement à la suite de l’appel téléphonique à l’information délivrée sur le site, par exemple, en intégrant un lien hypertexte dans les courriels adressés à la suite de chaque appel téléphonique aux patients zéro .
Ensuite, les délégations ont relevé la présence de champs commentaires au sein des outils utilisés dans le cadre de la gestion de l’épidémie de covid-19, alors que de telles de zones de saisie de texte libre favorisent le risque de renseigner des commentaires inappropriés ou non pertinents en lien avec la vie privée des personnes concernées. La CNIL recommande de limiter le recours aux zones de commentaires libres et de favoriser l'utilisation de menus déroulants proposant des appréciations objectives.
S’agissant de l’ARS au sein de laquelle les dysfonctionnements sont plus mineurs, la Commission a adressé un courrier lui rappelant ses obligations et les mesures à prendre pour se mettre en conformité.
En parallèle, des courriers ont été envoyés simultanément au ministère des solidarités et de la santé afin de l’alerter sur les mauvaises pratiques précitées.
Des courriers ont également été envoyés par la Commission à toutes les ARS afin de leur rappeler les mesures nécessaires à la protection des données des personnes concernées issues de l’outil CONTACT COVID .
B. Le contrôle de l’application TOUSANTICOVID 
Le 2 juin 2020, l’application STOPCOVID a été déployée par le ministère des solidarités et de la santé dans les magasins d’applications mobiles (iOS et Android) accessibles au grand public.
Une première phase de contrôle a eu lieu au mois de juin 2020. A la suite de ces contrôles, la présidente de la Commission a mis en demeure le 15 juillet 2020 le ministère des solidarités et de la santé de mettre en conformité le traitement des données en lien avec l’application STOPCOVID au RGPD et à l’article 82 de la loi du 6 janvier 1978 modifiée. Le ministère s’étant mis en conformité dans le délai imparti, la présidente de la Commission a prononcé la clôture de cette mise en demeure le 3 septembre 2020.
Le 22 octobre 2020, le ministère des solidarités et de la santé a publié une nouvelle version de l’application STOPCOVID , désormais dénommée TOUSANTICOVID .
La Commission a effectué de nouvelles vérifications sur cette application auprès du ministère des solidarités et de la santé, responsable de ce traitement, ainsi qu’auprès des autres organismes impliqués dans sa mise en œuvre dont notamment l’Institut national de recherche en sciences et technologies du numérique (INRIA), qui a conçu le protocole sur lequel repose l’application et qui agit en tant qu’assistant à maîtrise d’œuvre.
Ces vérifications, effectuées en octobre et novembre 2020, ont notamment porté sur la pérennité des mesures suite à la mise en demeure du 15 juillet 2020 et sur la conformité des nouvelles fonctionnalités de l’application au RGPD et à la loi du 6 janvier 1978 modifiée.
S’agissant des mesures de mise en conformité suite à la mise en demeure
Dans sa mise en demeure telle que reprise dans son précédent avis, la Commission avait relevé plusieurs mauvaises pratiques liées au fonctionnement de l’application STOPCOVID dans sa version v1.0.
Il a été constaté qu’il n’est plus possible d’utiliser l’application dans cette version v1.0.
Les filtres de l’historique des contacts au niveau du téléphone de l’utilisateur ont été activés. Sur ce point, le ministère s’est mis en conformité en forçant la mise à jour de l’application vers la version v1.1.
Il a également été constaté que la technologie reCaptcha de la société Google mise en œuvre dans la version v1.0. n’est plus utilisée. L’arrêt de l’utilisation de cette technologie est mentionné dans l’AIPD.
Le ministère s’est par ailleurs mis en conformité en ajoutant dans sa politique de confidentialité son sous-traitant INRIA comme destinataire des données. La délégation a constaté, lors du contrôle, que cette mention y figurait.
Le ministère s’est mis en conformité en complétant les clauses relatives au RGPD dans le contrat de sous-traitance le liant à INRIA.
Dorénavant, conformément à l’article 35 du RGPD, il est mentionné dans l’AIPD la collecte de l’adresse IP de l’équipement mobile de l’utilisateur de l’application dans le cadre des mesures de sécurité du système reposant sur la solution visant à empêcher les attaques par déni de service distribué ( anti-DDoS ) de la société ORANGE.
S’agissant de la nouvelle version de l’application dénommée TOUSANTICOVID
Le 22 octobre 2020, le ministère des solidarités et de la santé a déployé une mise à jour de l’application STOPCOVID , dénommée TOUSANTICOVID .
L’application TOUSANTICOVID propose de nouvelles fonctionnalités en plus de la fonctionnalité principale de suivi de contacts, telles que l’accès à des informations sur l’épidémie et un accès facilité à l’attestation dérogatoire de déplacement.
Cette dernière fonctionnalité s’est d’abord matérialisée par un lien renvoyant vers le site du ministère de l’intérieur, puis une nouvelle version a été déployée le 3 novembre 2020 permettant de générer directement l’attestation dans l’application et de la conserver dans le terminal de l’utilisateur.
Il a été constaté qu’aucune des données traitées dans le cadre de ces nouvelles fonctionnalités, telles que mises en œuvre à date des contrôles de novembre 2020, ne fait l’objet d’un traitement sur le serveur central, dans une logique de minimisation des données et de protection des données dès la conception et par défaut.
Au cours des contrôles du mois de novembre 2020, le ministère des solidarités et de la santé a indiqué que le développement de nouvelles fonctionnalités était à l’étude, dont une permettant à l’utilisateur de filtrer les informations sanitaires en fonction d’un code postal de son choix. Ces nouvelles fonctionnalités ont fait l’objet d’une saisine de la Commission, telle que décrite au paragraphe 33 du présent avis.
C. Autres contrôles – les cahiers de rappel
Outre les contrôles effectués sur les principaux systèmes d’information SI-DEP , CONTACT COVID et TOUSANTICOVID , la Commission procède également à des vérifications sur des fichiers du quotidien liés au suivi de de la pandémie.
Elle a ainsi procédé à des contrôles concernant la tenue de cahiers de rappel mis en œuvre à partir du mois d’octobre 2020, par certains établissements de restauration et de débits de boisson situés dans les zones d’alerte maximale pour respecter le protocole sanitaire renforcé. Ces établissements collectaient les coordonnées de leurs clients afin de les communiquer, sur demande, aux autorités sanitaires pour les aider dans leurs recherches de cas contacts . La CNIL a notamment publié sur son site des exemples de cahiers de rappels à l’attention des professionnels15.
Les investigations menées à la suite de plusieurs signalements sur les réseaux sociaux ont permis de constater plusieurs manquements au RGPD, dont le détournement de finalité (certains organismes se réservaient la possibilité d’utiliser les données collectées à des fins de prospection), la collecte de données non pertinentes et l’absence de mentions d’information sur les formulaires de collecte de données.
Les organismes concernés ayant indiqué avoir supprimé les données collectées et ne pas les avoir utilisées des fins commerciales, la CNIL a décidé de les rappeler à l’ordre tout en les invitant à se mettre en conformité à l’avenir dans l’hypothèse où la tenue de cahiers de rappel serait de nouveau nécessaire.
D. Une procédure de contrôle continue
La Commission rappelle que les contrôles se poursuivront tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre et la suppression des données qu’ils contiennent.
Elle réitère également que les vérifications menées donnent toujours lieu à des échanges très réguliers et approfondis avec le ministère des solidarités et de la santé pour le dispositif SI-DEP , mais également avec les autres organismes administrateurs et utilisateurs de l’application CONTACT COVID (CNAM, ARS, établissements de santé, etc.). Le présent avis ne constitue ainsi qu’une synthèse de ces échanges et des constatations effectuées lors de la deuxième phase de contrôle.
A cet égard, une troisième phase de contrôles est d’ores et déjà prévue et débutera dès le mois de janvier 2021. Elle portera principalement sur les points ci-dessous.
Concernant le traitement SI-DEP , outre toute modification technique apportée au traitement, les points suivants feront l’objet d’une attention particulière :
la mise en œuvre effective des transmissions à la plateforme des données de santé ;
les potentielles évolutions du décret encadrant le traitement, tenant notamment compte de l’intégration à SI-DEP des résultats des tests antigéniques et tenant compte de l’évolution des données collectées ;
le respect des durées de conservation ;
la mise en œuvre du plan d’action défini par la direction générale de la santé.
Concernant le traitement CONTACT COVID :
l’accès au portail accès partenaires CONTACT COVID de nouveaux utilisateurs (pharmaciens, universités, sous-traitants de la CNAM, etc.) ;
la délivrance des tests antigéniques ;
l’effectivité des mesures prévues pour l’exercice des droits des personnes concernées, en particulier au sein des universités et des établissements scolaires ;
l’utilisation des données issues de CONTACT COVID par d’autres ARS dans le cadre de leur mission de suivi de contacts de niveau 3.
Concernant le traitement TOUSANTICOVID :
les potentielles évolutions du décret encadrant le traitement, tenant notamment compte de l’intégration dans l’application TOUSANTICOVID des fonctionnalités liées à l’attestation dérogatoire de déplacement ;
les mesures visant à évaluer l’efficacité et l’utilité de l’application dans le cadre de la lutte contre l’épidémie ;
le cas échéant, la conformité des potentielles nouvelles fonctionnalités.
Concernant le traitement  VACCIN COVID  :
des contrôles seront conduits dans les prochaines semaines pour s’assurer des conditions de mise en œuvre du traitement.
Le prochain avis public de la Commission fera état des résultats de ces contrôles.
Enfin, une ultime campagne de contrôles sera effectuée à l’issue de la mise en œuvre des traitements. Des contrôles sur place seront ainsi réalisés auprès des organismes concernés, afin de vérifier notamment la suppression effective des données. Les vérifications devraient porter sur les durées de conservation des données, leur suppression et/ou leur anonymisation éventuelle.
Ce dernier point concerne également l’application TOUSANTICOVID .
La Présidente
Marie-Laure DENIS
ANNEXE 1 : Description des traitements SI-DEP , CONTACT COVID et TOUSANTICOVID 
 
Le traitement SI-DEP  est un système d’information national mis en œuvre par le ministère de la santé qui permet la centralisation des résultats des tests au SARS- CoV-2 réalisés par des laboratoires publics ou privés ou des professionnels de santé habilités. Ces résultats sont transmis à SI-DEP soit automatiquement (4500 laboratoires connectés) soit manuellement. Cette centralisation permet ensuite une transmission des données à différents destinataires, notamment :
aux agences régionales de santé (ARS) et à la Caisse primaire d’assurance maladie (CPAM), en vue de la réalisation des investigations relatives aux cas contacts, dans le cadre du téléservice CONTACT COVID .
à la Direction de la recherche, des études, de l'évaluation et des statistiques (DREES) et à Santé publique France sous une forme pseudonymisées, à des fins de surveillance épidémiologique et de diffusion des informations statistiques.
à la Plateforme des données de santé (PDS) et à la Caisse nationale d’assurance maladie (CNAM) aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.
 
 
Le traitement CONTACT COVID mis en œuvre par la Caisse nationale d’assurance maladie (CNAM) recueille des informations sur les cas contact et les chaînes de contamination et vise à détecter les cas contacts à trois niveaux différents.
Il permet :
aux médecins de ville/établissements de santé/centres de santé d’initier une fiche de suivi du patient 0 et de ses cas contacts (niveau 1) ;
au personnel habilité de l’assurance maladie (ou aux personnes à qui cette mission est déléguée par les textes) (niveau 2) :
	
de compléter et d’affiner, si nécessaire, la fiche du patient 0 et la liste de ses cas contacts ;
d’appeler les cas contacts pour leur communiquer les consignes relatives aux mesures d’isolement, de tests et autres conduites à tenir ;
aux Agences régionales de santé (ARS) d’assurer (niveau 3) :
leurs missions de suivi des cas contacts ;
la gestion des situations nécessitant une prise en charge spécifique. Il s’agit par exemple des chaines de transmission en milieu scolaire, dans un établissement de santé ou dans un foyer de jeunes.
L’application STOPCOVID , remplacée par l’application TOUSANTICOVID  est une application mobile de suivi de contact, basée sur le volontariat des personnes et utilisant la technologie Bluetooth, mise à disposition par le Gouvernement dans le cadre de sa stratégie globale de déconfinement progressif .
Elle permet d’alerter les utilisateurs d’un risque de contamination lorsqu’ils ont été à proximité d’un autre utilisateur ayant été diagnostiqué ou dépisté positif à la covid-19. Pendant son utilisation, le smartphone stocke une liste de pseudonymes temporaires des appareils qu’il a croisés pendant 14 jours (c’est ce qu’on appelle l’ historique de proximité ).
Quand un utilisateur est diagnostiqué ou dépisté positif à la covid-19, il peut choisir de se déclarer dans l'application et, ainsi, faire remonter les données de ses contacts (les cartes de visite pseudonymes) vers un serveur central. La transmission de ces données au serveur ne sera possible qu’avec un code à usage unique remis par un professionnel de santé suite à un diagnostic clinique positif ou un QR Code remis à la personne à l’issue de son test. Le serveur traite alors chacun des contacts remontés dans l’historique de proximité et calcule pour chacun le score de risque de contamination au virus. L’application d’un utilisateur interrogera périodiquement ce serveur pour voir si l’un des identifiants qui lui est rattaché a été remonté par une personne diagnostiquée ou dépistée à la covid-19 et si le score de risque associé atteint un certain seuil. Une fois notifiée qu’elle est un contact , donc à risque, la personne est notamment invitée à consulter un médecin.
 
ANNEXE 2 : Liste des auditions Parlementaires et des avis rendus par la Commission 
 
Liste des auditions de la Commission :
 
8 avril 2020: auditions devant la commission des lois de l’Assemblée Nationale et devant les deux rapporteurs de la commission des affaires économiques de l’Assemblée Nationale ;
15 avril 2020: audition devant la commission des lois du Sénat ;
1er mai 2020 : audition devant le rapporteur de la commission des affaires sociales du Sénat sur le projet de loi de prorogation de l’état d’urgence ;
5 mai 2020 : audition devant la commission des lois de l’Assemblée Nationale sur le projet de loi de prorogation état d’urgence ;
25 novembre 2020 : audition devant la mission d’information de la commission des lois de l’Assemblée nationale relative au régime juridique de l’état d’urgence sanitaire ;
Liste des avis rendus sur les quatre traitements SIDEP, CONTACT COVID, VACCIN COVID et STOPCOVID/TOUSANTICOVID :
Délibération n° 2020-044 du 20 avril 2020 de la CNIL portant avis sur un projet d'arrêté complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire ;
Délibération n° 2020-046 du 24 avril 2020 de la CNIL portant avis sur un projet d’application mobile dénommée StopCovid ;
Délibération n° 2020-051 du 8 mai 2020 portant avis sur un projet de décret relatif aux systèmes d’information mentionnés à l’article 6 du projet de loi prorogeant l’état d’urgence sanitaire ;
Délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommée StopCovid ;
Délibération n° 2020-083 du 23 juillet 2020 portant avis sur un projet de décret pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire relatif à la durée de conservation des données pseudonymisées collectées à des fins de surveillance épidémiologique et de recherche sur le virus de la COVID-19 ;
 
Délibération n° 2020-087 du 10 septembre 2020 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de COVID-19 (mai à août 2020) ;
 
Délibération n° 2020-108 du 5 novembre 2020 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire ;
Délibération n° 2020-126 du 10 décembre 2020 portant avis sur un projet de décret autorisant la création d’un traitement de données à caractère personnel relatif à la gestion et au suivi des vaccinations contre le coronavirus SARS-CoV-2 ;
 
ANNEXE 3 : Liste des textes et de leurs principaux apports en matière de protection des données personnelles
Loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l’état d’urgence sanitaire et complétant ses dispositions : autorise aux seules fins de lutter contre l’épidémie de covid-19, le traitement et le partage de données de santé à caractère personnel dans le cadre de systèmes d’information créés par décret en Conseil d’État ;
Loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire : autorise la prolongation de la durée de conservation des données pseudonymisées collectées dans le cadre des systèmes d’information SI-DEP et CONTACT COVID à des fins de surveillance épidémiologique et de recherche sur le virus de la covid-19 ;
Loi n° 2020-1379 du 14 novembre 2020 autorisant la prorogation de l'état d'urgence sanitaire et portant diverses mesures de gestion de la crise sanitaire et modifiant la loi n°2020-546 du 11 mai 2020 : autorise la prolongation de la durée de mise en œuvre des systèmes d’information CONTACT COVID et SI-DEP jusqu’au 1er avril 2021 au plus tard ; Allonge la durée de conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche sur le virus jusqu’au 1 er avril 2021 ; La finalité des SI covid-19, relative à l'identification des personnes infectées et à la prescription et la réalisation des examens de biologie, est étendue à la prescription et à la réalisation d'examens de dépistage sérologique ou virologique, afin de prendre en compte l'évolution des modalités de réalisation des examens de dépistage par des professionnels de santé habilités (liste fixée par décret) ;
Décret n° 2020-551 du 12 mai 2020 modifié relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l'état d'urgence sanitaire et complétant ses dispositions : création des traitements SI-DEP et CONTACT COVID ;
Décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID : institue l’application STOPCOVID ;
Décret n° 2020-1018 du 7 août 2020 pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire et modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : porte à six mois après la fin de l’état d’urgence sanitaire la durée de conservation des données pseudonymisées collectées dans le cadre de ces systèmes d’information à des fins de surveillance épidémiologique et de recherche sur le virus de la covid-19 ;
Décret n° 2020-1385 du 14 novembre 2020 modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : prolongation des SI covid-19 jusqu’au plus tard au 1 er avril 2021 ; extension de la remontée des résultats à tous les examens de dépistage (sérologique ou virologique) réalisés par des professionnels de santé figurant sur une liste prévue par décret et habilités à la réalisation de ces tests ; ajout de données collectées, de personnes accédant et enregistrant les données, de destinataires des données, etc.