AgentPublic/cnil huggingface dataset:
En ce qui concerne la transmission de données vers la CNAM aux fins de versement des résultats des tests dans la PDS, il a été constaté que celle-ci est désormais opérationnelle. L’objectif de ce flux de données est d’alimenter la PDS afin de fournir aux chercheurs un accès aux données à des fins de recherche. Lors des opérations de contrôle en mars 2021, il est apparu que les opérations d’extraction des données en vue de leur versement dans les portails mis à disposition par la CNAM, pour le transfert des données du traitement SI-DEP à cette dernière, ne s’effectuent pas selon des modalités permettant d’assurer, de manière entièrement satisfaisante, la confidentialité des données.
Des vérifications seront menées prochainement sur les modalités de traitement mises en œuvre par la CNAM dans le cadre du téléversement de données dans la PDS.
Enfin, en ce qui concerne la mise en œuvre opérationnelle des tests réalisés dans les pharmacies, des contrôles menés dans deux pharmacies ont permis de constater que le ministère a pris des mesures satisfaisantes d’accompagnement des pharmaciens dans leur prise en main de l’outil SI-DEP , notamment sur l’information qu’ils doivent porter à la connaissance des personnes testées. Il est néanmoins apparu que parfois, lorsque le nombre de patients était important, notamment au regard du personnel de l’officine, l’information des personnes et la confidentialité des données n’étaient plus assurées de manière aussi rigoureuse.
Ces constats ont conduit la Commission à attirer l’attention du Conseil national de l’ordre des pharmaciens (CNOP) sur l’importance de sensibiliser leurs membres au respect des principes posés par le RGPD dans le cadre de la réalisation des tests antigéniques, et en particulier sur le contenu et le sort réservé aux fiches de recueil d’information renseignées par les personnes lors de leur prise en charge ainsi que sur l’information devant leur être délivrée à cette occasion.
Le Fichier CONTACT COVID 
 
Comme annoncé par la Commission dans le cadre de son précédent avis, les contrôles opérés entre janvier et avril 2021 ont essentiellement porté sur l’utilisation des données issues de CONTACT COVID par des ARS dans le cadre de leur mission de suivi de contacts de niveau 3. Ce sont deux nouvelles ARS qui ont fait l’objet de contrôles depuis le deuxième avis de la CNIL du 14 janvier 2021.
À titre liminaire, il convient de rappeler que les ARS sont des établissements publics, autonomes moralement et financièrement, placés sous la tutelle du ministère des solidarités et de la santé (13). Il a été constaté de nombreuses disparités concernant les pratiques des ARS dans le cadre de l’activité de suivi de contacts ( contact tracing ) de niveau 3.
En premier lieu, concomitamment au précédent avis, un courrier a été envoyé au ministère des solidarités et de la santé afin de l’alerter sur des mauvaises pratiques relevées auprès de certaines ARS. À la suite de ce courrier, le ministère a procédé notamment à des réunions avec les délégués à la protection des données de plusieurs ARS afin de les sensibiliser sur les différentes préconisations émises par la Commission et sur la nécessité de réaliser une AIPD.
Le ministère a également précisé que depuis le 14 janvier 2021, les ARS n'adressent plus par courriel ou SMS l'offre d'une aide à l'isolement et les consignes sanitaires, qui est désormais assurée par la CNAM (14).
Par ailleurs, parallèlement, le 21 janvier 2021, des courriers ont été envoyés par la Commission à toutes les ARS afin de leur rappeler les mesures nécessaires à la protection des données des personnes concernées issues de l’outil CONTACT COVID .
 
A la suite de ces échanges, les vérifications effectuées ont permis de constater la mise en œuvre de nombreuses mesures pour garantir de façon optimale le respect des données des personnes, notamment par le recours à un outil adapté à la gestion de l’épidémie : réalisation d’une AIPD, recours à un hébergeur de données de santé, etc.
 
Néanmoins, la Commission a encore constaté plusieurs points de non-conformité à l’occasion de vérifications effectuées auprès d’une ARS :
 
Les mauvaises pratiques relevées lors de ce contrôle sont :
une durée de conservation excessive des données relatives au suivi des patients zéro ou des cas contacts , l’ARS en question ne procédant pas à la purge des données enregistrées au sein du serveur de fichiers interne à l’issue d’un délai de trois mois comme elle devrait le faire ;
une information déficiente des personnes concernées, l’ARS contrôlée n’ayant formalisé aucun document d’information (papier ou numérique) destiné aux personnes dont les données sont traitées dans le cadre de l’activité de contact tracing de niveau 3 ;
l’absence de réalisation d’une AIPD. Cette analyse, qui doit notamment permettre d’identifier les risques liés aux traitements réalisés et aux moyens à déployer pour les limiter, est nécessaire s’agissant de fichiers mis en œuvre pour répondre à une alerte sanitaire. Cette obligation légale (art. 67 de la loi informatique et libertés ) a été rappelée à chacune des ARS tant dans le cadre de l’avis public précédent que dans les courriers qui leur ont été adressés par la Commission. La Commission invite le ministère des solidarités et de la santé à fournir aux ARS une AIPD de référence.
À la lumière des constatations effectuées, la présidente de la Commission a adressé à cette ARS une mise en demeure de se conformer aux exigences du RGPD dans un délai de deux mois. Il s’agit de la deuxième mise en demeure adressée par la Commission à une ARS dans le cadre des vérifications effectuées sur les systèmes d’information dédiés à la gestion de la pandémie.
Comme cela avait déjà été fait dans le cas précédent, un courrier a été envoyé au ministère des solidarités et de la santé afin de l’alerter sur les mauvaises pratiques identifiées.
 
B. Le contrôle de l’application TOUSANTICOVID 
Le 2 juin 2020, l’application STOPCOVID a été déployée par le ministère des solidarités et de la santé dans les magasins d’applications mobiles (iOS et Android) accessibles au grand public.
Une première phase de contrôle a eu lieu au mois de juin 2020. À la suite de ces contrôles, la présidente de la Commission a mis en demeure le 15 juillet 2020 le ministère des solidarités et de la santé de mettre en conformité le traitement des données en lien avec l’application STOPCOVID au RGPD et à l’article 82 de la loi informatique et libertés . Le ministère s’étant mis en conformité dans le délai imparti, la présidente de la Commission a prononcé la clôture de cette mise en demeure le 3 septembre 2020.
Le 22 octobre 2020, le ministère des solidarités et de la santé a publié une nouvelle version de l’application STOPCOVID , dénommée TOUSANTICOVID . Celle-ci fournit de surcroît des informations actualisées sur la circulation du virus et des liens vers d’autres dispositifs numériques du Gouvernement et permet la génération d’attestations de déplacement dérogatoire.
La Commission a effectué de nouvelles vérifications sur cette application auprès du ministère des solidarités et de la santé, responsable de ce traitement, ainsi qu’auprès des autres organismes impliqués dans sa mise en œuvre dont notamment l’Institut national de recherche en sciences et technologies du numérique (INRIA), qui a conçu le protocole sur lequel repose l’application et qui agit en tant qu’assistant à maîtrise d’œuvre.
 
Ces vérifications, effectuées en octobre et novembre 2020, ont notamment porté sur la pérennité des mesures prises à la suite de la mise en demeure du 15 juillet 2020 et sur la conformité des nouvelles fonctionnalités de l’application au RGPD et à la loi informatique et libertés .
S’agissant des évolutions de l’application depuis les contrôles de novembre 2020
Les nouvelles fonctionnalités décrites ci-dessus ( TousAntiCovid Carnet et le dispositif numérique d’enregistrement des visites dans certains ERP) n’ayant pas encore été totalement intégrées à l’application TOUSANTICOVID au début du mois d’avril 2021, aucun nouveau contrôle de l’application n’a été réalisé par la Commission depuis le mois de novembre 2020.
 
De nouveaux contrôles seront effectués prochainement avec la mise à jour de l’application contenant ces nouveaux dispositifs, ou de toute autre évolution modifiant de façon substantielle les traitements mis en œuvre.
 
C. Le contrôle du traitement VACCIN COVID
Le décret n° 2020-1690 du 25 décembre 2020 a autorisé la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19, dénommé VACCIN COVID .
Une première phase de contrôle de ce traitement est actuellement en cours, une audition de la CNAM ayant eu lieu au début du mois mars.
En dépit du court délai dans lequel le traitement VACCIN COVID a été développé par la CNAM et la Direction générale de la santé ( DGS ), ces dernières ont été en mesure de communiquer à la délégation de contrôle une documentation fournie dont l’exploitation est en cours.
Dans le cadre de l’audition de la CNAM, la Commission a pu accéder à un environnement de test du téléservice Vaccination Covid . Ce téléservice est utilisé par les professionnels de santé pour importer les données de leurs patients et y reporter les données relatives à la vaccination.
Tout professionnel de santé habilité à réaliser des opérations de vaccination peut rechercher une personne via son numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) et accéder aux données et au statut vaccinal de cette personne. Ces possibilités de recherches par NIR ne sont pas exclusives au téléservice Vaccination Covid et la consultation d’informations médicales par un professionnel de santé est encadrée par des règles déontologiques. La délégation a en outre constaté qu’un message de rappel est affiché à l’attention des professionnels de santé pour leur rappeler que toute consultation illégitime peut entraîner des sanctions.
Contrairement à ce qui a été rapporté dans la presse, cette fonctionnalité de recherche par le NIR, ouverte à tout professionnel de santé habilité à réaliser des opérations de vaccination, ne constitue pas un défaut de sécurité.
Les contrôles de plusieurs centres de vaccination ont cependant mis en lumière le fait que, pour des raisons pratiques inhérentes au fonctionnement de ces centres, le téléservice VACCIN COVID est régulièrement alimenté par des personnels administratifs utilisant le compte d’un professionnel de santé. Bien que ce mode de fonctionnement soit à rapprocher du travail habituel d’un secrétariat médical, l’exploitation se poursuit afin de savoir si les exigences en termes de traçabilité et d’imputabilité des actions sont respectées.
Lors des contrôles, la délégation a constaté :
que seules les données visées dans le décret no 2020-1690 du 25 décembre 2020 font l’objet d’un traitement et qu’il n’y a pas de zone de commentaire libre dans les différents modules du téléservice, ce qui limite fortement le risque de saisie de données non pertinentes ;
qu’une attention particulière a été portée sur l’information des personnes, notamment par la mise en place de mentions d’informations a priori claires et complètes sur les documents remis aux patients, d’un affichage standardisé à l’entrée des centres de vaccination ainsi que la présence de liens hypertextes au sein du téléservice permettant au professionnel de santé d’accéder facilement aux mentions d’information relative à la protection des données ;
que les données du traitement VACCIN COVID font bien l’objet d’un chiffrement et que l’accès au téléservice Vaccination Covid requiert une authentification avec une carte de professionnel de santé ( CPS ) ou au moyen de l’application eCPS . Cet accès s’effectue depuis le portail AMELIPRO ou bien depuis le portail Pro Santé Connect . Les administrateurs des serveurs se connectent à ces derniers de manière sécurisée.
La délégation a en outre été informée que les autres régimes de sécurité sociale effectuent, aux fins de pré-alimentation de la base de données du traitement VACCIN COVID et à la demande de la CNAM, des campagnes de ciblage des personnes éligibles à la vaccination et transfèrent ces données à la CNAM par l’intermédiaire de la plateforme d’échange sécurisée PETRA mise en place par la CNAM dans le cadre de ses activités habituelles. L’exploitation de la documentation relative à ces campagnes de ciblage se poursuit.
Enfin, il a été indiqué, lors des contrôles, que des données que la CNAM considère comme désidentifiées sont transmises de manière sécurisée à la direction du numérique des ministères sociaux ( DNUM ) aux fins de production d’indicateurs de couverture vaccinale.
D. Les autres procédures de contrôle
Outre les contrôles effectués sur les principaux systèmes d’information SIDEP , CONTACT COVID , TOUSANTICOVID et VACCIN COVID , la Commission procède également à des vérifications sur des traitements mis en œuvre par des acteurs de la santé en complément des traitements susmentionnés.
 
En particulier, elle a ainsi procédé à des contrôles sur pièces, toujours en cours, relatifs à l’activité de suivi de contacts :
concernant les traitements dénommés COVIDOM et COVISAN mis en œuvre par l’AP-HP notamment par l’intermédiaire du site web Covidom.fr et de l’application mobile Covidom Patient ;
concernant le dispositif multicanal d’accompagnement dénommé COVI CONTACT mis en œuvre par l’ARS Île-de-France et destiné à toutes les personnes concernées par des mesures d’isolement à domicile afin d’être accompagnées régulièrement et à distance.
E. Une procédure de contrôle continue
La Commission rappelle que les contrôles se poursuivront tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre fixée au 31 décembre 2021 et la suppression des données qu’ils contiennent.
Elle rappelle également que les vérifications menées donnent toujours lieu à des échanges très réguliers et approfondis avec le ministère des Solidarités et de la Santé pour le dispositif SI-DEP , mais également avec les autres organismes administrateurs et utilisateurs de l’application CONTACT COVID (CNAM, ARS, établissements de santé, etc.) et du système d’information  VACCIN COVID . Le présent avis ne constitue ainsi qu’une synthèse de ces échanges et des constatations effectuées lors de la troisième phase de contrôles.
À cet égard, une quatrième phase de contrôles est d’ores et déjà engagée pour le second trimestre 2021. Elle porte principalement sur les points ci‑dessous.
Concernant le traitement SI-DEP , outre toute modification technique susceptible d’être apportée au traitement, des vérifications sur le fonctionnement nominal du traitement pourront avoir lieu, notamment en ce qui concerne les durées de conservation ou les transmissions vers les destinataires.
Concernant le traitement CONTACT COVID , les contrôles devraient porter sur :
les évolutions éventuelles de la procédure ou du téléservice CONTACT COVID , notamment en lien avec les variants ;
l’information des patients zéro et des cas contacts ;
la collecte, la transmission et le stockage des données collectées auprès des patients zéro , cas contacts et co-exposés au sein des EHPAD, des universités, des établissements scolaires et des collectivités territoriales ;
l’effectivité des mesures prévues pour l’information et l’exercice des droits des personnes concernées, en particulier au sein des universités et des établissements scolaires ;
l’utilisation des données issues de CONTACT COVID par d’autres ARS dans le cadre de leur mission de suivi de contacts de niveau 3.
Concernant le traitement  VACCIN COVID , des contrôles seront conduits dans les prochaines semaines pour s’assurer des conditions de mise en œuvre du traitement, notamment dans les centres de vaccination.
 
Concernant le traitement TOUSANTICOVID , les contrôles devraient porter sur :
les mesures visant à évaluer l’efficacité et l’utilité de l’application dans le cadre de la lutte contre l’épidémie ;
la conformité des nouvelles fonctionnalités prochainement mises en œuvre, et notamment l’introduction du carnet numérique de tests et de vaccination ainsi que du futur dispositif numérique d’enregistrement des visites dans certains établissements recevant du public par le biais d’un code-QR..
La Commission s’intéressera également aux différentes interactions entre les quatre traitements précités, notamment l’intégration des preuves des tests PCR au sein du site sidep.gouv.fr, des preuves de vaccination au sein d’un téléservice spécifique de la CNAM et leur accès éventuel au sein de l’application TOUSANTICOVID .
Le prochain avis public de la Commission fera état des résultats de ces contrôles.
Enfin, une ultime campagne de contrôles sera effectuée à l’issue de la mise en œuvre des traitements. Des contrôles sur place seront ainsi réalisés auprès des organismes concernés, afin de vérifier notamment la suppression effective des données. Les vérifications devraient porter sur les durées de conservation des données, leur suppression et/ou leur anonymisation éventuelle.
 
La Présidente
Marie-Laure DENIS
 
ANNEXE 1 : Description des traitements SI-DEP , CONTACT COVID , TOUSANTICOVID , VACCIN COVID , quarantaine et isolement .
 
Le traitement SI-DEP  est un système d’information national mis en œuvre par le ministère de la santé qui permet la centralisation des résultats des tests au SARS- CoV-2 réalisés par des laboratoires publics ou privés ou des professionnels de santé habilités. Ces résultats sont transmis à SI-DEP soit automatiquement (4500 laboratoires connectés) soit manuellement. Cette centralisation permet ensuite une transmission des données à différents destinataires, notamment :
aux agences régionales de santé (ARS) et à la Caisse primaire d’assurance maladie (CPAM), en vue de la réalisation des investigations relatives aux cas contacts, dans le cadre du téléservice CONTACT COVID .
à la Direction de la recherche, des études, de l'évaluation et des statistiques (DREES) et à Santé publique France sous une forme pseudonymisées, à des fins de surveillance épidémiologique et de diffusion des informations statistiques.
à la Plateforme des données de santé (PDS) et à la Caisse nationale d’assurance maladie (CNAM) aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.
 
Le traitement CONTACT COVID mis en œuvre par la Caisse nationale d’assurance maladie (CNAM) recueille des informations sur les personnes identifiées comme contact à risque de contamination (cas contact, ou personnes co-exposées ) et les chaînes de contamination à trois niveaux différents. Il permet :
aux médecins de ville/établissements de santé/centres de santé d’initier une fiche de suivi du patient 0 et de ses cas contacts (niveau 1) ;
au personnel habilité de l’assurance maladie (ou aux personnes à qui cette mission est déléguée par les textes) (niveau 2) :
	
de compléter et d’affiner, si nécessaire, la fiche du patient 0 et la liste de ses cas contacts ;
d’appeler les cas contacts pour leur communiquer les consignes relatives aux mesures d’isolement, de tests et autres conduites à tenir ;
aux Agences régionales de santé (ARS) d’assurer (niveau 3) :
leurs missions de suivi des cas contacts ;
la gestion des situations nécessitant une prise en charge spécifique. Il s’agit par exemple des chaines de transmission en milieu scolaire, dans un établissement de santé ou dans un foyer de jeunes.
L’application STOPCOVID , remplacée par l’application TOUSANTICOVID  est une application mobile de suivi de contact, basée sur le volontariat des personnes et utilisant la technologie Bluetooth, mise à disposition par le Gouvernement dans le cadre de sa stratégie globale de déconfinement progressif .
Elle permet d’alerter les utilisateurs d’un risque de contamination lorsqu’ils ont été à proximité d’un autre utilisateur ayant été diagnostiqué ou dépisté positif à la covid-19. Pendant son utilisation, le smartphone stocke une liste de pseudonymes temporaires des appareils qu’il a croisés pendant 14 jours (c’est ce qu’on appelle l’ historique de proximité ).
Quand un utilisateur est diagnostiqué ou dépisté positif à la covid-19, il peut choisir de se déclarer dans l'application et, ainsi, faire remonter les données de ses contacts (les cartes de visite pseudonymes) vers un serveur central. La transmission de ces données au serveur ne sera possible qu’avec un code à usage unique remis par un professionnel de santé suite à un diagnostic clinique positif ou un QR Code remis à la personne à l’issue de son test. Le serveur traite alors chacun des contacts remontés dans l’historique de proximité et calcule pour chacun le score de risque de contamination au virus. L’application d’un utilisateur interrogera périodiquement ce serveur pour voir si l’un des identifiants qui lui est rattaché a été remonté par une personne diagnostiquée ou dépistée à la covid-19 et si le score de risque associé atteint un certain seuil. Une fois notifiée qu’elle est un contact , donc à risque, la personne est notamment invitée à consulter un médecin.
Le traitement VACCIN COVID mis en œuvre sous la responsabilité conjointe de la direction générale de la santé et de la Caisse nationale d’assurance maladie (CNAM) a pour finalités la mise en œuvre, le suivi et le pilotage des campagnes vaccinales contre la covid-19. Il comprend des informations sur les personnes invitées à être vaccinées ou vaccinées afin notamment d’organiser la campagne de vaccination, le suivi et l’approvisionnement en vaccins et consommables (seringues, etc.), et la réalisation de recherches et du suivi de pharmacovigilance. Ce fichier n’est pas fondé sur les dispositions applicables dans le cadre de l’état d’urgence et n’a pas vocation à s’étendre à d’autres vaccinations que celle contre le coronavirus SARS-CoV-2.
 
Le traitement quarantaine et isolement mis en œuvre sous la responsabilité conjointe du ministre chargé de la santé et du ministre de l’intérieur vise à assurer le suivi et le contrôle du respect des mesures individuelles mentionnées à l’article L. 3131-17 du code de la santé publique motivées par l’arrivée de personnes sur le territoire national, en provenance d’un pays ou territoire confronté à une circulation particulièrement active de l’épidémie ou à la propagation de certains variants du SARS-CoV-2 dont la liste est fixée par arrêté du ministre chargé de la santé.
 
ANNEXE 2 : Liste des auditions Parlementaires et des avis rendus par la Commission 
Liste des auditions de la Commission :
3 avril 2020 : entretien avec M. Cédric Villani, 1er vice-président de l’Office parlementaire d’évaluation des choix scientifiques et technologiques (OPECST) pour la préparation d’une note relative aux technologies de l’information utilisées pour limiter la propagation de l’épidémie de Covid-19 ;
8 avril 2020 : auditions devant la commission des lois de l’Assemblée Nationale et devant les deux rapporteurs de la commission des affaires économiques de l’Assemblée Nationale ;
15 avril 2020 : audition devant la commission des lois du Sénat ;
1er mai 2020 : audition devant le rapporteur de la commission des affaires sociales du Sénat sur le projet de loi de prorogation de l’état d’urgence ;
5 mai 2020 : audition devant la commission des lois de l’Assemblée Nationale sur le projet de loi de prorogation état d’urgence ;
8 octobre 2020 : audition devant la commission des affaires parlementaires de l’Assemblée parlementaire de la francophonie, dans le cadre de la préparation d’un rapport sur l’utilisation de la géolocalisation en temps de pandémie dans l’espace francophone ;
25 novembre 2020 : audition devant la mission d’information de la commission des lois de l’Assemblée nationale relative au régime juridique de l’état d’urgence sanitaire ;
9 mars 2021 : audition devant la Commission des affaires sociales de l’Assemblée nationale sur le deuxième avis relatif au fonctionnement des SI COVID-19 ;