AgentPublic/cnil huggingface dataset:
Décret n° 2020-1387 du 14 novembre 2020 fixant la liste des professionnels de santé habilités à renseigner les systèmes d'information mentionnés à l'article 11 de la loi du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : médecins, biologistes médicaux, pharmaciens et infirmiers.
Décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 : porte création du système d’information SI VACCIN visant à permettre le déroulement et le suivi de la campagne de vaccination contre le coronavirus SARS-CoV-2.
Arrêté du 10 juillet 2020 modifié prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé : encadre la centralisation des données des fichiers SI-DEP et CONTACT COVID au sein de la Plateforme des données de santé et de la CNAM et leur utilisation (remplace et abroge l’arrêté du 21 avril 2020 complétant l’arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire).
Arrêté du 9 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé ;
Arrêté du 16 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé : Les données ne peuvent être traitées que pour des projets poursuivant une finalité d'intérêt public en lien avec l'épidémie actuelle de covid-19 et jusqu'à l'entrée en vigueur des dispositions prises en application de l'article 41 de la loi du 24 juillet 2019 susvisée (décret SNDS) - suppression de la date limite du 30 octobre 2020 pour traiter les données
Arrêté du 26 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire
ANNEXE 4 : Liste des organismes contrôlés depuis mai 2020
Traitement SI-DEP :
Le ministère des solidarités et de la santé ;
L’Assistance Publique des Hôpitaux de Paris (AP-HP) ;
Des laboratoires privés de biologie médicale ;
Traitement CONTACT COVID 
 :
La Caisse nationale de l’Assurance Maladie (CNAM) ;
Un établissement de santé recevant des malades en consultation ;
Des Caisses Primaires d’Assurance Maladie (CPAM) ;
Des agences régionales de santé (ARS) ;
Le Conseil national de l’Ordre des médecins (CNOM) ;
Le Conseil national de l’Ordre des pharmaciens (CNOP).
Traitement STOPCOVID / TOUSANTICOVID :
Le ministère des solidarités et de la santé ;
L’Institut national de recherche en sciences et technologies du numérique (INRIA) ;
__________________________________________________________________________________________
Voir la description des dispositifs en annexe 1
Voir annexe 2
Délibération n° 2020-087 du 10 septembre 2020 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de covid-19 (mai à août 2020)
Pour rappel, la durée de conservation des données collectées par ces systèmes d’information avait été initialement fixée par la loi à trois mois après leur collecte. Une durée de conservation spécifique aux données traitées à des fins de recherche sur le virus a ensuite été ajoutée à la loi afin de permettre leur conservation jusqu’à six mois après la fin de l’état d’urgence sanitaire, soit jusqu’au 11 janvier 2021 dans un premier temps.
Délibération n° 2020-108 du 5 novembre 2020 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire
Jusqu'à la date mentionnée à l'article 11 de la loi n° 2020-546 du 11 mai 2020, soit au plus tard jusqu’au 1er avril 2021
Pour rappel, la Commission s’est prononcée le 20 avril 2020 sur la centralisation de certaines données de santé des fichiers CONTACT COVID et SI-DEP au sein de la Plateforme des données de santé (PDS ou Health Data Hub ) et à la Caisse nationale de l’assurance maladie (CNAM).
Pour rappel, la CNIL s’est prononcée à plusieurs reprises sur l’application STOP COVID dans ses avis en date du 24 avril et 25 mai 2020.
D’une part, l’administration les a déjà mis en œuvre dans le cadre de l’application TOUSANTICOVID et certains sites web d’administrations proposent, par ailleurs, des fonctionnalités similaires (notamment pour permettre de générer des justificatifs), sans être pour autant prévus par des textes règlementaires. D’autre part, les données à caractère personnel étant stockées et traitées uniquement localement sur le terminal de l’utilisateur, à sa discrétion et pour son compte, il ne semble pas que les autorités publiques soient responsables de ces traitements, la seule mise à disposition d’un logiciel au public ne constituant pas la mise en œuvre d’un traitement de données à caractère personnel.
Au 14 janvier 2021, plus de douze millions de personnes ont téléchargé et activé l’application, plus de cinquante mille personnes ont été notifiées par l’application suite à une exposition à la covid-19 et plus de quatre-vingt-douze mille utilisateurs se sont déclarés comme des cas de covid-19 dans l’application.
L'application envoie dorénavant une alerte aux utilisateurs ayant été récemment en contact avec une personne ayant volontairement déclaré avoir été testée positive au coronavirus durant 5 minutes à moins d'1 mètre ou durant 15 minutes entre 1 et 2 mètres, contre une durée de 15 minutes à moins d’un mètre auparavant.
Délibération n° 2020-087 du 10 septembre 2020 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de covid-19 (mai à août 2020)
La PGSSI-S est un corpus documentaire conforme au cadre juridique de la santé numérique et à la politique de sécurité du système d’information du ministère chargé des Affaires Sociales. Conformément à l’article L. 1110-4-1 du code de la santé publique, les référentiels de sécurité élaborés par l’ANS peuvent être rendus opposables par arrêté du ministre de la santé.
Articles L. 1432-1 et suivants du code de la santé publique
https://www.cnil.fr/fr/cahier-de-rappel-exemples-de-formulaire-de-recueil-de-donnees-et-mentions-dinformation-rgpd
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Vu la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID ;
Vu le décret n° 2020-1018 du 7 août 2020 pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire et modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu l’arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de COVID-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé ;
Sur la proposition de Marie-Laure DENIS, présidente, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Émet l’avis suivant :
 
Dans le cadre de la stratégie de déconfinement progressif , la loi du 11 mai 2020 de prorogation de l’état d’urgence sanitaire a autorisé la création temporaire de deux fichiers nationaux : SI-DEP et CONTACT COVID. Ces traitements de données à caractère personnel sont encadrés par un décret en Conseil d’État du 12 mai 2020 qui précise leurs modalités de création et de mise en œuvre.
Ces fichiers doivent permettre d’identifier les personnes infectées par la COVID-19, les personnes qu’elles sont susceptibles d’avoir contaminées et les chaînes de contamination. Ils visent à assurer la prise en charge sanitaire et l’accompagnement des personnes atteintes du virus ou susceptibles de l’être, ainsi que la surveillance épidémiologique.
 
Au côté de ces fichiers, s'ajoute le déploiement de l’application mobile STOPCOVID.
 
Ce traitement, encadré par le décret n° 2020-650 du 29 mai 2020 et mis en œuvre par le ministre chargé de la santé, vise à informer les personnes utilisatrices qu’elles ont été à proximité de personnes diagnostiquées positives à la COVID-19 disposant de la même application.
Les fichiers SI-DEP et CONTACT COVID comprenant des nombreuses données à caractère personnel, y compris des données de santé et pouvant être consultés par un grand nombre d’acteurs, notamment par les enquêteurs sanitaires au bénéfice desquels la loi a expressément autorisé la levée du secret médical, le législateur a souhaité encadrer leur mise en œuvre.
Il a ainsi, d’une part, instauré un Comité de contrôle et de liaison COVID-19 et, d’autre part, prévu que le Gouvernement adresse au Parlement un rapport détaillé de l’application de ces mesures tous les trois mois à compter de la promulgation de la loi du 11 mai 2020 et jusqu’à la disparition des systèmes d’information. Enfin, le législateur a souhaité compléter ces rapports par un avis public de la Commission nationale de l'informatique et des libertés, objet de la présente délibération.
Dans un contexte exceptionnel de crise sanitaire et d’urgence, la Commission a intensifié les relations qu’elle entretient de façon régulière avec le Parlement au titre de sa mission d’accompagnement des pouvoirs publics (avis sur les projets de textes ; auditions). La Commission a ainsi répondu aux nombreuses sollicitations de ce dernier (ANNEXE 1), dans des délais particulièrement courts, compte tenu du calendrier d’adoption des projets de loi. Elle a ainsi été auditionnée à cinq reprises aux mois d’avril et mai 2020. Par ailleurs, cinq avis rendus par la Commission dans ce contexte d’urgence sanitaire ont pu contribuer utilement aux débats parlementaires autour des enjeux fondamentaux liés au respect de la vie privée et des données personnelles.
Le présent avis de la Commission rendu sur le fondement de l’article 11 de la loi du 11 mai 2020 s’attachera, notamment au regard des préconisations qu’elle a émises dans ses avis, à rappeler le cadre normatif dans lequel s’inscrivent ces traitements, et, à évaluer pour la période de mai à août 2020 :
l’intérêt deces traitements au regard de la situation sanitaire telle que décrite par le Gouvernement ;
les conditions opérationnelles de mise en œuvre de ces traitements au regard des constatations faites dans le cadre de ses pouvoirs de contrôle.
 
I – RAPPEL DU CADRE NORMATIF ET DES PRÉCONISATIONS DE LA COMMISSION
Conformément à la loi, l’avis de la Commission a été sollicité par le Gouvernement sur l’ensemble des textes encadrant la mise en œuvre des traitements liés à la crise sanitaire.
 
o L’avis de la Commission sur les systèmes d’information SI-DEP et CONTACT COVID
 
Dans son premier avis sur le projet de décret portant création des traitements SI-DEP et CONTACT COVID en date du 8 mai 2020, la Commission a estimé que le dispositif présenté était globalement conforme au règlement général sur la protection des données (RGPD), un certain nombre de garanties étant apportées (caractère temporaire de ce dispositif, limitation des données de santé traitées ou encore caractère volontaire de la participation aux enquêtes).
Cependant, elle avait considéré nécessaire que le projet de décret soit complété et appelait à ce que certaines garanties juridiques, techniques et organisationnelles soient renforcées.
 
Plus particulièrement ses remarques ont porté sur :
la nécessité d’encadrer plus précisément l’accès aux données, en fonction des catégories d’utilisateurs, afin que celui-ci ne puisse s’effectuer que dans la stricte limite de leurs missions ;
la suppression dans le projet de texte du recueil, sans autre précision, d’informations sur les liens existants entre un patient 0 1
 et un cas contact . Le décret a supprimé cette mention et prévoit uniquement la collecte d’informations précises et circonscrites sur ce point (le fait de se connaître ou non, l’existence d’une cohabitation, la date du dernier contact) ; 
la mise en place de formations adaptées à l’utilisation de ces outils pour les enquêteurs et les autres personnes concernées (personnels des laboratoires d’analyse, médecins et autres professionnels de santé, pharmaciens, chercheurs, etc.) ;
la mise en place d’un dispositif de traçabilité des consultations de façon à repérer les abus et à pouvoir les sanctionner ;
la nécessité de mener une réflexion plus fine sur les durées de conservation des données. Des garanties ont été apportées sur ce point dans la loi du 11 mai 2020 ;
le droit d’opposition, qui était écarté dans le projet, sauf pour permettre au patient 0 que son nom ne soit pas révélé à ses cas contacts et pour certaines transmissions de ses données pour des finalités de recherche. La Commission a demandé que la restriction du droit d’opposition aux fichiers soit réduite au minimum. En ce sens, un droit d’opposition a été ouvert par le décret aux cas contacts pour le traitement de leurs données dans CONTACT COVID et le patient 0 doit avoir donné son consentement pour que son identité soit révélée aux cas contacts .
Son second avis, rendu le 23 juillet 2020, portait sur un projet de décret 
portant à six mois après la fin de l’état d’urgence sanitaire la durée de conservation des données pseudonymisées
collectées dans le cadre de ces systèmes d’information à des fins de surveillance épidémiologique et de recherche sur le virus de la COVID-19, comme l’avait préalablement autorisé la loi du 9 juillet 2020. En effet, la loi du 11 mai 2020 avait apporté de fortes garanties sur les durées de conservation des données en limitant la conservation des données dans les systèmes d’information à trois mois à compter de leur collecte.
Les observations de la Commission ont été majoritairement suivies par le Gouvernement dans le décret n° 2020-1018 du 7 août 2020 notamment s’agissant :
de l’amélioration des modalités d’information des personnes concernées ;
de l’accès par les agences régionales de santé (ARS) aux données de CONTACT COVID à des fins de surveillance épidémiologique et de recherche, qui n’était pas prévu par le décret du 12 mai ;
de la limitation de l’ajout d’autres numéros d’identification uniquement si le numéro d’inscription au répertoire d’identification des personnes physiques (NIR ou numéro de sécurité sociale) ne peut être collecté.
La proposition de la Commission de rédaction d’une liste limitative des données permettant la finalité de suivi épidémiologique et de recherche sur le virus n’a cependant pas été reprise.
o L’avis de la Commission sur la centralisation de certaines données de santé au sein de la Plateforme des données de santé (PDS ou Health Data Hub) et à la Caisse nationale de l’assurance maladie (CNAM)
Dès le mois d’avril, le Gouvernement, dans le contexte d’urgence lié à la gestion de la crise sanitaire, a souhaité, par arrêté, organiser le regroupement de certaines données à caractère personnel, comprenant des données de santé et des données issues du Système national des données de santé (SNDS), afin de permettre leur utilisation en vue de suivre et projeter les évolutions de l’épidémie, de prévenir, de diagnostiquer et de traiter au mieux la pathologie et d’organiser le système de santé pour combattre l’épidémie et en atténuer les impacts. Pour ce faire, il a souhaité modifier les circuits traditionnels de remontée d’information portant notamment sur l’activité médicale, et permettre la centralisation des données utiles au sein de la Plateforme des données de santé (PDS), puis ultérieurement en incluant certaines données issues des fichiers SI-DEP et CONTACT COVID (décret du 12 mai 2020).
La Commission, dans son avis rendu en urgence le 20 avril 2020, a attiré l’attention du Gouvernement notamment sur :
les risques liés aux conditions de démarrage anticipé de la solution technique de la PDS dans un contexte où celle-ci devait, pour garantir la sécurité des données, accomplir en quelques semaines des opérations, dont certaines structurantes, qui étaient prévues pour s’étaler sur plusieurs mois ;
le recours par la PDS à des prestataires d’hébergement informatique des données qui transfèrent des données hors de l’Union européenne et les éventuels risques matériels et juridiques en matière d’accès direct par les autorités de pays tiers. En effet, le contrat conclu entre la Plateforme et son hébergeur mentionne l’existence de transferts de données en dehors de l’Union européenne dans le cadre du fonctionnement courant de la Plateforme, notamment pour les opérations de maintenance ou de résolution d’incident. Dans son arrêt du 16 juillet 2020 dans l’affaire dite Schrems II la Cour de justice de l’Union européenne (CJUE) a estimé que le droit des Etats-Unis d’Amérique ne permet pas d’assurer un niveau de protection essentiellement équivalent à celui garanti par le droit de l’Union.
La PDS a toutefois transmis récemment à la Commission un avenant conclu avec l’un de ses prestataires, au travers duquel celui-ci apporte des garanties supplémentaires relatives au stockage et au traitement de données. Ces garanties devront être analysées en détail afin de déterminer si elles permettent de conclure à l’absence de transfert hors de l’Union européenne. La Commission sera en outre attentive aux conséquences de l’analyse de la législation des États-Unis d’Amérique, par la décision Schrems II de la CJUE, sur la situation de la PDS ;
l’importance des mesures de pseudonymisation : la pseudonymisation est une mesure de sécurité qui permet de limiter les risques pour les personnes dont les données seront traitées.
 
L’arrêté du 21 avril 2020 autorisant la centralisation de certaines données de santé au sein de la PDS pour la gestion de l'urgence sanitaire et l'amélioration des connaissances sur la COVID-19 a fait l’objet d’un recours en référé auprès du Conseil d’Etat. Par une ordonnance rendue le 19 juin 2020, le Conseil d’État a pour l’essentiel rejeté le recours et a ordonné à la PDS de fournir à la Commission tous éléments relatifs aux procédés de pseudonymisation utilisés. Les éléments transmis sont actuellement en cours d’instruction.
 
Cette centralisation et les usages possibles de ces données sont aujourd’hui encadrés par l’article 30 de l’arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de COVID-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé, venu remplacer l’arrêté du 21 avril 2020 complétant l’arrêté du 23 mars 2020.
 
Cet arrêté prévoit que les données ne peuvent être traitées que pour des projets poursuivant une finalité d'intérêt public en lien avec l'épidémie actuelle de COVID-19 et jusqu'à l'entrée en vigueur du décret SNDS et au plus tard le 30 octobre 2020.
La Commission sera amenée à se prononcer prochainement sur le projet de décret SNDS qui encadrera les rôles respectifs des responsables de traitement et précisera les catégories de données réunies en son sein.
o L’avis de la Commission sur l’application mobile STOPCOVID 
Depuis le début de l'épidémie de SARS-Cov-2, plusieurs États dans le monde ont choisi de recourir à des dispositifs de "suivi des contacts" automatisés dont l'implémentation pratique, à géométrie variable, s'avère plus ou moins respectueuses des droits et libertés fondamentaux et notamment du respect de la vie privée de ses utilisateurs. Très tôt, la Commission s'est penchée sur le développement de ces outils ce qui lui a permis d’échanger, très rapidement, avec ses homologues européens afin de travailler à l'élaboration d'exigences communes pour ce type de dispositif.
Dans ce contexte, le comité européen à la protection des données (CEPD) a publié, le 21 avril 2020, des lignes directrices relatives à l'utilisation de données de géolocalisation et d'outils de "suivi des contacts" dans le cadre de la pandémie de COVID-19.
Ces lignes directrices viennent notamment clarifier le cadre juridique applicable aux applications de "suivi des contacts" et émettre des recommandations à destination des États membres désireux d'utiliser de tels dispositifs dans le cadre de leur stratégie sanitaire. Ainsi, les lignes directrices s'accompagnent d'un guide technique s’adressant aux développeurs d’applications de suivi des contacts . Sans être exhaustif, le guide dresse une liste de recommandations techniques concrètes ayant vocation à intégrer le principe de protection des données dès la conception consacré par le RGPD. Les recommandations portent principalement sur la nature de données traitées, les fonctionnalités ainsi que les mesures de sécurité. Elles sont le résultat d’une vision européenne harmonisée quant aux garanties qui doivent être mises en œuvre dans le cadre du recours à de tels dispositifs : utilisation basée sur le volontariat des personnes, recours à la technologie Bluetooth, utilisation de données à caractère personnel pseudonymisées (identifiants pseudonymes), publication du code source du dispositif, etc.
C’est sur la base de cette grille d’analyse européenne que la Commission a rendu ses avis dans le cadre des saisines du Gouvernement sur l’application STOPCOVID.
Le premier avis, adopté le 24 avril 2020, portait sur l’éventuelle mise en œuvre de l’application STOPCOVID. À ce stade, le déploiement de cette application et ses modalités exactes de mise en œuvre n’étaient pas encore arrêtés.
Dans son avis, la Commission :
a insisté sur la nécessité de démontrer que l'utilité de l'application pour la gestion de la crise est suffisamment avérée et que les garanties appropriées sont apportées (recours à des données pseudonymisées, mesures techniques de sécurité, limitation du dispositif dans le temps, durée de conservation limitée des données, etc.) ;
est venue confirmer que l’application traiterait bien des données à caractère personnel (notamment des données concernant la santé) sous une forme pseudonymisée (donc bien soumise au RGPD) et non anonymisée comme cela a parfois pu être avancé ;
a accueilli favorablement le caractère volontaire de l’utilisation d’un tel dispositif et a demandé qu’aucune conséquence négative ne puisse être attachée au choix de ne pas recourir à l’application (accès aux tests et aux soins, accès à certains services, etc.) ;
a émis une série de recommandations sur les mesures de sécurité complémentaires à apporter.
Suivant la recommandation de la Commission de disposer d’un fondement juridique explicite et précis dans le droit national, sur lequel elle serait préalablement consultée, le ministère en charge de la santé a saisi la Commission, le 15 mai 2020, d’une demande d’avis concernant un projet de décret relatif à l’application mobile dénommée STOPCOVID.