La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d’une demande d’avis concernant un projet de décret autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé Portail Autotest COVID-19 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie d’un projet de décret autorisant la mise en œuvre d’un traitement de données à caractère personnel, placé sous la responsabilité de la direction générale de la santé (DGS), destiné à recueillir les résultats des autotests de dépistage de la covid-19 à des fins de suivi épidémiologique et d’analyse statistique par les organismes intervenant dans la gestion de l’épidémie à savoir, selon l’article 3 du projet de décret, la DGS, les agences régionales de santé (ARS), la Caisse nationale d’assurance maladie, le ministère de l’éducation nationale, l’Agence nationale de santé publique (ANSP) et la direction de la recherche, des études, de l’évaluation et des statistiques (DREES).
Les personnes ayant effectué un autotest pourront créer un compte et indiquer le résultat de celui-ci sur le Portail Autotest Covid-19 . En fonction du résultat, des informations destinées à orienter la personne, notamment afin de les inviter à réaliser un test PCR le cas échéant, ainsi qu’un rappel des consignes sanitaires à appliquer, s’afficheront. La personne accèdera à un récépissé attestant de la réalisation d’un autotest, sans mention de son résultat. Selon les précisions du ministère, le récépissé ne pourra ni servir à prouver le résultat d’un test, ni être utilisé dans le cadre du passe sanitaire dont la mise en œuvre est prévue par le projet de loi relatif à la gestion de la sortie de crise sanitaire. La Commission en prend acte.
Le Portail Autotest Covid-19 ne sera ni rapproché ni interconnecté avec d’autres systèmes d’information.
Sans se prononcer sur la pertinence scientifique du dispositif, qui ne relève pas de sa compétence, la Commission relève que le dispositif repose sur des résultats des autotests ne présentant pas un niveau de fiabilité équivalent à ceux réalisés par des professionnels de santé et que la remontée de ces informations repose sur le volontariat des personnes.
Sur la base légale du traitement et la condition permettant le traitement de données concernant la santé
L’article 1er du projet de décret précise que le traitement sera fondé sur le consentement des personnes concernées, en application de l’article 6.1.a du RGPD. Selon les précisions du ministère, le consentement à la collecte des informations sera recueilli lors de la création du compte, puis à chaque connexion et à chaque validation du résultat de l’autotest sur le portail, par le biais de cases à cocher. La Commission en prend acte et invite le ministère à faire preuve de vigilance quant au respect du principe de la liberté du consentement concernant le remplissage d’informations dans le Portail Autotest Covid-19 , notamment s’agissant des campagnes d’autotests réalisées en milieu scolaire ou dans un contexte professionnel.
Outre l’existence d’une base légale prévue à l’article 6, la Commission rappelle que le traitement, qui relève du RGPD, portera sur des données sensibles, ce qui n’est possible que si l’une des conditions prévues au 2 de l’article 9 du RGPD est remplie. Le ministère a indiqué que le traitement est également nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique remplissant ainsi la condition prévue à l’article 9-2-i) du RGPD permettant de traiter des données concernant la santé. La Commission en prend acte et invite le ministère à modifier le projet de décret sur ce point.
Sur l’information des personnes concernées
Selon les précisions du ministère, les personnes concernées seront informées de la mise en œuvre du traitement par les conditions générales d’utilisation (CGU) qui s’afficheront lors de la création d’un compte sur Portail Autotest Covid-19 . En complément, la Commission suggère l’utilisation de l’approche à plusieurs niveaux dans un environnement numérique recommandée par le Comité européen de la protection des données dans ses lignes directrices relatives à la transparence : l’information, comprenant l’ensemble des éléments prévus à l’article 13 du RGPD, pourrait ainsi être détaillée au fur et à mesure du parcours de l’utilisateur dans le Portail Autotest Covid-19 et rappelée à chaque renseignement de résultats d’autotests.
Par ailleurs, le ministère indique que des informations relatives au Portail Autotest Covid-19 seront diffusées dans les pharmacies, par le biais de communiqués de presse et sur le site web du ministère de la santé. La Commission en prend acte.
En outre, selon les précisions du ministère, les personnes concernées pourront retirer leur consentement en supprimant elles-mêmes les informations relatives à leur compte sur le portail ou en adressant une demande via une adresse électronique dédiée. La Commission en prend acte et invite le ministère à informer les personnes que le retrait du consentement, comme la suppression du compte, entraînent l’effacement des données traitées dans le portail, à l’exception de celles qui auraient déjà été pseudonymisées et transmises pour la réalisation du suivi épidémiologique et la production d’analyses statistiques.
Sur le remplissage d’informations par une autre personne que celle ayant réalisé l’autotest
La Commission relève que seules les personnes ayant réalisé un autotest pourront remplir pour elles-mêmes les informations les concernant dans le Portail Autotest Covid-19 .
Cependant, selon les précisions du ministère, une exception est prévue pour les mineurs : un titulaire de l’autorité parentale pourra remplir le Portail Autotest Covid-19 pour le compte d’un mineur. Le titulaire de l’autorité parentale aura accès, via son compte, aux historiques des mineurs pour lesquels il aura rempli des informations. La Commission en prend acte. Elle estime par ailleurs qu’une dérogation similaire devrait être prévue pour les professionnels qui accompagnent des personnes ne disposant pas des outils numériques nécessaires ou d’un niveau de maîtrise suffisant, dans le cadre du dispositif Aidants-connect .
La Commission attire l’attention du ministère sur le fait que la saisie du résultat ne pouvant être effectuée que via une interface numérique, ce dispositif exclut mécaniquement la partie de la population éloignée du numérique et est susceptible d’engendrer un biais dans le suivi épidémiologique.
Sur les destinataires
Le ministère a précisé qu’après pseudonymisation des données par un algorithme identique à celui utilisé pour SI-DEP et Vaccin Covid , les données collectées seront transmises à la direction du numérique des ministères chargés des affaires sociales (DNUM) qui mettra en place un portail regroupant des indicateurs n’affichant pas de comptage inférieur à 100. Seuls les organismes intervenant dans la gestion de l’épidémie, listés à l’article 3 du projet de décret, pourront y accéder. La Commission prend acte de ce que la DGS et la DNUM formalisent par un acte juridique les responsabilités qui leurs seront dévolues dans le cadre de la mise en œuvre du Portail Autotest Covid-19 .
Sur la durée de conservation des données et de la mise en œuvre du traitement
Selon les précisions du ministère, les données seront conservées trois mois à compter de leur collecte avant d’être supprimées.
Selon les indications du ministère, le portail sera mis en œuvre jusqu’au 31 décembre 2021. La Commission invite donc le ministère à compléter le projet en y mentionnant explicitement cette date ou tout élément permettant d’en déterminer la durée.
Sur la sécurité des données et la traçabilité des actions
La Commission n’a pas été destinataire de l’analyse d’impact sur la protection des données (AIPD) et le ministère n'a pas encore été en mesure de lui transmettre les informations techniques nécessaires concernant la mise en œuvre du traitement. Elle n'a donc pas été en mesure de vérifier la sécurité du traitement avant son déploiement, mais précise qu'elle sera vigilante quant aux conditions de mise en œuvre du Portail Autotest Covid-19 .
La Commission demande qu’un bilan détaillé du Portail Autotest Covid-19 lui soit communiqué, six mois après le début de sa mise en œuvre.
La Présidente
Marie-Laure DENIS