Dérogations au secret médical : fin de l'état d'urgence sanitaire... ou pas tout à fait

La loi organisant la fin de l’état d’urgence sanitaire a été publiée au Journal officiel du 10 juillet 2020. Elle comporte cinq articles, dont l’un prolonge certaines dérogations au secret médical instaurées par la loi n° 2020-546 du 11 mai 2020 « prorogeant l’état d’urgence sanitaire et complétant ses dispositions ».

En effet, l'article 1er définit un régime de sortie de l’état d’urgence sanitaire, le second maintient certains territoires en état d’urgence sanitaire et l’article 3 modifie l’article 11 de la loi du 11 mai 2020 sur les systèmes d’informations mis en œuvre aux fins de lutter contre la propagation de l’épidémie de covid‑19 pour permettre une durée de conservation supérieure à trois mois pour certaines données collectées dans ce cadre.

La durée de conservation de certaines données à caractère personnel, initialement fixée par la loi à trois mois, est ainsi prolongée dans la limite de la durée de six mois à compter de la fin de l’état d’urgence sanitaire pour laquelle les systèmes d’information « Contact Covid » et « SI-DEP », créés par la loi du 11 mai 2020, ont été autorisés.

Les modalités de cette prolongation, en particulier sa durée et les données concernées, ainsi que, pour les données collectées avant l’entrée en vigueur de cette nouvelle loi, les modalités d’information des personnes concernées, doivent être déterminées par décret en Conseil d’État pris après avis publics du « Comité de contrôle et de liaison Covid‑19 » et de la CNIL.

Pour mémoire, le Comité de contrôle et de liaison Covid-19 a été instauré par la loi du 11 mai 2020 afin d’associer la société civile et le Parlement à la mise en œuvre des systèmes d’information destinés à lutter contre la propagation du virus du Covid-19. Il est composé de douze membres dont la liste est fixée par le décret n° 2020-572 du 15 mai 2020, parmi lesquels deux députés, deux sénateurs et un membre du Comité de scientifiques créé dans le cadre de l’état d’urgence sanitaire (C. santé publ., art. L. 3131-19). Son président, désigné par le ministre de la santé, est le Professeur Emmanuel Rusch, Président de la Conférence nationale de santé. Il est chargé, par des audits réguliers :

– d’évaluer, grâce aux retours d’expérience des équipes sanitaires de terrain, l’apport réel des outils numériques à leur action, et de déterminer s’ils sont, ou pas, de nature à faire une différence significative dans le traitement de l’épidémie ;

Il n’a, pour l’heure, rendu aucun avis public.

La loi organisant la fin de l'état d'urgence sanitaire revient ainsi sur l’une des garanties auxquelles s’était attachée la CNIL dans sa délibération n° 2020-051 du 8 mai 2020 « portant avis sur un projet de décret relatif aux systèmes d’information mentionnés à l’article 6 du projet de loi prorogeant l’état d’urgence sanitaire ». Initialement, le projet de décret relatif aux systèmes d’information « Contact-Covid » et « SI-DEP » (devenu le décret n° 2020-551 du 12 mai 2020) prévoyait une durée de conservation des données d’un an à compter de la date de publication de la loi prorogeant l’état d’urgence sanitaire. La CNIL s’y était opposée, estimant que l’intérêt, dans une logique notamment de politique sanitaire et dans un contexte évolutif de connaissances sur l’épidémie, de conserver les données collectées pour une période d’un an, ne devait pas à lui seul guider la détermination de la durée de conservation des données. Elle avait souhaité qu’à l’issue de trois mois d’usage du dispositif « Contact Covid », la pertinence de cette durée fasse l’objet d’une évaluation. Son avis sur le projet de décret à venir n’est pas encore connu.

Le Conseil d’Etat, en revanche, s’est prononcé sur le projet de loi lors de sa séance du 9 juin 2020.

Dans cet avis, il rappelle tout d’abord que le droit au respect de la vie privée garanti par l'article 2 de la Déclaration de 1789 et par l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales implique que les données à caractère personnel doivent être conservées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées. Il rappelle également que selon l’article 5 du RGPD, « les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées », une durée de conservation plus longue étant cependant possible dans la mesure où les données sont « traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques (…), pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ».

Il estime à cet égard que selon l’étude d’impact et les précisions apportées par le Gouvernement, la prolongation de la durée de conservation des données à caractère personnel est nécessaire au regard de la finalité, prévue au 4° du II de l’article 11 de la loi du 11 mai 2020, de surveillance épidémiologique aux niveaux national et local, et de recherche sur le virus et les moyens de lutter contre sa propagation.

Il importe de rappeler, toutefois, que s’agissant de cette finalité, la loi du 11 mai 2020 prorogeant l’état d’urgence sanitaire a prévu « en cas de collecte d’informations, de supprimer les nom et prénoms des personnes, leur numéro d’inscription au répertoire national d’identification des personnes physiques et leur adresse ». Le Conseil constitutionnel, dans sa décision n° 2020-800 DC du 11 mai 2020, a ajouté que « sauf à méconnaître le droit au respect de la vie privée, cette exigence de suppression doit également s’étendre aux coordonnées de contact téléphonique ou électronique des intéressés ». Il ne devrait donc pas s’agir de données identifiantes.

Selon le Conseil d’Etat, le Gouvernement justifie également la mesure de prolongation par la nécessité de faciliter les conditions de réalisation des opérations de recherche des cas contacts et des enquêtes sanitaires, en permettant aux services en charge de ces investigations d’identifier les personnes dépistées positives jusqu’à la fin de la crise sanitaire. Cela correspond aux deux premières finalités assignées aux systèmes d’information par la loi du 11 mai 2020.  Il estime à ce sujet que « la nécessité de la prolongation de la durée de conservation de certaines données à caractère personnel devra être appréciée, lors de l’élaboration du projet de décret en Conseil d’Etat auquel il est renvoyé, au regard, d’une part, des incidences de la mesure sur le droit des intéressés au respect de la vie privée et, d’autre part, de l’état des connaissances scientifiques, en ce qui concerne notamment l’immunité des personnes dépistées positives au virus du covid-19 ».

Il considère par conséquent que le projet de loi ne déroge pas aux principes sus-rappelés.

Cette deuxième finalité semble cependant avoir été abandonnée par le législateur puisque le texte définitivement adopté précise que « la durée de conservation de certaines données à caractère personnel peut être prolongée, pour la seule finalité de traitement mentionnée au 4° du II ».

Dans son avis, le Conseil d’Etat se prononce ensuite sur la conformité du projet de loi aux articles 13 et 14 du RGPD, prévoyant l’information de la personne concernée sur la durée de conservation des données à caractère personnel collectées. Il souligne que ces dispositions visent à garantir un traitement loyal et transparent des données à caractère personnel, aux fins notamment de permettre aux intéressés d’exercer les droits d’accès, d’opposition, d’effacement et de rectification ainsi que le droit à la limitation des données qui leur sont reconnus par le RGPD. Il estime qu’une prolongation de la conservation des données est possible sous réserve de respecter cette double exigence de loyauté et de transparence. Après avoir observé que les traitements de données autorisés par la loi du 11 mai 2020 ne requéraient pas le consentement des personnes concernées, il considère que le projet est conforme à ces principes, sous réserve, pour garantir la transparence du traitement et permettre en particulier aux intéressés d’exercer à tout moment leur droit à l’effacement et leur droit d’opposition, de prévoir une disposition précisant que les personnes concernées seront informées sans délai de cette prolongation de la durée de conservation des données les concernant, selon les modalités les plus adéquates que le décret d’application devra définir.

La loi adoptée le 2 juillet 2020 est conforme à cet avis puisqu’elle prévoit bien que le décret d’application devra, pour les données collectées avant son entrée en vigueur, préciser « les modalités selon lesquelles les personnes concernées en sont informées sans délai ».

Les personnes concernées pourront-elles pour autant s’opposer à cette conservation ? Rien n’est moins sûr car, si la loi du 11 mai 2020 préserve effectivement les droits d’accès et de rectification, son décret d’application du 12 mai 2020 a singulièrement limité le droit d’opposition à la collecte des données (voir « Le secret médical en crise »). Il pourrait bien en être de même du décret d’application de la loi organisant la fin de l’état d’urgence sanitaire, les mêmes causes appelant le même traitement.

Le Conseil national de l’Ordre des médecins, s’estimant manifestement trahi par le Gouvernement, était quant à lui vent debout contre ce projet de loi. Dans un communiqué diffusé le 15 juin 2020, il s'est dit très inquiet face au « double langage du Gouvernement quant aux garanties relatives à la durée de conservation des données ». Il a souligné que lors de la discussion parlementaire, il avait obtenu du Gouvernement et du Parlement « les garanties nécessaires à la mise en place de ces fichiers, en particulier pour ce qui concerne leur durée de conservation. C’est notamment à cette condition qu’il avait engagé les médecins à contribuer à la mise en place des dispositifs de santé publique mis en œuvre ». Il a affirmé qu’étant garant du secret médical, il ne saurait cautionner ce revirement, dont les modalités seraient organisées par décret et échapperaient ainsi au débat parlementaire démocratique, au moment même où, paradoxalement, le Gouvernement, à partir de données épidémiologiques confirmant le recul de la pandémie, légifère sur la fin de l’urgence sanitaire.