B. UNE DISPOSITION LÉGISLATIVE REQUISE POUR AUTORISER ET ENCADRER LE PARTAGE, SANS LE CONSENTEMENT DES PERSONNES CONCERNÉES, D'INFORMATIONS COUVERTES PAR LE SECRET MÉDICAL
Selon le Gouvernement, l' article 6 du projet de loi ne vise pas à créer, par lui-même, de nouveaux traitements de données 17 ( * ) . Ces dispositions fixent un cadre juridique général pour les systèmes d'information déployés en appui à la lutte contre la propagation de l'épidémie de covid-19 et que devront respecter les traitements de données ultérieurement créés ou modifiés. À ce titre :
- elles identifient les catégories de responsables de traitement pour les dispositifs envisagés (ministre chargé de la santé, l'Agence nationale de santé publique, l'Assurance maladie et agences régionales de santé) ;
- elles autorisent la collecte de « données de santé et d'identification » et énumèrent les finalités poursuivies (identification des personnes infectées et des personnes à risque - « cas-contacts » -, orientation et suivi de ces dernières, surveillance épidémiologique) ;
- elles énumèrent les catégories de personnes pouvant avoir accès à ces informations (service de santé des armées, communautés professionnelles territoriales de santé, établissements de santé, maisons de santé, centres de santé et médecins concernés, laboratoires de biologie médicale) ;
- et pour le surplus, elles renvoient les modalités de mise en oeuvre du dispositif à un décret en Conseil d'État après avis public de la Commission nationale de l'informatique et des libertés (CNIL) et habilitent même le Gouvernement à prendre par ordonnance des mesures complémentaires relevant du domaine de la loi (toutes celles concernant l'organisation et les conditions de mise en oeuvre des systèmes d'information).
Surtout, l'article 6 autorise expressément que le partage de données traitées dans le cadre de ces systèmes d'information dérogent au secret médical 18 ( * ) et à la nécessité de recueillir le consentement des intéressés .
Au titre de garantie, il est précisé que cette dérogation sera strictement limitée dans le temps (« à la durée strictement nécessaire de l'épidémie ou au plus tard à une durée d'un an à compter de la publication de la loi »).
Le Conseil d'État a admis cette dérogation, estimant qu'elle ne portait pas une atteinte disproportionnée au droit au respect de la vie privée et respectait le cadre juridique européen relatif à la protection des données personnelles :
- l'accès à des données personnelles de santé non anonymisées données médicales à des professionnels, pour certains non médicaux, et même en l'absence de consentement de l'intéressé, est justifié par l'impossibilité pour les seuls professionnels médicaux de réaliser l'ensemble des nombreuses opérations prévues, qui nécessitent des moyens humains très importants ;
- le dispositif dont la création est autorisée repose sur un objectif d'intérêt général (la lutte contre la propagation de l'épidémie de covid-19), base juridique qui permet de ne pas se fonder sur le consentement des personnes dont les données personnelles, y compris de santé, sont traitées ;
- il est nécessaire à la réalisation de l'objectif de lutte contre l'épidémie , au vu des informations et avis scientifiques fournis par le Gouvernement, mais cette nécessité devrait être réévaluée périodiquement en fonction de l'évolution de l'état de l'épidémie ; à cet égard, s'il a connaissance des avis pertinents du comité de scientifiques Covid-19 en la matière 19 ( * ) , le rapporteur regrette de ne pas trouver directement trace dans l'étude d'impact des éléments justificatifs auxquels fait ici allusion le Conseil d'État ;
- il est encadré par des garanties (limitation stricte dans le temps et des finalités) qui seront complétées à l'occasion de chaque acte réglementaire créant le traitement de données.
* 17 C'est ce qui explique, selon le Gouvernement, que cette disposition du projet de loi n'ait pas été préalablement soumise à la consultation obligatoire de la CNIL. Le Conseil d'État, dans son avis, estime « que ces dispositions ne déterminent pas dans leurs caractéristiques essentielles, les conditions de création ou de mise en oeuvre d'un traitement ou d'une catégorie de traitements de données à caractère personnel, de sorte que la consultation préalable de la CNIL n'est requise ni sur le fondement de l'article 36.4 du RGPD ni sur celle de la loi du 6 janvier 1978 ».
* 18 Aux termes de l'article L. 1110-4 du code de la santé publique : « Toute personne prise en charge (...) a droit au respect de sa vie privée et du secret des informations la concernant. / Excepté dans les cas de dérogation expressément prévus par la loi, ce secret couvre l'ensemble des informations concernant la personne venues à la connaissance du professionnel, de tout membre du personnel de ces établissements, services ou organismes et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes. Il s'impose à tous les professionnels intervenant dans le système de santé. »
* 19 Avis n° 6 du Conseil scientifique COVID-19 du 20 avril 2020 « sortie progressive de confinement prérequis et mesures phares » ; voir en particulier la fiche n° 4 « Identification, isolement des cas et suivis des contacts ». Ce document est disponible en ligne à l'adresse suivante : https://solidarites-sante.gouv.fr/IMG/pdf/avis_conseil_scientifique_20_avril_2020.pdf