Le fichier SI-DEP doit centraliser notamment les résultats des tests au Covid-19, tandis que le fichier Contact Covid recueillera des informations sur les cas contact et les chaînes de contamination. Le 8 mai, la CNIL avait émis des recommandations.
La loi de prorogation de l’état d’urgence sanitaire du 11 mai a autorisé la création temporaire de deux fichiers nationaux : le fichier SI-DEP et le fichier Contact Covid. Ils doivent permettre d’identifier les personnes infectées, les personnes qu’elles sont susceptibles d’avoir contaminées et les chaînes de contamination.. Ces fichiers comprendront des données de santé et d’autres données personnelles (identité, hébergement, déplacement, participation à des rassemblements, etc.). Elles pourront être consultées par un grand nombre d’acteurs, notamment par les enquêteurs sanitaires, le législateur ayant autorisé la levée du secret médical.
Le 8 mai, la CNIL a demandé que le projet de décret soit précisé sur certains points, notamment pour encadrer plus précisément les données auxquelles aura accès chaque catégorie d’utilisateur des deux fichiers, selon sa fonction dans le dispositif sanitaire. « Le décret paru le 12 mai procède à un tel encadrement« , indique-t-elle. Il devra se traduire, dans la mesure du possible, par des mesures techniques limitant l’accès des utilisateurs à ce qui correspond à leurs besoins.
Dans son avis publié le 8 mai, la CNIL mettait l’accent sur plusieurs points. Elle appelait à ce que le décret ne prévoit pas le recueil, sans autre précision, d’informations sur les « liens » existants entre un « patient 0 » et un « cas contact ». « Le décret paru le 12 mai a supprimé cette mention et prévoit uniquement la collecte d’informations précises et circonscrites sur ce point (le fait de se connaître ou non, l’existence d’une cohabitation, la date du dernier contact)« , indique l’autorité.
Formation des utilisateurs
La CNIL appelle cependant à ce que les enquêteurs et les autres personnes (personnels des laboratoires d’analyse, médecins et autres professionnels de santé, pharmaciens, chercheurs, etc.) appelées à utiliser le fichier soient formés de façon adaptée, et qu’un dispositif de traçabilité des consultations soit mis en place de façon à repérer les abus et à pouvoir les sanctionner.
La CNIL a appelé à une réflexion plus fine sur les durées de conservation des données. « Elle prend acte de ce que la loi du 11 mai 2020 a, postérieurement à sa délibération, apporté de fortes garanties sur ce point en limitant la conservation des données dans le système d’information à trois mois à compter de leur collecte »
La CNIL a également constaté que le projet du gouvernement écartait pour l’essentiel le droit d’opposition, sauf pour permettre au « patient 0 » que son nom ne soit pas révélé à ses « cas contacts » et pour certaines transmissions de ses données pour des finalités de recherche. « Elle a demandé que la restriction du droit d’opposition aux fichiers soit réduite au minimum et constate qu’un droit d’opposition a été ouvert par le décret aux « cas contacts » pour le traitement de leurs données dans Contact Covid. Les droits d’information, d’accès et de rectification seront également garantis. »
La CNIL promet des contrôles
Si la CNIL relève que ces fichiers sont nécessaires à la mise en place de la politique sanitaire envisagée par le gouvernement pour le déconfinement, elle demande que « cette nécessité soit régulièrement réévaluée ».
Elle indique également qu’un certain nombre de préconisations complémentaires « relèveront de la mise en œuvre du dispositif, telles que des mesures de sécurité relatives à la politique d’authentification par mots de passe, ou à la traçabilité de certaines actions« .
Enfin, la CNIL a annoncé qu’elle contrôlera étroitement le dispositif. Un premier contrôle sera diligenté dans les premières semaines suivant son déploiement.
