LOI n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions
Article 11
Le ministre chargé de la santé ainsi que l'Agence nationale de santé publique, un organisme d'assurance maladie et les agences régionales de santé peuvent en outre, aux mêmes fins et pour la même durée, être autorisés par décret en Conseil d'Etat à adapter les systèmes d'information existants et à prévoir le partage des mêmes données dans les mêmes conditions que celles prévues au premier alinéa du présent I.
Les données à caractère personnel collectées par ces systèmes d'information à ces fins ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte. Par dérogation, les données relatives à une personne ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19 concluant à une contamination sont conservées pour une durée de six mois après leur collecte. La durée de conservation de certaines données à caractère personnel peut être prolongée, pour la seule finalité de traitement mentionnée au 4° du II et, au plus tard, jusqu'à la date mentionnée au premier alinéa du présent I, par décret en Conseil d'Etat pris après avis publics du comité mentionné au VIII et de la Commission nationale de l'informatique et des libertés. Ce décret précise, pour les données collectées avant son entrée en vigueur, les modalités selon lesquelles les personnes concernées sont informées sans délai de cette prolongation.
Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique ou sérologique de la personne à l'égard du virus mentionné au présent I ainsi qu'à des éléments probants de diagnostic clinique et d'imagerie médicale, précisés par le décret en Conseil d'Etat prévu au présent I.
Le décret en Conseil d'Etat prévu au présent I précise les modalités d'exercice des droits d'accès, d'information, d'opposition et de rectification des personnes concernées, celles atteintes par le virus ou celles en contact avec ces dernières, lorsque leurs données personnelles sont collectées dans ces systèmes d'information à l'initiative de tiers.
La prorogation des systèmes d'information au-delà de la date mentionnée au premier alinéa du présent I ne peut être autorisée que par la loi.
II. - Les systèmes d'information mentionnés au I ont pour finalités :
1° L'identification des personnes infectées, par la prescription et la réalisation d'examens de dépistage virologique ou sérologique ou d'examens d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection mentionnés au même I. Ces informations sont renseignées par un professionnel de santé figurant sur une liste prévue par décret et habilité à la réalisation des examens de dépistage virologique ou sérologique ou sous la responsabilité de ce professionnel, dans le respect de leur devoir d'information à l'égard des patients ;
2° L'identification des personnes présentant un risque d'infection, par la collecte des informations relatives aux contacts des personnes infectées et, le cas échéant, par la réalisation d'enquêtes sanitaires, en présence notamment de cas groupés ;
3° L'orientation des personnes infectées, et des personnes susceptibles de l'être, en fonction de leur situation, vers des prescriptions médicales d'isolement prophylactiques, ainsi que l'accompagnement de ces personnes pendant et après la fin de ces mesures ;
4° La surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sous réserve, en cas de collecte d'informations, de supprimer les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques, leur adresse et leurs coordonnées de contact téléphonique et électronique ;
5° L'accompagnement social des personnes infectées et des personnes susceptibles de l'être pendant et après la fin des prescriptions médicales d'isolement prophylactiques, sous réserve du recueil préalable du consentement des intéressés au partage de leurs données à caractère personnel dans ce cadre.
Les données d'identification des personnes infectées ne peuvent être communiquées, sauf accord exprès, aux personnes ayant été en contact avec elles.
Sont exclus de ces finalités le développement ou le déploiement d'une application informatique à destination du public et disponible sur équipement mobile permettant d'informer les personnes du fait qu'elles ont été à proximité de personnes diagnostiquées positives à la covid-19.
III. - Outre les autorités mentionnées au I, le service de santé des armées, les communautés professionnelles territoriales de santé, les établissements de santé, sociaux et médico-sociaux, les équipes de soins primaires mentionnées à l'article L. 1411-11-1 du code de la santé publique, les maisons de santé, les centres de santé, les services de santé au travail mentionnés à l'article L. 4622-1 du code du travail, les professionnels de santé et personnels spécialement habilités des services de santé des établissements d'enseignement scolaire ou des établissements d'enseignement supérieur et les médecins prenant en charge les personnes concernées, les pharmaciens, les professionnels de santé ou les étudiants inscrits dans une formation donnant accès aux professions de santé régies par la quatrième partie du code de la santé publique, les dispositifs d'appui à la coordination des parcours de santé complexes prévus à l'article L. 6327-1 du code de la santé publique, les dispositifs spécifiques régionaux prévus à l'article L. 6327-6 du même code, les dispositifs d'appui existants qui ont vocation à les intégrer mentionnés au II de l'article 23 de la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé ainsi que les laboratoires, services et professionnels de santé autorisés à réaliser les examens de dépistage virologique ou sérologique ou les examens d'imagerie médicale pertinents sur les personnes concernées participent à la mise en œuvre de ces systèmes d'information et peuvent, dans la stricte mesure où leur intervention sert les finalités définies au II du présent article, avoir accès aux seules données nécessaires à leur intervention. Les organismes qui assurent l'accompagnement social des intéressés dans les conditions prévues au 5° du II du présent article peuvent également recevoir les données strictement nécessaires à l'exercice de leur mission. [Dispositions déclarées non conformes à la Constitution par la décision du Conseil constitutionnel n° 2020-800 DC du 11 mai 2020.] Les personnes ayant accès à ces données sont soumises au secret professionnel. En cas de révélation d'une information issue des données collectées dans ce système d'information, elles encourent les peines prévues à l'article 226-13 du code pénal.
Les dispositifs automatiques permettant de renseigner, dans les systèmes d'information mentionnés au I du présent article, les résultats des examens de dépistage virologique ou sérologique doivent garantir strictement la sécurité, l'intégrité et la confidentialité des données traitées et répondre aux conditions fixées à cet effet par arrêté du ministre chargé de la santé. La liste des dispositifs respectant ces conditions est rendue publique.
La fourniture d'un dispositif mentionné au même I ou le recours à un tel dispositif en méconnaissance des prescriptions du deuxième alinéa du présent III est puni des peines prévues à l'article 226-17 du code pénal.
IV.-L'inscription d'une personne dans le système de suivi des personnes contacts emporte prescription pour la réalisation et le remboursement des examens effectués en laboratoires de biologie médicale, par exception à l'article L. 6211-8 du code de la santé publique, et des autres examens mentionnés au 1° du II du présent article ainsi que pour la délivrance des masques en officine.
V. - Les modalités d'application du présent article sont fixées par les décrets en Conseil d'Etat mentionnés au I après avis public [Dispositions déclarées non conformes à la Constitution par la décision du Conseil constitutionnel n° 2020-800 DC du 11 mai 2020] de la Commission nationale de l'informatique et des libertés. Ces décrets en Conseil d'Etat précisent notamment, pour chaque autorité ou organisme mentionné aux I et III, les services ou personnels dont les interventions sont nécessaires aux finalités mentionnées au II et les catégories de données auxquelles ils ont accès, la durée de cet accès, les règles de conservation des données ainsi que les organismes auxquels ils peuvent faire appel, pour leur compte et sous leur responsabilité, pour en assurer le traitement, dans la mesure où les finalités mentionnées au même II le justifient, et les modalités encadrant le recours à la sous-traitance. Ils dressent la liste exhaustive des données pouvant être collectées en vue du suivi épidémiologique et de la recherche sur le virus.
VI.-Les données individuelles relatives à la covid-19 font l'objet d'une transmission obligatoire à l'autorité sanitaire prévue à l'article L. 3113-1 du code de la santé publique. Cette transmission est effectuée par les médecins, les responsables des services et laboratoires de biologie médicale publics et privés et les autres professionnels de santé mentionnés au 1° du II du présent article, au moyen des systèmes d'information mentionnés au présent article.
VII. - Le directeur général de l'Union nationale des caisses d'assurance maladie mentionnée à l'article L. 182-2 du code de la sécurité sociale peut, en tant que de besoin, fixer les modalités de rémunération des professionnels de santé conventionnés participant à la collecte des données nécessaires au fonctionnement des systèmes d'information mis en œuvre pour lutter contre l'épidémie. La collecte de ces données ne peut faire l'objet d'une rémunération liée au nombre et à la complétude des données recensées pour chaque personne enregistrée.
VIII. - Il est instauré un Comité de contrôle et de liaison covid-19 chargé d'associer la société civile et le Parlement aux opérations de lutte contre la propagation de l'épidémie par suivi des contacts ainsi qu'au déploiement des systèmes d'information prévus à cet effet.
Ce comité est chargé, par des audits réguliers :
1° D'évaluer, grâce aux retours d'expérience des équipes sanitaires de terrain, l'apport réel des outils numériques à leur action, et de déterminer s'ils sont, ou pas, de nature à faire une différence significative dans le traitement de l'épidémie ;
2° De vérifier tout au long de ces opérations le respect des garanties entourant le secret médical et la protection des données personnelles.
Sa composition, qui inclut deux députés et deux sénateurs désignés par les présidents de leurs assemblées respectives, et la mise en œuvre de ses missions sont fixées par décret.
Les membres du comité exercent leurs fonctions à titre gratuit.
IX. - L'Assemblée nationale et le Sénat sont informés sans délai des mesures mises en œuvre par les autorités compétentes en application du présent article.
[Dispositions déclarées non conformes à la Constitution par la décision du Conseil constitutionnel n° 2020-800 DC du 11 mai 2020.]
Le Gouvernement adresse au Parlement un rapport détaillé de l'application de ces mesures, comprenant des indicateurs d'activité, de performance et de résultats quantifiés adaptés aux priorités retenues, tous les trois mois à compter de la promulgation de la présente loi et jusqu'à la disparition des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de covid-19. Ces rapports sont complétés par un avis public de la Commission nationale de l'informatique et des libertés.
X.- A l'exclusion des coordonnées de contact téléphonique et électronique des personnes, les données recueillies dans les traitements de données mis en œuvre en application du présent article et qui relèvent du champ du système national des données de santé défini au I de l'article L. 1461-1 du code de la santé publique sont rassemblées au sein de ce système et soumises au chapitre Ier du titre VI du livre IV de la première partie du même code.