Les réserves du Conseil constitutionnel sur le traitement des données personnelles dans le cadre de la loi prorogeant l’état d’urgence sanitaire.

Par décision n° 2020-800 DC du 11 mai 2020, statuant sur la constitutionnalité de la loi de prorogation de l'état d'urgence sanitaire, le Conseil constitutionnel a émis deux censures partielles et énonce trois réserves d'interprétation sur le traitement des données personnelles de nature médicale aux fins de traçage.

Concernant le système de traçage des malades du Covid-19 et de leurs contact, le Conseil constitutionnel reconnaît que la loi porte une atteinte au droit du respect de la vie privée. Il précise néanmoins  qu’elle  « poursuit l’objectif de valeur constitutionnelle de protection de la santé ».

Le Conseil constitutionnel émet une réserve d’interprétation concernant le champ des personnes ayant accès à aux données personnelles sans le consentement de l’intéressé : les  organismes qui assurent l’accompagnement social de ces personnes ne pourront pas y accéder.

extrait:« les agents de ces organismes ne sont pas autorisés à communiquer les données d'identification d'une personne infectée, sans son accord exprès, aux personnes qui ont été en contact avec elle. En outre, et de manière plus générale, ces agents sont soumis aux exigences du secret professionnel et ne peuvent donc, sous peine du délit prévu à l'article 226-13 du code pénal, divulguer à des tiers les informations dont ils ont connaissance par le biais du dispositif ainsi instauré. »

Les agents chargés, au sein de chaque organisme, de participer à la mise en œuvre du système d'information ainsi que la traçabilité des accès à ce système d'information devront détenir une habilitation spécifique.

Le Conseil constitutionnel  ajoute que les adresses mails et les numéros de téléphones  des personnes inscrites dans les futurs fichiers et utilisés pour le suivi épidémiologique et la recherche sur le Covid-19 seront également supprimés à l’instar des noms, prénoms et adresses.

De plus « les données à caractère personnel collectées, qu'elles soient ou non médicales, doivent, quant à elles, être supprimées trois mois après leur collecte. »

Loi prorogeant l'état d'urgence sanitaire

Extrait du communiqué de presse du Conseil constitutionnel :

« Concernant le système d'information destiné à permettre le traitement de données destinées au « traçage » des personnes atteintes par le covid-19 et de celles ayant été en contact avec ces dernières

Selon une jurisprudence constante, le Conseil constitutionnel a rappelé qu'il résulte du droit constitutionnel au respect de la vie privée que la collecte, l'enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d'intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif. Il a en outre jugé pour la première fois que, lorsque sont en cause des données à caractère personnel de nature médicale, une particulière vigilance doit être observée dans la conduite de ces opérations et la détermination de leurs modalités.

Au regard du cadre constitutionnel ainsi précisé, il a relevé que les dispositions contestées autorisent le traitement et le partage, sans le consentement des intéressés, de données à caractère personnel relatives à la santé des personnes atteintes par la maladie du covid-19 et des personnes en contact avec elles, dans le cadre d'un système d'information ad hoc ainsi que dans le cadre d'une adaptation des systèmes d'information relatifs aux données de santé déjà existants. Ce faisant, ces dispositions portent atteinte au droit au respect de la vie privée.

Le Conseil constitutionnel juge toutefois que, en adoptant les dispositions contestées, le législateur a entendu renforcer les moyens de la lutte contre l'épidémie de covid-19, par l'identification des chaînes de contamination. Il a ainsi poursuivi l'objectif de valeur constitutionnelle de protection de la santé.

Pour se prononcer sur l'adéquation et la proportionnalité des dispositions contestées au regard de l'objectif poursuivi, le Conseil a relevé que la collecte, le traitement et le partage des données personnelles précitées ne peuvent être mis en œuvre que dans la mesure strictement nécessaire à quatre finalités déterminées.

En outre, le champ des données de santé à caractère personnel susceptibles de faire l'objet de la collecte, du traitement et du partage en cause, a été restreint par le législateur aux seules données relatives au statut virologique ou sérologique des personnes à l'égard de la maladie covid- 19 ou aux éléments probants de diagnostic clinique et d'imagerie médicale précisés par décret en Conseil d'État pris après avis du Haut Conseil de la santé publique.

Toutefois, le Conseil constitutionnel a formulé une première réserve d'interprétation en jugeant que, sauf à méconnaître le droit au respect de la vie privée, l'exigence de suppression des nom et prénoms des intéressés, de leur numéro d'inscription au répertoire national d'identification des personnes physiques et de leur adresse, dans les parties de ces traitements ayant pour finalité la surveillance épidémiologique et la recherche contre le virus, doit également s'étendre aux coordonnées de contact téléphonique ou électronique des intéressés.

S'agissant du champ des personnes susceptibles d'avoir accès à ces données à caractère personnel, sans le consentement de l'intéressé, il a jugé que si la liste en est particulièrement étendue, cette extension est rendue nécessaire par la masse des démarches à entreprendre pour organiser la collecte des informations nécessaires à la lutte contre le développement de l'épidémie.

En revanche, le Conseil constitutionnel a censuré comme méconnaissant le droit au respect  de  la  vie  privée  la  deuxième  phrase  du paragraphe  III de l'article 11 incluant dans ce champ les organismes qui assurent l'accompagnement social des intéressés. Il a en effet relevé  que, s'agissant d'un accompagnement social qui ne  relève pas directement de la lutte contre l'épidémie, rien ne justifie que l'accès aux données   à caractère personnel traitées dans le système d'information ne soit pas subordonné au recueil du consentement des intéressés.

Le Conseil constitutionnel a également pris en compte dans son appréciation d'ensemble les dispositions précisant que les agents de ces organismes ne sont pas autorisés à communiquer les données d'identification d'une personne infectée, sans son accord exprès, aux personnes qui ont été en contact avec elle. En outre, et de manière plus générale, ces agents sont soumis aux exigences du secret professionnel et ne peuvent donc, sous peine du délit prévu à l'article 226-13 du code pénal, divulguer à des tiers les informations dont ils ont connaissance par le biais du dispositif ainsi instauré.

Par une deuxième réserve d'interprétation, il a jugé qu'il appartiendra au pouvoir réglementaire de définir des modalités de collecte, de traitement et de partage des informations assurant leur stricte confidentialité et, notamment, l'habilitation spécifique des agents chargés, au sein de chaque organisme, de participer à la mise en œuvre du système d'information ainsi que la traçabilité des accès à ce système d'information.

Par une troisième réserve d'interprétation, il a jugé que si le législateur a autorisé les organismes concourant au dispositif à recourir, pour l'exercice de leur mission dans le cadre du dispositif examiné, à des organismes sous-traitants, ces sous-traitants agissent pour leur compte et sous leur responsabilité. Pour respecter le droit au respect de la vie privée, ce recours aux sous-traitants doit s'effectuer en conformité avec les exigences de nécessité et de confidentialité mentionnée par la présente décision.

Le Conseil constitutionnel a également pris en compte le choix du législateur de prévoir que ce dispositif ne peut s'appliquer au-delà du temps strictement nécessaire à la lutte contre la propagation de l'épidémie de covid-19 ou, au plus tard, au-delà de six mois après la fin de l'état d'urgence sanitaire déclaré par la loi du 23 mars 2020. D'autre part, les données à caractère personnel collectées, qu'elles soient ou non médicales, doivent, quant à elles, être supprimées trois mois après leur collecte.

Par l'ensemble de ces motifs et sous les réserves qui viennent d'être présentées, le Conseil constitutionnel a jugé que les paragraphes I et II et   le reste des paragraphes III et V de l'article 11 ne méconnaissent pas le droit au respect de la vie privée. »

Source: Conseil constitutionnel