CNIL : Délibération n° 2020-051 du 8 mai 2020 portant avis sur un projet de décret relatif aux systèmes d’information mentionnés à l’article 6 du projet de loi prorogeant l’état d’urgence sanitaire.
La CNIL a rendu un avis qui tend à considérer que le Le Décret d’application n°2020-551 du 12 mai 2020 de l’article 11 de la Loi n°2020-546 du 11 mai 2020 est conforme au texte législatif et au RGPD. Les points essentiels qui devaient faire l’objet d’une expertise du texte réglementaire sont les suivants :
- la finalité des traitements des données voulus par le législateur,
- la nature des données collectées, les personnes habilitées à accéder à la base de données,
- la durée de conservation de ces données,
- la sécurité apportée aux deux systèmes d’information,
- mais encore et surtout le caractère nécessaire de ces dispositifs pour lutter efficacement contre la propagation du coronavirus 2019.
La CNIL affirme ainsi dans son avis :
-
La Commission considère donc que la mise en œuvre du traitement SI-DEP devra en particulier garantir la maîtrise de l’échange et l’hébergement des données, de l’authentification des personnes et de la traçabilité des actions des utilisateurs.
-
La question de la sécurité dans la mise en application au quotidien est tout aussi importante que de s’assurer que l’ensemble du dispositif est conforme au RGPD. Par conséquent, la culture de la sécurité informatique doit progresser au moins aussi vite que l’évolution législative et réglementaire et force est de constater qu’il y a sur ce terrain encore beaucoup de travail.
-
Concernant la durée de conservation des données collectées, tant pour le système d’information « Contact Covid » que pour le système d’information « SI-DEP », la CNIL relève dans son avis que la durée de conservation des données est d’un an à compter la publication de la Loi (avec évaluation de la pertinence du dispositif au bout de trois mois et que la possibilité de supprimer certaines catégories de données soit étudiée).
-
Pour le traitement « Contact Covid » et « SI-DEP », le Décret prévoit une conservation des données pour une durée de six mois à compter de la fin de l’état d’urgence déclaré à l’article 4 et article 11 de la Loi du 23 mars 2020. Dans cette limite, la durée de conservation des données ne peut dépasser 3 mois suivant la date de leur collecte (article 5 du Décret). Avec, à échéance de trois mois, une évaluation pour s’assurer que ces systèmes d’information sont effectivement nécessaires à la lutte contre la propagation du Covid-19.
-
Pour le système de traitement d’information « Contact Covid», lequel n’est qu’une adaptation du système de traitement de donnée « AméliPro » de la CNAM, le responsable de traitement n’est pas nommément désigné mais il ne fait guère de doute que la responsabilité échoit à la Caisse nationale.
-
Pour le système de traitement d’information « SI-DEP », qui est créé ex nihilo, le responsable du traitement des données est « le ministre chargé de la santé (direction générale de la santé) et dont l’Assistance publique-Hôpitaux de Paris assure, pour le compte de ce dernier, la gestion, en qualité de sous-traitant, dans les conditions prévues à l’article 28 du règlement (UE) du 27 avril 2016 susvisé.»
-
Pour le système de traitement d’information « SI-DEP », qui est créé ex nihilo, le responsable du traitement des données est « le ministre chargé de la santé (direction générale de la santé) et dont l’Assistance publique-Hôpitaux de Paris assure, pour le compte de ce dernier, la gestion, en qualité de sous-traitant, dans les conditions prévues à l’article 28 du règlement (UE) du 27 avril 2016 susvisé.» L’article 14 du Décret permet aux ARS vont d'avoir recours à des sous-traitants.
Extrait article Houdart et Associés
