Les outils numériques pour lutter contre le coronavirus (covid-19)

Coronavirus (COVID-19) et outils numériques : utilisables jusqu’au 31 juillet 2022

Pour lutter contre la propagation du virus de la covid-19, des systèmes d’information ont été mis en place (application « TousAntiCovid » par exemple). Ceux-ci permettent de récolter des données qui concernent la santé des personnes atteintes par le virus et des personnes ayant été en contact avec elles.

Dans le cadre de la crise sanitaire, ces données peuvent, toutes conditions remplies, être traitées et partagées sans le consentement des intéressés.

Le Gouvernement a pris de nouvelles dispositions qui mettent l’accent sur la nécessité de garantir la sécurité, l’intégrité et la confidentialité des données traitées par ces dispositifs. Ainsi, la fourniture d’un système qui ne respecte pas cette obligation est punie de 5 ans d’emprisonnement et de 300 000 € d’amende.

De plus, l’utilisation de ces systèmes d’information est maintenue jusqu’au 31 juillet 2022 et est étendue aux territoires de la Nouvelle-Calédonie et de la Polynésie Française selon les modalités suivantes :

• les dispositifs doivent impérativement poursuivre des objectifs spécifiques : identification des personnes infectées, identification des personnes présentant un risque d’infection, orientation des personnes infectées et des personnes susceptibles de l’être vers des prescriptions médicales d’isolement, en fonction de leur situation, identification des personnes soumises à l’obligation vaccinale, surveillance de l’évolution de l’épidémie, recherches sur le virus et le moyens de lutter contre, etc. ;
• les données personnelles ne peuvent être conservées plus de 3 mois après leur collecte, ou plus de 6 mois si elles concernent des personnes positives à un examen de dépistage de la covid-19 ;
• les données personnelles collectées sont limitées au statut virologique, sérologique ou vaccinal ;
• les données personnelles ne peuvent être collectées que dans le cadre de la lutte contre le coronavirus et ne peuvent être données ou partagées qu’avec le consentement des personnes concernées ;
• les personnes ayant accès à ces données sont soumises au secret professionnel ; le non-respect de cette obligation est puni d’1 an d’emprisonnement et 15 000 € d’amende ;
• les propriétaires des données concernées doivent disposer d’un droit d’accès, d’information, d’opposition et de rectification de leurs informations.

Le point sur l’utilisation frauduleuse des QR codes au 30 septembre 2021

Pour mémoire, la présentation des justificatifs liés au pass sanitaire est rendue possible par la présence de divers QR codes, générés par les autorités sanitaires et administratives.

A compter du 30 septembre 2021, il est prévu que les autorités habilitées à générer ces codes peuvent les révoquer dans l’éventualité où ils font l’objet d’une utilisation frauduleuse. Dans ce cas, la personne qui en était titulaire reçoit de nouveaux codes justificatifs.

Notez que pour faciliter la vérification de la validité des QR codes présentés, une liste des codes révoqués est rendue accessible dans un format ne contenant aucune autre donnée personnelle.

Du nouveau pour les dispositifs de contrôle des justificatifs du pass sanitaire

Pour mémoire, le gouvernement a développé divers dispositifs techniques qui permettent la lecture et le contrôle des justificatifs liés à la présentation du pass sanitaire.

La personne en charge de ce contrôle peut, à cette fin :

• soit utiliser l’application mobile « TousAntiCovid Verif » comme dispositif de lecture des justificatifs présentés ;
• soit utiliser un autre dispositif de lecture, qui doit dans ce cas être autorisé à se connecter aux dispositifs techniques mis en place par le Gouvernement.

Dans ce dernier cas, il est prévu que la personne doive impérativement adresser au directeur général de la santé un dossier de présentation du dispositif de lecture en question afin de vérifier que celui-ci, satisfait aux conditions requises (dont la liste est disponible ici).

La suite ? S’il l’estime conforme, le directeur général de la santé autorise la connexion du dispositif aux dispositifs techniques développés par le ministère qui permettent de contrôler les justificatifs liés au pass sanitaire.

Attention ! Si un dispositif dont la connexion a été autorisée est finalement jugé non-conforme, l’accès aux dispositifs techniques développés par le gouvernement est suspendu sans délai. La personne concernée doit lors reproposer un dossier de présentation mis à jour, prouvant le respect des conditions requises par le dispositif mis en cause.

Loi pass sanitaire : du nouveau pour SI-DEP

Pour lutter contre la covid-19, le gouvernement recourt à divers outils numériques et a notamment créé le système d’information de dépistage (SI-DEP) qui réunit automatiquement l’ensemble des tests réalisés en France.

Désormais, SI-DEP a aussi pour finalité le suivi et le contrôle du placement à l’isolement des personnes contaminées à la covid-19.

Ces données peuvent être accessibles aux services préfectoraux pour assurer leurs missions de suivi et de contrôle.

Par ailleurs, il est désormais prévu que les données relatives à une personne ayant fait l’objet d’un test positif à la covid-19 sont conservées pour une durée de 6 mois après leur collecte.

Coronavirus (COVID-19) : du nouveau pour la base de données « Contact Covid »

Pour rappel, l’outil « Contact Covid » est un outil mis à la disposition des professionnels de santé (médecins, laboratoires de biologie médicale et pharmaciens) ainsi que des agents habilités de l’Assurance maladie et des agences régionales de santé (ARS) par la Caisse nationale de l’assurance maladie (CNAM) pour lutter contre la propagation de la COVID-19 et ainsi :

• recenser et contacter, pour chaque personne détectée positive au covid 19, l’ensemble de ses contacts rapprochés afin de les inciter à respecter des consignes strictes d’isolement, en leur délivrant (si nécessaire) un arrêt de travail ;
• prendre en charge les tests de dépistage dans les laboratoires de biologie et la délivrance de masques en pharmacie pour tous les contacts rapprochés, qu’ils présentent ou non les symptômes de la maladie ;
• proposer un accompagnement social spécifique aux personnes qui le nécessiteraient ;
• identifier très rapidement les chaînes de contamination et les concentrations de cas positifs pour mettre en place des dispositifs spécifiques de prise en charge.

Le traitement des données personnelles collectées par le dispositif « Contact Covid » vient de faire l’objet de modification concernant notamment :

• l’ajout des données relatives aux vaccination contre la COVID-19 au dispositif ;
• l’ajout d’une autorisation de consultation de certaines données d’identification et de contacts (noms, prénoms, adresse de résidence, etc) par les organismes d’assurance maladie et leurs sous-traitants ;

De plus, les ARS peuvent désormais, pour une durée de 6 mois à compter de la fin de l’état d’urgence sanitaire, mettre en œuvre des traitements de données à caractère personnel ayant pour finalités :

• l’identification des patients zéro, des cas contacts et des personnes co-exposées (présentant un risque de co-infection) ;
• le suivi et l’accompagnement des ces personnes et de celles ayant été en contact avec elles ;
• la surveillance épidémiologique au niveau régional.

Dans le cadre de cette crise sanitaire, il a également été autorisé un traitement de données personnelles relatives aux vaccinations contre la COVID-19, qui vient de faire l’objet de modifications pour notamment :

• permettre l’accompagnement à la vaccination des personnes non vaccinées présentant des vulnérabilités particulières ;
• adapter les mesures médicales d’isolement prophylactiques pour les personnes vaccinées identifiées comme cas contact ou personnes co-exposées.

Coronavirus (COVID-19) : création d’un « Portail Autotest COVID-19 »

Pour mieux lutter contre la covid-19, le gouvernement a créé un outil informatique collectant les données personnelles issues des résultats des autotests pour mieux les analyser. Il est dénommé « Portail Autotest COVID-19 ».

Plus précisément, il a pour finalité le recueil des résultats des autotests de dépistage de la covid-19 dans un système informatique autonome, afin de produire des résultats agrégés destinés au suivi épidémiologique et à l’analyse statistique des administrations et organismes intervenant dans la gestion de l’épidémie.

Les données à caractère personnel collectées sont les suivantes :

• les données d’identification des personnes ayant fait l’objet d’un autotest : nom, prénom, année de naissance, sexe et adresse électronique ;
• les informations relatives aux conditions de réalisation du test : cadre (cercle privé, établissement scolaire, établissement universitaire, milieu professionnel, hébergement collectif, autre), lieu de réalisation (code INSEE de la commune de prélèvement) et date de réalisation du test ;
• le résultat du test, positif ou négatif ;
• le consentement de la personne concernée, ou d’un représentant légal s’il s’agit de mineurs ou de majeurs sous tutelle, à l’enregistrement et au traitement des données dans « Portail Autotest COVID-19 ».

La personne dont les données sont collectées sur « Portail Autotest COVID-19 » peut y ouvrir un compte et a accès à ses propres données à caractère personnel et aux informations collectées la concernant. Elle peut accéder au récépissé de sa déclaration de résultat, le cas échéant.

Les données d’identification et le consentement sont conservés jusqu’à ce que la personne supprime son compte et, au plus tard, pour la durée de mise en œuvre de « Portail Autotest COVID-19 ». Les autres données sont conservées pour une durée de 3 mois à compter de leur enregistrement.

Notez que le retrait du consentement, comme la suppression du compte, entraînent l’effacement des données à caractère personnel traitées sur « Portail Autotest COVID-19 ».

Coronavirus (COVID-19) et RGPD : quid des dispositifs numériques de lutte contre l’épidémie

Tenant une place importante dans la lutte contre la propagation du coronavirus (COVID-19), les dispositifs numériques sont particulièrement surveillés par la Commission nationale de l’informatique et des libertés (CNIL), notamment en ce qui concerne la protection des données personnelles des utilisateurs. Parmi ces dispositifs se trouvent notamment : le cahier de rappel et le Pass sanitaire.

• Concernant le cahier de rappel

Ce dispositif permet d’alerter les personnes ayant fréquenté un lieu dans lequel elles ont pu être en contact avec une personne atteinte de la COVID-19, afin qu’elles puissent s’isoler et se faire tester rapidement.

Il doit être mis en place dans les bars, restaurants et salle de sport, mais n’est pas obligatoire pour les autres établissements recevant du public.

De plus, un format papier et un format numérique (TousAntiCovid Signal) doivent être mis en place pour laisser le choix au client lors de son arrivée dans l’établissement concerné.

Destiné à recueillir des données personnelles, la CNIL rappelle les garanties devant être mises en place par les établissements concernés :

• les données collectées dans la version papier doivent se limiter aux noms et prénoms, numéros de téléphone, la date et l’heure d’arrivée dans l’établissement. Aucune autre information ne peut être collectée ;
• le cahier de rappel ne peut pas être utilisé pour un autre usage, comme par exemple pour de la prospection commerciale ;
• seules les autorités sanitaires peuvent demander la communication du cahier de rappel ;
• les clients doivent être informés de l’objectif du cahier de rappel et des droits dont ils disposent concernant leurs données ;
• le cahier de rappel ne doit pas être laissé à la vue des clients ;
• l’application TousAntiCovid Signal ne doit pas recourir à une technologie de géolocalisation.

• Concernant le Pass sanitaire (TousAntiCovid Carnet)

Pour mémoire le Pass sanitaire est destiné à conserver les justificatifs tel que les résultats négatifs à un test de dépistage, l’attestation de vaccination et/ou l’attestation de rétablissement à la COVID-19, pour permettre aux utilisateurs de les présenter facilement lorsqu’ils sont demandés.

2 fonctions sont mises en place via l’application TousAntiCovid Carnet :

• le Pass sanitaire «activités » : permettant la reprise de certaines activités (salles de spectacles, établissements de plein air, etc.) ;
• le Pass sanitaire « frontières » : permettant le contrôle sanitaire aux frontières pour sécuriser les déplacements.

Là encore l’utilisation de ce dispositif n’est pas une obligation et la présentation des justificatifs peut se faire sous format papier.

La CNIL a également effectué un rappel concernant les garanties qui doivent être mises en œuvre pour les utilisateurs de cette application :

• le dispositif doit être temporaire et prendre fin dès que possible et au plus tard le 30 septembre 2021 ;
• l’usage du dispositif doit être limité aux évènements les plus à risques (rassemblements importants de personnes, etc.). En outre, il ne peut pas être utilisé pour les activités quotidiennes (restaurants, lieux de travail, etc.) ;
• les données rendues accessibles lors de la vérification des justificatifs doivent être limitées ;
• les données ne peuvent pas être utilisées pour d’autres objectifs ;
• le contrôle du Pass sanitaire doit se faire par des personnes habilitées à contrôler les justificatifs, au moyen de l’application mobile TousAntiCovid Verif ;
• le Pass sanitaire « activités » s’applique aussi aux mineurs âgés d’au moins 11 ans.

Enfin, notez que pour les deux dispositifs (le cahier de rappel et le Pass sanitaire) les informations recueillies doivent être effacées 15 jours après leur collecte.

Coronavirus (COVID-19) et sortie d’état d’urgence sanitaire : le sort des données à caractère personnel de santé

Aux seules fins de faciliter l’utilisation des données de santé pour les besoins de la gestion de l’urgence sanitaire et de l’amélioration des connaissances sur la covid-19, le groupement « Plateforme des données de santé » et la Caisse nationale de l’assurance maladie sont autorisés à recevoir les catégories de données à caractère personnel suivantes :

• les données issues du système national des données de santé ;
• des données de pharmacie ;
• des données de prise en charge en ville telles que des diagnostics ou des données déclaratives de symptômes issues d’applications mobiles de santé et d’outils de télésuivi, télésurveillance ou télémédecine ;
• des résultats d’examens biologiques réalisés par les laboratoires hospitaliers et les laboratoires de biologie médicale de ville ;
• des données relatives aux urgences collectées par l’Agence nationale de santé publique dans le cadre du réseau de surveillance coordonnée des urgences ;
• des données relatives aux appels recueillis au niveau des services d’aide médicale urgente et des services concourant à l’aide médicale urgente ;
• des données relatives à l’activité et à la consommation de soins dans les établissements ou services médico-sociaux, notamment dans les établissements d’hébergement pour personnes âgées dépendantes ;
• des enquêtes réalisées auprès des personnes pour évaluer leur vécu ;
• des données non directement identifiantes issues du système d’identification unique des victimes ;
• des données cliniques telles que d’imagerie, de pharmacie, de biologie, de virologie, de comptes rendus médicaux de cohortes de patients pris en charge dans des centres de santé en vue de leur agrégation ;
• des données issues du traitement dénommé « Vaccin Covid ».

Le groupement « Plateforme des données de santé » et la Caisse nationale de l’assurance maladie ne peuvent collecter que les données nécessaires à la poursuite d’une finalité d’intérêt public en lien avec l’épidémie actuelle de la covid-19. Ils sont responsables du stockage et de la mise à disposition des données. Ils sont autorisés à croiser les données de santé.

La Caisse nationale de l’assurance maladie est responsable des opérations de pseudonymisation dans le cadre du croisement des données et peut traiter le numéro de carte vitale des particuliers à cette fin.

Seuls des responsables de traitement autorisés, l’Etat, la Caisse nationale de l’assurance maladie, ou les organismes et les services chargés d’une mission de service public peuvent traiter les données ainsi rassemblées par le groupement « Plateforme des données de santé ».

Les données ne peuvent être traitées que pour des projets poursuivant une finalité d’intérêt public en lien avec l’épidémie actuelle de la covid-19.

Les données ne peuvent être traitées que sur la plateforme technologique du groupement « Plateforme des données de santé » et sur la plateforme de la Caisse nationale de l’assurance maladie, et ne peuvent pas en être extraites. Au sein de ces plateformes, les données ne peuvent contenir ni les noms et prénoms des personnes, ni leur numéro de carte vitale, ni leur adresse.

Aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l’Union européenne.

Le groupement « Plateforme des données de santé » établit et met à disposition sur son site internet un répertoire public qui recense la liste et les caractéristiques de tous les projets portant sur ces données.

Coronavirus (COVID-19) : quelles sont les garanties que doit respecter « TousAntiCovid Carnet » ?

Pour rappel, la France a récemment mis en place le dispositif « TousAntiCovid Carnet » pour limiter la propagation du coronavirus (COVID-19) dans le cadre de voyages nationaux, européens ou internationaux.

Celui-ci permet la certification officielle :

• des fiches des résultats de tests RT-PCR et antigéniques négatifs et positifs (depuis le 19 avril 2021) ;
• des attestations de vaccination (dès le 29 avril 2021).

Cette fonctionnalité « Carnet » ajoutée à l’application « TousAntiCovid » permet de faciliter le stockage et la présentation de ces documents lors des voyages.

Toutefois, ce type de dispositif pose certaines questions en matière de protection des données personnelles et de la vie privée des utilisateurs.

Dans ce contexte et dans la continuité des recommandations effectuées par les autorités européennes de contrôle de la protection des données, la Commission nationale de l’informatique et des libertés (CNIL) rappelle les garanties que doit offrir cette nouvelle fonctionnalité aux utilisateurs.

En premier lieu, elle précise que l’utilisation de « TousAntiCovid Carnet » ne doit pas être obligatoire. Ainsi, la preuve d’un résultat négatif à un test de dépistage ou d’une vaccination peut se faire soit :

• par l’intermédiaire de cette application ;
• par la présentation d’un document papier ;
• par la présentation d’un document numérique à l’aide d’une autre plateforme dédiée proposant un document PDF contenant un code Datamatrix (similaire à un QR-code).

De plus, cette utilisation doit être limitée à certains déplacements nécessitant un contrôle sanitaire. Notez que pour l’instant, le Gouvernement a annoncé le lancement d’une expérimentation du dispositif, uniquement pour les vols à destination de la Corse d’abord puis, dans un deuxième temps, pour ceux à destination de l’Outre-mer.

Enfin, la CNIL effectue un rappel général sur les garanties que doit respecter cette nouvelle fonctionnalité :

• l’utilisateur doit pouvoir en garder le contrôle ;
• un format papier du certificat doit être accessible ;
• les données fournies par l’application doivent être exactes et certifiées par une autorité et leur intégrité doit être garantie ;
• les données récoltées par l’application sont uniquement celles qui sont nécessaires pour atteindre l’objectif initial ;
• les autorités qui vérifient les résultats du test de dépistage ou les certificats de vaccination ne doivent pas avoir accès aux données de santé qui ont permis leur délivrance ;
• cette application ne doit pas permettre la création d’une base centralisée de données.

Coronavirus (COVID-19) : certificat vert numérique et protection des données personnelles

Pour permettre de nouveau une libre circulation des personnes au sein de l’Union européenne, une réflexion est en cours concernant la création d’un certificat vert numérique. Celui-ci aura pour objectif de prouver qu’une personne souhaitant se déplacer au sein de l’Union européenne :

• est vaccinée contre la COVID-19 ;
• ou a reçu un résultat négatif à un test de dépistage ;
• ou est rétablie après avoir contracté le virus de la COVID-19.

Toutefois, si ce dispositif s’inscrit dans une volonté de faciliter l’exercice d’une libre circulation, cela pose quelques questions en matière de protection de données personnelles.

Pour cette raison, le Comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données se sont exprimés pour donner leur avis à propos de ce certificat et attirer l’attention sur quelques points de vigilance.

La position de la France. Le Gouvernement français vient d’acter son adhésion à la proposition de la Commission européenne et annonce la mise en place du dispositif « TousAntiCovid Carnet », destiné à regrouper les certificats de test et de vaccination susceptibles d’être contrôlés à l’occasion de voyages nationaux, européens et internationaux.

Par conséquent. Dans ce cadre, le Gouvernement annonce la certification officielle :

• des fiches résultats de tests RT-PCR et antigéniques négatifs et positifs, dès le 19 avril 2021 ;
• des attestations de vaccination, dès le 29 avril 2021.

Comment ? Cette authentification sera réalisée à l’aide d’un outil appelé « Datamatrix », déjà employé par l’administration française pour certifier ces documents.

Donc. Depuis le 19 avril 2021, chaque français peut obtenir ses certificats de test en version papier par les laboratoires ou professionnels de santé ou en version numérique sur la plateforme dédiée sidep.gouv.fr.

Mais aussi. A compter du 29 avril 2021, les attestations produites seront intégrées à TousAntiCovid Carnet, afin de faciliter leur stockage et leur présentation lors des voyages. Elles seront également accessibles au format PDF et papier.

A noter. Pour mener à bien leurs missions, les organismes autorisés à vérifier les certificats (tels que les compagnies aériennes, la police ou les douanes) seront équipés d’une application de lecture appelée TousAntiCovid Verif, qui leur permettra de lire les informations de TousAntiCovid Carnet.

Besoin d’aide ? Pour garantir le bon fonctionnement du dispositif, une ligne d’assistance téléphonique gratuite sera mise à la disposition des utilisateurs 7 jours sur 7, de 9h à 20h, au 0 800 08 71 48.

Mais aussi. Un guide sera également disponible sur la foire aux questions (FAQ) de l’application TousAntiCovid, afin d’aider à la récupération et au stockage des documents.

Une protection des données personnelles élevée

La protection des données personnelles doit être particulièrement élevée. Ainsi, le certificat doit contenir un minimum d’informations et la récolte de données plus précises doit faire l’objet d’une justification sur la nécessité d’une telle démarche.

En outre, le CEPD et le contrôleur européen, précisent qu’il est important de limiter le certificat vert numérique à la pandémie de coronavirus (COVID-19). A l’issue de la crise sanitaire, il devra être suspendu et les données supprimées.

Une maitrise du risque de discrimination

Pour éviter toute discrimination basée sur l’état de santé des personnes, il est nécessaire que chaque pays de l’Union européenne accepte les 3 types de certificats (vaccination, test de dépistage négatif et contraction du virus). L’objectif est d’empêcher que les personnes qui ne sont pas encore vaccinées ou qui ne souhaitent pas l’être soient lésées.

De plus, une version papier, en plus de la version numérique, peut également être mise en place pour assurer une égalité entre tous les citoyens européens.

Concernant la réutilisation du certificat

Si le certificat vert numérique est prévu pour permettre une libre circulation des personnes au sein de l’Union européenne, les différents pays peuvent être tentés de l’utiliser pour autoriser, ou non, l’accès à certains lieux (restaurants, lieux culturels, salles de sports, etc.).

Toutefois, ce type d’utilisation peut porter atteinte aux droits et libertés fondamentaux des personnes, une base légale claire et précise devra donc être mise en place pour éviter les risques :

• de discrimination ;
• d’atteinte au droit au respect à la vie privée ;
• d’atteinte à la protection des données personnelles.

Enfin, le CEPD et le contrôleur européen suggèrent qu’un mécanisme de contrôle soit instauré par les états membres pour s’assurer de la bonne utilisation de ce certificat vert numérique.

Coronavirus (COVID-19) : création d’une base de données « Contact Covid »

• Pourquoi créer « Contact Covid » ?

Un outil pour « tracer » les malades. « Contact Covid » est un outil qui va être mis à la disposition des professionnels de santé (médecins, laboratoires de biologie médicale et pharmaciens) ainsi que des agents habilités de l’Assurance maladie et des agences régionales de santé (ARS) pour :

• recenser et contacter, pour chaque personne détectée positive au covid 19, l’ensemble de ses contacts rapprochés afin de les inciter à respecter des consignes strictes d’isolement, en leur délivrant (si nécessaire) un arrêt de travail ;
• prendre en charge les tests de dépistage dans les laboratoires de biologie et la délivrance de masques en pharmacie pour tous les contacts rapprochés, qu’ils présentent ou non les symptômes de la maladie ;
• proposer un accompagnement social spécifique aux personnes qui le nécessiteraient, sous réserve du recueil préalable de leur consentement au partage de leurs données à caractère personnel dans ce cadre
• identifier très rapidement les chaînes de contamination et les concentrations de cas positifs pour mettre en place des dispositifs spécifiques de prise en charge.

Personne co-exposée. Depuis le 21 janvier 2021, Contact Covid comprend la notion de personne « co-exposée » : il s’agit de la personne présentant un risque d’infection car, au cours d’une période qui ne peut être supérieure à 14 jours avant le diagnostic du patient zéro, elle s’est trouvée, au même moment que celui-ci, dans le même lieu, rassemblement ou événement, où les mesures barrières n’ont pu être pleinement respectées. Cette personne est identifiée par le patient zéro comme étant à l’origine possible de sa contamination.

1ère étape : la récolte des données. Pour permettre à cet outil de fonctionner, les médecins généralistes vont devoir renseigner l’identité des personnes testées positives et les coordonnées des personnes qui ont été en contact avec elles.

2ème étape : rechercher les personnes « contact ». Ensuite, les plateformes mises en place par l ’Assurance maladie dans chaque département vont appeler les personnes qui ont été en contact avec une personne atteinte du covid-19 pour les informer de la conduite à tenir.

3ème étape : repérer les foyers de contamination. Enfin, grâce à cet outil, les ARS vont pouvoir repérer et traiter les chaînes de contamination et de gérer les concentrations signalées de cas positifs au sein d’une localité donnée ou d’un groupe de personnes.

• Le point sur les données personnelles

Une collecte limitée dans le temps. Les données personnelles collectées et partagées pour les besoins de « Contact Covid » (le cas échéant, sans consentement) ne peuvent l’être que jusqu’au 1er avril 2021 au plus tard.

Une conservation limitée dans le temps. En outre, une fois recueillies, les personnelles collectées ne peuvent être conservées que pendant 3 mois.

Les données pseudonymisées. Elles peuvent être conservées jusqu’au 1er avril 2021, au plus tard.

Des données pseudonymisées ? Pour information, la pseudonymisation est une méthode qui permet de traiter des données à caractère personnel de façon à ce qu’il ne soit pas possible, sans informations supplémentaires, de les attribuer à une personne en particulier.

A noter. Les personnes dont les données ont été collectées avant le 10 août 2020, doivent être informées sans délai que leurs données ayant fait l’objet de mesures adéquates de pseudonymisation peuvent être conservées jusqu’au 1er avril 2021 au plus tard.

Un enregistrement des opérations réalisées sur la base. Les opérations de mise à jour, de suppression et de consultation de la base « Contact Covid » font l’objet d’un enregistrement, qui est conservé jusqu’au 1er avril 2021 au plus tard. Cet enregistrement comporte l’identification de l’utilisateur, les données de traçabilité, notamment la date, l’heure et la nature de l’intervention.

Quelles données personnelles de santé ? S’agissant de la nature des données personnelles, de santé, elles sont strictement limitées au statut virologique ou sérologique de la personne à l’égard du covid-19 ainsi qu’à des éléments probants de diagnostic clinique et d’imagerie médicale.

Le détail des données concernées. Les catégories de données enregistrées dans la base sont les suivantes :

• les données d’identification de la personne ayant fait l’objet d’un examen de dépistage virologique ou sérologique, ou d’un examen de biologie médicale de dépistage du covid-19 : nom, prénom, sexe, date et lieu de naissance, numéro d’inscription au répertoire national d’identification des personnes physiques ou code d’admission au bénéfice de l’aide médicale d’Etat sous la mention « immatriculation » lorsque la personne en dispose ;
• les informations portant sur la situation du patient qui sont nécessaires pour la réalisation des enquêtes sanitaires : professionnel du secteur sanitaire ou médico-social, résident dans un lieu d’hébergement collectif, patient hospitalisé dans un établissement de santé et, le cas échéant, date d’apparition des premiers symptômes ;
• les coordonnées du patient ou, à défaut, d’une personne de confiance : adresse postale, numéro de téléphone, adresse électronique ;
• les données d’identification et coordonnées des médecins : numéro RPPS, nom, prénom, adresse du lieu d’exercice et adresse de messagerie sécurisée ;
• les caractéristiques techniques du prélèvement : numéro de prélèvement, date et heure du prélèvement, lieu de prélèvement ;
• les informations relatives au résultat des analyses biologiques : identification et coordonnées du laboratoire, type d’analyse réalisée, date et heure de la validation de l’analyse, résultat de l’analyse, compte-rendu d’analyse.
• la fréquentation par le patient zéro ou les cas contacts d’une structure d’hébergement touristique dans les 14 derniers jours ;
• depuis le 21 janvier 2021, pour pouvoir mieux identifier les lieux et situations dans lesquelles des contaminations ont eu lieu, Contact Covid mentionne, par exemple, si elles sont intervenues dans des lieux de restauration collective dans un cadre professionnel, dans des restaurants, bars ou salles de sport, et indique la date de fréquentation, ainsi que le nom, l’adresse postale de la structure ou du lieu d’hébergement et les coordonnées de son responsable (numéro de téléphone et adresse électronique).

Attention. Les données relatives à la déclaration d’un besoin d’accompagnement social et d’appui à l’isolement ne peuvent pas être collectées sans le consentement de la personne infectée ou de la personne qui a été en contact avec lui. Son identité et ses coordonnées téléphoniques seront alors accessibles aux cellules des préfectures dédiées à l’accompagnement social des personnes dans le cadre de la gestion de l’épidémie de covid-19, ces données étant strictement nécessaires à l’exercice de leur mission.

Qui renseigne les informations de diagnostic ? Les données contenues dans la base « Contact Covid » sont renseignées, et transmises à l’autorité sanitaire, par l’un des professionnels médicaux suivants (ou sous sa responsabilité) :

• médecins ;
• biologistes médicaux ;
• pharmaciens ;
• infirmiers.
• chirurgiens-dentistes ;
• sages-femmes ;
• masseurs-kinésithérapeutes.

Qui a accès à ces données ? Les données collectées sont accessibles :

• au Ministre de la santé,
• à l’Agence nationale de santé publique,
• à un organisme d’assurance maladie,
• aux agences régionales de santé,
• au service de santé des armées,
• aux communautés professionnelles territoriales de santé,
• aux établissements de santé, sociaux et médico-sociaux,
• aux équipes de soins primaires,
• aux maisons de santé,
• aux centres de santé,
• aux services de santé au travail,
• aux professionnels de santé et personnels spécialement habilités des services de santé des établissements d’enseignement scolaire ou des établissements d’enseignement supérieur,
• aux médecins prenant en charge les personnes concernées,
• aux pharmaciens,
• aux dispositifs d’appui à la coordination des parcours de santé complexes,
• aux dispositifs spécifiques régionaux organisant un appui spécialisé aux professionnels de santé, aux établissements de santé ainsi qu’aux agences régionales de santé,
• aux dispositifs d’appui existants qui ont vocation à les intégrer,
• aux laboratoires,
• aux services et professionnels de santé autorisés à réaliser les examens de dépistage virologique ou sérologique ou les examens de biologie ou d’imagerie médicale pertinents sur les personnes concernées ;
• aux cellules des préfectures dédiées à l’accompagnement social des personnes dans le cadre de la gestion de l’épidémie de la covid-19.

Obligation de secret professionnel. Les personnes ayant accès à ces données sont soumises au secret professionnel. En cas de révélation d’une information issue des données collectées dans ce système d’information, elles encourent une peine pouvant aller jusqu’à un an d’emprisonnement et une amende pouvant s’élever jusqu’à 15 000 €.

Effets de l’inscription dans la base « Contact Covid ». L’inscription d’une personne dans le système de suivi des personnes contacts emporte prescription :

• pour la réalisation et le remboursement des examens effectués en laboratoire de biologie médicale, des examens de dépistage virologique ou sérologique ou des examens de biologie ou d’imagerie médicale pertinents ;
• pour la délivrance des masques en officine.

Qui traite les données ? Le traitement des données relatives aux cas contacts peut être assuré par les organismes nationaux d’assurance maladie, la Caisse nationale militaire de sécurité sociale, d’autres organismes d’assurance maladie, lesquels peuvent avoir recours à des sous-traitants dans le respect de la réglementation européenne. Ces sous-traitants doivent présenter des garanties de compétence et de protection des données suffisantes pour assurer la mise en œuvre des mesures techniques et organisationnelles appropriées et le respect des règles de confidentialité.

Concernant les cas positifs à la covid-19. En cas de résultat positif au test de dépistage virologique ou sérologique au virus de la covid-19, un QR-code est généré aléatoirement puis apposé sur le résultat de l’examen et envoyé à la personne ayant effectué cet examen de dépistage. Ce QR-code ne comporte aucune information permettant d’identifier la personne concernée.

Transfert des données. Aucun transfert de données à caractère personnel ne peut être réalisé hors de l’Union européenne.

Coronavirus (COVID-19) : le système d’information de dépistage
« SI-DEP »

En complément de Contact Covid, le système d’information de dépistage (SI-DEP) réunira automatiquement l’ensemble des tests réalisés par plus de 600 laboratoires d’analyse publics et privés.

Lors d’un test de dépistage de la covid-19, les données sont systématiquement traitées dans SI-DEP. Les résultats du test sont envoyés à la personne testée et au prescripteur, soit par voie dématérialisée et sécurisée, soit par voie postale, directement par le laboratoire ou bien par SI-DEP (notamment pour des centres d’analyse nouvellement créés qui ne sont pas en capacité d’envoyer les résultats par eux-mêmes).

Si le résultat est positif, SI-DEP transmet des informations complémentaires à la personne testée sur sa prise en charge et la conduite à tenir. Le dispositif Contact Covid prend ensuite le relais.

En outre, SI-DEP permet :

• de s’assurer que l’ensemble des personnes testées positivement ont bien été identifiées et prises en charge dans Contact Covid ;
• de disposer d’informations statistiques (anonymes) pour assurer un suivi épidémiologique fiable, ajuster dès que nécessaire la stratégie locale de déploiement des tests et adapter le niveau de confinement ;
• d’homogénéiser et de systématiser le recueil de certaines données essentielles à des fins de recherche, pour mieux comprendre les mécanismes de propagation et d’immunité contre le virus (s’agissant des usages épidémiologiques et de recherche, ces données sont anonymisées).

A noter. Depuis le 9 août 2021, les données personnelles des personnes ayant fait l’objet d’un examen de dépistage virologique ou sérologique de la Covid-19 concluant à une contamination, traitées dans le système d’information SI-DEP peuvent être conservées 6 mois au lieu de 3 précédemment.

De plus, ce système d’information permet également aux agences régionales de santé d’accéder au statut vaccinal des professionnels de santé soumis à l’obligation vaccinale.

Coronavirus (COVID-19) : les nouveautés de l’appli « TousAntiCovid »

A télécharger !Afin de remonter les chaînes de contamination, le Gouvernement incite les Français à télécharger, depuis le 22 octobre 2020, la nouvelle application mobile «

TousAntiCovid ». Notez que les personnes ayant déjà « StopCovid » n’ont rien à faire, la mise à jour vers l’appli « TousAntiCovid » étant automatique.

Concrètement, « TousAntiCovid » est une version enrichie de la première application « StopCovid » qui comporte les évolutions suivantes :

• un environnement visuel et une ergonomie optimisés avec un accès instantané à toutes les fonctionnalités de l’application ;
• un centre d’informations qui propose des indicateurs sur la situation épidémiologique en France ainsi que des actualités en lien avec la lutte contre l’épidémie (par exemple, les mesures mises en place par les autorités nationales et locales) ;
• une plus grande transparence avec la publication automatique et régulière des chiffres sur l’utilisation de l’application ;
• l’accès à « DépistageCovid », la carte des centres de dépistages actualisée avec des informations sur les temps d’attente remontées par les utilisateurs ;
• l’accès à « MesConseilsCovid » pour avoir des conseils personnalisés ;
• l’accès facilité à l’attestation dérogatoire de déplacement pour les zones concernées par le couvre-feu.

Bon à savoir. Notez que de nouvelles fonctionnalités devraient être disponibles prochainement.

Nouveauté du 15 février 2021. Dans le cadre de la lutte contre l’épidémie de covid 19, le Gouvernement a mis à jour l’application « TousAntiCovid ».

Il est désormais possible pour les utilisateurs de modifier leur statut et de le passer à l’état de « contact à risque de contamination ». Ce nouveau statut permet de bénéficier d’un test ou d’un examen de dépistage de la covid-19.

De plus, l’application peut désormais collecter la date du dernier contact avec une personne diagnostiquée ou dépistée positive au virus de la covid-19.

     =>  Consultez la réglementation sur l’application StopCovid

Initialement, l’application « Stop Covid », devenue « TousAntiCovid » depuis le 22 octobre 2020, permettait, notamment, d’informer les personnes utilisatrices de l’application qu’il existe un risque qu’elles aient été contaminées par le virus du covid-19 en raison de leur proximité avec un autre utilisateur de cette application ayant été diagnostiqué positif à cette pathologie (à savoir, moins d’1 mètre pendant au moins 15 minutes).

Depuis le 29 novembre 2020, elle permet d’informer ses utilisateurs du risque de contamination en raison de leur proximité avec un autre utilisateur ayant été diagnostiqué positif au virus, à savoir :

• soit un contact à une distance inférieure ou égale à 1 mètre pendant 5 minutes ;
• soit un contact à une distance supérieure à 1 mètre et inférieure à 2 mètres pendant 15 minutes.

Nouveauté du 8 décembre 2021. Désormais, les utilisateurs de l’appli « TousAntiCovid » peuvent stocker sur leur téléphone les justificatifs relatifs au pass sanitaire et à l’obligation vaccinale.

Coronavirus (COVID-19) : le « contact tracing » par l’Assurance Maladie

Face à l’accélération de l’épidémie à covid-19 et à l’augmentation très importante du nombre de personnes contaminées et de leurs cas contact, le dispositif de « contact tracing » mis en place par l’Assurance Maladie a évolué de la manière suivante.

Pour les personnes positives à la covid-19 (les « patients zéro ») : l’Assurance Maladie continue de téléphoner à ces patients afin d’obtenir la liste de leurs contacts ;

Pour les cas contact : l’Assurance Maladie invite par mail les personnes contact de 18 ans et plus détentrices d’un compte ameli à consulter leur messagerie ameli pour y trouver toutes les informations utiles (confirmation de leur statut de cas contact, règles à suivre concernant le dépistage, l’isolement ou l’arrêt de travail, numéro à appeler pour toute question ; ces mails sont doublés d’une relance par SMS informant les personnes concernées qu’elles ont reçu un message ; celles qui n’auraient pas consulté leur messagerie ameli sont contactées par téléphone dans les 24 heures par les enquêteurs sanitaires).