AMENDEMENT

Alinéa 5

Compléter cet alinéa par une phrase ainsi rédigée :

Il fixe également les conditions de protection des données recueillies dès l'installation des brigades sanitaires jusqu'au terme de leur mission et les conditions de leur hébergement en open data dans un data center situé sur le territoire national.

L'article 6 permet au ministre chargé de la santé de mettre en oeuvre un système d'information aux seules fins de lutter contre la prorogation de l'épidémie de covid-19.

Dans la perspective de la phase de "déconfinement" prévue pour le 11 mai prochain, le gouvernement propose une sorte de "dossier médical partagé" visant à identifier les personnes infectées grâce à l'organisation d'examen de biologie médical afin de pouvoir identifier les personnes infectées et la collecte de leurs résultats ainsi que les personnes présentant un risque d'infection afin de les orienter vers l'isolement sur la base de deux méthodes de recensement complémentaire, l'une est l'identification des personnes infectées, l'autre est l'identification des cas-contacts, l'analyse, les chaînes de transmission et le traitement des foyers d'infection lesquels supposent un travail d'enquête.

Cette collecte de données d’ordre non médicales et médicales sera portée à la connaissance d’un grand nombre d’intervenants (20 000 à 30 000 personnes selon le premier ministre). Ce nouveau dispositif vient s’ajouter à un arsenal d’outils de "traçage" qui alimentent les bases de données du gouvernement français : le "traçage" de niveau 1 opéré par les médecins : recueil des résultats des tests par les laboratoires, le "traçage" de niveau 2 fait par l’assurance maladie (les “brigades sanitaires”), le traçage de niveau 3 assuré par les ARS : identifier les zones de fortes circulation virale, la surveillance épidémiologique locale et nationale sera organisée par Santé publique France et la Direction générale de la Santé.

Cette collecte pose la question de la protection des données collectées, en dépit de sa limitation dans le temps liée soit à l'arrêt hypothétique de l'épidémie, soit au délai figurant dans le texte "au plus tard à une durée d’un an à compter de la publication de la loi" et celle du risque d’atteinte au secret médical lié au nombre d’intervenants qui prennent en charge les intéressés. Des données relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles peuvent être partagées, le cas échéant sans le consentement des personnes intéressées. Ces systèmes pourront, notamment, comporter des données de santé et d'identification.

Or, il convient de pouvoir s'assurer de toutes les mesures de protection juridique de cette base de données en lien non seulement avec le RGPD et la CNIL. Et de mettre en place un protocole bien identifié de protections des données dès la constitution de ces "brigades sanitaires" en leur enjoignant une nécessaire confidentialité jusqu'à l'extinction de la période susvisée. Il s'agit, également, de protéger techniquement l'hébergement en open data dans un data center installé en France et in fine de prévoir la destruction de ce fichier, à l'issue de cette même période arrêtée dans le temps, afin que cette base de données ne puisse pas être récupérée, soit de manière peu scrupuleuse, soit de manière commerciale par des organismes à visée commerciale lesquels pourraient utiliser ces données des fins peu académiques.

A cette fin, il est utile de préciser par voie de décret pris, après avis pris auprès du Conseil d’État et du Conseil constitutionnel, les conditions de protection des données recueillies dès l'installation des brigades sanitaires jusqu'au terme de leur mission, les conditions de leur hébergement en open data dans un data center situé sur le territoire national et de la nécessaire destruction de ces données à l'issue de la période mentionnée dans la loi.