En France, les sénateurs ont adopté « sans modifications » l’article du projet de loi de sortie de l’état d’urgence sanitaire « prolongeant la conservation de certaines données collectées par les systèmes d’information de santé ». Les députés avaient « restreint cette possibilité à la seule finalité de surveillance épidémiologique et de recherche, sans identification des personnes ». Un vote appuyé par le Conseil scientifique chargé d’éclairer le gouvernement sur le Covid-19 qui estime « ″extrêmement probable″ une augmentation de la circulation du coronavirus à l’automne, et préconise donc de conserver les données de santé recueillies pendant l’épidémie ». Le Conseil préconise par ailleurs que la conservation des données se fasse « sous une forme pseudonymisée et non simplement anonymisée », ce qui permettra « que les données d’un même individu, non identifiantes, puissent tout de même être reliées entre elles, ou chaînées avec des données d’autres bases ».
Cette décision fait fi de l’avis de l’Ordre des médecins qui dénonçait récemment « le ″double langage″ du gouvernement sur une question essentielle quant au respect de la parole donnée et du secret médical » (cf. Données de santé : l’Ordre des médecins demande la suppression d’un article du projet de loi sur la fin de l’état d’urgence sanitaire ). L’ordre avait demandé « solennellement au Gouvernement et au Parlement de supprimer cet article 2 au nom du respect du secret médical potentiellement mis en danger par une augmentation de la durée de la conservation des données ».
Ce vote intervient également alors que, « saisi par plusieurs requérants dont le Conseil national du logiciel libre », le Conseil d’État s’est prononcé « sur la validité de l’arrêté du 21 avril 2020, confiant la collecte et le traitement des données de santé à la plateforme ″Health Data Hub″ dans le cadre de la lutte contre l’épidémie de Covid-19 » (cf. Données de santé Covid-19 livrées au Health Data Hub : un recours déposé auprès du Conseil d’Etat ). « Cet arrêté était considéré par les requérants comme portant une ″atteinte grave et manifeste″ au respect de la vie privée et le droit à la protection des données personnelles », avec en ligne de mire « le choix de Microsoft comme entreprise chargée du stockage et du traitement des données de santé dans le cadre du ″Health Data Hub″ ». Dans son ordonnance du 19 juin, « le juge des référés rejette l’essentiel de la demande, mais exige tout de même de nouvelles garanties concernant l’anonymisation des données ». Le juge a en effet estimé que « le fait que cette société relève du droit américain et puisse être amenée, à transférer des données aux États-Unis, ne peut être considéré ″comme portant une atteinte grave et manifestement illégale aux libertés fondamentales que le règlement général pour la protection des données (RGPD) a pour objet de protéger″ », même si « l’ordonnance reconnaît que, si les données ″au repos″ (c’est-à-dire qui ne sont pas en cours de traitement) sont stockées en France et aux Pays-Bas, où la législation européenne s’applique, ″ces données pourraient faire l’objet de transferts hors de l’Union européenne dans le cadre du fonctionnement courant de la solution technique″ ».
Face à « l’absence de garantie concernant la pseudonymisation des données à partir du numéro d’inscription des personnes au répertoire national d’identification des personnes physiques », le Conseil d’Etat « ordonne que la plateforme des données de santé ″Health Data Hub″ fournisse à la Commission nationale de l’informatique et des libertés, dans un délai de cinq jours, les éléments qui lui permette de vérifier que les mesures prises assurent une protection suffisante des données de santé ».
Pour aller plus loin :
Rapport de la CNIL : des plaintes toujours plus nombreuses dans le domaine de la santé
La Cnil donne son feu vert à un projet du Health Data Hub
StopCovid : plus de données collectées qu’annoncé
Le Monde avec AFP (23/06/2020) – Le Parisien avec AFP (22/06/2020) – Jean-Yves Nau (22/06/2020) – Le Quotidien du Médecin, Damien Coulomb (22/06/2020)
