Quel est l’objet de la délibération n° 2023-006 du 19 janvier 2023 ?
La délibération n° 2023-006 du 19 janvier 2023 porte sur un projet de décret visant à modifier le décret n° 2020-551 du 12 mai 2020, qui concerne les systèmes d’information liés à la gestion de l’épidémie de covid-19.
Cette modification est nécessaire en raison de l’évolution de la situation sanitaire et de la fin des régimes d’exception instaurés pour lutter contre la pandémie, comme stipulé par la loi du 30 juillet 2022.
Le projet de décret vise à adapter les traitements de données à caractère personnel relatifs aux vaccinations et à la surveillance épidémiologique, en tenant compte des nouvelles conditions d’exercice des droits des personnes concernées.
Quelles sont les principales modifications apportées par le projet de décret ?
Le projet de décret introduit plusieurs modifications significatives. Tout d’abord, il abroge les dispositions relatives au traitement « Contact Covid », qui ne sera plus alimenté.
Ensuite, pour le traitement « SI-DEP », il modifie les finalités, la liste des données traitées, leurs destinataires, ainsi que leur durée de conservation. Cela inclut l’adaptation des conditions de mise en œuvre de ce traitement, notamment en ce qui concerne le consentement des personnes concernées pour le partage de leurs données.
De plus, le projet modifie les finalités pour lesquelles les agences régionales de santé (ARS) peuvent traiter des données, en précisant les types de données, leurs destinataires et leur durée de conservation.
Quel est le fondement juridique de la saisine de la CNIL ?
La saisine de la Commission nationale de l’informatique et des libertés (CNIL) repose sur plusieurs textes juridiques.
Elle est fondée sur l’article 8.I.4°-a) de la loi n° 78-17 du 6 janvier 1978, qui concerne l’informatique, les fichiers et les libertés, ainsi que sur l’article 11.V de la loi n° 2020-546 du 11 mai 2020, qui proroge l’état d’urgence sanitaire.
Ces textes encadrent les conditions de traitement des données à caractère personnel et garantissent les droits des personnes concernées, notamment en matière de consentement et d’opposition.
Quels sont les droits des personnes concernées selon le projet de décret ?
Le projet de décret prévoit plusieurs droits pour les personnes concernées, notamment le droit d’opposition et le droit à l’effacement des données.
Concernant le traitement « SI-DEP », le droit d’opposition est garanti, sauf pour les finalités de surveillance épidémiologique et de recherche, où il est limité.
La CNIL a cependant exprimé des préoccupations quant à la clarté de la rédaction de ces droits, notamment en ce qui concerne l’exercice du droit d’effacement, surtout lorsque le consentement n’est pas requis comme base légale pour le traitement des données de santé.
Quelles sont les implications de la loi n° 2022-1089 du 30 juillet 2022 sur le projet de décret ?
La loi n° 2022-1089 du 30 juillet 2022 a des implications directes sur le projet de décret, car elle met fin aux régimes d’exception créés pour lutter contre l’épidémie de covid-19.
À partir du 1er février 2023, les systèmes d’information tels que « Contact Covid » et « SI-DEP » ne pourront être utilisés que pour des finalités spécifiques, comme l’identification des personnes infectées et la délivrance de certificats de rétablissement, et ce, uniquement avec le consentement des personnes concernées.
Cette loi impose donc une révision des traitements de données en cours, afin de les aligner sur les nouvelles exigences légales et de protéger les droits des individus en matière de données personnelles.