COVID-19 : traitement de données à caractère personnel dans la lutte contre le virus

Article
Visuel
Dans le cadre du déconfinement initié le 11 mai 2020, pour permettre l’exercice de leurs missions prévues dans ce cadre par le gouvernement, les Agences Régionales de Santé ont mis en œuvre des traitements de données à caractère personnel.
Corps de texte
  • contact-tracing, visant à identifier les personnes infectées et/ou présentant un risque d’infection au coronavirus Covid-2019, à favoriser leur accès au dépistage et à leur donner les consignes d’isolement/prévention
  • suivi des personnes à l’isolement
  • identification des voyageurs à destination de La Réunion, avec suivi de la réalisation d’un dépistage avant leur départ et sensibilisation aux mesures d’isolement/prévention et à la réalisation d’un test à l’issue d’une période de 7 jours après leur arrivée

Ces traitements sont nécessaires à l'exécution d'une mission d'intérêt public, conformément aux dispositions suivantes :

  • Article 6.1.e) et 9.2. i) du Règlement général sur la protection des données (RGPD) du 27 avril 2016
  • Article L 1431-2 du code de la santé publique
  • Article R. 3115-67 du Code de la Santé Publique
  • Loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions
  • Décret n° 2020-610 du 22 mai 2020 pris pour l'application de l'article L. 3131-17 du code de la santé publique

Les données à caractère personnel (données d’identification et de santé) sont issues des systèmes d’information suivants :

  • « SIDEP », plateforme sécurisée mis en œuvre par le ministère chargé de la Santé, où sont enregistrés les résultats des tests COVID-19 réalisés par les laboratoires de biologie médicale
  • « CONTACT-COVID », outil numérique mis en œuvre par l’Assurance Maladie, utilisé par les professionnels de santé, qui aide à la prise en charge des personnes COVID-19
  • « SORMAS », application permettant le suivi de l’activité par l’ARS de suivi des personnes atteintes par le COVID-19 et des sujets contacts
  • « ARSLAREUNION-COVID19 », plateforme sécurisée permettant l’enrôlement des passagers à destination de La Réunion

Traitement de données provenant de SORMAS

La stratégie de déconfinement présentée par le Gouvernement le 28 avril 2020, décrit un dispositif, dit contact-tracing, d’identification et de prise en charge des personnes infectées et des personnes contacts reposant sur une organisation en trois niveaux. Les deux premiers niveaux sont assurés respectivement par les médecins et par l’Assurance Maladie.

Les ARS sont en charge du niveau 3 qui correspond aux situations complexes (résidents  dans des établissements médico-sociaux, établissements de santé, écoles, clusters, plus de 10 personnes contact etc…).

Dans le cadre de cette mission, l’Agence Régionale de Santé de La Réunion a mis en œuvre un traitement de contact-tracing visant à identifier les personnes infectées et/ou présentant un risque d’infection au coronavirus Covid-2019, et de les suivre.

Ce traitement a pour finalité l’investigation et le suivi épidémiologique des cas confirmés deCOVID-19 et des cas contacts, en vue d’identifier les chaînes et cas groupés de contamination et de prendre les mesures destinées à limiter la propagation de l’épidémie et à casser les chaînes de transmission.

A cette fin, l’ARS de La Réunion a recours à une application nommée SORMAS.

Ce traitement utilise des données provenant des systèmes d’information SI-DEP et CONTACT-COVID.
 

Traitement de données provenant de SI-DEP

  • Les données d'identification de la personne ayant fait l'objet d'un examen de biologie médicale de dépistage du covid-19 : nom, prénom, sexe, date de naissance, lieu de naissance, numéro d'inscription au répertoire national d'identification des personnes physiques ou code d'admission au bénéfice de l'aide médicale d'Etat sous la mention immatriculation lorsque la personne en dispose d'un ;
  • Les informations portant sur la situation du patient nécessaires pour la réalisation des enquêtes sanitaires : professionnel du secteur sanitaire ou médico-social, résident dans un lieu d'hébergement collectif, patient hospitalisé dans un établissement de santé et, le cas échéant, date d'apparition des premiers symptômes ;
  • Les coordonnées du patient ou, à défaut, d'une personne de confiance : adresse postale, numéro de téléphone, adresse électronique ;
  • Les données d'identification et coordonnées des médecins : numéro RPPS, nom, prénom, adresse du lieu d'exercice et adresse de messagerie sécurisée ;
  • Les caractéristiques techniques du prélèvement : numéro de prélèvement, date et heure du prélèvement, lieu de prélèvement ;
  • Les informations relatives au résultat des analyses biologiques : identification et coordonnées du laboratoire, type d'analyse réalisée, date et heure de la validation de l'analyse, résultat de l'analyse, compte-rendu d'analyse.
     

Traitement de données provenant de CONTACT- COVID :

Pour le patient zéro (personne positive au COVID-19), les données recueillies et traitées sont :

  • Les données d'identification (noms, prénoms, date de naissance, sexe) de la personne et de ses éventuels représentants légaux et le numéro d'inscription au répertoire national d'identification des personnes physiques ou le code d'admission au bénéfice de l'aide médicale d'Etat sous la mention « immatriculation » lorsque la personne en dispose d'un ;
  • Les coordonnées de contact (adresse de résidence, le numéro de téléphone et l'adresse électronique) ;
  • La désignation de l'organisme d'affiliation assurant la prise en charge des frais de santé ;
  • Les coordonnées et la spécialité du médecin à l'origine de l'inscription dans le traitement de données ;
  • Les données permettant de déterminer que la personne est infectée (caractère positif du test, date de prélèvement ou, pour patient hospitalisé, l'existence de symptômes associés à un scanner ;
  • Le cas échéant, l'existence de symptômes et la date de leur apparition ;
  • Les données relatives à la situation de la personne au moment du dépistage (hospitalisé, à domicile ou déjà à l'isolement) ;
  • La déclaration d'un besoin d'accompagnement social et d'appui à l'isolement ;
  • La mention de la profession et du lieu d'exercice professionnel ;
  • Le cas échéant, les régions ou Etats, autres que ceux de résidence, dans lesquels la personne s'est rendue dans les quatorze derniers jours ;
  • Le cas échéant, la fréquentation, dans les quatorze derniers jours, des catégories d'établissements suivantes : établissement d'hébergement pour personnes âgées dépendantes, établissement médico-social, milieu scolaire, crèches, établissement de santé, établissement pénitentiaire ainsi que les coordonnées de l'établissement ;
  • Le cas échéant, la participation, dans les quatorze derniers jours, à un rassemblement de plus de dix personnes (localisation et date) ;
  • La mention d'une identification dans le traitement comme ancien cas contact ;
  • Les données d'identification et les coordonnées des personnes évaluées comme contacts à risque de contamination (nom, prénom, sexe, date de naissance, numéro de téléphone, adresse électronique) ;
  • Le cas échéant, le consentement du patient zéro à la divulgation de son identité à chaque personne évaluée comme étant un contact à risque de contamination ;
  • Les dates et heures de création, modification, traitement de la fiche et des contacts ;

Pour chaque personne évaluée comme contact à risque de contamination, les données recueillies et traitées sont :

  • Les données d'identification de la personne et de ses éventuels représentants légaux (noms, prénoms, date de naissance, sexe) et le numéro d'inscription au répertoire national d'identification des personnes physiques ou le code d'admission au bénéfice de l'aide médicale d'Etat sous la mention « immatriculation » lorsque la personne en dispose d'un ;
  • Les coordonnées (adresse de résidence, le numéro de téléphone et l'adresse électronique) ;
  • La désignation de l'organisme d'affiliation assurant la prise en charge des frais de santé ;
  • Les coordonnées du médecin traitant ou du médecin désigné par le patient pour assurer sa prise en charge ;
  • Les données permettant de déterminer que cette personne est infectée (caractère positif du test, date de prélèvement ou, pour patient hospitalisé, existence de symptômes associés à un scanner) ;
  • Le cas échéant, l'existence de symptômes et la date de leur apparition ;
  • Les données relatives à la situation de la personne au moment de la prise de contact (hospitalisé, à domicile ou déjà à l'isolement) ;
  • La déclaration d'un besoin d'accompagnement social et d'appui à l'isolement ;
  • La mention de la profession et du lieu d'exercice professionnel ;
  • Le cas échéant, les régions ou États, autres que ceux de résidence, dans lesquels la personne s'est rendue dans les quatorze derniers jours ;
  • Le cas échéant, la fréquentation, dans les quatorze derniers jours, des catégories d'établissements suivantes : établissement d'hébergement pour personnes âgées dépendantes, établissement médico-social, milieu scolaire, crèches, établissement de santé, établissement pénitentiaire ainsi que les coordonnées de l'établissement ;
  • Le cas échéant, la participation, dans les quatorze derniers jours, à un rassemblement de plus de dix personnes (date et localisation) ;
  • La confirmation du niveau de risque à la suite de sa réévaluation lors de l'entretien réalisé avec cette personne lors de l'enquête sanitaire ;
  • La connaissance éventuelle par cette personne du patient zéro, lorsque ce dernier a consenti à la divulgation à cette personne de son identité ;
  • L'information relative à une éventuelle cohabitation avec le patient zéro ;
  • La date du dernier contact avec le patient zéro ;
  • Les dates de prélèvement et les résultats des tests ;
  • La déclaration d'un besoin d'un prélèvement à domicile ;
  • Les dates de création, modification et traitement de la fiche et des contacts.

Ces données sont conservées 3 mois et ne peuvent être communiquées qu’aux destinataires suivants :

  • Les agents habilités de l’ARS
  • Les agents habilités de la Cellule Régionale de La Réunion de l’Agence nationale de santé publique/Santé publique France
  • Les personnels habilités des sous-traitants de l’ARS
     

Traitement de données provenant du suivi de l’isolement

La stratégie de déconfinement présentée par le Gouvernement le 28 avril 2020, prévoit que les ARS sont chargées d’organiser un suivi actif et régulier des malades, des personnes contacts isolés à domicile et des voyageurs en complément du suivi sanitaire, et de leur rappeler les conseils de prévention.

Pour assurer ce suivi, l’ARS de La Réunion a recours à un sous-traitant en charge de réaliser un rappel téléphonique.

Ce traitement utilise des données provenant de CONTACT-COVID et des données provenant de ARSLAREUNION-COVID19 :

  • Nom, Prénom,
  • Date de naissance
  • Téléphone
  • Date de voyage et numéro de vol

Ces données sont conservées 3 mois et ne peuvent être communiquées qu’aux destinataires suivants :

  • Les agents habilités de l’ARS
  • Les personnels habilités du sous-traitant

Conformément aux dispositions de l’article 56 de la loi « informatique et libertés », les personnes concernées par ces traitements peuvent, après justification de leur identité, exercer, pour des raisons tenant à leur situation particulière, leur droit d’opposition au traitement de leurs données :

  • Par voie électronique
    Envoyer un courriel
  • Par courrier
    ARS La Réunion – DPO
    2 Bis Avenue Georges Brassens – CS61002
    97743 Saint Denis CEDEX 09

Conformément aux dispositions des articles 48 et suivants de la loi «informatique et libertés » et au Règlement européen n°2016/679/UE du 27 avril 2016 (applicable dès le 25 mai 2018), les personnes concernées par ces traitements peuvent exercer leurs droits d’accès, de rectification, d’effacement de leurs données et de limitation du traitement de leurs données, selon ces mêmes modalités.

L’exercice de ces droits sur les données à caractère personnel d’une personne mineure ne peut être effectué que par les représentants légaux de cette dernière.

Dans certaines situations, des motifs impérieux d’intérêt public en santé pourront justifier le refus par l’Agence Régionale de Santé de La Réunion de l’exercice de certains de ces droits.

Pour toute information complémentaire ou réclamation, vous pouvez contacter la Commission Nationale de l’Informatique et des Libertés (plus d’informations sur www.cnil.fr).