Sur la méthode de travail de la CNIL :

• La CNIL ne se prononcera pas sur le projet de loi dans sa globalité.
• La CNIL formulera un avis public sur l’application de ces dispositions, au stade réglementaire sur le décret en Conseil d’Etat.

Sur les objectifs de l’article 6 du PJL EUS :

• La présidente de la CNIL a précisé que l’article 6 et l’application Stopcovid sont bien distincts. Le précédent avis de la CNIL prévoyait qu’il fallait une politique sanitaire globale pour l’usage d’une telle application et l’article 6 répond à cette analyse.

• La création d’enquêtes sanitaires semble être justifiée par les finalités liées à la lutte contre la propagation du virus, inscrites dans le PJL.

• Sur le secret médical, la présidente de la CNIL constate que pour mener ces enquêtes, le PJL prévoit que des personnes ne participant pas à la prise en charge directe des personnes testées soient inclus dans le dispositif et aboutit à déroger au principe du secret médical.

• La CNIL veillera, lors de l’examen du décret au CE, à limiter le nombre de ces accès, à prévoir des règles d’habilitation très strictes, à déterminer les conditions dans lesquelles les sous-traitants pourront intervenir et à mettre en place une traçabilité renforcée pour détecter d’éventuels abus.

Sur le caractère volontaire du recueil des données, selon la compréhension en l’état du dispositif, Marie-Laure DENIS analyse que :

• Le test de dépistage repose toujours sur une base volontaire.
• Les personnes dépistées positives n’ont pas d’obligation de fournir dans le cadre des enquêtes sanitaires, les données des personnes avec lesquelles elles ont été en contact.
• Le recueil des données suppose que soit posé à la personne malade des questions qui peuvent être intrusive, des informations sensibles au regard de la vie privée ; le dispositif consistera à les récolter dans un unique fichier.
• Les enquêteurs disposeront de l’accès à certaines de ces données, sans que les personnes contacts en soient averties préalablement, pour dans le cas échéant, les contacter et assurer leur prise en charge sanitaire. Le dispositif ne permet pas une information individuelle préalable et a fortiori le consentement des personnes contacts.
• La CNIL sera attentive à assurer la proportionnalité de l’atteinte à la confidentialité des données en cause.

Les points de vigilance de la CNIL :

• Selon la présidente de la CNIL, il existe un risque de surcollecte et il est nécessaire de s’assurer du principe de minimisation des données collectées.

• Sur les données du cas contact, la CNIL s’interrogera sur la nécessité d’inscrire dans le fichier des données allant au-delà de l’identité du cas contact, qui révéleraient des éléments de vie sociale des individus. La CNIL souhaitera avoir communication du questionnaire utilisé par les enquêteurs et sera attentive à éviter, dans la mesure du possible, que les enquêteurs disposent de champs libres où ils pourraient inscrire des données non nécessaires et intrusives.

• Sur la question des accès aux données par les différent acteurs (caisse d’assurance maladie, ARS, etc.), la CNIL précisera les rôles et les accès des organismes intervenants, définis par le législateur. La CNIL souhaitera savoir à quelles informations auront accès les différents organismes.

• Sur la durée de la mise en œuvre du dispositif, la CNIL sera attentive à définir la durée de conservation des différents types de données dans le fichier lui-même en fonction de leur usage. Les données qui feront partie d’enquêtes achevées devront être supprimées dans des délais brefs, bien avant la fin de l’épidémie.

• Sur la sécurité, il est fondamental d’avoir un haut niveau de sécurité des données, qui dans le cas échéant devra être audité et augmenté au fur et à mesure.

• Sur l’habilitation à utiliser le système d’information, l’article 6 et le RGPD permettent le recours à des sous-traitants. Il faudra des garanties et le dispositif informatique devra permettre de retracer l’usage qui a été fait des fichiers pour permettre de punir les éventuels abus.

• Sur le recours à des ordonnances, le caractère inédit des systèmes d’informations envisagés justifierait que le texte de loi prévoit que la CNIL soit consultée préalablement pour la rédaction d’éventuelles ordonnances.

• Sur le suivi du dispositif, il doit faire l’objet d’une surveillance étroite de tous les pouvoirs publics concernés dans le respect des compétences de chacun.

• Les investigations de la CNIL se feront :

1. pendant la phase de déploiement du dispositif en vérifiant le choix des sous-traitants, la sécurité des données et l’information des personnes.
2. une fois qu’il sera complètement opérationnel en ajoutant aux investigations le respect des procédures et le traitement des demandes liées à l’exercice des droits des personnes.
3. à la fin, lorsqu’il ne sera plus censé être fonctionnel, en ajoutant aux investigations la durée de conservation des données et les modalités de destruction des données.