Le Conseil constitutionnel a rendu, le 11 mai 2020, une décision relative à la validité de certaines dispositions de la loi de prorogation de l’état d’urgence sanitaire.
Par cette décision, le Conseil constitutionnel a notamment décidé deux censures partielles et énoncé trois réserves d’interprétation concernant les traitements de données à caractère personnel de nature médicale aux fins de « traçage ».
Le contexte
La loi de prorogation de l’état d’urgence sanitaire prévoit la mise en place d’un système d’information permettant le traitement de données destinées au « traçage » des personnes atteintes par le covid-19 et de celles ayant été en contact avec ces dernières. Ce traçage et les enquêtes impliquent le partage de données, notamment de santé, de ces personnes avec des tiers sans le consentement des personnes concernées.
Ces dispositions ont fait l’objet d’un recours auprès du Conseil constitutionnel sur le fondement du non-respect du principe constitutionnel du respect de la vie privée.
Un dispositif globalement validé sous réserve de certaines limitations et de la mise en place de garanties supplémentaires
Un dispositif portant atteinte au respect de la vie privée mais justifiée par la protection de la santé
Selon la jurisprudence antérieure du Conseil constitutionnel, le traitement de données à caractère personnel (y compris la communication) doit être justifié par un motif d’intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif.
Lorsque des données à caractère personnel de nature médicale sont concernées, une particulière vigilance doit être observée dans la conduite de ces opérations et la détermination de leurs modalités.
Le Conseil considère que bien que les dispositions législatives faisant l’objet d’un recours portent atteinte au droit au respect de la vie privée, le législateur a poursuivi l’objectif de valeur constitutionnelle de protection de la santé. En effet, il a souhaité renforcer les moyens de la lutte contre l’épidémie de covid-19 par l’identification des chaînes de contamination.
Les éléments pris en compte par le Conseil pour considérer le dispositif adéquat et proportionné
Afin de justifier sa décision, le Conseil retient notamment que le texte prévoit que :
- le traitement des données personnelles ne peut être mis en œuvre que dans la mesure strictement nécessaire à quatre finalités déterminées ;
- le champ des données de santé à caractère personnel est limité aux données relatives au statut virologique ou sérologique des personnes à l’égard de la maladie covid-19 ou aux éléments probants de diagnostic clinique et d’imagerie médicale ;
- ce dispositif ne peut s’appliquer au-delà du temps strictement nécessaire à la lutte contre la propagation de l’épidémie de covid-19 ou, au plus tard, au-delà de six mois après la fin de l’état d’urgence sanitaire déclaré par la loi du 23 mars 2020 ;
- les données à caractère personnel collectées, qu’elles soient ou non médicales, doivent, quant à elles, être supprimées trois mois après leur collecte.
Des réserves et censures partielles du texte afin d’assurer l’adéquation et la proportionalité du dispositif au regard de l’objectif poursuivi
Afin d’assurer la proportionalité et l’adéquation du dispositif à l’objectif poursuivi, le Conseil limite la portée du texte et exige des garanties supplémentaires. Ainsi par des censures ou réserves d’interprétation, il a jugé que :
- la suppression de données prévue dans le cadre des traitements ayant pour finalité la surveillance épidémiologique et la recherche contre le virus, doit s’étendre aux coordonnées de contact téléphonique ou électronique des intéressés ;
- les organismes qui assurent l’accompagnement social des intéressés devront obtenir le consentement préalable des intéressés avant d’accéder à leurs données (dans la mesure où l’accompagnement social ne relève pas directement de la lutte contre l’épidémie, l’absence de consentement n’est donc pas justifiée dans ce cas) ;
- il appartiendra au pouvoir réglementaire de définir des modalités de traitement (y compris le partage) des informations assurant leur stricte confidentialité dont notamment:
- l’habilitation spécifique des agents chargés de participer à la mise en œuvre du système d’information ;
-
- la traçabilité des accès à ce système d’information.
- le recours aux sous-traitants doit s’effectuer en conformité avec les exigences de nécessité et de confidentialité.
