Coronavirus Covid-19 et Contact Tracing

À l’heure où la France entre dans la première phase de son déconfinement, la stratégie du gouvernement pour lutter contre une reprise de l’épidémie repose désormais sur un suivi des « cas contacts » (ou « contact tracing »). Autrement dit, l’identification rapide de toute personne ayant été proche d’un malade, afin de lui faire passer également un test et, le cas échéant, l’isoler afin qu’elle ne propage pas la maladie.

Les autorités prévoient un « système d’information », reposant sur deux bases de données médicales : Sidep et Contact Covid. La conception de l’application StopCovid étant toujours en cours, son déploiement n’a pas été intégré au plan de déconfinement présenté le 28 avril.

StopCovid est un projet d’application mobile décidé par le gouvernement français et piloté par l’INRIA (Institut national de recherche en informatique et en automatique), avec pour objectif le traçage des populations, par l’utilisation du système Bluetooth des téléphones.

L’application controversée de suivi numérique StopCovid pourrait être prête début juin, ce qui ouvrirait ensuite la voie à un débat sur le sujet au Parlement.

Après le conseil des ministres exceptionnel du samedi 2 mai 2020, le ministre de la santé a annoncé que le traçage des contacts des personnes testées positives ne se fera (pour l’instant) pas avec une application sur téléphone :

« Au 11 mai, non, il n’y aura pas d’application StopCovid disponible dans notre pays et le premier ministre a été très clair, : si ce type d’application devait voir le jour, il y aurait un débat spécifique au Parlement, rien n’a changé de ce point de vue-là. »

Saisie d’une demande d’avis par le secrétaire d’État chargé du numérique sur l’éventuelle mise en œuvre de cette application, la CNIL s’était prononcée le 24 avril 2020^[1].

Elle a estimé que le dispositif pourrait être conforme au Règlement général sur la protection des données (RGPD) si certaines conditions étaient respectées.

L’usage de l’application envisagée par le gouvernement étant volontaire, la CNIL a précisé que cela impliquait qu’il n’y ait pas de conséquence négative en cas de non-utilisation, en particulier pour l’accès aux tests et aux soins, ou encore les transports en commun.

La CNIL considère que l’application peut être déployée si son utilité pour la gestion de la crise est suffisamment avérée et si certaines garanties sont apportées. En particulier, son utilisation doit être temporaire et les données doivent être conservées pendant une durée limitée.

Enfin, la CNIL a considéré que le recours à un dispositif volontaire de suivi de contact pour gérer la crise sanitaire actuelle devait disposer d’un fondement juridique explicite dans le droit national. Elle a demandé au gouvernement de la saisir à nouveau du projet d’application et du projet de norme l’encadrant lorsque la décision aura été prise et le projet précisé.

En attendant, le gouvernement a choisi de mettre en place un système de traçage officiel pour permettre à l’Assurance-maladie ou aux Agences régionales de santé, aux médecins hospitaliers et en ville d’avoir accès à un maximum d’informations sur l’état de l’épidémie en France.

Concrètement, le projet de loi prorogeant l’état d’urgence sanitaire^[2] prévoit la mise en place de « brigades sanitaires » qui devront recenser les cas positifs au Covid-19 et les cas contacts pour détecter les chaînes de transmission.

Trois niveaux de tracing sont prévus :

• Le tracing de niveau 1 exercé par les médecins, les professionnels de santé de premier recours en ville comme à l’hôpital, pour définir le premier cercle des cas, contacts potentiels de malades ;

• Le tracing de niveau 2 organisé par l’Assurance-maladie. Il vise à enrichir la liste des contacts potentiels au-delà de ce premier cercle, de vérifier qu’aucune personne potentiellement malade n’ait pu échapper aux premier tracing et donner des consignes aux intéressés ;

• Le tracing de niveau 3 organisé par les Agences régionales de santé. Il s’agit d’aller identifier des chaînes de contamination des chaînes de transmission, ce qu’on appelait à un moment donné les « clusters ».

Ces données seront ensuite compilées dans deux fichiers nationaux : Sidep et Contact Covid.^[3]

Le fichier Sidep recensera toutes les personnes testées positives au SARS-CoV-2 par les laboratoires de biologie médicale.

La base Contact Covid, inspirée du site de l’Assurance-maladie, permettra notamment d’avoir les coordonnées des personnes à contacter.

Précisément, le projet de loi prévoit qu’« aux seules fins de lutter contre la propagation de l’épidémie de covid-19 et pour la durée strictement nécessaire à cet objectif ou, au plus, pour une durée de six mois à compter de la fin de l’état d’urgence sanitaire déclaré par l’article 4 de la loi n° 2020-290 du 23 mars 2020 d’urgence pour faire face à l’épidémie de covid-19, des données à caractère personnel concernant la santé relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées, dans le cadre d’un système d’information créé par décret en Conseil d’État et mis en œuvre par le ministre chargé de la santé. »

Les fichiers ont pour finalités l’identification des personnes infectées, l’identification des personnes présentant un risque d’infection, l’orientation des personnes infectées, et des personnes susceptibles de l’être, en fonction de leur situation, vers des prescriptions médicales d’isolement prophylactiques, ainsi que l’accompagnement de ces personnes pendant et après la fin de ces mesures, et la surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation. Sont explicitement exclus de ces finalités le développement ou le déploiement d’une application informatique à destination du public et disponible sur équipement mobile permettant d’informer les personnes du fait qu’elles ont été à proximité de personnes diagnostiquées positives au covid-19.

Les données à caractère personnel collectées par ces systèmes d’information à ces fins ne peuvent être conservées à l’issue d’une durée de trois mois après leur collecte.

Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique ou sérologique de la personne à l’égard du virus ainsi qu’à des éléments probants de diagnostic clinique et d’imagerie médicale, précisés par le décret en Conseil d’État susvisé.

Les modalités d’application du projet de loi concernant la mise en place de ces fichiers doivent être fixées dans les prochains jours par des décrets en Conseil d’État après avis public conforme de la Commission nationale de l’informatique et des libertés.

[1] https://www.cnil.fr/fr/publication-de-lavis-de-la-cnil-sur-le-projet-dapplication-mobile-stopcovid

[2] Le dossier législatif sur la prorogation de l’état d’urgence sanitaire : http://www.assemblee-nationale.fr/dyn/15/dossiers/prorogation_etat_urgence_sanitaire

[3] Pour une description des fichiers du Ministère des Solidarités et de la Santé : https://solidarites-sante.gouv.fr/soins-et-maladies/maladies/maladies-infectieuses/coronavirus/tout-savoir-sur-le-covid-19/article/contact-covid-si-dep