Saisi de la loi de prorogation de l’état d’urgence sanitaire adoptée le samedi 9 mai 2020, le Conseil constitutionnel est venu très partiellement censurer les dispositions législatives concernant le système d’information destiné à permettre le traitement de données destinées au « traçage » des personnes atteintes par le covid-19 et de celles ayant été en contact avec ces dernières.
Le Conseil constitutionnel rappelle d’abord, selon une jurisprudence constante, qu’il résulte du droit constitutionnel au respect de la vie privée que la collecte, l’enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d’intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif.
Il énonce en particulier que, lorsque sont en cause des données à caractère personnel de nature médicale, une particulière vigilance doit être observée dans la conduite de ces opérations et la détermination de leurs modalités.
Puis il analyse les dispositions contestées qui autorisent le traitement et le partage, sans le consentement des intéressés, de données à caractère personnel relatives à la santé des personnes atteintes par la maladie du covid-19 et des personnes en contact avec elles, dans le cadre d’un système d’information ad hoc ainsi que dans le cadre d’une adaptation des systèmes d’information relatifs aux données de santé déjà existants.
Le Conseil constate que ces dispositions portent atteinte au droit au respect de la vie privée.
Néanmoins, il déclare être conscient qu’en adoptant les dispositions contestées, le législateur a entendu renforcer les moyens de la lutte contre l’épidémie de covid-19, par l’identification des chaînes de contamination. Ainsi, le législateur a poursuivi l’objectif de valeur constitutionnelle de protection de la santé.
Les dispositions en cause sont donc contraires au droit au respect de la vie privée mais dans un but de protection de la santé publique. Il s’agit alors de savoir si cette atteinte est proportionnée au but poursuivi.
Pour se prononcer, le Conseil étudie l’adéquation et la proportionnalité des dispositions contestées au regard de l’objectif poursuivi, et relève que la collecte, le traitement et le partage des données personnelles ne peuvent être mis en œuvre que dans la mesure strictement nécessaire à quatre finalités déterminées.
En outre, le champ des données de santé à caractère personnel susceptibles de faire l’objet de la collecte, du traitement et du partage en cause, a été restreint par le législateur aux seules données relatives au statut virologique ou sérologique des personnes à l’égard de la maladie covid-19 ou aux éléments probants de diagnostic clinique et d’imagerie médicale précisés par décret en Conseil d’État pris après avis du Haut Conseil de la santé publique.
Toutefois, le Conseil constitutionnel formule une réserve d’interprétation en jugeant que, sauf à méconnaître le droit au respect de la vie privée, l’exigence de suppression des nom et prénoms des intéressés, de leur numéro d’inscription au répertoire national d’identification des personnes physiques et de leur adresse, dans les parties de ces traitements ayant pour finalité la surveillance épidémiologique et la recherche contre le virus, doit également s’étendre aux coordonnées de contact téléphonique ou électronique des intéressés.
Ensuite, concernant le champ des personnes susceptibles d’avoir accès à ces données à caractère personnel, sans le consentement de l’intéressé, le Conseil estime que si la liste en est particulièrement étendue, cette extension est rendue nécessaire par la masse des démarches à entreprendre pour organiser la collecte des informations nécessaires à la lutte contre le développement de l’épidémie.
En revanche, le Conseil constitutionnel censure comme méconnaissant le droit au respect de la vie privée la deuxième phrase du paragraphe III de l’article 11 incluant dans ce champ les organismes qui assurent l’accompagnement social des intéressés. En effet, s’agissant d’un accompagnement social qui ne relève pas directement de la lutte contre l’épidémie, rien ne justifie que l’accès aux données personnelles traitées dans le système d’information ne soit pas soumis au recueil du consentement des intéressés.
Autre réserve d’interprétation, le Conseil précise que le pouvoir réglementaire devra définir des modalités de collecte, de traitement et de partage des informations assurant leur stricte confidentialité et, notamment, l’habilitation spécifique des agents chargés, au sein de chaque organisme, de participer à la mise en œuvre du système d’information ainsi que la traçabilité des accès à ce système d’information.
Puis, par une troisième réserve d’interprétation, il juge que si le législateur a autorisé les organismes concourant au dispositif à recourir, pour l’exercice de leur mission dans le cadre du dispositif examiné, à des organismes sous-traitants, ces sous-traitants agissent dès lors pour leur compte et sous leur responsabilité. A cet égard, pour respecter le droit au respect de la vie privée, ce recours aux sous-traitants doit s’effectuer en conformité avec les exigences de nécessité et de confidentialité mentionnée par la présente décision.
Enfin, le Conseil constitutionnel prend en compte le choix du législateur de prévoir que ce dispositif ne peut s’appliquer au-delà du temps strictement nécessaire à la lutte contre la propagation de l’épidémie de covid-19 ou, au plus tard, au-delà de six mois après la fin de l’état d’urgence sanitaire déclaré par la loi du 23 mars 2020. Par ailleurs et dans cette logique de temporalité, les données à caractère personnel collectées, qu’elles soient ou non médicales, doivent, quant à elles, être supprimées trois mois après leur collecte.
Ainsi, sous les réserves sus-énoncées, le Conseil constitutionnel conclut que les dispositions législatives ne méconnaissent pas le droit au respect de la vie privée.
