Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 222

D

O

C

T

R

I

N

E

notamment en temps de crise
sanitaire où certains pourraient être
tentés d'oublier cette évidence et
s'affranchir de son cadre protecteur
sous prétexte de l'intérêt collectif.
Pour mémoire, le Règlement (UE)
2016/679 du Parlement  européen
et du Conseil du 27 avril 2016
(RGPD) définit de manière large
les données de santé comme
des « données à caractère personnel
relatives à la santé physique ou
mentale d'une personne physique,
y compris la prestation de services
de soins de santé, qui révèlent des
informations sur l'état de santé de
cette personne »3.
Ainsi, qu'il s'agisse de données
de santé par nature, de données
qui le deviennent du fait de leur
croisement ou de leur utilisation,
la collecte et le traitement de
ces données «  d'une catégorie
particulière  » restent strictement
encadrés par le législateur.

■	 les

■	

■	

■	

■	

■	

Ainsi, la collecte de ces données
considéréescomme« sensibles »reste
interdite par principe.
Le RGPD  prévoit toutefois une
dizaine d'exceptions limitativement
énumérées dans son article 9,
auquel renvoie d'ailleurs la loi du
6 janvier 1978 modifiée relative
à lInformatique, aux fichiers et
aux libertés (loi «  Informatique et
libertés ») :
■	 les traitements opérés avec le
consentement explicite de la
personne,
■	 les traitements nécessaires aux
fins de l'exécution des obligations
et de l'exercice des droits propres
au responsable du traitement
ou à la personne concernée en
matière de droit du travail, de la
sécurité sociale et de la protection
sociale,
■	 les traitements nécessaires à la
sauvegarde des intérêts vitaux de
la personne concernée ou d'une
autre personne physique, dans le
cas où la personne concernée se
trouve dans l'incapacité physique
ou juridique de donner son
consentement,

222

■	

traitements de certains
organismes à but non lucratif
pour les données de leurs
membres actuels ou anciens,
les traitements portant sur des
données à caractère personnel
rendues
publiques
par
la
personne concernée,
les traitements nécessaires à la
constatation, à l'exercice ou à la
défense d'un droit en justice,
les
traitements
nécessaires
pour des motifs d'intérêt public
important,
les traitements nécessaires aux
fins de la médecine préventive
ou de la médecine du travail,
de l'appréciation de la capacité
de travail du travailleur, de
diagnostics médicaux, de la
prise en charge sanitaire ou
sociale, ou de la gestion des
systèmes et des services de
soins de santé ou de protection
sociale,
les traitements nécessaires pour
des motifs d'intérêt public dans
le domaine de la santé publique,
tels que la protection contre
les menaces transfrontalières
graves pesant sur la santé,
ou aux fins de garantir des
normes élevées de qualité et de
sécurité des soins de santé et des
médicaments ou des dispositifs
médicaux et, enfin,
les traitements nécessaires à des
fins archivistiques dans l'intérêt
public, à des fins de recherche
scientifique ou historique ou à
des fins statistiques.

Certaines de ces exceptions sont
naturellement applicables aux
collectes de données de santé
dans le cadre d'une crise sanitaire,
sous réserve de la mise en œuvre
de garanties appropriées et
spécifiques pour la sauvegarde
des droits fondamentaux et des
intérêts de la personne concernée
et du respect de la règlementation
en matière de santé (secret
professionnel, secret médical...).
La plupart de ces traitements bénéficient, sous conditions, d'un allègement des formalités préalables.
Ainsi, la loi «  Informatique et
libertés » prévoit uniquement deux
EXPERTISES Juin 2020

types de formalités spécifiques
à respecter pour les traitements
ayant une finalité d'intérêt public,
ou dont la finalité est ou devient,
la recherche ou les études dans
le domaine de la santé ainsi que
l'évaluation ou l'analyse des
pratiques ou des activités de soins
ou de prévention. Pour ces traitements, des déclarations de conformité des responsables de traitement
aux référentiels (ou méthodologie
de référence pour les traitements
à des fins de recherches, d'études
ou d'évaluation) établis par la Cnil
doivent être réalisées  et, à défaut,
l'autorisation de la Cnil pour les
traitements ne relevant pas de ces
référentiels doit être obtenue.
La Cnil s'est ainsi mobilisée,
pendant la période de confinement, pour traiter en urgence les
demandes d'autorisation qui lui ont
été soumises. Ainsi, la Commission
a déjà délivré une dizaine d'autorisations à des acteurs comme l'AP/
HP, l'Inserm, l'institut Pasteur, le
CHU de Lille... Ces études visent par
exemple à tester des traitements, à
étudier les facteurs de mortalité des
patients âgés, ou encore à analyser
l'évolution des formes graves de
l'infection4.
Une demande d'avis est également
nécessaire pour tout projet d'acte
réglementaire autorisant un traitement de données de santé. Là
encore, saisie respectivement par
le ministère des Solidarités et de la
Santé puis par le secrétariat d'Etat
chargé du Numérique, la Cnil a
rendu des avis les 205 et 246 avril 2020
sur certaines modalités envisagées
du déconfinement.

Les grands principes
de collecte et de
traitement à ne pas
oublier
En tout état de cause, les responsables de traitement doivent
continuer à faire application
des grands principes «  RGPD  »
et « Informatique et libertés » qu'il
convient de rappeler sous l'angle
particulier de la crise sanitaire.
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
