Secret médical, liberté individuelle, respect de la vie privée, intérêt général et santé publique,  s’affrontent au cœur de ces dispositifs dont la mise en œuvre est prévue dès la deuxième quinzaine du mois de mai.

Le déconfinement est consommé depuis 72h, il faut prendre les mesures nécessaires pour « protéger » la population sur le point de s’égayer tous azimuts (dans un rayon de 100 km bien entendu, sauf motif professionnel ou familial impérieux).

Il faut « à tout prix » briser les chaînes de transmission du COVID-19.

L’Assurance maladie décrit même le « contact tracing » comme la clé de voute de la stratégie de déconfinement.

Dans cet article nous nous proposons de répondre à deux questions relatives à cette volonté/nécessité de tracer la population : 

En premier lieu, quels sont donc les différents dispositifs envisagés et quels sont ceux qui sont effectivement adoptés ?

En second lieu, comme dans toute stratégie thérapeutique, mais cette fois en droit, quelle est la balance bénéfice/risques de ces dispositifs ?

1. Les dispositifs prévus et/ou adoptés

Samedi 9 mai 2020, dans la soirée, le Parlement a adopté la Loi de prorogation de l’état d’urgence d’urgence sanitaire, prolongeant celui-ci jusqu’au 10 juillet 2020 inclus.

A l’article 11 de cette Loi publiée ce jour, est détaillé le dispositif de « CONTACT TRACING », instituant une chaîne humaine de recueil de données et un système d’information parfois rebaptisé   « BRIGADE ANTI-COVID » ou encore « BRIGADE D’ANGES GARDIENS ».

Le texte ayant été déféré au Conseil constitutionnel, qui l’a légèrement censuré aux termes d’une décision rendue le 11 mai 2020, il est à ce jour définitivement adopté.

Il se distingue du projet de système de recueil de données numériques via une application dénommée « STOPCOVID », pour lequel la CNIL a donné son feu vert à certaines conditions, mais qui n’est pas encore adopté. 

–       LE CONTACT TRACING

Aux termes de l’article 11 de la Loi n°2020-546 du 11 mai 2020, publiée au JORF n°0116 du 12 mai 2020 (texte n°1), les données relatives aux personnes atteintes par le virus, ainsi qu’aux personnes ayant été en contact avec elles, peuvent être traitées et partagées, y compris sans leur consentement, aux seules fins de lutter contre la propagation de l’épidémie de covid‑19 et pour la durée strictement nécessaire à cet objectif (au maximum 6 mois après la fin de l’état d’urgence sanitaire). 

Les systèmes d’informations existants (Système National des données de santé (2016) et Health Data Hub (2019) notamment) seront adaptés afin de permettre ces traitements et partages de données avec le Ministère de la santé, l’Agence nationale de santé publique, les organismes d’assurance maladie ainsi que les agences régionales de santé. 

Les données à caractère personnel collectées par les systèmes d’informations ainsi adaptés ne pourront être conservées au delà de 3 mois.

Quant aux données à caractère personnel et relatives à la santé, elles devront être «  strictement limitées au statut virologique ou sérologique de la personne, ainsi qu’à des éléments probants de diagnostic clinique et d’imagerie médicale » et seulement concernant le COVID-19.

L’éventualité de la prorogation par la Loi des délais de conservation des données est prévue.

Les finalités du recueil de données via ces systèmes d’informations sont limitativement énumérées : 1° L’identification des personnes atteintes par le COVID-19 et la connaissance de leurs données médicales en rapport avec le virus ; 2° L’identification des personnes présentant un risque d’infection, du fait de leurs contacts avec les premières ; 3° L’isolement des personnes infectées ; 4° Le surveillance épidémiologique au niveau local et national ainsi que l’avancée de la recherche sur le virus, au moyen des données anonymisées.

Le Conseil constitutionnel aux termes de sa décision n°2020-800 DC du 11 mai 2020, bien qu’ayant relevé que la collecte, le traitement et le partage de données, y compris relatives à la santé, sans le consentement de l’intéressé, portaient atteinte au respect de la vie privée, a considéré que ces mêmes actions, poursuivant un objectif de valeur constitutionnel de protection de la santé, ne devaient être mises en  œuvre que «  dans la mesure strictement nécessaire à quatre finalités déterminées ».

Le même article poursuit que le partage des informations collectées peut être étendu à tous professionnels de santé, de soins, établissement de santé, de soins ou organismes sociaux ou médico-sociaux, pharmaciens, biologistes, coordonateurs de parcours de soins, en somme tous participants aux prises en charges médicales des personnes intéressées, de quelques façons que ce soit. Ce partage, qui peut là aussi être réalisé sans le consentement des intéressés, doit néanmoins être limité aux seules informations strictement nécessaires à leur intervention.

En revanche, si initialement le texte prévoyait la même possibilité d’extension du partage à l’adresse des organismes qui assurent l’accompagnement social des intéressés, le Conseil constitutionnel a censuré comme « méconnaissant le droit au respect de la vie privée », au motif de ce que, « s’agissant d’un accompagnement social qui ne relève pas directement de la lutte contre l’épidémie, rien ne justifie que l’accès aux données à caractère personnel traitées dans le système d’information ne soit pas subordonné au recueil du consentement des intéressés ».

Ces organismes d’accompagnement social n’ont donc un accès aux informations strictement nécessaires à leur intervention qu’à la condition d’obtenir le consentement de la personne intéressée.

L’ensemble de ces acteurs sont soumis au respect du secret professionnel et encourent les peines prévues à l’article 226-13 du Code pénal en cas de divulgation des données collectées et partagée dans le cadre de ce dispositif. 

Par ailleurs, si l’un de ces acteurs a recours, dans le cadre de son intervention,  a recours à la sous-traitance, il en assume la responsabilité.

Enfin, l’article 11 de la Loi nouvelle instaure un Comité de contrôle, composé notamment de deux députés et deux sénateurs, ayant pour mission :

« 1° D’évaluer, grâce aux retours d’expérience des équipes sanitaires de terrain, l’apport réel des outils numériques à leur action, et de déterminer s’ils sont, ou pas, de nature à faire une différence significative dans le traitement de l’épidémie ; 

2° De vérifier tout au long de ces opérations le respect des garanties entourant le secret médical et la protection des données personnelles. »

–       L’APPLICATION STOPCOVID

Il s’agit cette fois d’un projet gouvernemental d’application mobile qui demeure au stade du développement et n’est donc a fortiori pas validé ni adopté par un quelconque texte.

Le principe est toujours celui de l’identification et du traçage des chaines de transmission du COVID-19.

En effet, en collectant des informations de contact via le standard Bluetooth, l’application permet non seulement de remonter un chemin d’infection si un utilisateur se déclare malade, mais également de prévenir toutes les personnes croisées par les personnes contaminées en leur conseillant de se faire tester et de s’isoler. 

Le développement de l’application est géré par l’INRIA (Institut national de recherche en informatique et automatique).

Annoncée depuis le 8 avril dernier, ce développement se heurte néanmoins à de nombreux obstacles technologiques qui rendent à ce jour son adoption et son édition incertaines.

De plus, la mise en œuvre de l’application se heurte à un principe de réalité car il convient de rappeler que 23 % des français ne sont pas équipés d’un smartphone, utilitaire nécessaire.

Sur un plan plus juridique, le débat ne pourra avoir lieu que lorsque les paramètres techniques exactes de l’application seront connus mais il est d’ores et déjà acquis que son utilisation sera strictement volontaire et que les données collectées seront toutes anonymes.

La collecte des données, qui se fonde sur une mission d’intérêt général, selon la délibération n°2020-046, rendue le 24 avril 2020, par la CNIL et l’avis du même jour du Conseil National du numérique, devra se faire dans le respect de la vie privée et donc, a minima, dans le respect du Règlement général sur la protection des données (UE) 2016/679 du 27 avril 2016 (RGPD) et de la loi n° 78-17 « Informatique et Liberté » (LIL).

Par ailleurs, une fois les débats parlementaires achevés, le texte devra être de nouveau examiné par la CNIL.

Des applications comparables sont déjà utilisées en Europe.

S’agissant à ce jour d’un projet non abouti, il convient donc de demeurer attentif aux suites.

2. Les droits et libertés en jeux

Deux niveaux sont ici concernés : les droits et libertés en jeux aux termes des dispositions législatives et règlementaires, puis dans la mise œuvre concrète du tracing.

–       DANS LES TEXTES

La création d’un nouveau système d’information, ou d’un nouveau fichier si l’on préfère, par l’article 11 de la Loi n° 2020-546 permettant l’identification des personnes en fonction de leur statut virologique ou sérologique et comprenant en outre les données médicales associées ne peut qu’interroger et heureusement tant cette interrogation, et contestation au besoin, est vitale à la santé de nos libertés.

Lorsque s’y ajoute l’enquête et l’identification de toutes les « personnes-contacts », il convient d’y être véritablement attentif.

Il faut rappeler que si en France, il existe une liste de 33 maladies à déclaration obligatoire (article L 3113-1 du Code de la santé publique) décidée sur avis du Haut Conseil de la santé publique, la plupart d’entre elles font l’objet de déclarations anonymisées (un numéro d’anonymat irréversible est généré par le déclarant cf : articles R 3113-1 et suivants du Code de la santé publique) aux agences régionales de santé et à l’Institut national de veille sanitaire.

Ces déclarations ont en effet pour finalité une simple surveillance épidémiologique qui ne saurait justifier les mêmes atteintes au secret médical ou à la vie privée que celles figurant à l’article 11 de la Loi nouvelle.

C’est bien la crise sanitaire et le stade d’épidémie dépassé qui justifie que de telles mesures soient prises car de ce fait, aux côtés du respect du secret médical et de la vie privé, le droit à la protection de la santé générale et individuelle fait entendre sa voix…et cette voix, nous l’avons vu, peut être assourdissante et notamment nous confiner à demeure durant un certain temps.

Il faut également rappeler qu’il existe déjà un secret médical partagé à l’ensemble des personnes participant à la prise en charge d’un patient, afin de permettre notamment les prises en charge transverses et en établissement de santé. Les membres d’une équipe de soins peuvent alors partager les données médicales d’un individu « à condition qu’ils participent tous à la prise en charge » et « que ces informations soient strictement nécessaires à la coordination ou à la continuité des soins, à la prévention ou à son suivi médico-social et social ».

Ce partage est régi par les dispositions de l’article L 1110-4 du Code de la santé publique, auquel il est d’ailleurs directement fait référence au début de l’article 11 de la Loi du 12 mai 2020 puisque celui-ci prévoit justement d’y déroger.

Si les termes se ressemblent, il est pour autant bien question de déroger à ces dispositions alors que, dans les proportions quant à l’étendue de ce partage, la loi nouvelle va plus loin encore et cet « hyperpartage » en cascade opéré par l’article 11 laisse dubitatif sur les possibilités de maintenir un quelconque secret au cours du processus.

Certes la protection de la santé est un droit à valeur constitutionnel et c’est l’objectif poursuivi aux termes de ce texte, qui selon le Conseil constitutionnel, justifie les atteintes portées tant au secret médical, qu’à la vie privée.

Le cœur de la question est bien là effectivement et l’équilibre fragile à maintenir entre les intérêts en présence et l’atteinte « nécessaire et appropriée à la finalité recherchée » n’est pas une mince affaire en temps de crise sanitaire. 

Cependant, les mots ont un sens et la Loi qui prétend, malgré la collecte et le partage des données de santé qu’elle institue, qui plus est sans le consentement de l’intéressé, préserver le secret médical, notamment en instituant un Comité de contrôle chargé de veiller à son respect, semble le tourner en dérision, le laisser dépourvu de substance dans un souci d’apparence qui n’a plus rien à voir avec la teneur du secret initial.

Si le débat entre la protection de la santé, individuelle et commune d’une part, et le secret médical, le respect de la vie privée, ainsi même, il est vrai, que la liberté individuelle d’autre part, se pose avec une acuité farouche, cette perte de sens était objectivement évitable si le législateur dans sa formulation avait été un peu plus honnête avec l’exception absolue qu’il lui porte.

Que reste-il alors du secret médical vidé de sa substance …et de son sens au terme de cet article ? 

Le respect de la vie privée n’est pas épargné et les modalités exactes de l’identification des personnes contacts vont avoir toute leur importance.

On peut également s’interroger sur le point de savoir si l’organisation des données de contacts collectés permettra simplement de dresser une liste de personnes susceptibles d’être infectées ou si le lien existant entre les personnes y figurera aussi.

Enfin, la liberté individuelle est évidemment en jeu alors que la Loi nouvelle, dans son article 3, organise l’isolement des personnes susceptibles d’être affectées en modifiant les dispositions de l’article L 3131-15 du Code de la santé publique.

Ainsi, bien entendu l’établissement de la liste des « personnes-contact » en même temps qu’elle les informe du risque qu’elles courent, est susceptible d’impacter directement leur liberté individuelle.

Dans son appréciation sur la proportionnalité de l’atteinte portée par ces mesures à la liberté individuelle, le Conseil constitutionnel a notamment relevé : qu’ « en cherchant par ces dispositions à assurer la mise à l’écart du reste de la population des personnes qui en font l’objet en les soumettant à un isolement, le cas échéant, complet de façon à prévenir la propagation de la maladie à l’origine de la catastrophe sanitaire, le législateur a poursuivi l’objectif de valeur constitutionnelle de protection de la santé ».

Aux termes de ce bref panorama, il apparaît clairement que la Loi nouvelle voit, le secret médical rompre et les libertés individuelles se plier à la demande de la protection de la santé, posée comme impératif.

–       DANS LA PRATIQUE

La mise en œuvre concrète du CONTACT TRACING pose une autre série de questions qui intéressent finalement la pertinence et l’utilité réelle des dispositions adoptées.

– L’organisation du recueil de données sur le terrain

Le protocole posé par l’Assurance maladie et les Agences régionales de santé repose sur 3 échelons (organisation reprise aux termes du décret n°2020-51 du 12 mai 2020) : 

Le premier est formé des médecins de ville, principalement les médecins généralistes, mais également des médecins biologistes, qui identifient les cas et procèdent à un premier recensement de contacts, a minima, les personnes qui vivent au domicile et si possible les autres contacts selon les critères suivants :

–       absence de mesure efficace de protection (hygiaphone ou séparation physique, masque chirurgical, FFP2 ou tissu norme AFNOR) pour les deux individus en contact direct face à face à une distance de moins d’un mètre quelque qu’en soit la durée,

–       réalisation d’un acte de soin (que le contact l’ait reçu ou prodigué),

–       partage d’un espace confiné (bureau, salle de classe, etc…) pendant au moins 15 minutes.

Le deuxième échelon est constitué par une plateforme territoriale de l’Assurance maladie chargée de finaliser le recensement, de prendre contact avec les personnes identifiées et d’organiser la réalisation d’un test RT-PCR, accès à des masques chirurgicaux en pharmacie d’officine, présentation des mesures d’isolement, établissement d’un arrêt de travail quand c’est nécessaire, et enfin, d’évaluer les éventuels besoins d’accompagnement notamment social.

Le troisième et dernier échelon formé par les ARS et Santé publique France en région chargées d’identifier les chaines de transmissions en régions, de gérer au long cours, les mesures d’isolement ainsi que toute situation complexe nécessitant une intervention sanitaire.

Il est également mis en place un téléservice de déclaration dénommé « CONTACT COVID » à l’adresse des professionnels de santé, premier échelon du dispositif.

– Les questions soulevées par le dispositif

S’agissant du premier échelon, du recueil initial de données par le médecin ou professionnel de santé à l’origine du diagnostic, se posent deux questions.

Tout d’abord, le choix de révéler ou non l’identité d’une personne avec qui il y a eu un contact repose entièrement sur le patient qui peut choisir pour toute une série de raisons, rationnelles ou non d’ailleurs, de ne pas donner l’identité de certaines d’entre elles.

Ensuite, il y a parmi ces « cas-contacts » visés, un nombre non négligeable de personnes dont on ne connaitra pas l’identité, pour peu que l’on ait mal apprécié la distance en échangeant avec quelqu’un dans la rue, dans la file d’attente d’un magasin puisque tous ne rendent pas le port du masque obligatoire, et dans plusieurs autres situations qui ne manqueront pas de se présenter. 

Alors certes, c’est mieux que rien, mais c’est déjà approximatif en terme d’efficacité.

Pour les deuxième et troisième échelons, ce sont des questions relatives à la diffusion et au stockage des données collectées au sein des différents systèmes d’informations existants et ad hoc, qui se posent avec une certaine appréhension

La diffusion des données, est déjà large mais il faut également garder à l’esprit que notamment les plateforme territoriales de l’Assurance maladie pourront s’appuyer dans les semaines à venir par des structures extérieures volontaires, issues des organisations mises en place par les professionnels de santé de ville dans les territoires.

Quelles seront ces structures extérieures volontaires exactement et à quel point seront-elles associés à l’action, quelles informations leurs seront accessibles ?

La diffusion également on le voit au sein de différents systèmes d’informations, le téléservice, les fichiers de la CPAM, les fichiers des ARS, de Santé publique France.

Les modalités de transfert et de stockage de ces données pourront-elle garantir l’absence de toute trace laissée par les fichiers une fois le délai fatidique des trois mois écoulé, et en tout état de cause, 6 mois après la fin de l’état d’urgence sanitaire.

Gardons à l’esprit que l’arrêté du 21 avril 2020, publié au J.O. du 22 avril 2020, autorise le groupement d’intérêt public Health Data Hub et la CNAM à recevoir des données de santé nécessaires à la poursuite d’une finalité d’intérêt public, en lien avec l’épidémie actuelle de covid-19 et à croiser ces données.

Dans sa délibération précitée du 20 avril 2020, la CNIL craignait un possible transfert des données du Data Health Hub vers les Etats-Unis par le biais de son prestataire d’hébergement.

Autrement dit, potentiellement, partie voire intégralité de ces données pourraient rejoindre le « Big Data » pour peu que l’un des nombreux protagoniste de cette chaine de recueil et de transmission des données comprenne qu’il en a égaré une copie quelque part ou qu’un piratage de données soit commis..

Dispose-t-on vraiment des moyens humains et techniques de notre ambition quant aux garanties offertes sur le respect de la vie privée via la protection des données personnelles avec une telle étendue de partage ?

Enfin, pour finir un mot sur la grande incertitude pratique qui intéresse cette fois l’utilité et la pertinence de l’application STOPCOVID alors que celle-ci ne peut que faire l’objet d’une utilisation volontaire et que si un nombre critique d’utilisateur n’est pas atteint, tout le dispositif devient inutile…

Finalement, le déploiement concret de ces systèmes d’informations renforce le constat précédent  qui est celui-ci d’un terrassement des droits et libertés individuelles par l’impératif de santé publique.

La pertinence et l’utilité de ces systèmes d’information reste au surplus à être démontrée.

La gravité de l’agression virale justifie-t-elle la réaction ? En cas d’agression plus grave, notre réponse sera-t-elle identique, encore plus importante ?

Ces questions, pour la santé de notre démocratie, doivent aussi animer chacun d’entre nous.