Modifications réglementaires de SI-DEP et Vaccin Covid

Le décret n°2021-1670 du 16 décembre 2021 modifie les modalités relatives au système d'information national de dépistage du virus de la covid-19 (SI-DEP) et au traitement de données à caractère relatif aux vaccinations contre la covid-19 (Vaccin Covid) mais ne répond pas nécessairement aux observations de la CNIL issues des délibérations n°2021-144 du 2 décembre 2021 et n°2021-146 du 9 décembre 2021.

Le décret précise que les traitements de données à caractère personnel dénommés « SI-DEP » et « Vaccin Covid » ont également pour finalités de générer et d'envoyer aux personnes concernées un justificatif d'absence de contamination par la covid-19, un certificat de rétablissement ou un justificatif de statut vaccinal. La Commission estime que ces ajouts sont légitimes et permettent de générer au bénéfice des personnes concernées toutes les attestations découlant des informations conservées dans le fichier dont elles auraient besoin au regard de la législation en vigueur.

Il précise qu'en cas de recours à un dispositif automatique pour renseigner les résultats des examens de dépistage virologique ou sérologique dans le traitement de données à caractère personnel SI-DEP, les professionnels concernés doivent s'assurer qu'il figure sur la liste arrêtée par le ministre chargé de la santé.

Il permet la transmission de données recueillies par le système d'information national de dépistage « SI-DEP » à la Caisse nationale de l'assurance maladie en vue de leur versement dans le dossier médical partagé. Il précise que les professionnels de santé et les personnes placées sous leur responsabilité sont rendus destinataires de données recueillies par le traitement de données « Vaccin Covid » afin de leur permettre d'identifier les personnes qui ont été vaccinées et sont éligibles à un rappel de vaccination, de les inviter à se faire de nouveau vacciner et de leur délivrer un justificatif de statut vaccinal. La CNIL considère, dans sa délibération n°144, qu'il faut déterminer une durée de conservation propre aux données de SI-DEP remontées dans le DMP, invitation que le ministère n'a pas suivi.

Il prévoit les modalités nécessaires pour permettre aux employeurs des personnes exerçant leur activité dans le secteur de la santé et médico-social et soumises à l'obligation vaccinale prévus au 1° du I de l'article 12 de la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire d'accéder au statut vaccinal de ces personnes.

Il ajoute à la liste des données traitées dans Vaccin Covid la vaccination contre la grippe concomitante à la vaccination contre la covid-19. À cet égard, la CNIL émettait des réserves dans sa première délibération et a conclu, dans la seconde, que la collecte de cette information a été mise en œuvre avant même la parution du décret. La Commission souligne que l'ajout de nouvelles données, sans lien direct avec la vaccination contre la covid-19, doit être limité et particulièrement justifié afin de ne pas changer la nature même du traitement « Vaccin Covid ». Selon les précisions du ministère, l'ajout de l'information selon laquelle une personne est concomitamment vaccinée contre la grippe et la covid-19 permet de poursuivre deux finalités : la mise en place d'un suivi de pharmacovigilance ainsi que la production de statistiques. La CNIL n'est guère convaincue et s'interroge sur l'utilité réelle de l'ajout de cette donnée au regard de la finalité de pharmacovigilance, eu égard au caractère très limité de l'information qu'elle permet de fournir.

Il précise enfin les durées de conservation des données à caractère personnel enregistrées dans le traitement Vaccin Covid.