BonSens.org et 2 membres du bureau obtiennent une belle victoire devant le Conseil d’Etat

Au lendemain du premier confinement, la loi du 11 mai 2020 a organisé la sortie du confinement, notamment l’article 11 a permis la création de nouveaux systèmes d’informations appelés SI-DEP (centralisation des dépistages) et CONTACT-COVID (traçage des cas contacts). Cette loi permettait à ces systèmes d’information de déroger au secret médical mais pour des finalités très précises (les systèmes doivent servir exclusivement à lutter contre la propagation de l’épidémie) et la durée de stockage des données de santé est limitée à quelques mois.
Un décret d’application crée ces systèmes le lendemain, le 12 mai 2020.

Le 25 décembre 2020, un nouveau décret vient créer le système d’information VACCIN-COVID qui centralise les informations sur la vaccination.

Ce fichier a été créé sans base législative.

Emmanuel Macron fait une apparition à la télé le 12 juillet 2021 où il annonce notamment l’extension du passe sanitaire à des actes de la vie quotidienne (il était pour l’instant réservé aux discothèques et aux grands rassemblements festifs) et l’obligation vaccinale des soignants.

Au lendemain de cette intervention, le décret du 13 juillet 2021 attaqué est pris :

• – alors que pour l’instant seules les personnes convoquées pour être vaccinées ou s’étant fait vacciner étaient fichées, maintenant quasiment l’ensemble de la population figure dans ce fichier puisqu’il est alimenté à partir des données de l’assurance maladie, cela permet de connaître l’identité des non vaccinés
• – il croise les fichiers VACCIN-COVID, SI-DEP et CONTACT-COVID : par exemple, sans l’autorisation de la personne concernée, le statut vaccinal est copié dans VACCIN-COVID.
• – inversement en cas d’infection, la date de l’infection est copiée de SI-DEP dans le fichier VACCIN-COVID
• – Les médecins traitant peuvent obtenir une liste de leurs patients non vaccinés.
• – Les médecins conseils de l’assurance maladie peuvent obtenir une liste de personnes non vaccinées souffrant de maladies chroniques.
• Un recours en excès de pouvoir permet d’annuler rétroactivement un texte (à la différence de l’abrogation qui n’a qu’un effet pour l’avenir)

Recours précédents

Le rapporteur public a fait remarquer à l’audience du 11 septembre 2023 devant le Conseil d’Etat, qu’ « étonnamment », les décrets des 12 mai 2020 et 25 décembre 2020 mentionnés plus haut n’avaient fait l’objet d’aucuns recours alors même qu’il y en a eu de multiples lors de cette crise sanitaire.

Il a dit que nous étions les seuls à avoir fait un recours contre le décret du 13 juillet 2021.

C’est dommage notamment que le décret du 25 décembre 2020 instituant le fichier centralisé des vaccinations contre la COVID-19 n’ait pas fait de recours en excès de pouvoir dans le délai de 2 mois vu que ce décret n’a pas de base législative.
Il reste toutefois possible de l’attaquer (par exemple : faire une mise en demeure au premier ministre de l’abroger, si refus ou non réponse au bout de 2 mois, saisir la juridiction administrative).

Points principaux dans le recours :

Copie de la date d’infection dans le fichier VACCIN-COVID

L’article 11 de la loi du 11 mai 2020 précise bien que les résultats des tests de dépistage ne peuvent être stockés que quelques mois et à des fins exclusives de lutte contre la propagadation de l’épidémie.
Alors qu’une infection ne peut être stockée qu’au maximum 6 mois dans SI-DEP, sa copie dans VACCIN-COVID est pérenne puisque ce fichier est prévu pour durer 10 ans.

D’une part, nous indiquions que le fichier VACCIN-COVID n’a pas pour finalité de lutter contre la propagadation de l’épidémie donc la copie des données d’infection de SI-DEP dans vaccin Covid est contraire à l’article 11 de la loi du 11 mai 2020.

D’autre part, la conservation au delà de la durée de 6 mois viole également l’article 11 de cette loi qui est très claire. Cela viole aussi l’article 5.e de la convention 108 du conseil de l’Europe qui interdit de stocker une donnée plus longtemps qu’initialement prévu.

L’article 226-20 du code pénal punit de 5 ans de prison la conservation d’une donnée personnelle au delà de la durée prévue par la loi.

Sur ce point, le ministère de la santé et le rapporteur public, disaient que la limitation de stockage à 6 mois ne concernaient que le fichier SI-DEP et que si la donnée était pertinente ailleurs, elle pouvait être copiée.
Le conseil d’Etat nous a donné entièrement raison sur ce point : les données d’infection ne pouvaient pas être copiées dans le fichier VACCIN-COVID car il répond à d’autres finalités que celles prévues par la loi du 11 mai 2020.

Copie du statut vaccinal dans CONTACT-COVID

Le fichier CONTACT-COVID servait à tracer les chaines de contamination, les proches de personnes infectées étaient contactés par l’assurance maladie pour leur dire « vous devez vous isoler » bien que de telles mesures d’isolement n’avaient rien d’obligatoire puisque le conseil constitutionnel avait censuré les dispositions tendant à l’isolement systématique.
Selon leur statut vaccinal, les mesures d’isolement « proposées » variaient, puisque les personnes « vaccinées » en étaient le plus souvent dispensées, sans que ce traitement de faveur ne repose sur des données scientifiques établies.

Le fichier Contact Covid a entre temps été supprimé, mais le recours en annulation pouvait avoir un effet rétroactif.
Le décret attaqué permet de copier le statut vaccinal dans le fichier Contact COVID
Nous remarquions qu’il n’est pas possible de copier le statut vaccinal dans Contact Covid car l’article 11 de la loi du 11 mai 2020 ne permet de partager que les examens de dépistage virologique et sérologique.

Le ministère a développé une argumentation invraisemblable comme quoi le vaccin agit sur les anticorps et serait assimilé à une donnée « sérologique » mais d’une part, il n’existait pas de vaccin contre la COVID 19 en mai 2020 lorsque le législateur a voté la loi du 11 mai 2020, et il n’a donc pas voulu permettre le partage des données des vaccins,
d’autre part, la sérologie est l’analyse du sang et le décret du 25 décembre 2020 créant Vaccin-Covid précise ce qui y est stocké et il n’y est stocké ni analyse sanguine ni test d’anticorps.

Une injection n’est pas une analyse de sang.

Le rapporteur public avait déclaré également que « la loi du 11 mai 2020 permet le partage des données sérologiques et la sérologie permet de détecter des anticorps ».

Sur ce point, le Conseil d’Etat a malheureusement retoqué notre demande avec la motivation paraissant contradictoire suivante « si l’article 11 de la loi du 11 mai 2020 prévoit que les données à caractère personnel concernant la santé susceptibles d’être contenues dans les traitements dont il prévoit la création sont strictement limitées au statut virologique ou sérologique de la personne à l’égard du virus de la covid-19, ces dispositions ne sauraient être interprétées comme faisant obstacle à ce qu’y figurent les données relatives au statut vaccinal des personnes figurant dans ces traitements, qui peuvent se révéler indispensables pour interpréter les résultats des tests sérologiques pratiqués sur les personnes concernées »

De plus, cette argument sorti du chapeau n’a pas été avancé par le ministère, à moins qu’il ne figure dans la note en délibéré qu’il a produite le 22 septembre et dont on nous a refusé l’accès au prétexte que les arguments qui y étaient développés n’avaient rien de nouveau.

Liste de patients non vaccinés envoyée aux médecins traitants

Suite à la demande de certains médecins, tels que le Dr Christian Lehmann, le ministre de la santé, Olivier Véran leur avait permis d’accéder à une liste de patients non vaccinés, à l’insu des patients.

Le rapporteur public a rappelé les termes de l’article L1110-4 du code de la santé public sur le secret médical
Les donnéees médicales ne peuvent être partagés sans le consentement exprès des patients qu’entre 2 professionnels de santé participant aux soins demandés par le patient ou entre professionnels de santé appartenant à la même équipe.
Ici on n’est pas dans ce cas de figure puisque les non vaccinés n’ont pas demandé de soin.

Cependant le texte attaqué ne prévoit nullement le consentement des patients.

Le ministère de la santé prétend péremptoirement que l’accompagnement à la vaccination est une mission des médecins traitants mais nulle loi dit cela.

Le rapporteur public a demandé donc l’annulation du décret du 13 juillet 2021 sur ce point.

Sur ce point le Conseil d’Etat a remarqué que le fait qu’un médecin soit désigné comme médecin traitant n’apportait aucune dérogation au secret médical et a prononcé l’annulation mais seulement pour les patients n’ayant pas de dossier médical partagé.

En pratique, cela limite la portée de cette annulation, vu qu’il est difficile de connaître la proportion de patient ayant refusé le dossier médical partagé ou l’espace numérique de santé.

Ces services vantent le contrôle du patient sur ses données, mais en pratique, cette décision conforte les doutes.
D’un point de vue procédural, aucune partie ne semble avoir invoqué l’exception du dossier médical partagé, le principe du contradictoire n’a pas été respecté.

Liste de patients non vaccinés envoyés aux médecins conseils

Concernant les médecins conseils de l’assurance maladie, la loi leur donne effectivement une mission générale d’orientation des personnes atteintes de maladies chroniques dans le système de soin, mais le rapporteur estimait comme nous que cela n’a pas pour conséquence nécessaire de pouvoir déroger au secret médical.

Sur ce point, le conseil d’Etat ne nous a pas totalement suivis car les médecins conseils pourront toujours avoir la liste de patients non vaccinés ayant des maladies chroniques cependant il a annulé rétroactivement la disposition du décret permettant d’obtenir les données médicales d’autres patients.

Information des personnes fichées

Les évolutions réglementaires compte tenu du décret du 13 juillet 2021 auraient dû faire l’objet d’une information individuelle des personnes concernées (à savoir l’ensemble de la population française), mais cela n’a pas été le cas cela découle de l’article 69 de la loi informatique et libertés que j’invoque.

La CNIL l’a également rappelé dans sa délibération du 1er juillet 2021 :
« Elle souligne par ailleurs que les responsables des traitements Contact Covid, SI-DEP et SI Vaccin Covid seront respectivement tenus d’en informer individuellement et sans délai toutes les personnes concernées par cette évolution ainsi que des modalités selon lesquelles elles pourront exercer leurs droits ».

Le Conseil d’Etat a retoqué notre demande sur ce point, car le décret prévoit une information des patients concernés, alors que la seule information indiquée est une mention générale sur un site web, donc pas une information « individuelle »

Droit d’opposition

Le requérant principal avait fait opposition à son fichage dans le fichier VACCIN-COVID avant le décret du 13 juillet 2021 mais l’assurance maladie lui avait dénié ce droit au motif qu’il n’était pas fiché car on ne lui avait pas envoyé de bon de vaccination.

Avec le décret du 13 juillet 2021, c’est toute la population française que se trouvait immédiatement fichée, sans possibilité de faire des recours en temps utile et le droit d’opposition n’était pas permis par ce fichier.

Le conseil d’Etat a considéré que cette limitation du droit d’opposition répondait à des motifs de santé public permis par le RGPD et a retoqué notre demande sur ce point.

Conséquences

Les systèmes d’information étant au coeur opérationnel de la gestion de la crise sanitaire, cette décision peut entraver certaines dispositions qui pourraient être voulues par le gouvernement.

Les conséquences à court terme

Cette décision a des conséquences directes immédiates sur la possibilité pour les médecins traitants ou les médecins conseils de l’assurance maladie qui sont désormais limités pour leur demande de  listes de patients non vaccinés.

Concernant la limitation de l’envoi de liste de patients non vaccinés au médecin traitant, cette liste était jusqu’à présent envoyée via la messagerie sécurisée de l’assurance maladie.

L’assurance maladie ne pourra plus envoyer cette liste avant de faire des adaptations techniques spécifiques pour limiter le traitement à ceux ayant un dossier médical partagé ; pour envoyer la liste, l’assurance maladie devra donc croiser des fichiers, ce qui n’est pas forcément simple techniquement, et donc prendre du temps avant que cela soit mis en oeuvre.

Concernant le stockage de la date de l’infection dans le fichier VACCIN COVID, il faut rappeler d’une part que cette information vient du fichier SI-DEP qui ne pouvait la stocker que pendant 6 mois maximum, alors que la copie dans VACCIN COVID prévu pour durer 10-15 ans, pouvait être stockée bien au delà des 6 mois prévus par la loi et sans base légale.

De plus, maintenant le fichier SI-DEP a été supprimé mais remplacé par un autre fichier LABOé SI avec des données concernant d’autres maladies.

Les données personnelles concernant les infections seront donc prochainement supprimées de tous les fichiers centralisés

Les conséquences à plus long terme

Les annulations décidées par le Conseil d’Etat ayant un effet rétroactif, les dispositions annulées ne pouvaient avoir d’effet dans le passé.

Comme les systèmes d’information avaient un rôle central dans la crise Covid, cela peut avoir un effet boule de neige, dont toutes les conséquences ne peuvent être connues dès à présent.

Il convient ainsi d’analyser précisément qui a utilisé telle ou telle information et pour quel usage.

Par exemple, cela ouvre la voie à d’autres recours en indemnisation concernant des usages de ces informations, des recours devant les juridictions pénales pour usage illicite de données personnelles ou devant des juridictions ordinales pour violation du secret médical.

La difficulté pratique est que l’on ne sait pas qui a accédé à quoi puisque ces transmissions d’informations se faisaient à l’insu du patient.

L’association BonSens.org approfondira prochainement les recours envisageables dans ce domaine prometteur de la gestion des données personnelles de santé.

Nous solliciterons probablement nos adhérents ou sympathisants, notamment ceux ayant refusé le dossier médical partagé, notamment pour leur suggérer d’exercer leur droits informatiques et libertés (accès…).

 

Lien vers la décision du Conseil d’Etat