Association Belge des Syndicats Médicaux

Tracing

02/07/2020

 

A la  de la note du 19/06/2020,nous vous écrivions que, d’une part, plusieurs entreprises travaillaient au développement d’applications de tracing et que des propositions de textes légaux étaient toujours en cours de discussion à ce sujet et que, d’autre part, la Conférence Interministérielle (CIM) Santé Publique s’était réunie le 17 juin afin de discuter d’un d'accord de coopération portant sur l'organisation du suivi des contacts et qu’un cadre juridique était attendu.

 

C’est désormais chose faite avec la publication de l’AR n°44 du 26 juin 2020 concernant le traitement conjoint des données par Sciensano et les centres de contact désignés par les autorités régionales compétentes ou par les agences compétentes, par les inspections sanitaires et par les équipes mobiles dans le cadre d'un suivi des contacts auprès des personnes (présumées) infectées par le coronavirus COVID-19 sur la base d'une base de données auprès de Sciensano.

 

A sa lecture, force est de constater qu’il est difficile de faire ici une courte synthèse de ce texte assez long et technique. Il contient ainsi pas moins de 11 pages préliminaires de Rapport au Roi qui explique tout le contexte et les justifications à ce texte. Vous trouverez le texte complet en annexe à la présente note et, ci-dessous, quelques points de ce texte que nous mettons ici en exergue.

 

  • Le texte qui existait jusqu’alors (AR n°18) et que nous vous avons présenté dans la note précédente cessait ses effets au 30.06.2020. Il y avait donc la nécessité de prendre un nouveau texte. Cet AR n°44 entre en vigueur le 01.07.2020 et cesse ses effets le jour où entre en vigueur un accord de coopération entre l’État fédéral et les entités fédérées concernées (cfr ci-dessous). Dans tous les cas, le présent arrêté cesse ses effets le 15 octobre 2020 au plus tard.

 

  • Tout ce qui concerne la recherche des infections au covid-19 (notamment les missions et le fonctionnement des centres de contact pour le tracing) relève de la compétence des communautés en matière de médecine préventive. Par contre, ce qui relève de la recherche scientifique est une compétence fédérale. Dès lors, le Conseil d’Etat exigeait la mise en place d’un accord de coopération entre les entités concernées. La CIM a élaboré un projet en ce sens qui a été approuvé le 25.06.2020 par le Comité de concertation. L’AR n°44 dont il est ici question est presqu’identique à cet accord de coopération qui doit encore être soumis au Conseil d’Etat et à l’Autorité de protection des données (APD) pour avis.

 

  • Le texte justifie la mise en place d’une base de données centralisée au niveau fédéral de Sciensano – et ce contrairement à l’avis de l’APD qui recommandait des bases de données décentralisées - par la mobilité des citoyens entre les différentes entités fédérées. Le législateur estime en effet que cette interaction qui devrait alors se faire entre les bases de données des différentes entités pourrait ralentir le fonctionnement des centres de contacts et que le transfert régulier de données à caractère personnel comporterait alors un risque plus élevé de fuites de données.

 

  • Le texte crée ensuite différentes bases de données:

    • Base de données I: c’est la base de données de Sciensano créée par le présent AR pour le traitement et l’échange de données aux fins prévues à l’article 3 du texte repris en annexe (ce que l’on pourrait appeler la « Base de données Corona », grosso modo telle que nous vous la présentions dans la précédente note). Les données qui y seront reprises seront communiquées notamment par les médecins. 

    • Base de données II: c’est la base de données existante créée en 2014 auprès de Sciensano et qui sera le destinataire des données collectées à partir de la base de données I dans le cadre de la lutte contre le covid-19, mais après pseudonymisation et uniquement pour utiliser ces données pour la recherche scientifique et épidémiologique.

    • Base de données III : c’est la base de données des demandes d’appel et des demandes pour le personnel du centre de contact. La Région wallonne, pour ce qui relève de sa compétence, sera responsable du traitement de cette base de données

    • Base de données IV : c’est la base de données contenant les coordonnées des collectivités (càd des communautés de personnes pour lesquelles il existe un risque accru de propagation du virus, par ex : un hôpital, une école, une prison, une MRS,…). La Région wallonne, pour ce qui relève de sa compétence, sera responsable du traitement de cette base de données;

    • Base de données V : c’est le journal central des enregistrements qui permet de contrôler le fonctionnement de l’application numérique de traçage de contacts, et qui, à Sciensano, est séparée des Bases de données I et II ;

 

  • Le texte distingue aussi différentes catégories de personnes :

    • Personnes de catégorie I: ce sont les personnes pour lesquelles le médecin a prescrit un test coronavirus COVID-19;

    • Personnes de catégorie II: ce sont les personnes qui ont été testées pour le coronavirus COVID-19;

    • Personnes de catégorie III:  les personnes à l’égard desquelles le médecin soupçonne sérieusement qu’elles sont infectées par le coronavirus COVID-19, sans qu’un test de dépistage du coronavirus COVID-19 ait été effectué ou prescrit, ou lorsque le test de dépistage du coronavirus COVID-19 a révélé qu’elles n’étaient pas infectées;

    • Personnes de catégorie IV : ce sont les personnes avec lesquelles (i) les Personnes de catégorie II, dans la mesure où le test de dépistage du coronavirus COVID-19 a révélé qu’elles sont infectées, et (ii) les Personnes de catégorie III, ont été en contact pendant une période de quatorze jours avant et après les premiers signes d’infection par le coronavirus COVID-19, une certaine marge d’appréciation pouvant être prise en compte sur la base des connaissances scientifiques ;

    • Personnes de catégorie V: les médecins traitants des Personnes de catégorie I, II et III;

    • Personnes de catégories VI : c’est le médecin de référence - ou, en l’absence de médecin de référence au sein de la collectivité concernée - le responsable administratif des collectivités avec lesquels les Personnes de catégorie I, II et III ont été en contact pendant une période de quatorze jours avant et quatorze jours après les premiers symptômes de l’infection par le coronavirus COVID-19, une certaine marge d’appréciation pouvant être prise en compte sur la base des connaissances scientifiques. 

  • Ce texte fournit également un cadre pour le suivi numérique des contacts par le biais d’une application de traçage numérique des contacts. Le présent arrêté opte pour un système dans lequel tant l’installation que l’utilisation d’une application numérique de traçage de contacts sont effectuées volontairement par la personne concernée. En outre, la communication de toute contamination éventuelle détectée reste également volontaire. Vous trouverez plus d’informations à ce sujet à l’article 14 de l’AR en annexe.

 

  • Le texte prévoit également une dérogation au secret professionnel (art 458 du code Pénal) pour les prestataires de soins de santé lorsqu’ils doivent alimenter la base de données I pour les finalités prévues dans le présent arrêté, d’une part, mais aussi lorsqu’ils sont contactés par le centre de contact, en tant que personne (présumée) infectée, pour fournir des informations sur les personnes avec lesquelles ils ont été en contact, d’autre part.

 

  • Les articles 6 à 9 de l’AR (voir en annexe), comprennent le détail des données à caractère personnel qui seront collectées par catégorie de personnes.
    Nous vous invitons à lire ces articles afin de voir quelles données seront reprises à votre sujet en fonction de la base de données. L’article 10 précise qui aura accès à ces données.

    • A ce sujet, on notera la précision suivante concernant le numéro INAMI du médecin traitant qui sera également collecté: « Ce numéro est utilisé pour identifier et vérifier le médecin qui a prescrit le test, ou le médecin qui a pris la décision d’annulation. Cela s’applique également au numéro INAMI du laboratoire ou du centre de triage qui a effectué le test. En outre, ces données sont utilisées à des fins statistiques, ainsi que pour améliorer la qualité des tests effectués conformément à l’article 5, (1), b du Règlement Général sur la Protection des Données, sans que cela n’entraîne jamais de responsabilité pénale pour les médecins ou les laboratoires. Pour que cela soit possible, le numéro INAMI du médecin ou du laboratoire doit également être traité et conservé. »

 

  • Concernant le délai de conservation des données à caractère personnel :

    • Les données à caractère personnel sont supprimées de la Base de données centrale (I) au plus tard 60 jours après leur stockage.

    • Les données à caractère personnel de la Base de données III sont supprimées quotidiennement ;

    • Les données de la Base de données IV sont soit mises à jour tous les dix ans, soit supprimées.

    • Les données stockées dans la Base de données V sont supprimées après 3 semaines au plus tard,

      >> A l’exception des données des Bases de données IV et V, les données à caractère personnel reçues seront en tout cas supprimées le 20 octobre 2020.

    • Les données pseudonymisées contenues dans la Base de données II à des fins de recherche scientifique seront conservées 30 ans après le décès du patient[1]


[1] Notons que le texte de l’AR ° 44 et le Rapport au Roi y relatif ne mentionnent pas clairement le délai et se contentent de préciser que ces données « seront supprimées conformément aux dispositions de la loi du 10 avril 2014 contenant diverses dispositions en matière de santé et de l’accord de coopération conclu en application de celle-ci entre l’INAMI et Sciensano ». Le renvoi vers cette loi fourre-tout, sans mentionner l’article, et vers un accord de coopération, sans autre précision, ne permet pas aisément de savoir le réel délai. L’AR n°18 était bien plus clair quant à une durée de conservation de 30 ans après le décès du patient pour les données pseudonymisées dans le cadre de la recherche scientifique.

 


19/06/2020

Bases légales :

  • 4 MAI 2020. - Arrêté royal n° 18 portant création d'une banque de données auprès de Sciensano dans le cadre de la lutte contre la propagation du coronavirus COVID-19
  • 5 MAI 2020. - Arrêté du Gouvernement wallon de pouvoirs spéciaux n° 35 organisant le tracing socio-sanitaire dans le cadre de la lutte contre l'épidémie COVID-19

 

La Base de données de Sciensano – AR du 04.05.2020

 

Qui est responsable du traitement des données ?
Il est créé auprès de Sciensano – considéré comme le responsable du traitement au sens du RGPD - une banque de données dans le cadre de la lutte contre la propagation du coronavirus COVID-19.


Qui communiquera les données ?
La banque de données contient des données à caractère personnel que les médecins, les hôpitaux, les laboratoires et le centre de contact communiquent à Sciensano.

 

Quelles données seront traitées et concernant qui ?

➢ La banque de données contient les données à caractère personnel suivantes des personnes pour lesquelles le médecin présume une infection ou pour lesquelles un test médical a été prescrit ou qui ont subi un test dans le cadre de la lutte contre la propagation du coronavirus COVID-19:

  1. le numéro d'identification de la sécurité sociale ;
  2. le nom et le prénom ;
  3. le sexe ;
  4. la date de naissance et, le cas échéant, la date de décès ; 
  5. l'adresse ; 
  6. le type, la date, le numéro de l'échantillon et le résultat du test ou le diagnostic présumé en l'absence de test ; 
  7. le numéro INAMI du prescripteur du test ;
  8. les informations de contact (numéros de téléphone) de l'intéressé et de la personne à contacter en cas d'urgence ;
  9. la collectivité dont la personne fait partie ; 1
  10. l'exercice ou pas de la profession de prestataire de soins.

 

➢ La banque de données contient les données à caractère personnel suivantes des patients hospitalisés avec un diagnostic confirmé du coronavirus COVID-19:

  1.  le numéro d'identification de la sécurité sociale;
  2. le sexe ;
  3. l'adresse ;
  4. le type, la date, le numéro de l'échantillon, le résultat du test ou le diagnostic présumé en l'absence de test ;
  5. le service hospitalier, le numéro d'identification et les données de localisation de l'hôpital ;
  6. la collectivité dont la personne fait partie ;
  7. le résultat du CT scan ;
  8. les informations de contact de l'intéressé (numéros de téléphone) et de la personne à contacter en cas d'urgence ;
  9. l'exercice ou pas de la profession de prestataire de soins.

 

➢ La banque de données contient également des données suivantes, communiquées par le centre de contact, concernant les personnes avec lesquelles le patient est entré en contact:

  1. le numéro d'identification de la sécurité sociale;
  2. le nom et le prénom ;
  3. le sexe
  4. le cas échéant, la date de décès ;
  5. l'adresse ; 6
  6. le numéro de téléphone ;
  7. risque élévé / faible
  8. le lien entre le patient et les personnes avec lesquelles il a été en contact.
    Le lien sous 8 est effacé 21 jours après l'enregistrement dans la banque de données.

 

Quel est l’objectif de ce traitement de données à caractère personnel ?
Le traitement des données à caractère personnel dans la banque de données poursuit les finalités suivantes :

  1. rechercher et contacter les personnes visées aux 3 points précédents par un centre de contact dans le cadre de la lutte contre la propagation du coronavirus COVID-19 ;
  2. réaliser des études scientifiques après pseudonymisation ;
  3. communiquer des données aux services d'inspection de la santé des régions dans le cadre d’initiatives visant à combattre les effets nocifs causés par les maladies infectieuses.

 

Le centre de contact (cfr infra) utilise les données à caractère personnel de la banque de données pour contacter les personnes chez qui le médecin présume une infection et les personnes dont le test médical était positif et pour retrouver l'identité des personnes avec lesquelles elles ont été en contact.


Dans la mesure où elles ont été en contact avec des personnes d'une collectivité avec une population fragile, le centre de contact prend contact avec le médecin référent ou, à défaut, avec le responsable administratif de cette collectivité.
Dans la mesure où elles ont été en contact avec des personnes individuelles, le centre de contact prend contact individuellement avec ces personnes individuelles et leur fournit ensuite, sur la base des informations qu'elles communiquent, des recommandations adéquates par la voie électronique. Les entités fédérées (donc l’AViQ en Wallonie) sont, chacune dans son propre domaine de compétence, les responsables du traitement pour les traitements de données à caractère personnel par le centre de contact.


Dans l'hypothèse où les données nécessaires ne sont pas disponibles dans la banque de données, il est accordé un accès au registre national, et ce uniquement pour les finalités précisées supra.

 

Quelle durée de conservation ?

  • Concernant le lien entre le patient et les personnes avec lesquelles il a été en contact (cfr ci-dessus) : la donnée est effacée 21 jours après l'enregistrement dans la banque de données.
  • Les données à caractère personnel reçues sont effacées par le responsable du traitement avant le 5 juillet 2020.
  • Les données serviront également à la réalisation de recherches scientifiques, statistiques et/ou d'appui à la politique et seront uniquement accessibles aux épidémiologistes associés au COVID-19 Risk Assessment Group ou pour des épidémiologistes autorisés par le comité de sécurité de l'information, après pseudonymisation. A cet effet, les données peuvent être sauvegardées par Sciensano sous une forme pseudonymisée pendant au maximum 30 ans après le décès du patient. Au terme de cette période, elles peuvent uniquement être sauvegardées sous une forme anonymisée. Le délai de conservation à respecter sera déterminé par la chambre sécurité sociale et santé du Comité de sécurité de l’information.

 

La polémique
L’Autorité de Protection des données a critiqué à plusieurs égards le texte. Ainsi, elle explique que le médecin est obligé de communiquer les données de ses patients ce qui constitue une infraction au secret médical1. Pair ailleurs, Sciensano va récolter des données qui semblent éloignées du but initial comme les numéros de registre national ou encore le numéro INAMI des médecins. Mais le gros problème selon l’APD, c’est la centralisation des données dans une énorme base de données gérée par Sciensano. L’APD estime que cette base de données ne se justifie pas.


Vous trouverez ses avis détaillés ici : https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/AV34-2020.pdf

et https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/AV36-2020.pdf


Plus de 300 personnalités et associations de la société civile ont rédigé une lettre ouverte pour également dénoncer ce qu’ils estiment être une violation des droits fondamentaux. Le Conseil d’Etat dans son avis provisoire dénonçait lui aussi divers problèmes.

 

Le Tracing wallon – Arrêté wallon du 05.05.2020

  

A coté de ce cadre fédéral, la Région wallonne a décidé de privilégier le contact tracing via call centers.

 

L’AViQ a ainsi organisé un centre de contact chargé de rechercher et contacter les personnes infectées ou présumées infectées par le COVID-19, ainsi que les personnes avec lesquelles elles sont entrées en contact et de leur donner les informations et recommandations qui s'imposent.

 

Tous les membres composant le centre de contact peuvent collecter les données par d'autres moyens qui ne sont pas expressément visés par la Code wallon de l’action sociale tels que la visite à domicile aux personnes qui ne sont pas joignables par téléphone ou par courriel.

 

Le centre de contact est composé :

  1. des médecins ou infirmiers en charge de la surveillance des maladies infectieuses désignés par l’AViQ ;
  2. de membres du personnel de la Région wallonne ou d'organismes d'intérêt public et de personnes morales de droit public qui en dépendent, temporairement affectés à cette mission sur une base volontaire et moyennant l'accord en tout temps révocable de leur hiérarchie ;
  3. au besoin, de prestataires externes désignés par l'Agence.

 

Les données à caractère personnel traitées par les membres du centre de contact sont effacées au plus tard cinq jours après la publication de l'arrêté du Gouvernement constatant la fin de l'état d'épidémie du coronavirus COVID-19.

 

Le Gouvernement dissout le centre de contact au plus tard cinq jours après la publication de l'arrêté du Gouvernement constatant la fin de l'état d'épidémie du coronavirus COVID-19. A défaut, il est de plein droit dissout à cette date.

 

******

 

A côté des call centers, plusieurs entreprises travaillent au développement d’application de tracing et des propositions de textes légaux sont toujours en cours de discussion.

 

Ainsi, ce 17 juin, la Conférence Interministérielle Santé Publique s'est à nouveau réunie. La CIM a discuté du projet d'accord de coopération portant sur l'organisation du suivi des contacts. Cet accord de coopération concerne à la fois le suivi manuel des contacts et la possibilité de développer une application digitale de repérage des contacts. En attendant l'accord de coopération, l'Etat fédéral, en accord avec les entités fédérées, prévoit un cadre juridique. Ce cadre est entièrement en lien avec le contenu de l'accord de coopération.

 

La CIM a également convenu de réactiver le groupe de travail sur le développement éventuel d'une application digitale de recherche des contacts, en tenant compte des recommandations internationales et des expériences désormais disponibles

 

Des évolutions sont donc attendues sur la question du tracing.

 

******


Pour vos éventuelles questions complémentaires concernant le tracing, notamment, Sciensano a établit un FAQ accessible ici : https://gcm.rmnet.be/clients/rmnet/content/medias/2_juin_2020_faq_sciensano_testing_tracing___1_.pdf

 


 

1 A ce sujet, notons l’avis du Conseil national de l’Ordre des médecins du 14.05.2020 concernant le secret professionnel dans le cadre du suivi des contacts pour lutter contre la propagation du coronavirus qui dit notamment : « […] il est recommandé du point de vue déontologique que le médecin apporte sa contribution à cette mesure de prévention tant par le signalement obligatoire des patients suspectés d'être atteints du COVID-19 qu'en collaborant au suivi des contacts si le médecin est lui-même atteint par le virus. Cela requiert que le médecin informe clairement le patient, afin de préserver sa relation de confiance avec lui, sur le signalement des contacts et son importance dans la lutte contre le coronavirus. […] Sur le plan juridique, un cadre légal précis est nécessaire concernant le secret professionnel. » L’avis complet est consultable ici : https://www.ordomedic.be/fr/avis/conseil/secret-professionnel-dans-le-cadre-du-suivi-des-contacts-pour-lutter-contre-la-propagation-du-coronavirus-covid-19

 

Date de publication: 02/07/2020