Covid-19 : nouvelles dérogations au secret médical par les systèmes d’information SI-DEP et Contact Covid

Le secret médical est un principe majeur de l’exercice de la médecine. Inscrit dans le code de la ­santé publique,¹ il symbolise la confiance que le patient peut avoir en son médecin. Il couvre l’ensemble des informations concernant une personne, connues par le professionnel de santé.
Le secret médical s’impose en établissement de santé, en médecine libérale et en milieu médicosocial.² La violation du secret médical est passible de sanctions pénales.³ Seules des dispositions législatives peuvent déroger au secret médical (v. encadré).

L’état d’urgence sanitaire a été créé dans notre pays par la loi du 23 mars 2020.⁴ Puis la loi du 11 mai 2020,⁵ ­prorogeant cet état en raison des circonstances sanitaires, a créé par son article 11 une nouvelle exception à la règle du secret. Les modalités initiales de dérogation ont été récemment modifiées par la loi du 14 novembre 2020.⁶
Jusqu’au 1^er avril 2021, des données à caractère personnel concernant la santé des personnes atteintes par le virus de la Covid-19 ou des personnes ayant été en contact avec elles peuvent être traitées et partagées, le cas échéant sans le consentement des intéressés, dans le cadre d’un système d’information créé par décret et mis en œuvre par le ministre chargé de la Santé.
L’objectif exclusif de cette mesure, énoncé par la loi, est de lutter contre la propagation de l’épidémie, pour la durée strictement nécessaire à cet objectif. Des systèmes d’information existants peuvent être adaptés à cette fin.
Les données ainsi collectées ne peuvent être conservées à l’issue d’une durée de trois mois après leur collecte. Toutefois, cette durée peut être prolongée, moyennant des mesures portant sur l’anonymisation, aux fins de ­surveillance épidémiologique, de recherche sur le virus et des moyens de lutter contre sa propagation.
Les données à caractère personnel concernant la ­santé sont strictement limitées au statut virologique ou sérologique de la personne à l’égard du virus, ainsi qu’à des éléments probants de diagnostic clinique et d’imagerie médicale.

La première finalité est l’identification des personnes ­infectées, par la prescription d’examens de dépistage ­ainsi que par la collecte de leurs résultats. Ces informations sont renseignées par un professionnel de santé figurant sur une liste prévue par décret et habilité à la réalisation de tels examens (v. encadré).
Les autres finalités sont l’identification des personnes ayant un risque d’infection, par contact avec des personnes infectées, l’orientation des personnes infectées, et une surveillance épidémiologique.
Sont exclus de ces finalités le développement et le déploiement d’une application informatique à destination du public et disponible sur un équipement mobile.
La transmission des données individuelles à l’auto­rité sanitaire par les médecins, les responsables des services et laboratoires de biologie médicale publics et privés, et certains autres professionnels de santé figurant sur une liste établie par décret est obligatoire.
Les données d’identification des personnes infectées ne peuvent être communiquées, sauf accord exprès, aux personnes ayant été en contact avec elles.
La liste des autorités de santé participant à la mise en œuvre de ces systèmes d’information est donnée par le texte, chacune d’elles pouvant avoir accès aux seules données nécessaires à leur intervention.
Un comité de contrôle et de liaison Covid-19 (CCL-Covid) est mis en place, chargé notamment d’évaluer ­l’apport réel de ces outils numériques et de déterminer s’ils font une différence significative dans le traitement de l’épidémie.

Sur de telles bases, et sur le fondement de décrets d’application,⁷ deux systèmes d’information complémentaires ont été mis en place respectivement par le ministère des Solidarités et de la Santé et la Caisse nationale d’assurance maladie (Cnam) : le SI-DEP,⁸ et le système d’identification des cas contacts, dénommé Contact Covid.
Le système SI-DEP, déployé dans l’ensemble des laboratoires et structures autorisés à réaliser des tests, contient l’intégralité des tests réalisés depuis le 11 mai 2020. Les résultats de ces tests sont transmis aux organismes intéressés par la prise en charge et aux agences régionales de santé (ARS), sous une forme identifiante, afin de permettre le contact tracing. Il transmet des ­données sous forme agrégée à la Direction générale de la santé (DGS) et à Santé publique France, aux fins de ­surveillance épidémiologique.
L’identification des cas contacts est possible par le ­système Contact Covid, qui permet l’analyse des chaînes de transmission et le traitement des foyers d’infection, ou « clusters ».
Si un patient est testé positif, son médecin, et notamment les responsables des services et laboratoires de biologie médicale publics et privés, doivent impérativement renseigner le système et inscrire le maximum de noms de personnes qui sont entrées en contact avec ce patient en remontant jusqu’à 48 heures avant l’apparition des symptômes.
Le traçage des cas contacts est ensuite organisé par niveaux, chaque niveau correspondant à des fonctions précises. Celles-ci sont réparties entre le médecin traitant, les services de la Cnam et les ARS. Outre la personne atteinte par le virus, chacune des « personnes contacts » est appelée téléphoniquement pour l’informer de la conduite à tenir et recueillir les besoins d’accompagnement sanitaire.
Pour la mise en pratique d’un tel mécanisme, 10 000 agents, appelés des conseillers, ont, pour l’Assurance maladie, la mission de prendre contact aussi bien avec les personnes atteintes du virus qu’avec leurs cas contacts. Leur mission est de convaincre ces personnes de s’isoler, tout en les informant et en les rassurant. Des techniques de communication leur ont été enseignées pour faire passer au mieux les messages. Des centres ­d’appels ont été mis en place dans l’ensemble du pays. En octobre 2020, plus de 2 millions d’interlocuteurs avaient ainsi été identifiés et appelés par les conseillers.⁹

La crise liée à l’infection Covid-19, d’une ampleur jamais connue jusqu’à présent, ayant des conséquences tant au plan sanitaire qu’au plan économique et social, a justifié la mise en place d’une telle dérogation au secret médical.
Cette dérogation présente des caractères spécifiques. Elle est temporaire. Elle peut être pratiquée sans l’accord de l’intéressé. Elle concerne des tiers, c’est-à-dire les cas contacts des personnes malades.
La protection de la santé publique est un objectif à valeur constitutionnelle.¹⁰ Un but majeur, tenant à la ­santé de toute la population, pouvait amener à décider d’une telle exception à la confidentialité. Cette dérogation au secret médical devait correspondre à un motif impérieux, d’intérêt supérieur au maintien de la confidentialité. ­L’appréciation de la balance entre le respect du secret et la levée de données personnelles portant sur la santé a fait pencher en faveur de cet intérêt supérieur.¹¹
Il est essentiel que les contrôles mis en place, revenant à la Cnil et au CCL-Covid, se poursuivent avec fermeté jusqu’à la fin de la mise en œuvre de ces nouveaux systèmes d’information. De sérieuses évaluations devront être effectuées à l’issue de cette mise en œuvre.