Article 7 du Projet de loi portant diverses dispositions de vigilance sanitaire

I. – En Nouvelle-Calédonie et en Polynésie française, par dérogation à l'article L. 1110-4 du code de la santé publique, dans sa rédaction résultant des articles L. 1541-1 et L. 1541-2 du même code, aux seules fins de lutter contre la propagation de l'épidémie de covid-19 et pour la durée strictement nécessaire à cet objectif ou au plus tard jusqu'à la date prévue au premier alinéa du I de l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions, des données à caractère personnel concernant la santé relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec celles-ci peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées, dans le cadre d'un ou de plusieurs systèmes d'information créés ou adaptés par les autorités compétentes en matière de santé publique, dans les conditions prévues au présent article.
II. – Les systèmes d'information mentionnés au I du présent article ne peuvent répondre qu'aux finalités suivantes :
1° L'identification des personnes infectées, par la prescription et la réalisation d'examens de dépistage virologique ou sérologique ou d'examens d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection au virus de la covid-19 ;
2° L'identification des personnes présentant un risque d'infection, par la collecte des informations relatives aux contacts des personnes infectées et, le cas échéant, par la réalisation d'enquêtes sanitaires, en présence notamment de cas groupés ;
3° L'orientation des personnes infectées et des personnes susceptibles de l'être, en fonction de leur situation, vers des prescriptions médicales d'isolement prophylactique ainsi que, sous réserve du recueil préalable de leur consentement, l'accompagnement de ces personnes pendant et après la fin de ces mesures ;
4° La surveillance épidémiologique ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sous réserve, en cas de collecte d'informations, de supprimer les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques, leur adresse et leurs coordonnées de contact téléphonique et électronique ;
5° L'identification des personnes soumises à l'obligation de vaccination prévue par la réglementation applicable localement et le contrôle de la vaccination chez les personnes soumises à cette obligation ;
6° L'enregistrement des informations relatives à la vaccination des personnes soumises ou non à l'obligation vaccinale, l'édition des attestations numériques vaccinales et, le cas échéant, l'invitation à une dose de rappel ;
7° La mise à disposition de données permettant l'inventaire de l'offre de vaccination, le suivi de l'approvisionnement des lieux de vaccination, la surveillance de la couverture vaccinale, la mesure de l'efficacité et de la sécurité vaccinales, la pharmacovigilance, le suivi statistique de la campagne de vaccination et la réalisation d'études et de recherches qui s'y rapportent, sous réserve de l'anonymisation des données à caractère personnel.
III. – Les données à caractère personnel collectées par ces systèmes d'information à ces fins ne peuvent être conservées à l'issue d'une durée de trois mois suivant leur collecte. Par dérogation, les données relatives à une personne ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19 concluant à une contamination sont conservées pour une durée de six mois après leur collecte.
Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique, sérologique ou vaccinal de la personne à l'égard de la covid-19 ainsi qu'à des éléments probants de diagnostic clinique et d'imagerie médicale.
La collecte, la conservation et le partage des données à caractère personnel concernant la santé relatives aux personnes atteintes par ce virus, aux personnes ayant été en contact avec elles ou aux personnes vaccinées ne peuvent intervenir que dans la stricte mesure nécessaire à la lutte contre la propagation de l'épidémie de covid-19. Ces données peuvent être traitées ou partagées avec ou, le cas échéant, sans le consentement des personnes concernées.
Les données d'identification des personnes infectées ne peuvent être communiquées, sauf accord exprès, aux personnes ayant été en contact avec elles.
Toute application destinée au contrôle de l'obligation vaccinale ou du passe sanitaire doit être distincte de toute autre éventuelle application à destination du public permettant d'informer les personnes du fait qu'elles ont été à proximité de personnes diagnostiquées positives à la covid-19.
Les personnes ayant accès aux données mentionnées au présent III sont soumises au secret professionnel dans les conditions prévues à l'article 226-13 du code pénal. En cas de révélation d'une information issue des données collectées dans ce système d'information, elles encourent les peines prévues au même article 226-13.
IV. – Les actes réglementaires des autorités compétentes créant ou adaptant les systèmes d'information mentionnés au I prévoient notamment :
1° Les garanties apportées aux personnes dont les données à caractère personnel sont traitées et partagées dans le cadre du présent article, notamment les droits d'accès, d'information, d'opposition et de rectification de ces informations ;
2° Les personnes et organismes qui participent à la mise en œuvre de ces systèmes d'information et qui peuvent, dans la stricte mesure où leur intervention sert les finalités mentionnées au II, avoir accès aux seules données de santé nécessaires à leur intervention. Ils précisent également, pour chaque autorité ou organisme, les services ou personnels dont les interventions sont nécessaires aux finalités mentionnées au même II et les catégories de données auxquelles ceux-ci ont accès, la durée de cet accès, les règles de conservation des données ainsi que les organismes auxquels ces services ou personnels peuvent faire appel, pour leur compte et sous leur responsabilité, pour en assurer le traitement, dans la mesure où ces finalités le justifient, et les modalités encadrant le recours à la sous-traitance. Ils dressent, le cas échéant, la liste exhaustive des données pouvant être collectées en vue du suivi épidémiologique et de la recherche sur le virus.