I. - Par dérogation à l'article L. 1110-4 du code de la santé publique, aux seules fins de lutter contre la propagation de l'épidémie de covid-19 et pour la durée strictement nécessaire à cet objectif ou, au plus tard, jusqu'au 30 juin 2023, des données à caractère personnel concernant la santé relatives aux personnes ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19 peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées, dans le cadre d'un système d'information créé par décret en Conseil d'Etat et mis en œuvre par le ministre chargé de la santé.

Le ministre chargé de la santé ainsi que l'Agence nationale de santé publique et les agences régionales de santé peuvent en outre, aux mêmes fins et pour la même durée, être autorisés par décret en Conseil d'Etat à adapter les systèmes d'information existants et à prévoir le partage des mêmes données dans les mêmes conditions que celles prévues au premier alinéa du présent I.

Les données à caractère personnel collectées par ces systèmes d'information à ces fins ne peuvent être conservées qu'avec le consentement des personnes concernées, à l'exception des données nécessaires aux fins mentionnées au 4° du II. Ces données peuvent être conservées pour une durée de trois mois après leur collecte. Par dérogation, les données relatives à une personne ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19 concluant à une contamination sont conservées pour une durée de six mois après leur collecte. La durée de conservation de certaines données à caractère personnel peut être prolongée, pour la seule finalité de traitement mentionnée au 4° du II et, au plus tard, jusqu'à la date mentionnée au premier alinéa du présent I, par décret en Conseil d'Etat pris après avis publics du comité mentionné au VIII et de la Commission nationale de l'informatique et des libertés. Ce décret précise, pour les données collectées avant son entrée en vigueur, les modalités selon lesquelles les personnes concernées sont informées sans délai de cette prolongation.

Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique ou sérologique de la personne à l'égard du virus mentionné au présent I ainsi qu'à des éléments probants de diagnostic clinique et d'imagerie médicale, précisés par le décret en Conseil d'Etat prévu au présent I.

Le décret en Conseil d'Etat prévu au présent I précise les modalités d'exercice des droits d'accès, d'information, d'opposition et de rectification des personnes ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19, lorsque leurs données personnelles sont collectées dans ces systèmes d'information à l'initiative de tiers.

La prorogation des systèmes d'information au-delà de la date mentionnée au premier alinéa du présent I ne peut être autorisée que par la loi.

II. - Les systèmes d'information mentionnés au I ont pour finalités :

1° Sous réserve du consentement des personnes concernées au partage de leurs données personnelles à cette fin, l'identification des personnes infectées, par la prescription et la réalisation d'examens de dépistage virologique ou sérologique ou d'examens d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection mentionnés au même I. Ces informations sont renseignées par un professionnel de santé figurant sur une liste prévue par décret et habilité à la réalisation des examens de dépistage virologique ou sérologique ou sous la responsabilité de ce professionnel, dans le respect de leur devoir d'information à l'égard des patients ;

1° bis Sous réserve du consentement des personnes concernées au partage de leurs données personnelles à cette fin, la délivrance en leur faveur d'un justificatif d'absence de contamination par la covid-19 ou d'un certificat de rétablissement pouvant être présenté pour satisfaire aux obligations mentionnées aux articles 6 et 7 du règlement (UE) 2021/953 du Parlement européen et du Conseil du 14 juin 2021 relatif à un cadre pour la délivrance, la vérification et l'acceptation de certificats COVID-19 interopérables de vaccination, de test et de rétablissement (certificat COVID numérique de l'UE) afin de faciliter la libre circulation pendant la pandémie de COVID-19 ;

2° (Abrogé) ;

3° (Abrogé) ;

4° La surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sous réserve, en cas de collecte d'informations, de supprimer les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques, leur adresse et leurs coordonnées de contact téléphonique et électronique.

Sont exclus de ces finalités le développement ou le déploiement d'une application informatique à destination du public et disponible sur équipement mobile permettant d'informer les personnes du fait qu'elles ont été à proximité de personnes diagnostiquées positives à la covid-19.

III. - Outre les autorités mentionnées au I, le service de santé des armées, les communautés professionnelles territoriales de santé, les établissements de santé, sociaux et médico-sociaux, les équipes de soins primaires mentionnées à l'article L. 1411-11-1 du code de la santé publique, les maisons de santé, les centres de santé, les services de santé au travail mentionnés à l'article L. 4622-1 du code du travail, les professionnels de santé et personnels spécialement habilités des services de santé des établissements d'enseignement scolaire ou des établissements d'enseignement supérieur et les médecins prenant en charge les personnes concernées, les pharmaciens, les professionnels de santé ou les étudiants inscrits dans une formation donnant accès aux professions de santé régies par la quatrième partie du code de la santé publique, les dispositifs d'appui à la coordination des parcours de santé complexes prévus à l'article L. 6327-1 du code de la santé publique, les dispositifs spécifiques régionaux prévus à l'article L. 6327-6 du même code, les dispositifs d'appui existants qui ont vocation à les intégrer mentionnés au II de l'article 23 de la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé ainsi que les laboratoires, services et professionnels de santé autorisés à réaliser les examens de dépistage virologique ou sérologique ou les examens d'imagerie médicale pertinents sur les personnes concernées participent à la mise en œuvre de ces systèmes d'information et peuvent, dans la stricte mesure où leur intervention sert les finalités définies au II du présent article, avoir accès aux seules données nécessaires à leur intervention. [Dispositions déclarées non conformes à la Constitution par la décision du Conseil constitutionnel n° 2020-800 DC du 11 mai 2020.] Les personnes ayant accès à ces données sont soumises au secret professionnel. En cas de révélation d'une information issue des données collectées dans ce système d'information, elles encourent les peines prévues à l'article 226-13 du code pénal.

Les dispositifs automatiques permettant de renseigner, dans les systèmes d'information mentionnés au I du présent article, les résultats des examens de dépistage virologique ou sérologique doivent garantir strictement la sécurité, l'intégrité et la confidentialité des données traitées et répondre aux conditions fixées à cet effet par arrêté du ministre chargé de la santé. La liste des dispositifs respectant ces conditions est rendue publique.

La fourniture d'un dispositif mentionné au même I ou le recours à un tel dispositif en méconnaissance des prescriptions du deuxième alinéa du présent III est puni des peines prévues à l'article 226-17 du code pénal.

IV.- (Abrogé).

V. - Les modalités d'application du présent article sont fixées par les décrets en Conseil d'Etat mentionnés au I après avis public [Dispositions déclarées non conformes à la Constitution par la décision du Conseil constitutionnel n° 2020-800 DC du 11 mai 2020] de la Commission nationale de l'informatique et des libertés. Ces décrets en Conseil d'Etat précisent notamment, pour chaque autorité ou organisme mentionné aux I et III, les services ou personnels dont les interventions sont nécessaires aux finalités mentionnées au II et les catégories de données auxquelles ils ont accès, la durée de cet accès, les règles de conservation des données ainsi que les organismes auxquels ils peuvent faire appel, pour leur compte et sous leur responsabilité, pour en assurer le traitement, dans la mesure où les finalités mentionnées au même II le justifient, et les modalités encadrant le recours à la sous-traitance. Ils dressent la liste exhaustive des données pouvant être collectées en vue du suivi épidémiologique et de la recherche sur le virus.

VI.-Les données individuelles relatives à la covid-19 font l'objet d'une transmission obligatoire à l'autorité sanitaire prévue à l'article L. 3113-1 du code de la santé publique. Cette transmission est effectuée par les médecins, les responsables des services et laboratoires de biologie médicale publics et privés et les autres professionnels de santé mentionnés au 1° du II du présent article, au moyen des systèmes d'information mentionnés au présent article.

VII. - Le directeur général de l'Union nationale des caisses d'assurance maladie mentionnée à l'article L. 182-2 du code de la sécurité sociale peut, en tant que de besoin, fixer les modalités de rémunération des professionnels de santé conventionnés participant à la collecte des données nécessaires au fonctionnement des systèmes d'information mis en œuvre pour lutter contre l'épidémie. La collecte de ces données ne peut faire l'objet d'une rémunération liée au nombre et à la complétude des données recensées pour chaque personne enregistrée.

VIII. - (Abrogé).

IX. - L'Assemblée nationale et le Sénat sont informés sans délai des mesures mises en œuvre par les autorités compétentes en application du présent article.

[Dispositions déclarées non conformes à la Constitution par la décision du Conseil constitutionnel n° 2020-800 DC du 11 mai 2020.]

Le Gouvernement adresse au Parlement un rapport détaillé de l'application de ces mesures, comprenant des indicateurs d'activité, de performance et de résultats quantifiés adaptés aux priorités retenues, tous les trois mois à compter de la promulgation de la présente loi et jusqu'à la disparition des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de covid-19. Ces rapports sont complétés par un avis public de la Commission nationale de l'informatique et des libertés.

X.- A l'exclusion des coordonnées de contact téléphonique et électronique des personnes, les données recueillies dans les traitements de données mis en œuvre en application du présent article et qui relèvent du champ du système national des données de santé défini au I de l'article L. 1461-1 du code de la santé publique sont rassemblées au sein de ce système et soumises au chapitre Ier du titre VI du livre IV de la première partie du même code.