Article 7 de la LOI n° 2021-1465 du 10 novembre 2021 portant diverses dispositions de vigilance sanitaire (1)

I. - En Nouvelle-Calédonie et en Polynésie française, par dérogation à l'article L. 1110-4 du code de la santé publique, dans sa rédaction résultant des articles L. 1541-1 et L. 1541-2 du même code, aux seules fins de lutter contre la propagation de l'épidémie de covid-19 et pour la durée strictement nécessaire à cet objectif ou au plus tard jusqu'à la date prévue au premier alinéa du I de l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions, des données à caractère personnel concernant la santé relatives aux personnes ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19 ou ayant été vaccinées peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées, dans le cadre d'un ou de plusieurs systèmes d'information créés ou adaptés par les autorités compétentes en matière de santé publique, dans les conditions prévues au présent article.
II. - Les systèmes d'information mentionnés au I du présent article ne peuvent répondre qu'aux finalités suivantes :
1° Sous réserve du consentement des personnes concernées au partage de leurs données personnelles à cette fin, l'identification des personnes infectées, par la prescription et la réalisation d'examens de dépistage virologique ou sérologique ou d'examens d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection au virus de la covid-19 ;
1° bis Sous réserve du consentement des personnes concernées au partage de leurs données personnelles à cette fin, la délivrance en leur faveur d'un certificat de vaccination, d'un justificatif d'absence de contamination par la covid-19 ou d'un certificat de rétablissement pouvant être présenté pour satisfaire aux obligations mentionnées aux articles 5 à 7 du règlement (UE) 2021/953 du Parlement européen et du Conseil du 14 juin 2021 relatif à un cadre pour la délivrance, la vérification et l'acceptation de certificats COVID-19 interopérables de vaccination, de test et de rétablissement (certificat COVID numérique de l'UE) afin de faciliter la libre circulation pendant la pandémie de COVID-19 ;
2° (Abrogé) ;
3° (Abrogé) ;
4° La surveillance épidémiologique ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sous réserve, en cas de collecte d'informations, de supprimer les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques, leur adresse et leurs coordonnées de contact téléphonique et électronique ;
5° L'identification des personnes soumises à l'obligation de vaccination prévue par la réglementation applicable localement et le contrôle de la vaccination chez les personnes soumises à cette obligation ;
6° L'enregistrement des informations relatives à la vaccination des personnes soumises ou non à l'obligation vaccinale, l'édition des attestations numériques vaccinales et, le cas échéant, l'invitation à une dose de rappel ;
7° La mise à disposition de données permettant l'inventaire de l'offre de vaccination, le suivi de l'approvisionnement des lieux de vaccination, la surveillance de la couverture vaccinale, la mesure de l'efficacité et de la sécurité vaccinales, la pharmacovigilance, le suivi statistique de la campagne de vaccination et la réalisation d'études et de recherches qui s'y rapportent, sous réserve de l'anonymisation des données à caractère personnel.
III. - Les données à caractère personnel collectées par ces systèmes d'information à ces fins ne peuvent être conservées à l'issue d'une durée de trois mois suivant leur collecte. Par dérogation, les données relatives à une personne ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19 concluant à une contamination sont conservées pour une durée de six mois après leur collecte.
Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique, sérologique ou vaccinal de la personne à l'égard de la covid-19 ainsi qu'à des éléments probants de diagnostic clinique et d'imagerie médicale.
Toute application destinée au contrôle de l'obligation vaccinale ou du passe sanitaire doit être distincte de toute autre éventuelle application à destination du public permettant d'informer les personnes du fait qu'elles ont été à proximité de personnes diagnostiquées positives à la covid-19.
Les personnes ayant accès aux données mentionnées au présent III sont soumises au secret professionnel dans les conditions prévues à l'article 226-13 du code pénal. En cas de révélation d'une information issue des données collectées dans ce système d'information, elles encourent les peines prévues au même article 226-13.
IV. - Les actes réglementaires des autorités compétentes créant ou adaptant les systèmes d'information mentionnés au I prévoient notamment :
1° Les garanties apportées aux personnes dont les données à caractère personnel sont traitées et partagées dans le cadre du présent article, notamment les droits d'accès, d'information, d'opposition et de rectification de ces informations ;
2° Les personnes et organismes qui participent à la mise en œuvre de ces systèmes d'information et qui peuvent, dans la stricte mesure où leur intervention sert les finalités mentionnées au II, avoir accès aux seules données de santé nécessaires à leur intervention. Ils précisent également, pour chaque autorité ou organisme, les services ou personnels dont les interventions sont nécessaires aux finalités mentionnées au même II et les catégories de données auxquelles ceux-ci ont accès, la durée de cet accès, les règles de conservation des données ainsi que les organismes auxquels ces services ou personnels peuvent faire appel, pour leur compte et sous leur responsabilité, pour en assurer le traitement, dans la mesure où ces finalités le justifient, et les modalités encadrant le recours à la sous-traitance. Ils dressent, le cas échéant, la liste exhaustive des données pouvant être collectées en vue du suivi épidémiologique et de la recherche sur le virus.