4. Risques de malveillance 4.1. Généralités 4.1.3. Informatique et libertés

Arrêté du 30 juin 2020 fixant la liste des organismes ou services chargés d'une mission de service public pouvant mettre en œuvre des traitements de données à caractère personnel ayant pour finalité de répondre à une alerte sanitaire, dans les conditions définies à l'article 67 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

NOR: SSAP2016533A
ELI: https://www.legifrance.gouv.fr/eli/arrete/2020/6/30/SSAP2016533A/jo/texte

Le ministre des solidarités et de la santé et le ministre de l'action et des comptes publics,

• Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
• Vu le code de l'action sociale et des familles, notamment son article L. 146-3 ;
• Vu le code général des collectivités territoriales, notamment son article L. 3211-1 ;
• Vu le code de la santé publique, notamment ses articles L. 1413-1, L. 1431-2 et D.1421-1 ;
• Vu le code de la sécurité sociale, notamment son article L. 221-1 ;
• Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 66 et 67 ;
• Vu le décret n° 2009-1484 du 3 décembre 2009 modifié relatif aux directions départementales interministérielles ;
• Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire, notamment son article 2 B (10°) ;
• Vu l'avis de la Commission nationale de l'informatique et des libertés en date du 11 juin 2020,

Arrêtent :

Article 1

Pour la mise en œuvre de l'article 67 de la loi du 6 janvier 1978 susvisée, les organismes ou les services chargés d'une mission de service public qui peuvent, par dérogation à l'article 66 de cette même loi, mettre en œuvre des traitements de données à caractère personnel dans le domaine de la santé ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites sont les suivants :
1° La direction générale de la santé ;
2° Le service de santé des armées ;
3° Les agences régionales de santé ;
4° L'Agence nationale de santé publique, dans le cadre de ses missions de gestion et de suivi du risque pour la santé humaine ou des alertes sanitaires ;
5° La Caisse nationale de l'assurance maladie ;
6° Les organismes et services ayant pour objet la recherche dans le domaine de la santé ou contribuant à de telles recherches suivants :
a) L'Institut Pasteur ;
b) L'Institut national de la santé et de la recherche médicale ;
c) Les centres hospitaliers universitaires ;
d) L'Ecole des hautes études en santé publique ;
7° Les organismes et services chargés de la remontée des informations ou de la mise en œuvre des traitements de données nécessaires pour répondre à une alerte sanitaire ou en gérer les suites suivants :
a) L'Agence du numérique en santé ;
b) La Plateforme des données de santé ;
c) L'Agence technique de l'information sur l'hospitalisation ;
8° Les organismes ou services chargés de la prévention et de la prise en charge des personnes en situation de handicap ou de perte d'autonomie ou ceux intervenant au soutien et à la protection des personnes vulnérables suivants :
a) Les maisons départementales des personnes handicapées ;
b) Les services des départements ;
c) Les directions départementales de la cohésion sociale et de la protection des personnes.

Article 2

Les organismes mentionnés aux 5° à 8° de l'article 1er ne peuvent mettre en œuvre des traitements de données qu'à la demande du ministère chargé de la santé.
Les organismes mentionnés aux b et c du 8° ne peuvent traiter le numéro d'inscription au répertoire d'identification des personnes physiques.
L'organisme mentionné au b du 7° ne peut recueillir le numéro d'inscription au répertoire d'identification des personnes physiques que s'il a fait l'objet préalablement d'une opération cryptographique substituant au numéro d'inscription au répertoire national d'identification des personnes physiques un code statistique non signifiant.
Tout traitement mis en œuvre dans les conditions de l'article 67 de la loi du 6 janvier 1978 susvisée fait l'objet d'une analyse d'impact relative à la protection des données effectuée préalablement à la mise en œuvre du traitement conformément à l'article 35 du règlement du 27 avril 2016 susvisé et est inscrit dans le registre des activités de traitement conformément à l'article 30 du même règlement.

Article 3

Le présent arrêté sera publié au Journal officiel de la République française.

Fait le 30 juin 2020.

Le ministre des solidarités et de la santé,
Pour le ministre et par délégation :
Le directeur général de la santé,
J. Salomon

Le ministre de l'action et des comptes publics,
Pour le ministre et par délégation :
Le directeur de la sécurité sociale,
F. Von Lennep

Source Légifrance