Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions

I. - La caisse nationale de l'assurance maladie est autorisée, en application de l'article 11 de la loi du 11 mai 2020 susvisée,et jusqu'à la date prévue au premier alinéa du I du même article 11, à adapter le système d'information amelipro , aux fins de mettre en œuvre un traitement de données, dénommé Contact Covid , dans le cadre de sa mission d'intérêt public, conformément aux dispositions du e du 1. de l'article 6 du règlement (UE) du 27 avril 2016 susvisé et pour les motifs d'intérêt public mentionnés au i du 2. de l'article 9 de ce même règlement.

II. - Pour l'application du présent décret :

1° Le patient zéro désigne une personne testée comme positive ou confirmée positive par l'établissement de santé qui a posé le diagnostic ;

2° Le cas contact désigne la personne qui a eu un contact avec le patient zéro durant la période, qui ne peut être supérieure à quatorze jours avant le diagnostic, pendant laquelle ce dernier était susceptible d'être contagieux au virus du covid-19 ;

3° La personne co-exposée désigne la personne présentant un risque d'infection car, au cours d'une période qui ne peut être supérieure à quatorze jours avant le diagnostic du patient zéro, elle s'est trouvée, au même moment que celui-ci, dans le même lieu, rassemblement ou événement, où les mesures barrières n'ont pu être pleinement respectées, identifié par le patient zéro comme étant à l'origine possible de sa contamination.

L'évaluation d'une personne comme contact à risque de contamination, qu'elle soit cas contact ou personne co-exposée, s'effectue au regard des critères définis par l'Agence nationale de santé publique, qui sont rendus publics.

III. - Ce traitement de données a pour finalités :

1° L'identification des personnes infectées, par la prescription et la réalisation d'examens de dépistage virologique ou sérologique ou d'examens d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection ;

2° L'identification des personnes présentant un risque d'infection, par la collecte des informations relatives aux contacts des personnes infectées et, le cas échéant, par la réalisation d'enquêtes sanitaires, en présence notamment de cas groupés ;

3° L'orientation des personnes infectées, et des personnes susceptibles de l'être, en fonction de leur situation, vers des prescriptions médicales d'isolement prophylactiques, ainsi que le suivi médical ;

4° Permettre la surveillance épidémiologique et la recherche sur le virus et les moyens de lutter contre sa propagation.

5° L'accompagnement sanitaire et social des personnes infectées et des personnes susceptibles de l'être pendant et après la fin de la période au cours de laquelle les intéressés font l'objet de prescriptions médicales d'isolement prophylactiques, sous réserve, pour l'accompagnement social, du recueil préalable du consentement des intéressés au partage de leurs données à caractère personnel dans ce cadre.

IV. - Les organismes nationaux d'assurance maladie, la Caisse nationale militaire de sécurité sociale, ainsi que les autres organismes d'assurance maladie peuvent avoir recours à des sous-traitants pour assurer le traitement des données permettant d'exercer les missions mentionnées aux 2°, 3°, 4° et 5° du III, dans les conditions prévues aux articles 28 à 31 du règlement (UE) du 27 avril 2016 susvisé.

Les organismes mentionnés à l'alinéa précédent s'assurent que les sous-traitants présentent des garanties de compétence et de protection des données suffisantes pour assurer la mise en œuvre des mesures techniques et organisationnelles appropriées et le respect des règles de confidentialité.

La mission mentionnée au 4° du III est placée sous la responsabilité conjointe de la CNAM.

I. - Le traitement autorisé par l'article 1er porte sur :

1° Les données recueillies auprès du patient zéro ou de la personne évaluée comme contact à risque de contamination, qu'elle soit cas contact ou personne co-exposée, lorsque ces derniers les ont communiquées ;

2° Les données collectées par l'intermédiaire du traitement autorisé par l'article 8 ;

3° Les données collectées dans les conditions prévues au III ;

4° Les données recueillies auprès des responsables des lieux et structures collectifs mentionnés aux k des 1° et 2° du II du présent article ou auprès des responsables ou organisateurs des activités, rassemblements ou événements mentionnés aux l des 1° et 2° du II du présent article ou de toute autre personne ou autorité disposant d'informations qui sont pertinentes pour la recherche des cas contacts et personnes co-exposées.

5° Les données collectées par l'intermédiaire du traitement autorisé par le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19.

II. - Le traitement de données autorisé par l'article 1er comprend les catégories de données suivantes :

1° Pour le patient zéro :

a) Les données d'identification (noms, prénoms, date de naissance, sexe) de la personne et de ses éventuels représentants légaux et le numéro d'inscription au répertoire national d'identification des personnes physiques ou le code d'admission au bénéfice de l'aide médicale d'Etat sous la mention immatriculation lorsque la personne en dispose d'un ;

b) Les coordonnées de contact (adresse de résidence, le numéro de téléphone et l'adresse électronique) ;

c) La désignation de l'organisme d'affiliation assurant la prise en charge des frais de santé ;

d) Les coordonnées et la spécialité du médecin à l'origine de l'inscription dans le traitement de données, et les coordonnées du médecin traitant ou du médecin désigné par le patient pour assurer sa prise en charge le cas échéant ;

e) Les données permettant de déterminer que la personne est infectée (caractère positif du test, date de prélèvement ou, pour patient hospitalisé, l'existence de symptômes associés à un scanner ;

f) Le cas échéant, l'existence de symptômes et la date de leur apparition ;

g) Les données relatives à la situation de la personne au moment du dépistage (hospitalisé, à domicile ou déjà à l'isolement) ;

h) La déclaration d'un besoin d'accompagnement social et d'appui à l'isolement précisant la nature de ce besoin ainsi que le consentement de la personne à la communication de son identité et de ses coordonnées à l'organisme compétent en vue d'organiser cet accompagnement ;

i) La mention de la profession et du lieu d'exercice professionnel ;

j) Le cas échéant, les départements, collectivités mentionnées à l'article 72-3 de la Constitution ou Etats, autres que ceux de résidence, dans lesquels la personne s'est rendue dans les quatorze derniers jours ainsi que la date de son retour et l'identification des gares ferroviaires, routières ou maritimes et aéroports par lesquels elle a transité lors de ce retour et l'identification des exploitants des moyens de transport qu'elle a utilisés ;

k) Le cas échéant, la fréquentation dans les quatorze derniers jours des structures suivantes : structures ou lieux d'hébergement collectif (foyer, pensionnat, établissement d'hébergement pour personnes âgées dépendantes, établissement médico-social accompagnant des personnes handicapées, établissements pénitentiaires, structure d'hébergement touristique, structures d'accueil et d'hébergement relevant de la protection judiciaire de la jeunesse) ; structures d'accueil du jeune enfant ; milieu scolaire ; milieu universitaire ; établissements de santé ; lieux de travail ; établissements recevant du public dans lesquels les mesures barrières ne peuvent être pleinement respectées tels que les lieux de restauration collective dans un cadre professionnel, restaurants, bars ou salles de sport, et l'indication de la date de fréquentation, ainsi que le nom, l'adresse postale de la structure ou du lieu d'hébergement et les coordonnées de son responsable (numéro de téléphone et adresse électronique) ;

l) Le cas échéant, la participation, dans les quatorze derniers jours, à un rassemblement, événement ou une activité impliquant plus de six personnes (activité ou événement sportif ; activité ou événement culturel ; réunion familiale, réunion amicale ou autre réunion, rassemblement festif ; rassemblement ou événement en lien avec le cadre professionnel ; autre type de rassemblement au cours duquel les mesures barrières n'ont pu être pleinement respectées ; présence prolongée dans un moyen de transport collectif) et l'indication de sa date, de son lieu et des noms et coordonnées de contact (numéro de téléphone et adresse électronique, ou, à défaut, adresse de résidence) du responsable du rassemblement, de l'événement ou de l'activité ;

m) La mention d'une identification dans le traitement comme ancien cas contact ou personne co-exposée ainsi que la date à laquelle cette identification a eu lieu ;

n) Les données d'identification et les coordonnées des personnes évaluées comme contacts à risque de contamination et des personnes co-exposées (nom, prénom, sexe, date de naissance, numéro de téléphone, adresse électronique) ;

o) Le cas échéant, le consentement du patient zéro à la divulgation de son identité à chaque personne évaluée comme étant un contact à risque de contamination, qu'elles soient cas contacts ou personnes co-exposées, et à chacune des catégories de personnes mentionnées au 4° du I du présent article, lorsque cela est nécessaire pour la mise en œuvre d'une enquête sanitaire ;

p) Les dates et heures de création, modification, traitement de la fiche et des contacts ;

q) Le cas échéant, la mention que la personne était en quarantaine au cours des quatorze derniers jours et les raisons de cette quarantaine (personne identifiée comme cas contact à risque de contamination à la covid-19 ; personne ayant dans son entourage une personne dépistée positive à la covid-19 ; personne présentant des symptômes de contamination à la covid-19 ; personne ayant dans son entourage une personne présentant des symptômes de contamination à la covid-19) ;

r) Le cas échéant, l'information selon laquelle la personne a eu un contact avec une personne infectée ou présentant les symptômes d'infection à la covid-19 au cours des quatorze derniers jours ;

s) Le cas échéant, la mention que la personne a été dépistée dans le cadre d'une campagne de dépistage organisée par une agence régionale de santé ;

t) Les données relatives au besoin d'accompagnement sanitaire à l'isolement.

2° Pour chaque personne évaluée comme contact à risque de contamination, qu'il s'agisse d'un cas contact ou d'une personne co-exposée :

a) Les données d'identification de la personne et de ses éventuels représentants légaux (noms, prénoms, date de naissance, sexe) et le numéro d'inscription au répertoire national d'identification des personnes physiques ou le code d'admission au bénéfice de l'aide médicale d'Etat sous la mention immatriculation lorsque la personne en dispose d'un ;

b) Les coordonnées (adresse de résidence, le numéro de téléphone et l'adresse électronique) ;

c) La désignation de l'organisme d'affiliation assurant la prise en charge des frais de santé ;

d) Les coordonnées du médecin traitant ou du médecin désigné par le patient pour assurer sa prise en charge ;

e) Les données permettant de déterminer que cette personne est infectée (caractère positif du test, date de prélèvement ou, pour patient hospitalisé, existence de symptômes associés à un scanner) ou a été infectée dans les deux mois précédents, ou a réalisé les tests de dépistage aux dates indiquées dans le cadre de l'enquête sanitaire, ou a été vaccinée contre la covid-19 (statut vaccinal, nom du vaccin et date de la ou des injections) ;

f) Le cas échéant, l'existence de symptômes et la date de leur apparition ;

g) Les données relatives à la situation de la personne au moment de la prise de contact (hospitalisé, à domicile ou déjà à l'isolement) ;

h) La déclaration d'un besoin d'accompagnement social et d'appui à l'isolement précisant la nature de ce besoin ainsi que le consentement de la personne à la communication de son identité et de ses coordonnées à l'organisme compétent en vue d'organiser cet accompagnement ;

i) La mention de la profession et du lieu d'exercice professionnel ;

j) Le cas échéant, les départements, collectivités mentionnées à l'article 72-3 de la Constitution ou Etats, autres que ceux de résidence, dans lesquels la personne s'est rendue dans les quatorze derniers jours ainsi que la date de son retour et l'identification des gares ferroviaires, routières ou maritimes et aéroports par lesquels elle a transité lors de ce retour et l'identification des exploitants des moyens de transport qu'elle a utilisés ;

k) Le cas échéant, la fréquentation dans les quatorze derniers jours des structures suivantes : structures ou lieux d'hébergement collectif (foyer, pensionnat, établissement d'hébergement pour personnes âgées dépendantes, établissement médico-social accompagnant des personnes handicapées, établissements pénitentiaires, structure d'hébergement touristique, structures d'accueil et d'hébergement relevant de la protection judiciaire de la jeunesse) ; structures d'accueil du jeune enfant ; milieu scolaire ; milieu universitaire ; établissements de santé ; lieux de travail ; établissements recevant du public dans lesquels les mesures barrières ne peuvent être pleinement respectées tels que les lieux de restauration collective dans un cadre professionnel, restaurants, bars ou salles de sport, et l'indication de la date de fréquentation, ainsi que le nom, l'adresse postale de la structure ou du lieu d'hébergement et les coordonnées de son responsable (numéro de téléphone et adresse électronique) ;

l) Le cas échéant, la participation, dans les quatorze derniers jours, à un rassemblement, événement ou une activité impliquant plus de six personnes (activité ou événement sportif ; activité ou événement culturel ; réunion familiale, réunion amicale ou autre réunion, rassemblement festif ; rassemblement ou événement en lien avec le cadre professionnel ; autre type de rassemblement au cours duquel les mesures barrières n'ont pu être pleinement respectées ; présence prolongée dans un moyen de transport collectif) et l'indication de sa date, de son lieu et des noms et coordonnées de contact (numéro de téléphone et adresse électronique, ou, à défaut, adresse de résidence) du responsable du rassemblement, de l'événement ou de l'activité ;

m) La confirmation du niveau de risque à la suite de sa réévaluation lors de l'entretien réalisé avec cette personne lors de l'enquête sanitaire ;

n) La connaissance éventuelle par cette personne du patient zéro, lorsque ce dernier a consenti à la divulgation à cette personne de son identité ;

o) L'information relative à une éventuelle cohabitation avec le patient zéro ;

p) La date du dernier contact avec le patient zéro ;

q) Les dates de prélèvement et les résultats des tests ;

r) La déclaration d'un besoin d'un prélèvement à domicile ;

s) Les dates de création, modification et traitement de la fiche et des contacts ;

t) Les données relatives au besoin d'accompagnement sanitaire à l'isolement.

3° Pour les professionnels de santé ou établissements assurant l'enregistrement des données et réalisant le suivi :

a) Les données d'identification comportant le nom, le prénom, le numéro ADELI, le numéro d'inscription au répertoire partagé des professionnels de santé (RPPS), le numéro SIRET, le numéro FINESS) ;

b) La profession et, le cas échéant, la spécialité ;

c) L'adresse postale, les numéros de téléphone et l'adresse électronique.

III. - En l'absence dans le traitement autorisé par l'article 1er des coordonnées des patients zéro et des personnes évaluées comme contact à risque de contamination, qu'il s'agisse des cas contacts ou des personnes co-exposées, les agents habilités des organismes nationaux et locaux d'assurance maladie peuvent les contacter aux moyens des coordonnées administratives provenant de traitements de données déjà mis en œuvre par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie au titre de l'une de leurs missions ou obtenues auprès des autres organismes chargés de la gestion d'un régime obligatoire de sécurité sociale, du recouvrement des cotisations de sécurité sociale ou du service des allocations et prestations mentionnées dans le code de la sécurité sociale.

IV. - Les données mentionnées au h du 1° et au h du 2° du II ne peuvent être recueillies qu'avec le consentement des intéressés.

I. - Sont autorisés à enregistrer l'ensemble des données prévues au II de l'article 2 et à les consulter dans la limite de leurs besoins respectifs d'en connaître, pour assurer les seules finalités mentionnées aux 1° à 3° et 5° du III de l'article 1er :

1° Les agents spécialement habilités des organismes nationaux et locaux d'assurance maladie, de la caisse nationale militaire de sécurité sociale et des autres organismes d'assurance maladie, ainsi que leurs sous-traitants mentionnés au IV de l'article 1er, et les personnes mises à disposition de ces mêmes organismes, notamment par une entreprise de travail temporaire en application des articles L. 1251-1 et suivants du code du travail, spécialement habilitées par les organismes utilisateurs ;

2° Les agents spécialement habilités des agences régionales de santé ainsi que de leurs sous-traitants mentionnés à l'article 14.

L'habilitation des agents mentionnés au 1° est délivrée par l'autorité responsable de chaque organisme. L'habilitation des agents mentionnés au 2° est délivrée par le directeur général de l'agence régionale de santé.

II. - Sont autorisés à enregistrer les données prévues au II de l'article 2 et à les consulter, pour assurer les seules finalités mentionnées aux 1° à 3° du III de l'article 1er :

1° Les professionnels de santé et personnels spécialement habilités du service de santé des armées ;

2° Les personnels spécialement habilités des communautés professionnelles territoriales de santé, des maisons de santé, des centres de santé ou structures créées pour lutter contre le covid-19 ;

3° Les professionnels de santé et personnels spécialement habilités des établissements de santé et des établissements sociaux et médico-sociaux, à l'exclusion, pour ces derniers, des établissements qui ont pour seule mission d'assurer l'accompagnement social des intéressés ;

4° Les médecins libéraux ou les personnes placées sous leur autorité ;

5° Les professionnels de santé et les personnels spécialement habilités des services de santé au travail mentionnés à l'article L. 4622-1 du code du travail ;

6° Les professionnels de santé et les personnels spécialement habilités des dispositifs d'appui à la coordination des parcours de santé complexes prévus à l'article L. 6327-1 du code de la santé publique, des dispositifs spécifiques régionaux prévus à l'article L. 6327-6 du même code et des dispositifs d'appui existants mentionnés au II de l'article 23 de la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé.

7° Les professionnels de santé et personnels spécialement habilités des services de santé des établissements d'enseignement scolaire ou des établissements d'enseignement supérieur ;

8° Les professionnels de santé et les personnes placées sous leur responsabilité concourant à la lutte contre l'épidémie de covid-19 ou des étudiants inscrits dans une formation donnant accès aux professions de santé régies par la quatrième partie du code de la santé publique spécialement habilités.

Les professionnels de santé mentionnés au 8° sont également autorisés à enregistrer et consulter les données mentionnées au premier alinéa du présent II pour assurer la finalité mentionnée au 5° du III de l'article 1er.

III. - Les agents, personnels et médecins mentionnés aux 1° à 4° du II ne sont autorisés à consulter, dans la limite de leurs besoins respectifs d'en connaître, que les seules données prévues au II de l'article 2 qui sont relatives :

1° Aux personnes à la prise en charge desquelles ils participent ;

2° Aux personnes désignées par les personnes mentionnées au 1° comme cas contacts et évaluées comme contacts à risque de contamination, à l'exception des données mentionnées aux g et h du 1° et aux g, h et r du 2° du II de l'article 2.

IV. - Sont autorisés à enregistrer et à consulter les données mentionnées aux a, b, c et d du 1° et du 2° du II de l'article 2, qui sont nécessaires à la réalisation du ou des tests pris en charge par l'assurance maladie, les professionnels de santé, figurant sur la liste prévue par le décret mentionné au 1° du II de l'article 11 de la loi du 11 mai 2020 susvisée, qui procèdent à des examens de dépistage virologique ou sérologique de la covid-19 et les professionnels placés sous leur responsabilité.

V. - Sont autorisés à enregistrer et à consulter les données des a et b du 1° et du 2° du II de l'article 2, les pharmaciens et personnes placées sous leur autorité, aux fins de dispenser les masques pris en charge par l'assurance maladie.

VI. - Sont destinataires des seules données relatives aux personnes infectées mentionnées aux e à m et p à s du 1° du II de l'article 2, aux personnes ayant été en contact avec ces personnes mentionnées aux e à s du 2° du même II et aux professionnels de santé ou établissements assurant l'enregistrement des données et réalisant le suivi mentionnées au b du 3° du même II, après que ces données ont fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes, notamment par la suppression des nom et prénoms des intéressés, de leur numéro d'inscription au répertoire national d'identification des personnes physiques, de leur adresse et de leurs coordonnées de contact téléphonique ou électronique :

1° L'Agence nationale de santé publique et les agences régionales de santé, pour les données nécessaires à leurs missions de surveillance épidémiologique ;

2° La direction de la recherche, des études, de l'évaluation et des statistiques du ministère chargé de la santé, pour les données nécessaires à sa mission d'analyse et de diffusion des informations statistiques dans le domaine de la santé ;

3° Le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie, aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus ;

4° La Caisse nationale de l'assurance maladie pour le pilotage et l'évaluation du fonctionnement du dispositif ;

5° Le service de santé des armées pour la surveillance épidémiologique ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation.

Les données mentionnées au présent VI peuvent être conservées par leurs destinataires jusqu'à la date prévue au premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.

VII.-Sont destinataires des données d'identité, des coordonnées téléphoniques, de l'adresse électronique, de l'adresse de résidence des personnes mentionnées aux 1° et 2° du II de l'article 2, ainsi que de leur déclaration d'un besoin d'accompagnement social et d'appui à l'isolement et de leur déclaration d'un besoin d'accompagnement sanitaire à l'isolement, sous réserve du consentement des personnes intéressées, les cellules des préfectures dédiées à l'accompagnement social des personnes dans le cadre de la gestion de l'épidémie de covid-19.

VIII.-Sont autorisés à consulter les données mentionnées aux a et b des 1° et 2° du II de l'article 2, à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques ou du code d'admission au bénéfice de l'aide médicale d'Etat, les agents spécialement habilités des organismes nationaux et locaux d'assurance maladie, de la caisse nationale militaire de sécurité sociale et des autres organismes d'assurance maladie, ainsi que leurs sous-traitants mentionnés au IV de l'article 1er, et les personnes mises à disposition de ces mêmes organismes, notamment par une entreprise de travail temporaire en application des articles L. 1251-1 à L. 1251-63 du code du travail, spécialement habilitées par les organismes utilisateurs, pour l'évaluation du fonctionnement du dispositif auprès des personnes mentionnées au II de l'article 1er. Cette évaluation ne comporte aucune donnée de santé.

I. - Les personnes autorisées aux I à V de l'article 3 enregistrent, sans délai, les données relatives aux personnes infectées et aux personnes évaluées comme contacts à risque de contamination mentionnées à l'article 2.
II. - Le traitement est accessible par les moyens d'identification et d'authentification suivants :
1° Pour les agents des organismes nationaux et locaux d'assurance maladie habilités, selon les modalités propres au service dont ils relèvent ;
2° Pour les médecins libéraux, les pharmaciens, les services de biologie et laboratoires de biologie médicale et des personnes placées sous leur autorité, au moyen du portail « amelipro » ;
3° Pour les personnes relevant des autres catégories autorisées à accéder aux données, selon les modalités fixées par la Caisse nationale de l'assurance maladie.

I. - Sous réserve du II du présent article, les données à caractère personnel contenues dans le traitement Contact Covid ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte. Elles ne peuvent davantage être conservées au-delà de la durée maximale pendant laquelle ces données peuvent être traitées et partagées en application du premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.
II. - Les opérations de mise à jour, de suppression et de consultation du traitement font l'objet d'un enregistrement, qui est conservé au maximum jusqu'à la date prévue au premier alinéa de l'article 11 de la loi du 11 mai 2020 susvisée.
Cet enregistrement comporte l'identification de l'utilisateur, les données de traçabilité, notamment la date, l'heure et la nature de l'intervention dans le traitement et les données relatives aux actions sur la fiche (initialisation de la fiche, validation, fin).

Les personnes diagnostiquées positives au covid-19 et les personnes contacts à risque de contamination, qu'elles soient cas contact ou personnes co-exposées, reçoivent les informations prévues par les dispositions des a à e du 1. et des a, b, d et e du 2. de l'article 13 du règlement (UE) du 27 avril 2016, susvisé préalablement à la collecte des données recueillies auprès d'elles.
Les contacts à risque de contamination des personnes diagnostiquées positives au covid-19, qu'elles soient cas contact ou personnes co-exposées, reçoivent les informations prévues par les dispositions des a à e du 1. et des a à f du 2. de l'article 14 du même règlement lors de leur première prise de contact dans le cadre de la réalisation de l'enquête sanitaire, préalablement à la collecte de données complémentaires les concernant.
Les informations prévues aux articles 13 et 14 du même règlement sont également diffusées sur les sites internet du ministère chargé de la santé et de la Caisse nationale de l'Assurance maladie.

I. - Dans les conditions prévues à l'article 21 du règlement (UE) du 27 avril 2016 susvisé, les personnes évaluées comme contacts à risque de contamination, qu'elles soient cas contact ou personnes co-exposées, peuvent exercer, pour des raisons tenant à leur situation particulière, leur droit d'opposition au traitement des données les concernant recueillies auprès des patients zéro ou des personnes ou autorités mentionnées au 4° du I de l'article 2 du présent décret, à moins que ne prévalent les intérêts impérieux de santé publique mentionnés au I de l'article 11 de la loi du 11 mai 2020 susvisée. Lorsqu'il est fait droit à leur demande, leurs données sont alors effacées, conformément à l'article 17 du même règlement.
Les patients zéro ne peuvent, en application de l'article 23 du règlement (UE) du 27 avril 2016 mentionné précédemment, exercer le droit d'opposition prévu à l'article 21 de ce même règlement au traitement mentionné à l'article 1er du présent décret qu'en ce qui concerne la transmission, telle que prévue au 3° du VI de l'article 3, des données au groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et à la Caisse nationale de l'assurance maladie. Lorsqu'il est fait droit à leur demande, leurs données sont alors effacées, conformément à l'article 17 du même règlement du 27 avril 2016.
Le droit d'opposition s'exerce auprès du directeur de l'organisme de rattachement des personnes concernées.
II. - Les droits d'accès et de rectification ainsi que le droit à la limitation s'exercent auprès du directeur de l'organisme de rattachement des personnes concernées, dans les conditions prévues aux articles 15, 16 et 18 du même règlement.

En application de l'article 11 de la loi du 11 mai 2020 susvisée, il est autorisé, jusqu'à la date prévue au premier alinéa du I du même article 11, la création, d'un système d'information national de dépistage, dénommé SI-DEP , dont le responsable est le ministre chargé de la santé (direction générale de la santé) et dont l'Assistance publique-Hôpitaux de Paris assure, pour le compte de ce dernier, la gestion, en qualité de sous-traitant, dans les conditions prévues à l'article 28 du règlement (UE) du 27 avril 2016 susvisé.

Ce traitement, mis en œuvre dans le cadre de sa mission d'intérêt public, conformément aux dispositions du e du 1. de l'article 6 du même règlement et pour les motifs d'intérêt public mentionnés au i du 2. de l'article 9 de ce même règlement, a pour finalités de centraliser les résultats d'examens de dépistage virologique ou sérologique du covid-19 afin de les mettre à disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées, de réaliser des enquêtes sanitaires en présence de cas groupés pour rompre les chaînes de contamination, d'orienter, de suivre et d'accompagner les personnes concernées, de permettre aux autorités compétentes d'adapter la durée des mesures de mise en quarantaine ainsi que des mesures de placement et de maintien en isolement prévues aux 3° et 4° du I de l'article L. 3131-15 et au 2° du I de l'article L. 3131-1 du code de la santé publique, et de faciliter le suivi épidémiologique aux niveaux national et local et la recherche sur le virus de même que les moyens de lutter contre sa propagation.

Il a également pour finalités de générer et d'envoyer aux personnes concernées un justificatif d'absence de contamination par la covid-19 ou un certificat de rétablissement pouvant être présenté pour satisfaire aux obligations mentionnées au II de l'article 1er de la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire et aux articles 12 et 13 de la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire.

Les catégories de données enregistrées dans le traitement sont les suivantes :

1° Les données d'identification de la personne ayant fait l'objet d'un examen de dépistage virologique ou sérologique du covid-19 : nom, prénom, sexe, date de naissance, lieu de naissance, numéro d'inscription au répertoire national d'identification des personnes physiques ou code d'admission au bénéfice de l'aide médicale d'Etat sous la mention immatriculation lorsque la personne dispose d'un tel numéro ou code, ou tout autre numéro permettant d'identifier le patient de manière certaine en cas d'impossibilité d'utiliser le numéro d'inscription au répertoire national d'identification des personnes physiques ;

2° Les informations portant sur la situation du patient nécessaires pour la réalisation des enquêtes sanitaires : professionnel du secteur sanitaire ou médico-social, résident dans un lieu d'hébergement collectif, patient hospitalisé dans un établissement de santé, personne ayant fait l'objet d'une vaccination contre la covid-19 (statut vaccinal, nom du vaccin et date de la ou des injections), personne ayant séjourné à l'étranger, avec indication du pays le cas échéant, ou personne ayant fait l'objet d'un dépistage dans le cadre d'une campagne organisée par l'agence régionale de santé et, le cas échéant, date d'apparition des premiers symptômes ;

3° Les coordonnées du patient ou, à défaut, d'une personne de confiance : adresse postale, numéro de téléphone, adresse électronique et, le cas échéant, le code postal du lieu dans lequel la personne envisage de séjourner pendant les sept jours suivant la réalisation du dépistage ;

4° Les données d'identification et coordonnées des médecins : numéro RPPS ou numéro ADELI, nom, prénom, adresse du lieu d'exercice et adresse de messagerie sécurisée ;

5° Les caractéristiques techniques du prélèvement : numéro de prélèvement, date et heure du prélèvement, lieu de prélèvement ;

6° Les informations relatives au résultat des examens de dépistage virologique ou sérologique : identification et coordonnées du laboratoire, service ou professionnel de santé, type d'examen réalisé, date et heure de la validation de l'examen, résultat de l'examen, compte rendu d'analyse le cas échéant.

Un QR-code ne comportant aucune information permettant d'identifier la personne concernée est généré aléatoirement et apposé sur le résultat positif d'un examen de dépistage virologique au virus de la covid-19. Il est envoyé à la personne ayant effectué l'examen de dépistage pour lui permettre de signaler ce résultat positif dans l'application mobile mentionnée à l' article 1er du décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé “ TousAntiCovid ”, afin d'informer les contacts à risque de contamination mentionnés au 1° et au 5° du II du même article.

Un QR-code valant justificatif d'absence de contamination par la covid-19 ou certificat de rétablissement, pouvant être présenté pour satisfaire aux obligations mentionnées au II de l'article 1er de la loi susmentionnée du 31 mai 2021 et aux articles 12 et 13 de la loi susmentionnée du 5 août 2021, et un QR-code permettant l'import de ce justificatif ou certificat dans l'application mobile susmentionnée, sont apposés sur ce résultat. Ces QR-codes contiennent les données suivantes : noms, prénoms et date de naissance de la personne concernée, et informations relatives à l'examen de dépistage. Ils peuvent également contenir les informations relatives à la vaccination de la personne concernée mentionnées au 2°.

I. - Les médecins ou les professionnels placés sous la responsabilité des services ou laboratoires de biologie médicale , ainsi que les professionnels de santé figurant sur la liste prévue par le décret mentionné au 1° du II de l'article 11 de la loi du 11 mai 2020 susvisée et les personnels placés sous leur responsabilité qui procèdent à des examens de dépistage virologique ou sérologique sont habilités à accéder aux données des personnes qu'ils prennent en charge figurant dans le traitement autorisé par l'article 8, aux seules fins de renseigner les résultats de leurs examens et d'envoyer, le cas échéant, les résultats à ces mêmes personnes, au médecin traitant et au médecin ayant prescrit l'examen.

Les données recueillies auprès des personnes dépistées lors du prélèvement et les données relatives aux résultats d'examen mentionnées à l'article 9 sont enregistrées sans délai.

En cas de recours à un dispositif automatique pour renseigner les résultats des examens de dépistage virologique ou sérologique dans le traitement autorisé par l'article 8, les professionnels mentionnés au premier alinéa s'assurent que ce dispositif figure sur la liste publiée en application du deuxième alinéa du III de l'article 11 de la loi du 11 mai 2020 susvisée.

II. - Sont destinataires des données enregistrées dans le traitement :

1° Les médecins traitants et les professionnels de santé prescripteurs, pour les catégories de données mentionnées aux 1°, 2°, 3° et 6° de l'article 9 pour les données relatives à leurs patients ;

2° Les agents des agences régionales de santé ainsi que de leurs sous-traitants mentionnés à l'article 14, qui ont été spécialement habilités à cette fin par les directeurs généraux de ces agences, pour les catégories de données mentionnées à l'article 9 nécessaires à l'identification des personnes mentionnées au II de l'article 1er, ainsi qu'au suivi et à l'accompagnement de ces personnes ;

3° Les agents, spécialement habilités par le responsable de chaque organisme ou établissement concerné, de l'Agence nationale de santé publique, des organismes nationaux et locaux d'assurance maladie, de la caisse nationale militaire de sécurité sociale et du service de santé des armées, pour les catégories de données mentionnées à l'article 9 nécessaires à la réalisation des investigations concernant les personnes évaluées comme contacts à risque de contamination, au suivi et à l'accompagnement des personnes et à la réalisation des enquêtes sanitaires ;

4° Le service public d'information en santé mentionné à l'article L. 1111-1-1 du code de la santé publique, pour les seules données mentionnées au 4° de l'article 9 et, parmi celles mentionnées au 6° du même article, pour celles portant sur l'identité et les coordonnées du laboratoire, service ou professionnel de santé, le type d'examen réalisé ainsi que la date et l'heure de sa validation ;

5° La Caisse nationale de l'assurance maladie, pour les catégories de données mentionnées aux 1°, 5° et 6° de l'article 9 transmises par les professionnels de santé en vue de leur versement dans le dossier médical partagé de la personne concernée ;

6° Les agents des services préfectoraux, spécialement habilités par le représentant de l'Etat dans le département et individuellement désignés, pour les catégories de données mentionnées au 1° et au 3° de l'article 9, ainsi que pour la date et l'heure du prélèvement, le type d'examen réalisé et son résultat. Ces agents ne sont rendus destinataires, dans la limite de leur besoin d'en connaître, que des données relatives aux personnes faisant l'objet des mesures de mise en quarantaine ou de placement et de maintien en isolement prévues aux 3° et 4° de l'article L. 3131-15 et au 2° du I de l'article L. 3131-1 du code de la santé publique, en vue d'adapter la durée de ces mesures.

III. - Sont destinataires du sexe, de l'âge et du code postal du lieu de résidence des personnes ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19, ainsi que des seules données mentionnées aux 2°, 5° et 6° de l'article 9, ayant fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes :

1° Les personnes habilitées par le directeur général de l'Agence nationale de santé publique, pour les données nécessaires à ses missions de surveillance épidémiologique et les personnes habilitées par les directeurs généraux des agences régionales de santé ;

2° Les personnes habilitées par le directeur de la recherche, des études, de l'évaluation et des statistiques du ministère chargé de la santé, pour les données nécessaires à sa mission d'analyse et de diffusion des informations statistiques dans le domaine de la santé ;

3° Le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.

Les données mentionnées au présent III peuvent être conservées par leurs destinataires jusqu'à la date prévue au premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.

I. - Sous réserve du II, les données à caractère personnel contenues dans le traitement SI-DEP ne peuvent être conservées à l'issue d'une durée de six mois après leur collecte pour les données relatives à une personne ayant fait l'objet d'un examen de dépistage virologique ou sérologique de la covid-19 concluant à une contamination, et de trois mois après leur collecte pour les autres données. Elles ne peuvent davantage être conservées au-delà de la durée maximale pendant laquelle ces données peuvent être traitées et partagées en application du premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.

II. - Les opérations de mise à jour, de suppression et de consultation du traitement font l'objet d'un enregistrement, qui est conservé au maximum jusqu'à la date prévue au premier alinéa de l'article 11 de la loi du 11 mai 2020 susvisée. Cet enregistrement comporte l'identification de l'utilisateur ainsi que les données de traçabilité, notamment la date, l'heure et la nature de l'intervention dans le traitement.

Les personnes ayant fait l'objet d'un examen de dépistage virologique ou sérologique du covid-19 reçoivent les informations prévues par les a à e du 1. et les a, b, d et e du 2. de l'article 13 du règlement (UE) du 27 avril 2016 susvisé, préalablement à la réalisation du test de dépistage, puis lors de l'envoi des résultats individuels, ainsi que par une information sur le site internet du ministère chargé de la santé.
Les personnes de confiance mentionnées au 3° de l'article 9 reçoivent les informations prévues par les dispositions des a à e du 1. et des a à f du 2. de l'article 14 du même règlement lors de l'envoi des résultats individuels, ainsi que par une information sur le site internet du ministère chargé de la santé.

En application de l'article 23 du règlement (UE) du 27 avril 2016 susvisé, le droit d'opposition prévu à l'article 21 de ce même règlement ne s'applique au présent traitement qu'en ce qui concerne la transmission des données à des fins de recherche au groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et à la Caisse nationale de l'assurance maladie, telle que prévue au 3° du III de l'article 10 du présent décret. Il s'exerce auprès de la direction générale de la santé.
Compte tenu des motifs d'intérêt public mentionnés au c du 3. de l'article 17 du même règlement du 27 avril 2016, le droit à l'effacement s'exerce uniquement dans l'hypothèse prévue au c du 1. de son article 17.
Les droits d'accès et de rectification ainsi que le droit à la limitation s'exercent auprès de cette même direction, dans les conditions prévues aux articles 15, 16 et 18 du même règlement.

Les agences régionales de santé sont autorisées, en application de l'article 11 de la loi du 11 mai 2020 susvisée jusqu'à la date prévue au premier alinéa du I du même article, à mettre en œuvre des traitements de données à caractère personnel ayant pour finalités :

1° L'identification des personnes mentionnées au II de l'article 1er ;

2° Le suivi et l'accompagnement de ces personnes et de celles ayant été en contact avec elles ;

3° La surveillance épidémiologique au niveau régional.

Les agences régionales de santé peuvent avoir recours à des sous-traitants pour assurer, dans les conditions prévues aux articles 28 à 31 du règlement (UE) du 27 avril 2016 susvisé, ces finalités.

Peuvent être enregistrées dans les traitements mentionnés à l'article 14 :

1° Pour assurer les finalités mentionnées aux 1° et 2° de l'article 14, les données mentionnées au II de l'article 2 et à l'article 9 ;

2° Pour assurer la finalité mentionnée au 3° de l'article 14, les données mentionnées au VI de l'article 3 et au III de l'article 10.

Seuls les agents des agences régionales de santé habilités par leur directeur général, ainsi que les personnels de leurs sous-traitants spécialement habilités à cette fin, peuvent accéder aux données mentionnées à l'article 14-1. Sont destinataires de ces mêmes données ayant fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes, notamment par la suppression des nom et prénoms des intéressés, de leur numéro d'inscription au répertoire national d'identification des personnes physiques, de leur adresse et de leurs coordonnées de contact téléphonique ou électronique :

1° Les personnes habilitées par le directeur général de l'Agence nationale de santé publique, pour les données nécessaires à ses missions de surveillance épidémiologique ;

2° Les personnes habilitées par le directeur de la recherche, des études, de l'évaluation et des statistiques du ministère chargé de la santé, pour les données nécessaires à sa mission d'analyse et de diffusion des informations statistiques dans le domaine de la santé ;

3° Le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.

Les données mentionnées au 1° de l'article 14-1 peuvent être conservées pour une durée de trois mois à compter de leur collecte et celles mentionnées au 2° du même article peuvent être conservées jusqu'à la date prévue au premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.

Les personnes concernées par le traitement sont informées, dans les conditions prévues aux articles 12 à 14 du règlement (UE) du 27 avril 2016 susvisé, par l'agence régionale de santé.

En application de l'article 23 de ce même règlement, le droit d'opposition prévu à l'article 21 de ce même règlement ne s'applique aux traitements mentionnés à l'article 14-1 qu'en ce qui concerne la transmission des données à des fins de recherche au groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et à la Caisse nationale de l'assurance maladie aux fins prévues au 3° de l'article 14-2. Il s'exerce auprès de l'agence régionale de santé.

Les droits d'accès, de rectification et à la limitation s'exercent auprès de cette même agence, dans les conditions prévues aux articles 15,16 et 18 du même règlement.

Pour l'application du présent décret, les hôpitaux des armées, les autres éléments du service de santé des armées et l'Institution nationale des invalides sont considérés comme des établissements de santé.

Le ministre des solidarités et de la santé est chargé de l'exécution du présent décret, qui sera publié au Journal officiel de la République française et entrera en vigueur immédiatement.