Expertises des Systèmes d'information - Avril 2021 - N°467 - Le mensuel du droit de l'informatique et du multimédia - 151

des données personnelles. Plus
précisément,
s'agissant
d'une
collecte indirecte de données
personnelles, l'information fournie
devra être conforme à l'article 14 du
RGPD6, et notamment préciser la
source des données personnelles
traitées.

invitées à recevoir le vaccin, par
le biais d'un bon de vaccination,
pourront s'opposer au traitement
de leurs données personnelles
jusqu'au moment où elles expriment leur consentement à la vaccination auprès d'un professionnel
de santé.

S'agissant des personnes répondant aux critères d'éligibilité,
mais n'ayant pas reçu de bon
de vaccination, elles recevront
les informations requises quant
au traitement de leurs données
personnelles de la part de leur
médecin traitant, lorsqu'elles lui
exprimeront leur souhait de se faire
vacciner et lors de la consultation
préalable à la vaccination. Puisque
les données seront directement
collectées auprès des personnes
concernées par leur médecin, qui
sera chargé de les reporter dans le
système d'information «  Vaccin
Covid  », l'information fournie à
ces personnes sera celle prévue par
l'article 13 du RGPD7.

En revanche, une fois ce consentement exprimé, les personnes
concernées ne pourront plus
exercer leur droit d'opposition, dès
lors que, comme l'a relevé la Cnil
dans son avis, le traitement des
données relatives aux vaccinations
effectuées est nécessaire pour des
motifs d'intérêt public, en particulier pour la pharmacovigilance.
Une telle limitation du droit d'opposition est permise en application
de l'article 23 du RGPD et l'article 56
de la Loi Informatique et libertés.

S'agissant des autres droits des
personnes vaccinées ou invitées à
se faire vacciner, celles-ci pourront
exercer leurs droits d'accès à leurs
données personnelles, de rectification de leurs données incomplètes
ou incorrectes et de limitation du
traitement de leurs données auprès
du directeur de leur organisme
d'assurance maladie de rattachement (par exemple via le site de la
Cpam lorsqu'elles en relèvent).
Le décret prévoit en revanche
expressément que les personnes
concernées ne bénéficient pas
du droit à l'effacement de leurs
données personnelles, dès lors que
le traitement «  Vaccin Covid  » est
nécessaires pour des motifs d'intérêt public dans le domaine de la
santé publique, en application de
l'article 17.3.c du RGPD.
Suivant les recommandations
de la Cnil dans son avis du
10 décembre 2020, la version
finale du décret précise également
les modalités d'exercice du droit
d'opposition. Ainsi, les personnes

Il sera toutefois toujours possible
pour les personnes concernées,
même après avoir exprimé leur
consentement à la vaccination et
reçu les injections du vaccin, de
s'opposer à la communication de
leurs données pseudonymisées
au «  Health Data Hub  » et à la
Cnam à des fins d'amélioration des
connaissances sur le virus, dès lors
que ce traitement ne relève pas de
l'objectif d'intérêt public justifiant
une limitation du droit d'opposition. Les personnes vaccinées
pourront exercer ce droit auprès du
directeur de leur organisme d'assurance maladie de rattachement,
en lui adressant leur demande
d'opposition.

Le contrôle par la
Cnil des traitements
impliquant des données
de vaccination
Dans son avis du 10 décembre 2020,
la Cnil indique qu'au vu de l'urgence, le ministère n'a pu lui transmettre les informations techniques
lui étant nécessaires pour rendre
un avis complet sur le système
d'information «  Vaccin Covid  ».
La Commission précise donc
qu'elle exercera en toute hypothèse des contrôles pour vérifier
EXPERTISES Avril 2021

les conditions de mise en œuvre
de ce traitement et sa conformité
à la réglementation relatives à
la protection des données. Le
prochain avis public de la Cnil
devrait ainsi faire état des résultats
de ces actions de contrôles.
La Cnil a en tout état de cause
annoncé que la conformité à
la
réglementation
applicable
des traitements portant sur des
données de santé, ainsi que la
sécurité de ces données, feront
partie de ses thématiques prioritaires de contrôle pour l'année
2021.
En outre, les campagnes de vaccination ayant débuté et devant être
étendues à de nouvelles catégories
de la population au cours des
prochains mois, la Commission
sera vraisemblablement amenée
à se prononcer sur de nouvelles
problématiques relatives au traitement des données de vaccination.
Ainsi, dès le 19 février 2021, la Cnil
a pris position sur le traitement
des données de vaccination par
les collectivités locales, amenées à
participer aux campagnes contre
la Covid-19 en accompagnant
leurs usagers. Elle a notamment
pu préciser que le suivi de l'administration des vaccins doit s'effectuer uniquement via le système
d'information « Vaccin Covid », et
que les collectivités territoriales,
lorsqu'elles gèrent des centres de
vaccination, ne peuvent traiter
que des données anonymisées à
des fins d'organisation logistique.
L'accès aux données de vaccination par des organismes autres que
des entités publiques (par exemple
des restaurants ou des organismes
culturels et sportifs) est également
une question centrale dans les
réflexions relatives au « passeport
vaccinal » ou au « pass sanitaire ».
Une prise de position de la Cnil
sera naturellement attendue sur
ce sujet. L'autorité de protection
italienne, la Garante, a pour sa
part d'ores et déjà annoncé qu'elle
veillera, lors de la mise en œuvre

151
Expertises des Systèmes d'information - Avril 2021 - N°467 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Avril 2021 - N°467 - Le mensuel du droit de l'informatique et du multimédia
