Intervention de Nicole Belloubet

Monsieur le président, mesdames, messieurs les sénateurs, la crise sanitaire que nous vivons et qui frappe le monde entier a une dimension inédite.

Cette situation, qui est exceptionnelle par sa gravité, par les deuils et les sacrifices qu’elle a imposés à beaucoup de nos concitoyens, nous oblige à apporter des réponses adaptées.

Nous avons le devoir d’envisager toutes les solutions possibles et de mobiliser toutes les ressources pour mettre un terme à cette situation.

La volonté – et l’obligation – du Gouvernement est que son action s’inscrive dans ce domaine, sans exception possible, dans le cadre des valeurs de notre démocratie, c’est-à-dire le respect de l’État de droit et des libertés individuelles. C’est en nous conformant à cette exigence que nous pourrons conserver la confiance de nos concitoyens.

Les services numériques offrent évidemment d’immenses opportunités, vous le savez. Durant la crise, ils ont démontré leur intérêt et leur potentiel dans le domaine des consultations en télémédecine, qu’il s’agisse également du télétravail ou bien de l’école à distance.

Encore faut-il que ces outils numériques soient utilisés dans un cadre protecteur et respectueux des droits de chacun.

Cet encadrement a été bâti, adapté et perfectionné progressivement, afin de garantir à chaque personne la protection de ses droits fondamentaux, ainsi que le respect de sa vie privée et de ses données à caractère personnel.

La France, vous le savez puisque vous avez été des acteurs dans ce domaine, a toujours été à l’avant-garde de la protection des données et de la garantie des libertés individuelles dans ce domaine. La loi Informatique et libertés du 6 janvier 1978 nous a permis d’être le premier pays en Europe à se doter d’un texte général, fondateur, protégeant les données à caractère personnel. Et c’est cette loi qui a créé la Commission nationale de l’informatique et des libertés (CNIL), dont nous savons aujourd’hui encore combien elle est indispensable.

L’Union européenne, pour sa part, a élaboré, d’ailleurs sous l’impulsion de la France, entre autres, un cadre juridique harmonisé et protecteur pour les citoyens européens, pour l’utilisation de leurs données à caractère personnel.

Ainsi, la directive Vie privée et communications électroniques du 12 juillet 2002 permet de garantir la protection de la vie privée lorsque des correspondances empruntent des moyens de communication électroniques.

L’adoption du règlement général sur la protection des données de 2016 (RGPD) a fait l’objet de débats nourris dans votre assemblée en 2018, et ce texte a désormais une portée tout à fait considérable.

Ces textes nationaux et européens n’interdisent d’aucune manière l’utilisation des données personnelles dans le cadre d’une stratégie sanitaire, mais ils ont posé de grands principes auxquels doit se conformer tout traitement de données à caractère personnel.

Ces grands principes constituent des garanties pour le respect de notre vie privée et de nos libertés individuelles.

Trois d’entre eux, définis à l’article 5 du RGPD, constituent une base, un socle essentiel qui doit être ici mentionné.

Le premier principe, c’est celui dit « de la limitation des finalités ». Principe cardinal de la protection des données à caractère personnel, il établit que ces dernières ne doivent être utilisées que pour un objectif précis et déterminé à l’avance. Selon les termes mêmes du RGPD, le traitement doit répondre à une finalité déterminée, explicite et légitime.

Déterminée, parce qu’il n’est pas possible de collecter des données sans but ou à des fins préventives ; explicite, parce que les personnes concernées doivent savoir pourquoi et comment leurs données sont traitées ; légitime, parce que le traitement doit être en rapport avec l’activité de celui qui en est responsable.

Le deuxième principe est celui de la licéité : un traitement doit en effet se fonder sur l’une des bases juridiques limitativement énumérées par le RGPD, que ce soit le consentement des personnes, l’exécution d’un contrat ou l’exécution d’une mission d’intérêt public – et ce sera le cas ici.

Enfin, le troisième principe est celui dit « de minimisation des données » ou « principe de proportionnalité ». Cela signifie que l’on ne peut traiter que les données pertinentes et strictement nécessaires au regard de la finalité du traitement.

Ces principes ont été respectés pour chacun des outils numériques mis en place par le Gouvernement pour lutter contre l’épidémie de la Covid-19, qu’il s’agisse de Contact Covid ou du système d’information national de dépistage, le Sidep, deux traitements autorisés par le décret du 12 mai dernier. Ils permettent d’identifier les personnes infectées, les personnes qu’elles sont susceptibles d’avoir contaminées et les chaînes de contamination.

Ces traitements visent également à assurer la prise en charge sanitaire et l’accompagnement des personnes atteintes du virus ou susceptibles de l’être, ainsi que la surveillance épidémiologique du virus.

L’application StopCovid a respecté les mêmes principes posés par le RGPD. Elle complète les outils développés dans le cadre de la stratégie de déconfinement progressif que le Gouvernement a souhaité mettre en place.

Ces trois dispositifs, qui utilisent des données à caractère personnel et qui s’inscrivent donc dans une politique sanitaire globale, ont été soumis à l’avis de la CNIL, qui a donné un avis favorable.

Cette application a d’ailleurs fait l’objet de deux avis de la CNIL : l’un du 24 avril et l’autre du 25 mai. La CNIL s’est félicitée dans son dernier avis que ses premières recommandations aient été suivies par le Gouvernement.