Version à imprimer bilingue Version à imprimer unilingue

Question écrite n° 7-530

de Fatima Ahallouch (PS) du 28 avril 2020

au ministre de l'Agenda numérique, des Télécommunications et de la Poste, chargé de la Simplification administrative, de la Lutte contre la fraude sociale, de la Protection de la vie privée et de la Mer du Nord

Crise du coronavirus - Stade du déconfinement - Centre d'appel chargé de contacter les personnes contaminées - Système de traçage des contacts - Vie privée - Respect - Protection - Mesures (Covid-19)

communication mobile
traçabilité
maladie infectieuse
épidémie
application de l'informatique
téléphone mobile
Autorité de protection des données
protection de la vie privée
protection des données
sécurité des systèmes d'information

Chronologie

28/4/2020Envoi question (Fin du délai de réponse: 28/5/2020)
28/5/2020Réponse

Question n° 7-530 du 28 avril 2020 : (Question posée en français)

La Wallonie, Bruxelles et la Flandre comptent recruter deux mille enquêteurs qui seront chargés d'identifier les citoyens potentiellement contaminés par le coronavirus. Ils tenteront d'identifier avec qui les personnes infectées ont été en contact. Ces personnes seront invitées à se faire tester et s'isoler pendant deux semaines s'ils sont déclarés positifs.

En l'état de mon information, le dispositif se ferait en deux étapes:

Dans un premier temps, les futurs «contact tracers» seront en fait des agents de centres d'appel.

Ces enquêteurs téléphoneront aux personnes détectées positives afin de lister, avec elles, les personnes qu'elles ont pu contaminer et ce d'après les informations qu'ils auront eues du médecin généraliste. Ce centre d'appel devrait être opérationnel pour le 3 mai 2020.

Dans un deuxième temps, la population belge installerait une application sur son téléphone; cette application leur demandera de se faire tester s'ils ont été en contact avec une personne positive au Covid-19.

Pour fonctionner, 60 % de la population au moins doit télécharger l'application et cette mesure doit être couplée à d'autres mesures de tests, de distanciation sociale et d'hygiène.

Cette question relève de la compétence du Sénat car, d'emblée, j'ai précisé que les Régions du pays seraient concernées, et ce thème relève également de la prévention en matière de santé publique, volet qui relève de la compétence des entités fédérées.

Je suis très inquiète sur les conséquences néfastes que pourraient avoir les technologies de surveillances et de pistage.

D'ailleurs ces inquiétudes sont notamment partagées par la Ligue des droits humains, la Fédération internationale pour les droits humains et la Liga voor mensenrechten.

1) Avez-vous obtenu un avis positif de la Commission de la protection de la vie privée? Dans l'affirmative, avez-vous pour ce faire adapté les lois sectorielles qui ont pour base légale la loi du 8 décembre 1992 relative à la protection de la vie privée?

2) Ces enquêteurs sont-ils recrutés et formés? Sont-ils par ailleurs soumis au secret médical?

3) Le consentement requis de la personne contactée est dans ce cadre un élément essentiel. Disposez-vous d'informations quant à cette démarche indispensable?

4) Le système de traçage des contacts est-il identique dans les trois Régions? Des contacts sont-ils pris avec vos collègues des entités fédérées?

5) Disposez-vous d'informations complémentaires quant à la protection des données et à l'évaluation des résultats?

6) De manière globale, Il est clair que le centre d'appel et la stratégie sanitaire globale dans laquelle il s'inscrit doivent respecter et protéger les droits humains. Pouvez-vous nous rassurer en la matière?

Réponse reçue le 28 mai 2020 :

1) L’arrêté royal no 18 portant création d’une banque de données chez Sciensano dans le cadre de la lutte contre la propagation du coronavirus Covid-19 forme la base légale pour le contact tracing. Cet arrêté contient tous les éléments essentiels, notamment les responsables de traitement, les fins spécifiques, les catégories de données à caractère personnel, les catégories de personnes concernées de qui les données sont traitées, les destinataires à qui leurs données sont fournies, le délai de conservation des données et les éventuelles mesures pour garantir le traitement loyal et licite des données à caractère personnel.

Le texte de l’arrêté royal a été peaufiné afin de répondre aux observations formulées par l’Autorité de protection des données (avis no 36/2020 du 29 avril 2020).

Aucune loi sectorielle n’a été adaptée et je voudrais souligner le fait qu’entretemps la loi du 8 décembre 1992 relative à la protection de la vie privée a été remplacée par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

2) En effet, les collaborateurs du centre de contact ont été engagés et formés. La formation était un point d’attention important que les entités fédérées, responsables de ces centres, ont assurés.

À côté, il faut souligner que l’article 458 du Code pénal est en effet d’application sur les collaborateurs du centre de contact.

3) Il faut souligner que, conformément au règlement général sur la protection des données (RGPD), les données à caractère personnel sont traitées légitimement sur base de l’arrêté royal no 18 mentionné et en aucun cas sur base de l’accord de la personne concernée.

4) Oui, le fonctionnement général du centre de contact est repris dans l’arrêté royal no 18 mentionné. En effet, une concertation a eu lieu avec les entités fédérées sur ce sujet.

5) Le traitement des données à caractère personnel satisfait aux conditions fixées dans les délibérations du Comité de la sécurité de l’information (créé par la loi du 5 septembre 2018) afin de garantir la protection des données, en particulier les mesures sur le plan de la limitation des finalités, de la minimisation des données, les limitations de conservation et la sécurité de l’information. Toutes les personnes concernées prennent les mesures techniques et organisationnelles nécessaires, notamment sur le plan de la gestion des utilisateurs et des accès, le cryptage, le monitoring et les loggings.

6) Il existe un triple objectif de la récolte des données. Tout d’abord, afin de pouvoir détecter et contacter des patients concernés, ensuite la récolte des données est nécessaire en vue de la future recherche scientifique, statistique et / ou appliquée, après pseudonymisation, et finalement les données sont fournies aux services d’inspection de santé des Régions dans le cadre des initiatives dans la lutte contre les effets nocifs causés par des maladies infectieuses.

Les informations récoltées ne peuvent en aucun cas être utilisées à d’autres fins, en particulier mais exclusivement à des fins policières, commerciales, pénales ou à des fins liées à la Sûreté de l’État. Une association avec d’autres données qui ne sont pas nécessaires dans le cadre des finalités mentionnées à l’arrêté royal no 18 ne sont donc pas autorisées non plus.

Le contre de contact a uniquement accès aux données à caractère personnel pour autant qu’elles sont strictement nécessaires pour identifier et contacter les personnes concernées.

Finalement, il est prévu que le responsable de traitement efface les données à caractère personnel qu’il a reçues cinq jours après la publication de l’arrêté royal de promulgation de la fin de la situation de l’épidémie du coronavirus Covid-19.