Avis, Autorité de protection des données, 2023-02-09

Avis n° 35/2023 du 9 février 2023
Objet : Demande d’avis sur le projet de décret introduisant dans le Code wallon de l’Action sociale et de la santé des dispositions relatives aux programmes de médecine préventive (CO-A-2022-295)
Le Centre de Connaissances de l’Autorité de protection des données (ci-après « l’Autorité »), Présent.e.s Mesdames Marie-Hélène Descamps, Cédrine Morlière, Nathalie Ragheno et Griet Verhenneman et Messieurs Yves-Alexandre de Montjoye, Bart Preneel et Gert Vermeulen;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA ») ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD ») ;
Vu l’article 25, alinéa 3, de la LCA selon lequel les décisions du Centre de Connaissances sont adoptées à la majorité des voix ;
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD ») ;
Vu la demande d'avis de la Vice-présidente du gouvernement wallon et Ministre de l’Emploi, de la formation, de la Santé, de l’Action sociale et de l’Economie sociale, Christie Morreale, reçue le 24 novembre 2022 ;
Vu les informations complémentaires reçues en date du 10 janvier 2023 ;
Émet, le 9 février 2023, l'avis suivant :
I. Objet de la demande
1. La Ministre du Gouvernement régional wallon qui a la Santé dans ses attributions sollicite l’avis de l’Autorité sur les articles 3 et 5 du projet de décret introduisant dans le Code wallon de l’Action sociale et de la santé (CWASS) des dispositions relatives aux programmes de médecine préventive (ci-après dénommé « le projet de décret »).
2. Ainsi qu’il ressort de l’exposé des motifs, l’objectif du projet de décret est de conférer une base légale aux traitements de données à caractère personnel réalisés dans le cadre des programmes de médecine préventive1, dont l’élaboration est confiée au Gouvernement wallon en vertu de l’article 47/17 du CWASS. Cette disposition prévoit que le Gouvernement adopte, sur base du plan de promotion de la santé2, des programmes de médecine préventive à vocation régionale qui sont pilotés par un ou plusieurs centres d’opérationnalisation en médecine préventive, agréés par le Gouvernement. Ce ou ces centres établissent avec l’Agence wallonne de la santé, de la protection sociale, du handicap et des familles (ci-après « l’Agence ») un protocole de mise en œuvre du programme de médecine préventive qui détaille notamment les procédures, publics cibles, flux de données, phasage des actions et type d’évaluation qui doivent être réalisés pour la mise en œuvre du programme de médecine préventive.
Ce protocole doit être validé par le Gouvernement.
II. Examen
a. Remarque préalable
➢ Niveau d’ingérence important - Qualité et raison d’être des lois spécifiques qui encadrent des traitements de données à caractère personnel.
3. Les traitements de données à grande échelle d’informations relatives à la santé de personnes physiques présentent des risques particuliers pour les droits et libertés de ces personnes. Si la politique de santé publique nécessite de traiter de telle données dans le cadre la prévention des maladies à dépister, le niveau d’ingérence de ces traitements peut être qualifié d’important en ce que ces dépistages aboutissent à détecter des maladies graves et que cette détection, tout en étant nécessaire au titre de la santé publique, présente des risques de discriminations pour les personnes concernées. Il en est de même en ce qui concerne la détection de maladies à déclaration obligatoire et la surveillance de leur évolution au sein de la population étant donné que les personnes concernées peuvent, lorsqu’elles sont infectées de telles maladies, se voir aussi imposer des mesures restreignant leur liberté de circulation, leur droit de consentir à traitement médical ou encore leur liberté d’exercice de leur profession, leur liberté d’association ou leur droit à l’éducation.
4. Tout traitement de données à caractère personnel constitue une ingérence dans le droit au respect de la vie privée et le droit à la protection des données à caractère personnel. Une telle ingérence n’est admissible que pour autant qu’elle soit nécessaire et proportionnée à l’objectif légitime poursuivi.
L’auteur d’une norme encadrant de tels traitements de données à caractère personnel doit être à même de démontrer la réalisation d’une analyse préalable de nécessité et proportionnalité. En cas de risques particuliers pour les personnes concernées, il doit également prévoir des garanties et garde-fous pour préserver les droits et libertés des personnes concernées.
5. Pour rappel, un traitement de données à caractère personnel est considéré comme étant nécessaire s’il constitue la mesure la moins attentatoire pour atteindre l’objectif légitime qu’il poursuit. Le demandeur doit dès lors s’assurer qu’il n’y a pas d’autres mesures moins attentatoires aux droits et libertés des personnes concernées qui permettent d’atteindre l’objectif poursuivi. Il faut donc que le traitement de données envisagé permette effectivement d’atteindre l’objectif poursuivi (critère d’efficacité), mais également qu’il constitue la mesure la moins intrusive dans les droits et libertés des personnes concernées (critère de nécessité au sens strict). Concrètement, cela signifie que s’il est possible d’atteindre l’objectif recherché au moyen d’une mesure moins intrusive pour le droit au respect de la vie privée ou le droit à la protection des données à caractère personnel, le traitement de données initialement envisagé ne pourra pas être mis en place.
6. Si la nécessité du traitement de données à caractère personnel est démontrée, il faut encore démontrer que celui-ci est proportionné (au sens strict) à l’objectif qu’il poursuit, c’est-à-dire qu’il existe un juste équilibre entre les différents intérêts en présence, droits et libertés des personnes concernées ; en d’autres termes, il y a lieu de vérifier que les inconvénients causés par le traitement tel qu’il est envisagé ne sont pas démesurés par rapport à l’objectif poursuivi.
7. En outre, pour répondre au principe de prévisibilité des normes qui encadrent des traitements de données à caractère personnel, de telles normes doivent répondre aux critères usuels de qualité s’imposant aux normes encadrant des traitements de données à caractère personnel. A leur lecture, les personnes concernées à propos desquelles des données seront traitées doivent pouvoir entrevoir clairement les traitements qui seront faits de leurs données à caractère personnel. Aux termes de l’article 22 de la Constitution, lu en combinaison avec l’article 8 de la CEDH et 6.3 du RGPD, une norme de rang législatif doit déterminer dans quelles circonstances un traitement de données est autorisé.
8. Il ressort des intentions de l’auteur du projet de loi de prévoir « un texte conçu de manière telle qu’il pourrait viser l’ensemble des programmes de médecine préventive » (…) pour permettre au Gouvernement de développer ses programmes de médecine préventive, « sans devoir au préalable procéder à une adaptation décrétale pour la protection des données à caractère personnel »3.
9. Tout en comprenant ce souci de flexibilité, l’Autorité rappelle que l’encadrement légal de traitements de données à caractère personnel n’est pas un exercice pro forma mais ne peut se faire que moyennant le respect de l’article 22 de la Constitution et des principes précités. L’article 6.2 du RGPD prévoit également que « les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l'application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d'autres mesures visant à garantir un traitement licite et loyal, y compris dans d'autres situations particulières de traitement comme le prévoit le chapitre IX » . Le considérant 10 du RGPD (qui est relatif à cet article 6.2 du RGPD) précise que « parallèlement à la législation générale et horizontale relative à la protection des données mettant en œuvre la directive 95/46/CE, il existe, dans les Etats membres, plusieurs législations sectorielles spécifiques dans des domaines qui requièrent des dispositions plus précises. Le présent règlement laisse aussi aux Etats membres une marge de manœuvre pour préciser des règles, y compris en ce qui concerne le traitement de catégories particulières de données à caractère personnel. A cet égard, le présent règlement n’exclut pas que le droit des Etats membres précise les circonstances des situations particulières de traitement y compris en fixant de manière plus précise les conditions dans lesquelles le traitement de données à caractère personnel est licite » (c’est l’Autorité qui souligne). De plus, le RGPD renvoie également, à plusieurs reprises, au droit national, que ce soit pour exiger un encadrement spécifique pour certains traitements de données à caractère personnel ou pour imposer l’adoption de mesures appropriées et spécifiques pour sauvegarder les droits fondamentaux et les intérêts des personnes concernées 4.
b. Encadrement des traitements de données à caractère personnel nécessaires à la réalisation des dépistages (art. 47/17/1 en projet du CWASS)
10. L’auteur du projet de décret distingue, dans l’article 47/17/1 en projet du CWASS, trois types de traitements de données qui seront réalisés par les centres d’opérationnalisation en médecine préventive chargés d’un programme de médecine préventive comprenant le dépistage d’une maladie.
Ceux réalisés afin d’inviter les personnes concernées à participer au dépistage, ceux...