Covid-19 : que prévoit la base de données de suivi des personnes vaccinées en France ?
Le président de la République l'a dit le 24 novembre.
Le 27 décembre, la France a lancé sa campagne vaccinale, après le feu vert, quelques jours plus tôt, de l'Agence européenne du médicament. Dans un premier temps, Paris souhaite que la vaccination bénéficie à un million d'individus, d'ici février 2021. Ensuite, un second groupe d'environ quatorze millions de personnes sera éligible jusqu'au printemps, et pendant. Puis, tout le monde y aura accès.
Comme tout traitement médical, les vaccins peuvent induire des effets secondaires. De fait, ceux-ci existent aussi avec la solution conçue par Pfizer et BioNTech, mais leur caractère indésirable est a priori très limité. C'est en tout cas ce qu'a montré une première vague de données parue début décembre. Car tout l'enjeu ici est de savoir s'il s'agit d'effets attendus et s'ils sont nuisibles.
« Les effets secondaires temporaires des vaccins sont un signe normal du développement d’une réponse immunitaire », rappelle ainsi l’immunologue Matthew Woodruff dans The Conversation. C'est d'ailleurs aussi pour cela que le développement du vaccin a nécessité plusieurs phases, avec des groupes de contrôle de plus en plus grands, afin de déceler les réactions, notamment chez certaines classes d'individus.
Pourquoi un fichier de suivi pour ce vaccin et pas les autres ?
Compte tenu toutefois de la sensibilité du sujet, de l'ampleur de la campagne vaccinale, des enjeux sanitaires et de la vigueur du mouvement antivaccin, qui prête parfois le flanc au complotisme (comme la théorie fausse disant qu'un vaccin basé sur la technique de l'ARN messager modifierait l'ADN), un suivi scrupuleux de la campagne vaccinale et sa transparence sont indispensables.
Le caractère particulier de la pandémie de coronavirus, qui a fait plus de 63 000 morts en France et touché plus de 2,5 millions d'individus, requiert toutefois une pharmacovigilance plus exigeante encore, d'autant qu'une troisième vague de contamination est en train de poindre à l'horizon. Ces circonstances exceptionnelles, associées à l'ampleur du défi sanitaire et de la rapidité avec laquelle le vaccin a été conçu, justifient un suivi le plus fin possible des vaccinations, et donc des vaccinés.
C'est ce que disait d'ailleurs le ministre de la Santé, Olivier Véran, dans un entretien au Journal du Dimanche, le 26 décembre : « La meilleure réponse, c'est la transparence, la rigueur du suivi en temps réel des effets indésirables, les études au plus près du terrain ». Dans ce cadre, l'intéressé rappelait la mise en place de circuits de pharmacovigilance à partir du 27 décembre, pour identifier tout écart.
La pharmacovigilance est une activité impliquant les personnels de santé afin qu'ils soient en mesure de remonter aux autorités sanitaires toutes les observations pertinentes sur les effets secondaires d'un traitement médical, y compris les effets indésirables. Cela couvre les vaccins, mais aussi tous les autres médicaments. Ce dispositif est obligatoire. Il est d'ailleurs inscrit dans le Code de la santé publique.
« Je ne veux rogner sur aucun des principes sur lesquels je me suis engagé », avait alors ajouté Olivier Véran, dans son interview. Outre le caractère facultatif de la vaccination et l'échelonnement de la vaccination en fonction des publics, il avait annoncé une sécurité accrue cette pharmacovigilance et une transparence. En outre, La Haute Autorité de Santé peut faire évoluer ses recommandations selon ce suivi.
Selon l'Agence nationale de sécurité du médicament et des produits de santé, il est prévu un suivi hebdomadaire des effets indésirables du vaccin de Pfizer-BioNTech, en lien avec les centres régionaux de pharmacovigilance. Une information doit être délivrée chaque semaine, avec un premier point prévu d'ici le 31 décembre. L'Agence assure qu'elle signalera tout écart sanitaire identifié dès qu'elle en aura connaissance.
C'est donc dans ce cadre et pour traduire concrètement cette pharmacovigilance dans les textes qu'un décret a été pris par le gouvernement et publié au Journal officiel à la date du 26 décembre. Cette disposition autorise en effet « la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 ».
En clair, il s'agit d'une base de données pour suivre la vaccination en France.
Que trouve-t-on dans ce décret ?
Les responsables de cette base de données, à savoir la Direction générale de la santé et la Caisse nationale de l'assurance maladie, mais aussi les finalités du projet, qui incluent l'identification des personnes éligibles à la vaccination (selon la stratégie nationale), afin de leur envoyer des bons de vaccination, mais aussi des précisions sur ce traitement et, le cas échéant, une information spécifique si un risque nouveau survient. Alors, ce fichier servira aussi à les orienter vers un parcours de soins adaptés.
Le décret permet aussi « la mise à disposition de données permettant la présentation de l'offre de vaccination, la surveillance de la couverture vaccinale, la mesure de l'efficacité et de la sécurité vaccinales, la pharmacovigilance, le suivi statistique de la campagne de vaccination, l'appui à l'évaluation de la politique publique de vaccination et la réalisation d'études et de recherches ». Autre finalité à noter, la prise en charge financière des actes liés à la vaccination, celle-ci devant être gratuite pour tout le monde.
Puisqu'il s'agit de suivre des personnes vaccinées, le fichier a besoin de recueillir des données à caractère personnel d'ordre général (nom, prénom, sexe, date de naissance, etc.) mais aussi des informations médicales qui sont par nature sensibles, mais requises compte tenu de l'objet du traitement : en effet, la vaccination requiert aussi de connaître l'état de santé du patient, pour savoir s'il n'y a pas de contre-indication et pour identifier les causes éventuelles d'effets secondaires, s'il se déclenchaient.
Le décret prévoit donc l'inscription des données sur la réalisation de la vaccination (dates de la, ou des injections), mais aussi quel vaccin a été injecté, comment, à quel endroit du territoire, par qui, ainsi que l'identification des professionnels de santé ayant réalisé la consultation préalable à la vaccination, afin là encore de faciliter le suivi de la campagne vaccinale et la recherche d'éventuelles anomalies.
Comme le pointe Capital, dans le cas des personnes âgées du moins, une consultation préalable du médecin traitement est requise avant l’administration du vaccin. Ce rendez-vous, qui peut se dérouler éventuellement en téléconsultation, en maison de retraite ou Ehpad, sert à tenir compte d'éventuelles contre-indications, d’évaluer le bénéfice risque de la vaccination et de recueillir le consentement.
Selon le protocole qui est prévu, ce rendez-vous survient au moins 3 semaines avant la vaccination. Il permet par ailleurs de rechercher les antécédents d’allergie, les épisodes infectieux en cours, ainsi que la date de vaccination antigrippale. À l'issue, une fois le feu vert donné par le patient, et en l'absence d'obstacle de nature médicale, une prescription est faite et les éléments de la consultation sont inscrits dans le fichier.
Doivent aussi être renseignés dans le fichier les références des bons de vaccination, les critères médicaux d'éligibilité à la vaccination et traitements suivis, les effets indésirables éventuels associés à la vaccination, les informations sur les critères d'éligibilité non médicaux à la vaccination et, les informations relatives à la recherche et à l'identification de contre-indications à la vaccination.
Le décret précise par ailleurs qui a accès à ces informations, et dans quelles conditions, sachant que tout le monde n'a pas accès à tout. Sont concernés notamment le médecin traitant, les professionnels de santé impliqués dans le processus, la Caisse nationale d'assurance maladie, l'Agence nationale de sécurité du médicament et des produits de santé et les centres régionaux de pharmacovigilance.
Point important à noter : le décret inclut la nécessité de prendre des « mesures adéquates de pseudonymisation », dans certaines circonstances, afin « d'assurer la confidentialité de l'identité des personnes, notamment par la suppression de leur nom, prénoms, numéro d'inscription au répertoire national d'identification des personnes physiques, adresse et de leurs coordonnées de contact téléphonique ou électronique ».
Recommandations et bémols de la CNIL
Compte tenu de la nature des données collectées, dont certaines sont juridiquement plus sensibles que les autres (à savoir les informations d'ordre médical, incluant les traitements pris par les individus et leurs éventuels antécédents), l'avis de la Commission nationale de l'informatique et des libertés (CNIL) était requis. Sa délibération date du 10 décembre et a été publiée au Journal officiel le 26 décembre.
Le commentaire de l'autorité en charge de la protection des données personnelles est de façon générale plutôt conciliant à l'égard de ce nouveau fichier. La CNIL note par exemple que cette base de données « n'a pas vocation à être étendu à d'autres vaccinations que celle contre le coronavirus SARS-CoV-2 » et souligne les divers engagements de l'exécutif pour protéger les droits et les intérêts des personnes.
La CNIL a profité de sa délibération pour faire plusieurs mises au point, à commencer par le fait que « seules les personnes habilitées et soumises au secret professionnel doivent pouvoir accéder aux données », et « dans les strictes limites de leur besoin d'en connaître pour l'exercice de leurs missions ». Des mesures techniques sont ainsi demandées pour cloisonner les informations et sécuriser les accès.
Si la pseudonymisation des données est une approche satisfaisante, la CNIL a toutefois relevé que la liste des informations concernées n'est pas détaillée. À toutes fins utiles, elle rappelle que le Règlement général sur la protection des données (RGPD) commande de se limiter aux seules données nécessaires pour les finalités du fichier. La CNIL invite donc le ministère de la Santé à faire preuve de transparence sur ce point.
Concernant les mesures de pseudonymisation, la CNIL note l'engagement du ministère de la Santé de préciser les techniques mises en œuvre pour ce fichier dans l'analyse d'impact sur la protection des données qui lui sera transmise. Autre précision relevée par la CNIL : aucune donnée traitée dans le cadre de ce fichier ne doit pas être transféré en dehors de l'Union européenne.
Deux autres bémols sont à relever : d'abord, la CNIL n'a pas reçu de la part du ministère les informations techniques nécessaires concernant la mise en œuvre de ce traitement, « en raison du contexte d'urgence ». Dès lors, elle n'a pas pu vérifier la conformité du traitement au RGPD avant que celui-ci soit déployé. Elle n'a pas non plus reçu au moment de son avis l'analyse d'impact sur la protection des données.
Sur ce dernier point, la CNIL signale l'engagement du gouvernement de la lui communiquer dès que possible. Quoiqu'il en soit, malgré le caractère incomplet des éléments transmis avant le 10 décembre, la Commission nationale de l'informatique et des libertés ne s'est pas opposée à la mise en place de ce nouveau système d'information. En revanche, elle a prévenu qu'elle le contrôlera dans le temps.
Quelle possibilité de refus pour le public ?
L'usage de ce système d'information par le personnel médical sera obligatoire. Pour le public, il sera possible dans certaines conditions de s'opposer à l'inscription dans cette base de données. Ce sera le cas si la prise de ce traitement est refusée, lors de la réception du bon de vaccination. Mais ce droit ne sera plus possible si le consentement est donné pour la prise du vaccin.
C'est ce qu'explique la CNIL dans une fiche : « une fois le consentement à la vaccination exprimé par les personnes concernées, il ne leur sera plus possible de s’opposer au traitement des données les concernant. En effet, une fois la vaccination réalisée, le traitement des données répond à un objectif important d’intérêt public, notamment dans le cadre de la pharmacovigilance ».
Avant cela, c'est-à-dire avant l'accord, il leur est tout à fait possible de s'opposer au traitement de leur données. « En pratique, le droit d’opposition s’appliquera au traitement des données de santé réalisé avant la vaccination, pour l’envoi des bons de vaccination, si celle-ci n’a pas lieu », précise la CNIL. Ce droit d'opposition, qui est inscrit dans le RGPD, est prévu dans le décret du gouvernement, à l'article 5.
Il est toutefois à noter qu'il existe quand même un cas de figure où il est possible pour les personnes vaccinées de faire jouer un droit d'opposition. Ce n'est pas pour l'inscription dans le fichier en tant quel tel, mais pour la transmission de leurs données personnelles et pseudonymisées à la Caisse nationale de l'assurance maladie ainsi qu'au Health Data Hub à des fins de recherche médicale.
Fichier opérationnel début janvier
Si le décret du gouvernement et l'avis de la CNIL sont désormais publiés au Journal officiel, le système d'information Vaccin Covid, lui, n'est pas encore opérationnel.
Il doit l'être à compter du 4 janvier 2021, précise le guide mis à disposition pour organiser la vaccination dans les Ehpad. Dans l'intervalle, il est demandé de stocker les informations nécessaires « dans des conditions sécurisées », dans la perspective de leur renseignement dans la base de données, dès qu'elle sera active. Le guide ne donne pas orientation sur ce qu'il convient de faire pour ce stockage sécurisé et provisoire.
« Il vous appartient de stocker ces informations dans des conditions organisationnelles et techniques permettant de garantir un niveau de sécurité adapté et de veiller à détruire les supports de collecte dès la saisie des informations dans le système d’information. Par ailleurs, ces données ne doivent jamais être communiquées à une personne non autorisée », se contente de dire le document du gouvernement.
À toutes fins utiles, le guide rappelle que les personnels soignants doivent « porter un soin particulier à la qualité des données collectées, afin d'éviter tout risque d'erreur ». Ce serait non seulement nuisible pour le patient lui-même, mais cela perturberait aussi le suivi de la pharmacovigilance et pourrait aussi, dans certaines circonstances, créer inutilement du stress et de l'inquiétude autour du vaccin.
(mise à jour du sujet avec des précisions sur le droit d'opposition)