Vaccin anti-covid : la CNAM mise en demeure de respecter les données personnelles

Tribune : C’est par une lettre recommandée de 10 pages à la CNAM (Caisse Nationale d’Assurance Maladie) en date du 23 janvier que j'ai mis en demeure cette dernière de respecter les droits des citoyens dans le cadre du traitement de la prospection pour le Vaccin-Covid.

La rapidité avec laquelle les autorités se sont lancées dans une approche de vaccination de masse a entrainé quelques problèmes dans le traitement informatique comme le dévoile une enquête complète de Médiapart « Par manque d’anticipation, l’assurance-maladie n’a eu qu’un mois et demi pour développer le système informatique de suivi de la campagne de vaccination. Selon nos informations, celui-ci souffre de plusieurs failles : il permet à un médecin d’accéder à tous les dossiers des Français tandis que la procédure de signalement des effets indésirables a été mise en œuvre à minima. ».

La CNAM est donc saisie pour lui demander :  

- d’ajouter une case à cocher « Je refuse que mes données personnelles soient transmises au fichier de prospection ‘ Vaccin-Covid ‘ »    à la rubrique « mes informations » du site Ameli (site de la CNAM).

- la suspension de la recherche par numéro de sécurité sociale exposant les données personnelles et de filiation à des centaines de milliers de médecins ; demande fondée sur l'article 18.1 du RGPD de limitation de cette fonction de recherche.

- la production des « conditions de transmission des données » non publiques que les médecins agrègent concernant les données personnelles des patients et le respect de l’article 7 du RGPD concernant le consentement.

Une demande complète que l’on peut lire ci-après. Les motifs y sont clairs et explicites. 

Suite à la parution du décret n° 2020-1690 du 25 décembre 2020 autorisant votre traitement « VACCIN-COVID », il apparait clairement au vu de l’article 1er  qu’il s’agit d’un traitement de prospection au sens de l’article 21 du règlement RGPD ainsi qu’au sens de l’article 226-18-1 du code pénal.

 Art. 1er. – I. – Est autorisée la création d’un traitement automatisé de données à caractère personnel dans le cadre de la campagne de vaccination contre la covid-19, dénommé «Vaccin Covid».

La direction générale de la santé et la Caisse nationale de l’assurance maladie sont conjointement responsables de ce traitement, qui est mis en oeuvre conformément aux dispositions du e du 1. de l’article 6 du règlement (UE) du 27 avril 2016 susvisé et pour les motifs d’intérêt public mentionnés au i du 2. de l’article 9 du même règlement.

II. – Le traitement mentionné au I a pour finalités:

1- L’identification des personnes éligibles à la vaccination au regard des recommandations énoncées par le ministre chargé de la santé en application des dispositions de l’article L. 3111-1 du code de la santé publique, l’envoi de bons de vaccination à ces personnes, l’enregistrement des informations relatives à la consultation préalable à la vaccination et l’organisation de la vaccination de ces personnes;

2- Le suivi de l’approvisionnement des lieux de vaccination en vaccins et consommables;

3- L’envoi à la personne vaccinée d’un récapitulatif des informations relatives à la vaccination, établi par le professionnel de santé réalisant la vaccination ou par le personnel placé sous sa responsabilité;

4- La mise à disposition de données permettant la présentation de l’offre de vaccination, la surveillance de la couverture vaccinale, la mesure de l’efficacité et de la sécurité vaccinale, la pharmacovigilance, le suivi statistique de la campagne de vaccination, l’appui à l’évaluation de la politique publique de vaccination et la réalisation d’études et de recherches; 5o La délivrance, en cas d’apparition d’un risque nouveau, de l’information prévue à l’article L. 1111-2 du code de la santé publique, aux personnes vaccinées et, le cas échéant, leur orientation vers un parcours de soins adaptés;

6- La prise en charge financière des actes liés à la vaccination.

Il apparait de plus que cette campagne de prospection se déroule en plusieurs phases avec « ciblage »  marketing selon divers profils de population visée, notamment basés sur l’âge (les exemples plus loin montrent la récurrence de la terminologie associée au démarchage)

Que de plus, certains acteurs comme l’Inserm a envoyé des milliers de mails à des contacts avec des messages comminatoires contenant ce qui suit oubliant le caractère facultatif de la vaccination qui doit reposer sur une volonté personnelle et sur une analyse personnalisée des bénéfices pour le patient et des risques qu’il encourt (j’ai effectué une plainte le 16/01/2021 auprès de l’ANSM à ce sujet) :

Art. 226-18-1 du code pénal

Le fait de procéder à un traitement de données à caractère personnel concernant une personne physique malgré l'opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

Article 21 - Droit d'opposition

La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.

Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection.

Lorsque la personne concernée s'oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.

Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à l'attention de la personne concernée et est présenté clairement et séparément de toute autre information.

Dans le cadre de l'utilisation de services de la société de l'information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d'opposition à l'aide de procédés automatisés utilisant des spécifications techniques.

Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques en application de l'article 89, paragraphe 1, la personne concernée a le droit de s'opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l'exécution d'une mission d'intérêt public.

Demande de case à cocher dans l’espace Assuré d’Ameli pour pouvoir exercer son droit d’opposition au traitement de prospection « Vaccin-Covid »

J’ai exercé le 26/12/2020 à 18h12 mon droit d’opposition à ce que mes données personnelles fassent l’objet d’un traitement dans ce fichier de prospection « Vaccin-Covid » dans les termes suivants :

Conformément à l'article 5 du décret 2020-1690 paru et entré en vigueur le 26/12/2020, et à l'article 21 du RGPD, j'exerce par la présente mon droit d'opposition à ce que mes données personnelles ainsi que celles de mes enfants rattachés soient transmises au fichier "VACCINCOVID" prévu par le décret susvisé.

Cette demande se fonde sur les motifs suivants :

- l'absence du recueil de mon consentement pour transférer mes données personnelles dans un fichier

- l'avis négatif de la CNIL

- la violation du secret médical permis par ce fichier

- mon opposition à la "vaccination" ni éprouvée ni bénéfique

- le caractère liberticide de ce fichier

- l'absence à ce jour de formulaire pour effectuer ce droit d'opposition

Le délégué local à la protection des données a accusé réception de ma demande mais n’y a pas encore fait droit.

Cependant, il apparait à la lecture des termes tant de l’article 21 du RGPD que de  l’article  226-18-1 du code pénal que je n’étais nullement tenu d’indiquer un quelconque motif à cette prospection fut elle non commerciale mais pour de prétendus prétextes de santé publique.

L’article 1er du décret susvisé prétend péremptoirement qu’il rentre dans le cadre des motifs d’intérêt public mentionnés au i du 2. de l’article 9 ce qui n’est manifestement pas le cas pour les premières injections du « vaccin » expérimental Cominarty à destination principalement, pour l’instant, des personnes âgées de plus de 75 ans alors que l’on peut lire page 18 du rapport « stratégie vaccinale contre la Covid19 » de l’office parlementaire d’évaluation à propos de ce « vaccin » prétendu « L’efficacité n’a pu être établie pour les plus de 75 ans ».  Il n’a pu être établi que ce « vaccin » ait épargné la moindre vie en France, mais il est déjà associé, à ce jour, à la mort de 9 personnes (dont l’une morte seulement 2 heures après l’injection supposée protectrice !)

Dans le cas de la population générale de moins de 60 ans, le taux de létalité des personnes ayant un diagnostic confirmé de Covid19 est seulement de 0.05 %. Dès lors à supposer que le « vaccin » expérimental protège 3 mois (hypothèse généreuse, il n’a été testé en moyenne que 45 jours) et que la probabilité d’attraper la Covid19 soit de 10% dans cet intervalle de 3 mois (hypothèse très haute), il faudrait que le taux de létalité causé par ce vaccin soit inférieur à 0.005% (dans les 10 ans qui suivent) pour cette population de personnes âgées de moins de 60 ans pour que la balance bénéfice/risque leur soit favorable. Vu les multiples morts jeunes de par le monde associés à ce « vaccin » expérimental, il est impossible que  cette balance bénéfice/risque soit favorable aux moins de 60 ans

Quoi qu’il en soit, ce traitement de prospection « vaccin-covid » rentre dans la catégorie des traitements de prospection et le fait qu’il ait été autorisé par décret ou qu’il soit opéré pour de prétendus motifs d’intérêt public ne lui permet en rien d’échapper à l’application des articles 21.2 et 21.3 du RGPD qui exonère la quelconque mention d’un motif légitime pour pouvoir exercer son droit d’opposition.

L’article 21 du RGPD rappelle que le droit d’opposition peut être formé à tout moment, pour un fichier de prospection ou non, et la CNIL rappelle clairement que concernant ce traitement, l’opposition peut être faite avant la vaccination.

Donc le droit d’opposition peut être fait sans motif. J’ai malgré tout essuyé des refus de certaines caisses locales au prétexte qu’il faudrait attendre que les données personnelles soient transmises dans le fichier de prospection pour exercer ce droit d’opposition. Il s'agit manifestement d'une violation de l’article 21 RGPD précité - l’opposition peut être formée à tout moment - d'autant que, dès le transfert, les données personnelles sont accessibles à des tiers tels que la Direction Générale de la Santé que je n’ai jamais autorisé à accéder à mes données personnelles stockées dans mon compte Ameli.

Cette position locale me parait tout à fait illégale et confond le droit à l’effacement à posteriori, prévu par l’article 17 RGPD et le droit d’opposition prévu par l’article 21 RGPD, pour ma part, je peux déjà vous annoncer que si je reçois un tel bon m’invitant à me vacciner, malgré le caractère très clair de mon opposition et de l’article 226-18-1 du code pénal, je vous ferais délivrer une citation directe en correctionnelle ainsi qu’à votre délégué local à la protection des données personnelles.

Je constate et déplore qu’à ce jour, il n’y ait toujours pas de formulaire pour effectuer ce droit d'opposition à ce traitement de prospection « vaccin-covid », alors que je le réclamais déjà le 26/12

Cela rejoint la position de la CNIL, dans son avis défavorable concernant votre traitement de prospection ‘vaccin-covid’ avait réclamé qu’une case à cocher soit incluse dans le formulaire pour que les personnes « vaccinées » puissent exercer leur droit d’opposition partiel à ce que leurs données médicales soient transmises à la CNAM et la DGS, ce que vous avez complètement ignoré.

De plus l’article 6 de la Délibération no 2016-264 du 21 juillet 2016 de la Commission nationale de l’informatique et des libertés concernant de tels traitements  ayant au moins en partie une finalité de prospection (et notamment « la réalisation d’opérations de sollicitations »), dispose clairement que dans le présent cas de figure, un moyen simple pour exprimer son opposition doit exister :

Dans le cas d’une collecte via un formulaire, le droit d’opposition ou le recueil du consentement préalable doit pouvoir s’exprimer par un moyen simple et spécifique, tel qu’une case à cocher. Les mentions d’information et les modes d’expression de l’opposition ou du recueil du consentement doivent être lisibles, en langage clair et figurer sur les formulaires de collecte.

Lorsque la collecte des données intervient par voie orale, l’intéressé est mis en mesure d’exercer son droit d’opposition ou de donner son consentement avant la collecte de ses données.

Par conséquent, je vous mets en demeure par la présente de mettre en place dans le délai de 7 jours à compter de la réception de cette lettre pour mettre en place un formulaire pour pouvoir exercer ce droit d’opposition – sans motif – à ce traitement de prospection. La solution la plus simple et la plus efficace me semble de rajouter une simple case à cocher « Je refuse que mes données personnelles soient transmises au fichier de prospection ‘ Vaccin-Covid ‘ »   dans l’espace assuré de votre site ameli.fr  (par exemple dans la rubrique « Mes informations ») dont il est indiqué que vous êtes le responsable.

Demande de cesser immédiatement la possibilité de recherche de n’importe quel assuré par n’importe quel médecin à partir du seul numéro de sécurité sociale dans traitement de prospection « Vaccin-Covid »

Il apparait au vu de votre document décrivant le téléservice de votre traitement de prospection « vaccin –covid »  https://www.ameli.fr/sites/default/files/Documents/718758/document/tutoriel_vaccincovid_tls.pdf

On remarquera ainsi la locution « que le patient ait été ciblé ou non » montrant bien la finalité de prospection de cette « campagne » de vaccination)

Notamment pages 6 à 8, qu’à partir d’un simple numéro de sécurité sociale, n’importe quel médecin peut trouver les noms, prénoms, date de naissance, régime d’affiliation,  d’autres informations personnelles (la copie d’écran comporte un masquage ne permettant pas de savoir ce que c’est)  ainsi que la filiation (mêmes informations pour les enfants rattachés ainsi qu’il est dit explicitement dans le document « Lorsque la recherche est basée sur le numéro de Sécurité Sociale de l’Ouvrant droit (NIR OD), l’ensemble des assurés rattachés à ce NIR sont affichés afin de sélectionner le patient concerné »

Il est pourtant évident que la simple détention d’un numéro de sécurité sociale par un médecin n’implique nullement que la personne concernée consente à ce que de telles informations personnelles puissent être diffusées de la sorte à des centaines de milliers de personnes !

A contrario, si on connait la date et le lieu de naissance d’une personne, il ne reste que les 3 chiffres du numéro d’ordre à trouver en commençant par 001 pour en déduire le numéro de sécurité sociale complet et il n’y a pas beaucoup de naissances par mois dans les petites villes.

Donc permettre comme vous le faites à ces gens d’accéder à des informations personnelles, y compris les miennes, auxquelles ils ne devraient pas avoir accès viole les articles 32 et suivants du RGPD concernant la sécurité du traitement ainsi que ces dispositions pénales :

Art. 226-17

Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24, 25, 30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l'article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

L’article 32 du RGPD obligeant le responsable de traitement à garantir la confidentialité du traitement et un niveau de sécurité adapté au risque, permettre, par sa conception même de ce traitement, à des centaines de milliers de personnes d’en savoir plus sur d’autres personnes (tels que des ex-conjoints, ont-ils des enfants maintenant, information qui peut être exploitée par exemple en cas de divorce en cours avec séparation de corps…) est une violation manifeste de l’article 226-17 du code pénal.

Art. 226-22

Le fait, par toute personne qui a recueilli, à l'occasion de leur enregistrement, de leur classement, de leur transmission ou d'une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l'intéressé ou à l'intimité de sa vie privée, de porter, sans autorisation de l'intéressé, ces données à la connaissance d'un tiers qui n'a pas qualité pour les recevoir est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

La divulgation prévue à l'alinéa précédent est punie de trois ans d'emprisonnement et de 100 000 euros d'amende lorsqu'elle a été commise par imprudence ou négligence.

Dans les cas prévus aux deux alinéas précédents, la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit.

Ces informations portent atteinte à l’intimité de la vie privée dès lors qu’elles permettent de connaître la filiation, ce que les tiers ayant le numéro de sécurité sociale ne sont pas censés connaître.

Article 18 - Droit à la limitation du traitement

La personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement lorsque l'un des éléments suivants s'applique:

a) l'exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l'exactitude des données à caractère personnel;

b) le traitement est illicite et la personne concernée s'oppose à leur effacement et exige à la place la limitation de leur utilisation;

c) le responsable du traitement n'a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice;

d) la personne concernée s'est opposée au traitement en vertu de l'article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.

Lorsque le traitement a été limité en vertu du paragraphe 1, ces données à caractère personnel ne peuvent, à l'exception de la conservation, être traitées qu'avec le consentement de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne physique ou morale, ou encore pour des motifs importants d'intérêt public de l'Union ou d'un État membre.

Une personne concernée qui a obtenu la limitation du traitement en vertu du paragraphe 1 est informée par le responsable du traitement avant que la limitation du traitement ne soit levée.

Il résulte que comme j’ai effectué une demande d’opposition le 26/12/2000 donc dès l’autorisation du traitement de prospection, que l’examen de cette opposition est toujours pendant, les conditions prévues par  l’article 18.1 d) du RGPD pour demander une limitation à ce que mes données personnelles soient accessibles, via une recherche via le Numéro d’Identification au Répertoire de l’Insee (NIR), plus communément appelé numéro de sécurité sociale et à ce que mes données personnelles y soient versées,  sont à ce jour remplies et les failles de sécurité sus-mentionnées rendent urgentes les mesures suivantes :

Par conséquent, conformément à l’article 18.1 d) du RGPD sur la limitation de traitement, je vous prie de cesser immédiatement cette possibilité de recherche de personnes à partir du numéro de sécurité sociale, notamment en ce qui concerne mes informations personnelles et celles de mes enfants rattachés puisque je me suis dûment opposé au traitement de prospection « Vaccin-covid » pour des motifs légitimes.

Demande de produire les « conditions de transmission de données » et de faire respecter le consentement des personnes concernées au traitement de données « vaccin-covid »

Page 8 de votre document décrivant le téléservice de votre traitement de prospection « vaccin –covid »  https://www.ameli.fr/sites/default/files/Documents/718758/document/tutoriel_vaccincovid_tls.pdf

On ne peut qu’être sidéré que la case « Je certifie avoir informé mon patient (son représentant légal) sur le traitement de ses données et j’accepte les conditions de transmission des données » soit précochée sur le formulaire du médecin participant à la prospection Vaccin-Covid, c’est une violation manifeste au consentement éclairé requis pour qu’il y ait un tel fichage. La phrase omet même que des informations médicales sont transmises à l’assurance maladie et à la DGS et qu’une fois « vacciné », le droit d’opposition devient très limité ; la mention de la limitation du droit d’opposition une fois « vacciné », ainsi que les destinataires tiers de ces informations (CPAM, DGS, ANSM…)  devrait figurer dans ce formulaire en vertu des articles 13 et 14 RGPD

Il y a donc violation de l’article 12 du RGPD exigeant la transparence

Il est fait référence à des « conditions de transmission des données » mais ce document n’est nullement public et ne se trouve pas sur le site Ameli ni ailleurs. Dès lors, il est quasi impossible que le patient ait pu prendre connaissance des conditions  et le fait que le médecin y ait soi-disant consenti laisse extrêmement perplexe sur l’étendue du consentement du patient au traitement

Dès lors l’article 7 du RGPD concernant le consentement est violé. Cet article 7  permettant de « retirer son consentement » et l’article 17 b) du RGPD  permettant l’exercice du droit à effacement lorsque la personne retire son consentement, le formulaire devrait rappeler l’existence de ce droit au retrait du consentement, surtout vu les finalités de la campagne de prospection « vaccin-covid ». En effet, seul le « droit d’opposition » est limité et le décret d’autorisation n’a nullement limité le droit de retrait de son consentement et d’effacement de données, qui sont des droits différents.  Comme en l’espèce, le consentement n’avait en fait pas été donné (en pratique le médecin, dit simplement que le patient est éligible ou non à la vaccination, la partie traitement de données est pré autorisé, c’est peu vraisemblable que le médecin en parle), c’est uniquement une fois vacciné, que l’on fournit au patient un document lui disant qu’il a été fiché sans dire l’étendue dans le temps de ce fichage.

Dès lors, la collecte des données a été faite par un procédé déloyal vu l’information très incomplète donnée quand elle l’est et l’absence de consentement :

Art. 226-18

Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

Je vous mets donc en demeure de me fournir d’ici une semaine, le document «conditions de transmission des données »   et de fournir à chaque personne  souhaitant se faire vacciner, un document simple et clair qu’elle peut conserver avec  toutes les informations collectée, les destinataires, les principales limitations au droit commun, ce document peut d’ailleurs rappeler les risques du « vaccin » expérimental avec les multiples effets secondaires rapportés et inviter à signaler les effets secondaires rencontrés sur un site internet spécifique, le code de la santé publique prévoyant une pharmacovigilance renforcée dans de tel cas de figure.

Veuillez agréer, Messieurs, l’expression de mes sentiments distingués.