Article 1
Après l'article 10-6 de l'arrêté du 23 mars 2020 susvisé, il est inséré un chapitre 10 ainsi rédigé :
« Chapitre 10
« Mesures concernant le traitement des données à caractère personnel du système de santé
« Art. 10-7. - I. - Aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus covid-19, le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie sont autorisés à recevoir les catégories de données à caractère personnel suivantes :
« - les données issues du système national des données de santé mentionné à l'article L. 1461-1 du même code ;
« - des données de pharmacie ;
« - des données de prise en charge en ville telles que des diagnostics ou des données déclaratives de symptômes issues d'applications mobiles de santé et d'outils de télésuivi, télésurveillance ou télémédecine ;
« - des résultats d'examens biologiques réalisés par les laboratoires hospitaliers et les laboratoires de biologie médicale de ville ;
« - des données relatives aux urgences collectées par l'Agence nationale de santé publique dans le cadre du réseau de surveillance coordonnée des urgences ;
« - des données relatives aux appels recueillis au niveau des services d'aide médicale urgente et des services concourant à l'aide médicale urgente ;
« - des données relatives à l'activité et à la consommation de soins dans les établissements ou services médico-sociaux, notamment dans les établissements d'hébergement pour personnes âgées dépendantes ;
« - des enquêtes réalisées auprès des personnes pour évaluer leur vécu ;
« - des données non directement identifiantes issues du système d'identification unique des victimes mentionné à l'article L. 3131-9-1 du code de la santé publique ;
« - des données cliniques telles que d'imagerie, de pharmacie, de biologie, de virologie, de comptes rendus médicaux de cohortes de patients pris en charge dans des centres de santé en vue de leur agrégation.
« II. - Le groupement d'intérêt public et la Caisse nationale de l'assurance maladie ne peuvent collecter que les données nécessaires à la poursuite d'une finalité d'intérêt public en lien avec l'épidémie actuelle de covid-19. Ils sont responsables du stockage et de la mise à disposition des données. Ils sont autorisés à croiser les données mentionnées au I.
« La Caisse nationale de l'assurance maladie est responsable des opérations de pseudonymisation dans le cadre du croisement des données et peut traiter le numéro d'inscription au répertoire national d'identification des personnes physiques à cette fin.
« Seuls des responsables de traitement autorisés dans les conditions prévues aux articles 66 et 76 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, l'Etat mettant en œuvre des traitements mentionnés au 6° de l'article 65 de cette même loi, la Caisse nationale de l'assurance maladie mettant en œuvre des traitements mentionnés au 3° de l'article 65 de cette même loi, ou les organismes et les services chargés d'une mission de service public mentionnés à l'article 67 de cette même loi, peuvent traiter les données ainsi rassemblées par le groupement d'intérêt public.
« III. - Les données ne peuvent être traitées que pour des projets poursuivant une finalité d'intérêt public en lien avec l'épidémie actuelle de covid-19 et pour la durée de l'état d'urgence sanitaire institué pour faire face à cette épidémie.
« Les données ne peuvent être traitées que sur la plateforme technologique du groupement d'intérêt public et sur la plateforme de la Caisse nationale de l'assurance maladie, et ne peuvent pas en être extraites. Au sein de ces plateformes, les données ci-dessus mentionnées ne peuvent contenir ni les noms et prénoms des personnes, ni leur numéro d'inscription au répertoire national d'identification des personnes physiques, ni leur adresse.
« Le groupement d'intérêt public établit et met à disposition sur son site internet un répertoire public qui recense la liste et les caractéristiques de tous les projets portant sur ces données.
« IV. - Sans préjudice des dispositions de l'article 6 de l'arrêté du 23 décembre 2016 relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes, produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie, et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique, les établissements de santé mentionnés à l'article 1er du même arrêté transmettent, selon une périodicité hebdomadaire, les fichiers mentionnés au I de l'article 5 du même arrêté directement à l'Agence technique de l'information sur l'hospitalisation.
« Cette agence traite les données et transmet sans délai à la Caisse nationale de l'assurance maladie les données ayant vocation à alimenter le système national des données de santé.
« Les données ainsi transmises ne peuvent être traitées pour les finalités mentionnées au premier alinéa de l'article L. 6113-8 du code de la santé publique, à l'exception de la veille et la vigilance sanitaires. »
Article 2
Le présent arrêté sera publié au Journal officiel de la République française.