News | European Data Protection Supervisor

Commentaires formels du CEPD sur le paquet proposé par l'Union européenne de la santé

18 mars 2021

Le CEPD a publié ses commentaires formels sur un paquet de trois propositions législatives pour une Union européenne de la santé. Il approuve une approche européenne unifiée pour faire face aux menaces sanitaires transfrontalières tout en respectant le rôle et les compétences des systèmes de santé nationaux des États membres de l'UE. Dans ces commentaires formels, il prend note des mesures positives prises par la Commission pour renforcer davantage une approche coordonnée en matière de santé et, en particulier, pour élargir les tâches de l'Agence européenne des médicaments et du Centre européen de prévention et de contrôle des maladies. Ces deux organes de l'UE se sont révélés être des atouts essentiels dans la gestion de la pandémie de COVID-19.

Proposition de règlement sur un rôle renforcé pour l'Agence européenne des médicaments (EMA) dans la préparation et la gestion des crises pour les médicaments et les dispositifs médicaux.

Le CEPD recommande que des dispositions spécifiques sur l'application de la loi sur la protection des données soient inclues dans la proposition. De même, le rôle des entités impliquées dans la législation sur la protection des données devrait également être couvert dans la proposition. Plus spécifiquement sur le traitement des « données de santé électroniques en dehors des études cliniques » et des « données en temps réel », une définition claire des « données générées en dehors du cadre des essais cliniques » devrait être inclue et la signification des « données du monde réel » devrait être clarifiée, en spécifiant, au moins, des exemples du type de données concernées et la finalité pour laquelle ces données seront utilisées.

Pour en savoir plus, lisez les commentaires formels du CEPD.

Proposition pour la création d'un Centre européen de prévention et de contrôle des maladies (ECDC)

Le CEPD fournit une série de recommandations. En particulier, il conseille de:

- délimiter distinctement les catégories de personnes dont les données personnelles seront traitées, ainsi que de décrire les mesures spécifiques de protection des droits et libertés des personnes concernées, conformément à la législation sur la protection des données;
- identifier clairement les situations dans lesquelles les tâches relevant de la compétence du CEPCM impliqueront le traitement des données à caractère personnel et de mettre en place un mécanisme solide de gouvernance des données qui nécessite l'identification claire des acteurs principaux impliqués dans le traitement des données personnelles.

En ce qui concerne les nouvelles tâches de l’ECDC concernant les plateformes et applications numériques soutenant la surveillance épidémiologique, le CEPD note que ces applications sont susceptibles de présenter des risques élevés pour les droits et libertés des personnes et, par conséquent, nécessitent une évaluation d'impact sur la protection des données, réalisée avant leur déploiement. De plus, le CEPD insiste que les applications de recherche des contacts utilisent des technologies qui renforcent la protection de la vie privée.

En ce qui concerne la tâche de l’ECDC d'établir et d'exploiter un réseau de services nationaux de transfusion sanguine et de transplantation avec les autorités nationales de ce réseau, le CEPD encourage le développement d'un code de conduite pour le traitement des données personnelles en tant qu'outil efficace pour l'échange transfrontalier de ces données, ce qui apporterait plus de clarté et de confiance dans le nouveau système.

Pour en savoir plus, lisez les commentaires formels du CEPD.

Proposition de règlement aux menaces transfrontalières graves pour la santé

Le CEPD recommande de prévoir d'autres actes d'exécution ou actes délégués qui définiraient les rôles des acteurs impliqués dans le traitement des données personnelles via l'utilisation des outils et systèmes informatiques envisagés dans la proposition.

Compte tenu des risques potentiels associés à l'utilisation des systèmes de surveillance et de l'intelligence artificielle, le CEPD recommande que l’ECDC effectue une évaluation des risques avant le déploiement d'une plateforme numérique. Le CEPD souligne également que, à moins que le responsable du traitement ne prenne des mesures pour atténuer le risque dans les cas où l’évaluation d'impact sur la protection des données révèle que le traitement des données personnelles entraînerait un risque élevé pour les droits et libertés des personnes, il existe une obligation de consulter l'autorité de contrôle en vertu de l'article 40 du règlement (UE) 2018/1725.

De manière similaire, mais en ce qui concerne le système d'alerte précoce et de réaction (SAPR), le CEPD réaffirme qu'une évaluation d'impact sur la protection des données devrait être réalisée avant le traitement des données personnelles à l'aide de technologies innovatrices, si le traitement est susceptible d'entraîner un risque élevé pour les droits et libertés des personnes. En outre, le CEPD attire l'attention des législateurs de l'UE sur les lignes directrices 04/2020 de l'EDPB sur l'utilisation des données de localisation et des outils de recherche des contacts dans le contexte de l'épidémie COVID-19 qui fournissent des orientations et des clarifications utiles sur les conditions et les principes entourant l'utilisation des données de localisation et des outils de recherche des contacts de manière proportionnée.

Pour en savoir plus, lisez les commentaires formels du CEPD.

Enfin, en ce qui concerne les trois propositions, le CEPD rappelle que les transferts de données à caractère personnel vers des pays tiers ou des organisations internationales doivent être conformes au règlement (UE) 2018/1725, y compris le chapitre V de ce règlement.