Un décret publié le 13 mai en application de la loi prolongeant l’état d’urgence sanitaire détaille les modalités de mise en œuvre des systèmes d’information (Contact Covid, amelipro, et SI-DEP) pour l’identification des chaînes de contamination du virus covid-19 et le suivi des personnes. Il définit « les responsables de traitements, les catégories de données traitées, les accès, les destinataires, ainsi que leur durée de conservation et les modalités d’exercice, par les personnes concernées, des droits prévus par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. »
La CNIL, dans un avis publié le même jour, estime que les dispositifs de Contact Covid et de SI-DEP » sont conformes au RGPD si certaines garanties sont respectées« . Elle considère en effet que « ces fichiers sont nécessaires à la mise en place de la politique sanitaire envisagée par le gouvernement pour le déconfinement », mais demande toutefois « que cette nécessité soit régulièrement réévaluée« .
La Commission précise qu' »un certain nombre de préconisations complémentaires de la Cnil relèveront de la mise en œuvre du dispositif, telles que des mesures de sécurité relatives à la politique d’authentification par mots de passe, ou à la traçabilité de certaines actions ». Elle se montre donc particulièrement vigilante. Isabelle Falque-Pierrotin, la présidente de la Cnil a ainsi « annoncé qu’elle diligenterait des contrôles dans les premières semaines suivant la mise en place de ces nouveaux fichiers ». Elle prévient par avance que certaines demandes de la Cnil devront être satisfaites lors de l’utilisation des fichiers et souhaite notamment que ces fichiers aux données ultra-sensibles permettent une traçabilité de leurs consultations, « de façon à repérer les abus et à pouvoir les sanctionner« .
