Le Décret n° 2023-499 du 22 juin 2023 crée un traitement de données à caractère personnel dénommé « système d'information de veille et sécurité sanitaires » (SI-VSS) pour permettre aux agences régionales de santé (ARS) d'assurer l'enregistrement et la traçabilité de la régulation, de la gestion et du suivi des signalements d'évènements qu'elles reçoivent au titre de leurs missions.

Finalités du traitement

• Assurer la traçabilité de la régulation, de la gestion et du suivi des signalements d'évènements que les agences régionales de santé reçoivent au titre de leurs missions
• Mettre à disposition des données permettant le suivi des conséquences sanitaires des signalements déclarés, le suivi et l'évaluation des mesures prises, ainsi que l'appui aux politiques publiques mises en œuvre par les agences régionales de santé dans le cadre de leurs missions.

Informations et catégories de données à caractère personnel enregistrées

1. Informations relatives à la description de l'évènement, de sa cause potentielle et des éléments nécessaires à en assurer l'évaluation et le traitement : nature et typologie du signalement, date et lieu géographique de survenue de l'évènement, identification de l'établissement concerné le cas échéant, description chronologique des faits et éléments de contexte pertinents, caractéristiques particulières de l'évènement, mesures de gestion et de contrôle effectuées par l'agence régionale de santé et par les autres autorités compétentes
2. S'agissant des déclarants de l'évènement : les données d'identification, les coordonnées et la structure de rattachement
3. S'agissant des personnes exposées, ayant fait l'objet du signalement :
   1. Les données d'identification et les coordonnées
   2. Les autres données d'investigation recueillies permettant la réduction du risque et la prévention de la chaîne de contamination : circonstances de l'exposition, déplacements effectués et lieux fréquentés
   3. Les données de santé permettant de déterminer l'exposition de la personne concernée, ainsi que sa situation au moment de l'événement : données médicales en lien direct avec le signalement et la pathologie, et informations relatives à la prise en charge de la personne concernée
4. S'agissant des personnes susceptibles d'apporter des informations utiles à l'investigation, dont les personnes de confiance : les données d'identification, les coordonnées et le lien avec la personne exposée
5. S'agissant des personnes ayant eu un contact avec la personne exposée durant la période de contagiosité ou les personnes ayant été exposées au même événement ou à la même source de contamination : les données d'identification, les coordonnées et les circonstances du contact
6. S'agissant des personnes disposant d'un compte utilisateur du SI-VSS : les données d'identification, les coordonnées professionnelles, l'agence régionale de santé et le service de rattachement.

Le cas échéant, l'identité de la personne exposée à une maladie infectieuse n'est communiquée aux personnes ayant eu un contact avec elle qu'avec son consentement.

Personnes habilitées à accéder au traitement

Sont habilités à accéder au traitement, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :

• Les personnels des agences régionales de santé spécialement habilités par leurs directeurs généraux
• Les personnels des cellules d'intervention en région de l'Agence nationale de santé publique désignés par le directeur général de l'agence et spécialement habilités par les directeurs généraux des agences régionales de santé
• Le cas échéant et sans préjudice du respect du secret médical, les sous-traitants auxquels les responsables de traitement ont recours, dans le respect des conditions fixées par l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 .
• Les professionnels de santé ou structures qui, par leur compétence, leur expertise ou leur implantation géographique, peuvent concourir à la réduction du risque et à la gestion de l'évènement, sont destinataires des seules données mentionnées ci-dessus nécessaires aux actions qui leur incombent.

Sont destinataires des données enregistrées dans le SI-VSS à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :

• Le centre opérationnel de régulation et de réponse aux urgences sanitaires et sociales du ministère chargé de la santé, pour les seules données mentionnées aux 1°, 2° et 6°, à l'exclusion des coordonnées des déclarants de l'évènement et des coordonnées professionnelles et du service de rattachement des personnes disposant d'un compte utilisateur du SI-VSS
• L'Agence nationale de santé publique à des fins de surveillance épidémiologique, pour les seules données mentionnées aux 1° et 2°, à l'exclusion des mesures de gestion et de contrôle effectuées par l'agence régionale de santé et par les autres autorités compétentes ;
• La Haute Autorité de santé lorsque le signalement porte sur un évènement indésirable grave associé aux soins, pour les seules données mentionnées au 1°, à l'exclusion de l'identification de l'établissement concerné et des mesures de gestion et de contrôle effectuées par l'agence régionale de santé et par les autres autorités compétentes.

Durée de conservation

• 6 ans maximum, à compter de la date de clôture du dossier de signalement.
• Les données techniques et de traçabilité liées à l'utilisation du traitement SI-VSS font l'objet d'un enregistrement et sont conservées pendant une durée d'un an.

Modalités d'exercice de leurs droits par les personnes concernées

• Les personnes dont les données et informations sont traitées reçoivent les informations prévues aux articles 13 et 14 du règlement (UE) du 27 avril 2016, et en particulier l'information selon laquelle le droit d'opposition ne s'applique pas au traitement de données.
• Cette information est disponible sur le site internet du ministère chargé de la santé et des agences régionales de santé. Les personnes concernées reçoivent, le cas échéant, également cette information lors de la première prise de contact effectuée dans le cadre des investigations de l'agence régionale de santé.
• Les personnes dont les données sont traitées peuvent exercer leurs droits d'accès et de rectification des données, ainsi que le droit à la limitation du traitement, prévus respectivement aux articles 15, 16 et 18 du même règlement, auprès de l'agence régionale de santé territorialement compétente.
• En application du e du 1 de l'article 23 du même règlement, le droit d'opposition ne s'applique pas au présent traitement.