Par la délibération 22/2020 du 10 septembre 2020, la CNPD a avisé les amendements au projet de loi n°7645 modifiant la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant: 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments (ci-après : « le projet de loi n°7645 »). Par l’amendement gouvernemental n°6, Madame la Ministre de la Santé propose notamment que les données à caractère personnel figurant dans le système d’information mis en place par le directeur de la santé afin de suivre l’évolution de la propagation du virus SARS-CoV-2 ne sont dorénavant plus anonymisées, mais uniquement pseudonymisées, et ceci dans un délai de trois mois après leur collecte.
Dans l’avis précité, la Commission nationale a précisé que les données à caractère personnel qui ont fait l'objet d'une pseudonymisation peuvent par définition toujours être attribuées à une personne physique déterminée par le recours à des informations supplémentaires. Comme le RGPD s’applique ainsi intégralement aux données pseudonymisées, la CNPD a souligné dans son avis qu’il est nécessaire et primordial que les auteurs du projet de loi n°7645 définissent dans le corps du texte du projet une durée de conservation des données à caractère personnel conservées sous forme pseudonymisée au sein du système d’information de la direction de la santé qui soit proportionnée au regard de la finalité poursuivie. En l’absence d’une telle disposition, il y aurait lieu de conclure que les données pseudonymisées peuvent être conservées sans limitation dans le temps, ce qui serait incompatible avec les règles du RGPD.
Dans son avis complémentaire 60.321 du 14 septembre 2020 concernant précisément le projet de loi n°7645, le Conseil d’Etat s’est par ailleurs référé à l’avis de la CNPD en ce qui concerne l’absence d’une disposition limitant dans le temps la conservation des données pseudonymisées. Il a demandé par conséquent, sous peine d’opposition formelle, de renoncer à la modification proposée par l’amendement gouvernemental n°6 précité.