Le décret du 12 mai 2020 susvisé est ainsi modifié :
1° Au IV de l'article 1er :
a) Au premier alinéa, les mots : «, 3° et » sont remplacés par le mot : « 3°, 4° et » ;
b) Il est ajouté un alinéa ainsi rédigé :
« La mission mentionnée au 4° du III est placée sous la responsabilité conjointe de la CNAM. » ;
2° A l'article 2 :
a) Au I, il est ajouté un 5° ainsi rédigé :
« 5° Les données collectées par l'intermédiaire du traitement autorisé par le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19. » ;
b) Au e du 2° du II, après les mots : « deux mois précédents, » sont insérés les mots : « ou a réalisé les tests de dépistage aux dates indiquées dans le cadre de l'enquête sanitaire, » et, après les mots : « vaccinée contre la covid-19 », sont insérés les mots : « (statut vaccinal, nom du vaccin et date de la ou des injections) » ;
3° L'article 3 est complété par un VIII ainsi rédigé :
« VIII.-Sont autorisés à consulter les données mentionnées aux a et b des 1° et 2° du II de l'article 2, à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques ou du code d'admission au bénéfice de l'aide médicale d'Etat, les agents spécialement habilités des organismes nationaux et locaux d'assurance maladie, de la caisse nationale militaire de sécurité sociale et des autres organismes d'assurance maladie, ainsi que leurs sous-traitants mentionnés au IV de l'article 1er, et les personnes mises à disposition de ces mêmes organismes, notamment par une entreprise de travail temporaire en application des articles L. 1251-1 à L. 1251-63 du code du travail, spécialement habilitées par les organismes utilisateurs, pour l'évaluation du fonctionnement du dispositif auprès des personnes mentionnées au II de l'article 1er. Cette évaluation ne comporte aucune donnée de santé. » ;
4° Au 2° de l'article 9, après les mots : « établissement de santé », sont insérés les mots : «, personne ayant fait l'objet d'une vaccination contre la covid-19 (statut vaccinal, nom du vaccin et date de la ou des injections), » ;
5° L'article 14 est abrogé et le chapitre III devient le chapitre IV comprenant les articles 15 et 16 ;
6° Après le chapitre II, il est rétabli un chapitre III ainsi rédigé :
« Chapitre III
« Traitements mis en œuvre par les agences régionales de santé
« Art. 14.-Les agences régionales de santé sont autorisées, en application de l'article 11 de la loi du 11 mai 2020 susvisée jusqu'à la date prévue au premier alinéa du I du même article, à mettre en œuvre des traitements de données à caractère personnel ayant pour finalités :
« 1° L'identification des personnes mentionnées au II de l'article 1er ;
« 2° Le suivi et l'accompagnement de ces personnes et de celles ayant été en contact avec elles ;
« 3° La surveillance épidémiologique au niveau régional.
« Les agences régionales de santé peuvent avoir recours à des sous-traitants pour assurer, dans les conditions prévues aux articles 28 à 31 du règlement (UE) du 27 avril 2016 susvisé, ces finalités.
« Art. 14-1.-Peuvent être enregistrées dans les traitements mentionnés à l'article 14 :
« 1° Pour assurer les finalités mentionnées aux 1° et 2° de l'article 14, les données mentionnées au II de l'article 2 et à l'article 9 ;
« 2° Pour assurer la finalité mentionnée au 3° de l'article 14, les données mentionnées au VI de l'article 3 et au III de l'article 10.
« Art. 14-2.-Seuls les agents des agences régionales de santé habilités par leur directeur général, ainsi que les personnels de leurs sous-traitants spécialement habilités à cette fin, peuvent accéder aux données mentionnées à l'article 14-1. Sont destinataires de ces mêmes données ayant fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes, notamment par la suppression des nom et prénoms des intéressés, de leur numéro d'inscription au répertoire national d'identification des personnes physiques, de leur adresse et de leurs coordonnées de contact téléphonique ou électronique :
« 1° Les personnes habilitées par le directeur général de l'Agence nationale de santé publique, pour les données nécessaires à ses missions de surveillance épidémiologique ;
« 2° Les personnes habilitées par le directeur de la recherche, des études, de l'évaluation et des statistiques du ministère chargé de la santé, pour les données nécessaires à sa mission d'analyse et de diffusion des informations statistiques dans le domaine de la santé ;
« 3° Le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.
« Art. 14-3.-Les données mentionnées au 1° de l'article 14-1 peuvent être conservées pour une durée de trois mois à compter de leur collecte et celles mentionnées au 2° du même article peuvent être conservées jusqu'à la date prévue au premier alinéa du I de l'article 11 de la loi du 11 mai 2020 susvisée.
« Art. 14-4.-Les personnes concernées par le traitement sont informées, dans les conditions prévues aux articles 12 à 14 du règlement (UE) du 27 avril 2016 susvisé, par l'agence régionale de santé.
« En application de l'article 23 de ce même règlement, le droit d'opposition prévu à l'article 21 de ce même règlement ne s'applique aux traitements mentionnés à l'article 14-1 qu'en ce qui concerne la transmission des données à des fins de recherche au groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et à la Caisse nationale de l'assurance maladie aux fins prévues au 3° de l'article 14-2. Il s'exerce auprès de l'agence régionale de santé.
« Les droits d'accès, de rectification et à la limitation s'exercent auprès de cette même agence, dans les conditions prévues aux articles 15,16 et 18 du même règlement. »