Traitement des données issues des formulaires d’autorisation parentale à la vaccination aux fins de mise en œuvre de la vaccination dans les établissements scolaires
Le formulaire d’autorisation parentale à la vaccination, qui figure en annexe à l’instruction interministérielle n° DGS/SP1/DGESCO/2023/99 du 19 juin 2023 relative à l’organisation d’une campagne nationale de vaccination contre les infections à papillomavirus humains (HPV) au collège à partir de la rentrée 2023-2024, comporte les données suivantes :
- Les données d’identité de l’enfant (nom et prénom, date de naissance et sexe) ;
- Les données d’identité et de contact des parents ou responsables légaux (nom et prénom, numéro de sécurité sociale auquel est rattaché l’enfant, code postal de résidence, numéro de téléphone portable), ainsi que des données relatives à leur situation administrative (régime de sécurité sociale et bénéfice ou non d’une complémentaire santé) ;
- L’autorisation à la vaccination contre les HPV et à d’autres vaccinations (obligatoires) ainsi que, en cas de signature par un seul responsable légal de ces autorisations, une déclaration quant à une responsabilité légale unique ou à l’autorisation donnée par le second responsable légal de l’enfant ;
- Les données relatives à la vaccination souhaitée, contre les HPV ou les autres pathologies mentionnées dans le formulaire d’autorisation complémentaire.
En cas de recueil de formulaires dématérialisés, sont également susceptibles d’être collectées les données relatives à la traçabilité des accès des parents ou responsables légaux au système informatique permettant cette collecte.
Ces données sont nécessaires aux fins d’identifier les élèves à vacciner dans les établissements scolaires, de s’assurer du respect des conditions de cette vaccination et d’organiser et de piloter cette campagne au niveau régional. Conformément aux missions légales des Agences régionales de santé (ARS), en charge de la prévention et de la promotion de la santé sur leur territoire (articles L. 1431-1 et suivants du code de la santé publique), et des centres de vaccination et structures habilités par les ARS à la vaccination (articles L. 3111-11 et D. 3111-22 du même code), le traitement de ces données est mis en œuvre, sur le fondement du e) du 1 de l’article 6 du RGPD (mission d’intérêt public), sous la responsabilité conjointe de chaque ARS et de chaque structure habilitée à la vaccination concernées.
Conformément à l’article 26 du RGPD, un accord de responsabilité conjointe signé entre chaque ARS et chaque structure habilitée à la vaccination définit leurs obligations respectives à l’égard du traitement de ces données. Cet accord prévoit en particulier que : les formulaires remplis, recueillis par voie papier ou dématérialisée, ne sont accessibles qu’aux seuls personnels compétents des structures habilitées à vacciner, en charge de la conservation sécurisée de ces données ; l’information des personnes est assurée par le biais de mentions dans le formulaire de collecte des données, complétées de mentions figurant sur les sites internet des ARS et du ministère chargé de la santé ; les structures habilitées à vacciner sont chargées de répondre aux demandes d’exercice des droits des personnes concernées ; les ARS sont autorisées à contracter seules, pour le compte des deux responsables de traitement, avec les sous-traitants chargés de la collecte, au sein des établissements scolaires publics ou privés concernés, des formulaires remplis au format papier, ainsi qu’avec les sous-traitants chargés, dans certaines régions, du recueil des formulaires adressés par voie dématérialisée.
Les données sont en effet collectées par l’intermédiaire des établissements scolaires, qui distribuent aux élèves concernés des formulaires d’autorisation parentale vierges. Après avoir été complétés par les parents ou responsables légaux, les formulaires papier sont remis sous enveloppe cachetée au chef de l’établissement, chargé de les transmettre aux structures habilitées à vacciner désignées par les ARS. Certaines ARS mettent en outre à disposition des familles un système leur permettant d’adresser directement, par voie dématérialisée et sécurisée, les formulaires complétés à la structure habilitée à vacciner.
Seuls les agents habilités de ces structures peuvent prendre connaissance des données issues des formulaires, quel que soit leur mode de collecte.
Ces formulaires seront conservés par les structures habilitées à vacciner pendant une durée maximale de dix-huit (18) ans à compter du déplacement dans l’établissement scolaire dans lequel les vaccinations sont réalisées, à des fins de gestion des contentieux susceptibles de survenir. Cette conservation doit intervenir dans des conditions sécurisées et de nature à assurer l’intégrité et la confidentialité de ces formulaires.
Les personnes concernées par ces traitements ou, le cas échéant, leurs représentants légaux disposent de droits d’accès, de rectification, d’effacement, de limitation et d’opposition, prévus respectivement par les articles 15, 16, 17, 18 et 21 du RGPD. Ces droits peuvent s’exercer par l’intermédiaire du chef d’établissement de l’élève concerné, chargé de transmettre les demandes à la structure habilitée à vacciner concernée.
Ces personnes disposent également du droit d’adresser une réclamation auprès de la CNIL à l’égard du traitement de données dont elles font l’objet.
Traitement des données nécessaires à la prise en charge par l’assurance maladie et suivi au statistique
La campagne nationale de vaccination contre les HPV donne également lieu aux traitements de données habituellement mis en œuvre, dans les conditions de droit commun, en matière de vaccination des enfants.
Ainsi, chaque vaccination effectuée dans l’établissement scolaire est renseignée dans le carnet de santé (ou carnet de vaccination) de l’élève ainsi que, le cas échéant, dans Mon espace santé.
Après l’acte de vaccination, les centres et structures de vaccination transmettent aux organismes d’assurance-maladie les données d’identité des élèves, y compris le numéro de sécurité sociale auquel ils sont rattachés, aux fins de prise en charge financière des vaccins administrés.
Enfin, des données individuelles et non nominatives des élèves vaccinés seront transmises par la Caisse nationale de l’assurance maladie à l’Agence nationale de santé publique (Santé publique France), conformément à ses missions de veille sanitaire et de surveillance épidémiologique. Ces données seront traitées à des fins d’élaboration de statistiques relatives à l’estimation du nombre d’élèves vaccinés selon les territoires (niveau départemental, régional et national) et à l’impact de la campagne de vaccination ; ces statistiques agrégées et dépourvues de toute donnée à caractère personnel seront mises à disposition des ARS et du ministère chargé de la santé.