Prenons deux mondes bien distincts.

A gauche, l’emploi ; à droite, la santé.
A gauche, l’ONSS ; à droite, VaccinNet+.

A gauche : l’Office national de sécurité sociale (ONSS), un pilier de la Sécu, détient des données sur les salaires, les lieux et les temps de travail. Grâce à son Répertoire des employeurs et sa base de données DmfA, l’ONSS peut déterminer : qui est salarié·e ? Qui travaille où ? Combien d’employé·es pour telle entreprise au cours du dernier trimestre ?

A droite : VaccinNet+, une base de données nationale sur les vaccins administrés contre le Coronavirus. Qui sont les Belges totalement vacciné·es ? Qui a reçu une seule dose ? Deux doses ? Qui a fait des complications suite au vaccin ? Etc.

Lorsqu’on croise ces deux univers, on peut répondre à une question très sensible : quel est le taux vaccinal d’une entreprise ? Et dès lors : où travaillent les personnes non-vaccinées ?

Jusqu’en septembre, ce croisement (ONSS et VaccinNet+) était purement hypothétique. Depuis, c’est une réalité.

Juré conforme. Vraiment ?

Le premier cas de figure concerne le personnel soignant. Cet été, le gouvernement fédéral a commandé une étude au Centre fédéral d’expertise des soins de santé (KCE) pour connaître le taux de vaccination des employé·es de chaque établissement de soins, classé·es selon quatre tranches d’âge. La publication de cette étude a eu lieu ce mercredi 29 septembre, et les analyses découlent directement du premier croisement « ONSS x VaccinNet+ ».

L’objectif politique est d’affiner la stratégie vaccinale du pays sur base des informations obtenues. L’identification des soignant·es et des établissements de soins sera impossible, précise le KCE, puisque les données sont pseudonymisées et agrégées. Tout est en règle, estimait fin août le Comité de sécurité de l’information. Selon le CSI, le projet est conforme au RGPD, qui autorise le traitement de données pseudonymisées (non identifiables, donc) à des fins de recherche scientifique et statistique. Le projet dispose d’une base légale - l’accord de coopération du 12 mars 2021 - qui prévoit l’utilisation des données vaccinales des Belges pour déterminer le taux de vaccination de la population.

Le 26 août dernier, dans la délibération n°21/148, le CSI autorisait donc le KCE à recevoir et analyser les données pseudonymisées tirées du tout premier croisement « ONSS x VaccinNet+ ».

Et c’est ainsi qu’un nouveau croisement sensible a été ajouté à la longue liste des croisements de données de santé déjà autorisés en Belgique.

Une première

«  Oui, c’est la première fois que les données ONSS sont couplées avec la base de données VaccinNet+  », nous confirmait à la mi-septembre Sabine Stordeur, responsable de la stratégie de vaccination pour le Commissariat Corona du gouvernement fédéral. «  Mais pour complément d’information, ajoutait-elle, la Conférence Interministérielle Santé publique envisage que ce calcul puisse être entrepris dans les entreprises d’une certaine taille. Les données seraient pseudonymisées et mises à la disposition des médecins de prévention dans le cadre strict de leur mission.  »

Effectivement, le 15 septembre, le Comité de sécurité de l’information publie une autre délibération  : les croisements de données « ONSS x VaccinNet+ » sont désormais élargis aux « unités d’établissement avec au moins cinquante employés ».

«  Ces croisements sont nouveaux, et cela doit nous inquiéter  », réagit spontanément Alexandra Jaspar, l’une des directrices de l’Autorité de protection des données, interrogée par nos soins. Elle demande : «  À quoi s’attendre pour la suite ? Y aura-t-il des croisements ONSS et VaccinNet+ pour tous les secteurs professionnels, comme l’enseignement ou d’autres ? Il est effectivement important de souligner que ce croisement est une première, parce qu’après, c’est l’accoutumance à ce genre de pratique, puis le basculement. »

En découle, selon elle, une question majeure chargée d’enjeux démocratiques : «  Un tel croisement de données ne devrait-il pas être validé par le parlement, plutôt que par le Comité de sécurité de l’information ? Et donc faire l’objet d’une loi, d’un décret ou d’une ordonnance ? Pour moi, la réponse est oui, bien sûr.  »

Pour alimenter ces réflexions politiques et citoyennes : creusons. Emparons-nous du croisement de données sur le taux vaccinal du personnel soignant pour comprendre le fonctionnement général des traitements de données à caractère personnel, et s’interroger dans la foulée sur cette frontière, souvent ténue, entre « veiller sur nous » et « nous surveiller ».