La création d’un traitement de données à caractère personnel, dénommé « système d’information de veille et sécurité sanitaire » (SI-VSS), par le décret n° 2023-499 en date du 22 juin 2023, a pour finalités « d’assurer la traçabilité de la régulation, de la gestion et du suivi des signalements d’évènements […] » que les ARS reçoivent au titre de leurs missions, et de « mettre à disposition des données permettant le suivi des conséquences sanitaires des signalement déclarés, le suivi et l’évaluation des mesures prises, ainsi que l’appui aux politiques publiques […] ».
Ainsi, les établissements de santé sont tenus d’informer l’ARS « de tout dysfonctionnement grave dans leur gestion ou leur organisation susceptible d’affecter la prise en charge des usagers, leur accompagnement ou le respect de leurs droits et de tout évènement ayant pour effet de menacer ou de compromettre la santé, la sécurité ou le bien-être physique ou moral des personnes prises en charge ou accompagnées » (article L. 331-8-1 du code de l’action sociale et des familles).

Le décret précise tout d’abord les informations et catégories de personnes visées par ce traitement. On retrouve notamment des informations permettant d’identifier les personnes ayant signalé l’évènement ou celles susceptibles d’apporter des informations utiles à l’investigation, d’une part, et des informations permettant d’identifier les personnes exposées ou les personnes ayant été en contact avec une personne exposée, d’autre part.

Le décret précise également les personnes habilitées à accéder au traitement et les destinataires des données, leur durée de conservation, ainsi que les modalités d’exercice de leurs droits par les personnes concernées.

A noter que, l’article 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données prévoit une exception au droit d’opposition en matière de traitement de données à caractère personnel : « à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public. ». Autrement dit, les personnes concernées par le traitement de données prévu par ce décret ne peuvent faire usage de leur droit d’opposition car il s’agit là d’une mission d’intérêt public.