La loi du 11 mai 2020, qui prolonge l'état d'urgence sanitaire jusqu'au 10 juillet 2020 inclus, précise également les dispositions relatives à la création d'un système d'information « aux seules fins de lutter contre l'épidémie de Covid-19 ».

La loi indique qu'aux seules fins de lutter contre la propagation de l'épidémie de Covid-19 et pour la durée strictement nécessaire à cet objectif ou pour une durée de six mois maximum à compter de la fin de l'état d'urgence sanitaire, des données à caractère personnel concernant la santé relatives aux personnes atteintes par le Covid-19 et aux personnes ayant été en contact avec elles peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées, dans le cadre d'un système d'information créé par décret en Conseil d'État et mis en oeuvre par le ministre de la Santé.

Le ministre chargé de la santé, l'Agence nationale de santé publique, un organisme d'assurance maladie et les agences régionales de santé peuvent, aux mêmes fins et pour la même durée, être autorisés par décret en Conseil d'Etat à adapter les systèmes d'information existants et à prévoir le partage des mêmes données. Les données à caractère personnel collectées par ces systèmes d'information ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte.

Les données à caractère personnel concernant la santé sont strictement limitées au statut virologique ou sérologique de la personne à l'égard du Covid-19 ainsi qu'à des éléments probants de diagnostic clinique et d'imagerie médicale, précisés par un décret en Conseil d'État. Sont exclus de ces finalités le développement ou le déploiement d'une application informatique à destination du public et disponible sur équipement mobile permettant d'informer les personnes du fait qu'elles ont été à proximité de personnes diagnostiquées positives au Covid-19.

Les communautés professionnelles territoriales de santé, les établissements de santé, sociaux et médico-sociaux, les équipes de soins primaires, les dispositifs d'appui à la coordination des parcours de santé complexes, les dispositifs spécifiques régionaux participent notamment à la mise en oeuvre de ces systèmes d'information et peuvent, dans la stricte mesure où leur intervention sert les finalités du dispositif, avoir accès aux seules données nécessaires à leur intervention. Les personnes ayant accès à ces données sont soumises au secret professionnel. En cas de révélation d'une information issue des données collectées dans ce système d'information, elles encourent des sanctions pénales.