Passe sanitaire : l'avis de la CNIL sur les évolutions de la loi de gestion de la crise sanitaire

À la demande du gouvernement, la Commission nationale de l'informatique et des libertés (CNIL) s'est prononcée sur l'extension du passe sanitaire, le fichier Système d'Information de DEPistage (SI-DEP) et le système d’information pour la gestion et le suivi des vaccinations.

Un restaurateur, de l'Île Rousse en Corse, vérifie le certificat Covid de ses clients avant de les installer dans son établissement.
La CNIL préconise la conservation temporaire des données limitée au seul résultat de la lecture du passe, conformément au principe de minimisation des données. © Pascal Pochard-Casabianca/AFP

Globalement validée par le Conseil constitutionnel, la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire prévoit :

  • une extension du passe sanitaire ;
  • l'allongement des délais de conservation des données du fichier contenant la centralisation des tests de dépistage (SI-DEP) pour permettre la production des certificats de rétablissement ;
  • l'accès des agences régionales de santé (ARS) aux données relatives à la vaccination des professionnels placés sous leur contrôle.

La Commission nationale de l'informatique et des libertés (CNIL) a été saisie par le Gouvernement sur les projets de décret d'application de la loi. Elle a rendu son avis le 6 août 2021 et l'a rendu public le 9 août 2021. La CNIL rappelle que le contexte sanitaire peut justifier des mesures exceptionnelles uniquement si elles restent limitées dans le temps et si elles sont nécessaires pour lutter contre le rebond épidémique et éviter un nouveau confinement. La commission juge essentiel que "l’impact des différents dispositifs numériques sur la stratégie sanitaire globale soit étudié et documenté régulièrement".

L'évolution des modalités du contrôle du passe sanitaire, notamment par des lecteurs "alternatifs"

Le décret n° 2021-1059 du 7 août 2021 dispose que tout dispositif de lecture autre que "TousAntiCovid Vérif" "répondant à des conditions fixées par un arrêté des ministres chargés de la santé et du numérique" est également admis.

La CNIL a fait les préconisations suivantes :

  • dans un contrôle en amont, le gouvernement doit s'assurer que les dispositifs de lecture alternatifs à l’application TousAntiCovid Vérif respectent les conditions fixées par arrêté du ministre chargé de la santé avant utilisation par les acteurs en charge du contrôle (vérification de l’absence de transfert illicite de données en dehors de l’Union européenne, sécurité et transparence du dispositif) ;
  • l'accès élargi aux données devrait être limité aux déplacements à l’étranger ;
  • la conservation temporaire des données limitée devrait se limiter au seul résultat de la lecture du passe, conformément au principe de minimisation des données.

Les modifications du passe sanitaire et le "convertisseur de certificats" mis en place en cas de vaccination en dehors de l'Union européenne nécessitent de sécuriser l’envoi des informations nécessaires à la génération du certificat au format européen, notamment si le "convertisseur de certificats" fait intervenir un prestataire basé aux États-Unis.

La durée de conservation des données et l’accès des ARS aux données de vaccination

L'allongement de la durée de conservation des données dans le système d’information de dépistage (SI-DEP) des personnes testées positives à la Covid-19 jusqu’à six mois après leur collecte, acté par le législateur et repris dans le projet de décret, n'appelle pas de commentaire de la part de la CNIL.

Le contrôle de l’obligation vaccinale des professionnels par les ARS constituant une dérogation au secret médical prévue par la loi, elle requiert un certain nombre de garanties, dont :

  • le respect de la compétence territoriale et matérielle des ARS ;
  • la gestion des habilitations d’accès des agents des ARS ;
  • la mention par le décret d'une liste précisant les catégories de données qui seront transmises ainsi que leur durée de conservation par les ARS.