Pass sanitaire COVID : la CNIL reste méfiante

Alors que le texte prévoyant l’instauration d’un pass sanitaire COVID a été adopté en première lecture à l’Assemblée Nationale, la Commission Informatique et Libertés (CNIL) a rendu un avis sur ce projet le 12 mai 2021, après avoir été saisi par le gouvernement.

Comment va fonctionner le pass sanitaire ?   Pour voyager à l’étranger ou intégrer des lieux accueillant plus de 1000 personnes, il faudra prouver que l’on n’est pas contaminé par la COVID 19 soit : En format numérique, via l’application téléphone TousAntiCovid Il conviendra de renseigner ces attestations de vaccination ou de test PCR dans l’onglet carnet de l’application. Une fois constitué, ce carnet génèrera un QRCode à scanner. En format papier, il faudra présenter l’attestation de vaccination ou de testPCR négatif ;   Ce QRCode ou ces attestations papiers seront à scanner sur une borne ou à présenter aux organisateurs.

Le pass sanitaire sera donc utilisé pour voyager et accéder à des rassemblements ou des événements de plus de 1000 personnes à partir du 9 juin 2021. Les organisateurs de ces évènements et les « les autorités en charge du contrôle sanitaire aux frontières et le personnel des compagnies aériennes habilitées » sont concernées par cette nouveauté uniquement.

Ce pass « ne sera exigé que dans les situations où le brassage du public est plus à risque au plan sanitaire. À ce titre, il s’appliquera au-delà de 1 000 personnes, dans le respect par ailleurs des jauges limites. ». Les autorités publiques pourront donc collecter et traiter des données personnelles, comme le nom, le prénom, la date de naissance, si un test antigénique, un vaccin ou non a été réalisé par la personne détenteur du pass.

Les organisateurs privés d’évènements pourront en revanche uniquement savoir si oui – ou non le participant pourra intégrer l’évènement. Ces organisateurs n’auront pas accès à l’attestation de vaccination ou de test PCR négatif.

De fait, le dispositif est susceptible de révéler à des tiers des données concernant la santé, bénéficiant d’un régime de protection spécifique prévu par le Règlement général sur la protection des données (RGPD), par la loi « Informatique et Libertés » et, en fonction des usages prévus, par les dispositions spécifiques du code de la santé publique.

Après avoir souligné « le caractère sensible et inédit du dispositif envisagé, qui vise à conditionner l’accès à certains lieux, établissements ou événements à la présentation de la preuve de l’état de santé des personnes », la CNIL « alerte sur le risque de créer un phénomène d’accoutumance préjudiciable qui pourrait conduire à justifier, par exemple, que l’accès à un cinéma soit conditionné à la preuve que la personne n’est pas porteuse de certaines pathologies, autres que la COVID. ».

Elle considère ainsi que ce dispositif porte atteinte « non seulement au droit à la vie privée des personnes concernées, mais également à d’autres droits et libertés fondamentaux, tels que la liberté d’aller et venir, la liberté d’entreprendre ou encore la liberté de consentir à un traitement médical ou à subir un acte médical. ».

Elle rappelle que la protection des données personnelles « impose que les atteintes portées (…) par les autorités publiques soient non seulement justifiées par un motif d’intérêt général mais soient également nécessaires et proportionnées à la réalisation de cet objectif. »

Par conséquent, si elle estime que « la crise sanitaire actuelle semble pouvoir justifier la mise en œuvre d’un tel dispositif », elle a précisé que les dispositions légales devront être précisées et surtout prévoir :

• la portée et l’étendue du traitement des données à caractère personnel ;
• le ou les responsables du traitement de données à caractère personnel, quid du partage des responsabilités entre les différents acteurs intervenant sur le dispositif , entre autre, ceux qui peuvent accéder à ce pass, et ceux qui vérifient les preuves ?
• les garanties nécessaires pour prévenir les discriminations et les abus, en tenant

compte des risques pour les droits et libertés des personnes concernées, tels que

l’absence de conservation des données dans le cadre du processus de vérification et l’absence de possibilité de réutilisation des données à d’autres fins ;

• la durée du dispositif ;
• un moyen légal de prévoir la destruction des preuves stockées dans les applications des utilisateurs.

Le Conseil constitutionnel a pour sa part validé le 31 mai 2021 ce projet de pass sanitaire, jugeant « que, pour éviter les griefs sur le respect du droit à la vie privée, les autorités doivent exclure les coordonnées de contact téléphonique ou électronique des intéressés du système national des données de santé ».

Retrouvez l’article d’Anne Marie Pecoraro, associée du cabinet UGGC Avocats « Covid 19 from the EU : the health wihout borders : health data processing outsite hospitals » .

Le Cabinet UGGC Avocats et son équipe spécialisée en droit des données personnelles se tiennent à votre disposition pour toute question que vous pourriez avoir à ce sujet.

Par l’équipe IP/IT du Cabinet UGGC Avocats

Source : CNIL