Tous Anti Covid - Carnet : quelles garanties à respecter ?

Le 19 avril 2021, le ministère des Solidarités et de la Santé a déployé une nouvelle fonctionnalité dénommée « Tous Anti Covid – Carnet », intégrée à l’application « Tous Anti Covid », qui s’inscrit dans le cadre des travaux européens autour du « certificat vert numérique ».

Il s’agit d’un « carnet » numérique permettant de stocker, de manière électronique, les certificats de résultats de tests (PCR et antigéniques) ainsi que, prochainement, les certificats de vaccination afin de « favoriser les déplacements nécessitant un contrôle sanitaire […] notamment lors des passages aux frontières ». Son fonctionnement est détaillé dans la FAQ dédiée à l’application (rubrique « Carnet de tests »).

Les services de la CNIL ont été sollicités sur les aspects techniques du dispositif afin de garantir que celui-ci soit respectueux du droit à la protection des données personnelles et de la vie privée des personnes. La CNIL a ainsi pu partager ses recommandations quant aux garanties à apporter, notamment pour assurer la sécurité et la confidentialité des données.

La CNIL rappelle que le caractère volontaire de l’usage de « TousAntiCovid » et, donc, de sa fonctionnalité « Carnet de tests » doit rester une garantie essentielle du dispositif. L’utilisation de cette application ne peut donc constituer une condition à la libre circulation des personnes.

Elle constate, à cet égard, que le stockage des preuves certifiées des tests (PCR ou antigéniques) et des certificats de vaccination dans « TousAntiCovid » n’est pas obligatoire. Ces preuves peuvent également être présentées en version papier remise en main propre par les personnels de santé et les laboratoires, imprimé directement par les personnes ou présenté de manière numérique, en dehors de l’application, dès lors que la plateforme dédiée propose un document PDF contenant un code Datamatrix, similaire à un QR-code.

Cette nouvelle fonctionnalité doit, à ce stade, uniquement permettre « de favoriser les déplacements nécessitant un contrôle sanitaire ». En pratique, les premières expérimentations annoncées par le Gouvernement seront limitées aux vols à destination de la Corse puis, dans un second temps, vers l’Outre-mer. Ces expérimentations permettront de tester la technologie et de définir la meilleure utilisation de l’outil par les passagers et le personnel en charge de la vérification de ces certificats, avant le déploiement sur l’ensemble des vols vers les pays de l’Union européenne.

Plus généralement, s’agissant des réflexions autour d’un éventuel « pass sanitaire » permettant de réguler l’accès à certains lieux, la CNIL souligne que cela poserait de nombreuses questions juridiques, techniques et sociétales, notamment sur la proportionnalité d’un tel dispositif. Le Collège de la CNIL restera vigilant quant à l’éventuel déploiement d’un tel système. Il serait, en tout état de cause, amené à se prononcer s’il était proposé par le Gouvernement.

La CNIL a rappelé que cette nouvelle fonctionnalité doit notamment respecter les garanties suivantes :
– l’utilisateur doit pouvoir en garder le contrôle ;
– le certificat doit être accessible également au format papier ;
– les données doivent être exactes, certifiées par une autorité et leur intégrité doit être garantie ;
– les données contenues dans le certificat doivent être limitées à ce qui est nécessaire (principe de minimisation) ;
– les autorités qui vérifieront le Datamatrix ne doivent pas avoir accès aux données de santé qui ont permis sa délivrance et ne doivent, en aucun cas, générer la création d’une base centralisée de données ;
– des mesures de sécurité doivent être apportées (données chiffrées, intégrité vérifiée, audits des systèmes
d’information, etc.).

Afin d’assurer que les droits et libertés des personnes soient respectés, la CNIL est attentive aux modalités concrètes d’implémentation d’un tel système, temporaire, et, notamment, à l’usage qui en sera fait. Elle rappelle qu’elle peut diligenter de nouveaux contrôles, le cas échéant, pour s’assurer que les garanties nécessaires sont respectées.

Réf. : CNIL, communiqué de presse, 22 avril 2021.

Pour aller plus loin :
– v. ministère de l’Economie, des Finances et de la Relance, communiqué de presse, 19 avril 2021 ;
– v. M.-L. Hardouin-Ayrinhac, Certificat vert numérique : adoption d’un avis conjoint par le CEPD et le Contrôleur européen de la protection des données sur la proposition de règlement, Lexbase Droit privé, avril 2021, n° 862 (N° Lexbase : N7213BYS).