La CNIL rend son avis sur la prolongation de l’application « TousAntiCovid »

Le contexte

Le 26 juillet 2022, le Parlement a voté la loi mettant fin aux régimes d'exception créés pour lutter contre l'épidémie liée à la COVID-19 (ou loi mettant fin à l’état d’urgence sanitaire). Publiée le 31 juillet 2022, cette loi a notamment pour objectifs de :

• prolonger les deux outils de suivi de l’épidémie, afin de maintenir un dispositif de veille et de sécurité sanitaire : le système d’information Contact Covid (suivi de cas contacts) est prolongé jusqu’au 31 janvier 2023 et le système d’information SI-DEP (suivi des dépistages), jusqu’au 30 juin 2023 ;
• permettre au gouvernement, sous certaines conditions, de prévoir un contrôle sanitaire aux frontières en cas « d'apparition et de circulation d'un nouveau variant de la COVID-19 susceptible de constituer une menace sanitaire grave », ainsi qu’en cas de « risque de saturation du système de santé » de l'une des collectivités d’outre-mer.

La CNIL a été saisie, pour avis, d’un projet de décret d’application de cette loi visant à prolonger la mise en œuvre du traitement de l’application TousAntiCovid.

Ce décret a été publié le 31 juillet 2022 dans sa version définitive.

Rappel des différentes fonctionnalités de TousAntiCovid

L’application TousAntiCovid comprend différentes fonctionnalités :

• la fonction de suivi des contacts par Bluetooth permettant l’information des personnes lorsqu’elles présentent un risque d’avoir été contaminées à la COVID-19 en raison d’un contact avec une personne contaminée qui s’est déclarée comme telle dans l’application ;
• la fonction de cahier de rappel numérique qui vise à alerter les utilisateurs de l’application lorsqu'elles ont été présentes dans un établissement recevant du public en même temps qu’une ou plusieurs personnes ultérieurement diagnostiquées ou dépistées positives à la COVID-19 ;
• la fonction « Carnet » permettant le stockage et la génération des certificats officiels, intégrés par l’utilisateur, conformément au format européen prévu par le règlement relatif au certificat COVID numérique de l’Union européenne ;
• l’accès à des informations sanitaires relatives à un lieu d'intérêt (identifié par le code postal) ;
• l'affichage de recommandations sanitaires ciblées.

L’avis de la CNIL sur la prolongation de l’application

La CNIL considère que la prolongation de la durée de mise en œuvre des différentes fonctionnalités du traitement « TousAntiCovid », à l’exception du cahier de rappel numérique, est justifiée, à condition – notamment – qu’elle soit cohérente avec le délai de prolongation des traitements SI-DEP et Contact Covid. À cet égard, la version définitive du décret, publiée le 31 juillet, prévoit la prolongation des fonctionnalités du traitement, à l’exception du cahier de rappel numérique, jusqu’au 31 janvier 2023.

La CNIL rappelle également que :

• la prolongation de la fonctionnalité « Carnet » de l’application TousAntiCovid est justifiée, dans la mesure où elle permet la conversion et le stockage sécurisés des certificats sanitaires, susceptibles d’être requis par la France pour certains déplacements ou par d’autres pays européens lors des contrôles aux frontières ;
• la prolongation de la fonctionnalité de suivi de contact par Bluetooth est justifiée, en dépit de son utilité marginale, dans la mesure où elle a peu de conséquences sur les libertés individuelles et est fondée uniquement sur le volontariat. Elle a rappelé les recommandations émises dans le cadre de son cinquième avis adressé au Parlement sur les conditions de mise en œuvre des dispositifs contre la COVID-19, selon lesquelles cette fonctionnalité ne devrait pas être utilisée de manière autonome, mais en complément d’une forte mobilisation des enquêteurs sanitaires.

La prolongation des autres fonctionnalités de l’application TousAntiCovid ne pose pas de difficultés au regard de la protection des données personnelles, compte-tenu des garanties mise en œuvre (les données sont stockées uniquement sur le smartphone de l’utilisateur).

En revanche, la prolongation de la fonction de cahier de rappel numérique n’est pas justifiée puisque le gouvernement, dans son rapport d’évaluation de l’application « TousAntiCovid », relève que son utilisation limitée n’a pas permis d’en tirer les conclusions nécessaires quant à son utilité sanitaire. Cette fonctionnalité n’est pas prolongée par la version définitive du décret et a donc pris fin le 31 juillet 2021. 

Enfin, la CNIL a réitéré les messages émis dans le cadre de son cinquième avis concernant l’évaluation des dispositifs de lutte contre la COVID-19. Elle a rappelé la nécessité d’évaluer tous les dispositifs numériques mis en œuvre dans le cadre de la gestion de l'épidémie et a invité le gouvernement à poursuivre l’évaluation du dispositif de suivi des contacts ainsi qu’à lui transmettre celle relative au dispositif de passe sanitaire.