La CNIL précise les garanties que doit respecter la fonctionnalité TousAntiCovid-Carnet

Le 19 avril 2021, le ministère des Solidarités et de la Santé a déployé une nouvelle fonctionnalité dénommée TousAntiCovid-Carnet qui s’inscrit dans le cadre des travaux européens autour du « certificat vert numérique ».

Il s’agit d’un « carnet » numérique permettant de stocker, de manière électronique, les certificats de résultats de tests (PCR et antigéniques) ainsi que, prochainement, les certificats de vaccination. Son fonctionnement est détaillé dans la FAQ dédiée à l’application (rubrique « Carnet de tests »).

Les services de la CNIL ont été sollicités sur les aspects techniques du dispositif afin de garantir que celui-ci soit respectueux du droit à la protection des données personnelles et de la vie privée des personnes. La CNIL a ainsi pu partager ses recommandations quant aux garanties à apporter, notamment pour assurer la sécurité et la confidentialité des données.

Une utilisation toujours basée sur le volontariat

La CNIL rappelle que le caractère volontaire de l’usage de TousAntiCovid et, donc, de sa fonctionnalité « Carnet de tests » doit rester une garantie essentielle du dispositif. L’utilisation de cette application ne peut donc constituer une condition à la libre circulation des personnes.

Elle constate, à cet égard, que le stockage des preuves certifiées des tests (PCR ou antigéniques) et des certificats de vaccination dans TousAntiCovid n’est pas obligatoire. Ces preuves peuvent également être présentées en version papier remise en main propre par les personnels de santé et les laboratoires, imprimé directement par les personnes ou présenté de manière numérique, en dehors de l’application, dès lors que la plateforme dédiée propose un document PDF contenant un code Datamatrix, similaire à un QR-code.

Une utilisation limitée à certains déplacements

Cette nouvelle fonctionnalité doit, à ce stade, uniquement permettre « de favoriser les déplacements nécessitant un contrôle sanitaire ». En pratique, les premières expérimentations annoncées par le Gouvernement seront limitées aux vols à destination de la Corse puis, dans un second temps, vers l’Outre-mer.

Plus généralement, s’agissant des réflexions autour d’un éventuel « pass sanitaire » permettant de réguler l’accès à certains lieux, la CNIL souligne que cela poserait de nombreuses questions juridiques, techniques et sociétales, notamment sur la proportionnalité d’un tel dispositif. Le Collège de la CNIL restera vigilant quant à l’éventuel déploiement d’un tel système. Il serait, en tout état de cause, amené à se prononcer s’il était proposé par le Gouvernement.

Des garanties nécessaires pour les personnes

La CNIL a rappelé que cette nouvelle fonctionnalité doit notamment respecter les garanties suivantes :

• l’utilisateur doit pouvoir en garder le contrôle ;
• le certificat doit être accessible également au format papier ;
• les données doivent être exactes, certifiées par une autorité et leur intégrité doit être garantie ;
• les données contenues dans le certificat doivent être limitées à ce qui est nécessaire (principe de minimisation) ;
• les autorités qui vérifieront le Datamatrix ne doivent pas avoir accès aux données de santé qui ont permis sa délivrance et ne doivent, en aucun cas, générer la création d’une base centralisée de données ;
• des mesures de sécurité doivent être apportées (données chiffrées, intégrité vérifiée, audits des systèmes d’information, etc.).

Une attention particulière de la CNIL

Afin d’assurer que les droits et libertés des personnes sont respectés, la CNIL est attentive aux modalités concrètes d’implémentation d’un tel système, temporaire, et, notamment, à l’usage qui en sera fait.

Elle rappelle qu’elle peut diligenter de nouveaux contrôles, le cas échéant, pour s’assurer que les garanties nécessaires sont respectées.