La CNIL rend son avis sur les récentes évolutions de l’application TousAntiCovid

Le contexte

La CNIL s’est prononcée en urgence, le 2 décembre 2021, sur un projet de décret modifiant TousAntiCovid. Celui-ci vise à faire évoluer les conditions de mise en œuvre des traitements de données de l'application TousAntiCovid.

L’évolution principale a notamment pour objectif de permettre l’affichage de notifications sanitaires ciblées dans l’application. Cette évolution est justifiée par les récentes annonces du gouvernement concernant la nécessité, pour conserver un passe sanitaire valide, d’effectuer pour certaines personnes un rappel vaccinal. La durée de validité des tests de dépistage a également été réduite (24 h au lieu de 72 h).

L’avis de la CNIL sur les évolutions de l’application

Le projet de décret doit permettre l’utilisation des données contenues dans les certificats composant le passe sanitaire afin d’afficher aux utilisateurs :

• des recommandations sanitaires ciblées (par exemple, l’attitude à tenir pour les personnes ayant intégré le résultat positif d’un examen de dépistage à la COVID-19) ;
• l’information sur les mesures à prendre afin de bénéficier d’un passe sanitaire valide (par exemple, en informant les personnes adultes de la nécessité d’une troisième dose afin de bénéficier d’un schéma vaccinal complet).

La CNIL souligne que cette utilisation de données constitue un changement important de la fonctionnalité « Carnet » de l’application TousAntiCovid qui ne permettait, jusqu’à présent, que le stockage du passe sanitaire.

Elle relève que le fonctionnement apporte plusieurs garanties de nature à en assurer la proportionnalité :

• les données nominatives (nom, prénoms) doivent uniquement permettre de détecter quels certificats sont concernés par la recommandation ciblée lorsque l’utilisateur a intégré plusieurs certificats (famille, proches, etc.) au sein de l’application ;
• la lecture des données du passe sanitaire se fera sur le terminal de l’utilisateur sans qu’aucune donnée ne soit collectée, à cette fin, en dehors de l’application ;
• les données ne seront pas associées avec d’autres traitements de données, notamment ceux mis en œuvre dans le cadre des différentes fonctionnalités de l’application.

Par ailleurs, la CNIL rappelle que les personnes doivent être informées que leurs données personnelles sont utilisées pour l’affichage de notifications sanitaires personnalisées et pouvoir s’y opposer. Le ministère de la Santé devra s’assurer de l’effectivité de ce droit.

Des dispositifs prolongés jusqu’au 31 juillet 2022

La prolongation de l’application est cohérente avec la durée prévue pour les autres dispositifs mis en œuvre pour la gestion de la crise sanitaire (notamment le passe sanitaire, Contact-COVID et SI-DEP) qu’elle a vocation à compléter.

Cependant, la CNIL rappelle la nécessité d’évaluer l’efficacité des dispositifs numériques mis en place afin de lutter contre la COVID-19. En effet, une telle évaluation, qui reste une condition pour utiliser ces dispositifs, doit également permettre de s’assurer que le recours à ceux-ci prendra fin dès que la situation sanitaire ne le justifiera plus.