[Brèves] Avis de la CNIL sur les conditions de mise en œuvre du passe sanitaire

► Par sa délibération n° 2021-067 du 7 juin 2021, la CNIL s’est prononcée sur les modalités de mise en œuvre du passe sanitaire conditionnant certains déplacements ainsi que l’accès à certains lieux publics recevant de grands rassemblements de personnes ; elle recommande que la durée et le périmètre d’application du passe sanitaire soient clairement définis, notamment concernant les lieux, établissements et évènements visés ainsi que les personnes concernées par l’obligation de présenter un passe sanitaire.

Le contexte. Le 12 mai dernier, la CNIL a rendu un premier avis sur le principe du passe sanitaire (CNIL, délibération n° 2021-054, 12 mai 2021 N° Lexbase : X8849CMP ; lire M.-L. Hardouin-Ayrinhac, Lexbase Droit privé, mai 2021, n° 865 N° Lexbase : N7504BYL).

Dans son avis du 7 juin 2021, elle se prononce sur les conditions de sa mise en œuvre.

Le mercredi 9 juin 2021, dans le cadre de la troisième phase de déconfinement, le Gouvernement déploie le passe sanitaire, dont le principe et un certain nombre de garanties ont été prévus par la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire (N° Lexbase : L6718L4L ; lire La Rédaction Lexbase, Lexbase Public, juin 2021, n° 628 N° Lexbase : N7722BYN).

Pour rappel, le passe sanitaire doit permettre de limiter le risque de contamination en conditionnant certains déplacements ainsi que l’accès à certains lieux, établissements et évènements à la présentation d’un des trois justificatifs suivants :

• un test de dépistage à la Covid-19 négatif ; ou
• une attestation de vaccination ; ou
• un certificat de rétablissement à la suite d’une contamination antérieure à la Covid-19.

Le passe aura deux fonctions :

• le passe sanitaire « activités » doit permettre la reprise de diverses activités interrompues en raison de la crise sanitaire et la réouverture des lieux fermés impliquant de grands rassemblements de personnes (à partir de 1 000 personnes) ;
• le passe sanitaire « frontières », mis en œuvre dans le cadre du futur certificat numérique Covid de l’Union européenne, qui entrera en vigueur le 1^er juillet prochain (Contrôleur européen de la protection des données, communiqué de presse, 6 avril 2021 ; lire M.-L. Hardouin-Ayrinhac, Lexbase Droit privé, avril 2021, n° 862 N° Lexbase : N7213BYS). Il doit permettre de faciliter la libre circulation au sein de l’Union européenne.

Le périmètre du passe sanitaire

• Les lieux, établissements et évènements concernés par le passe sanitaire

La CNIL relève que les lieux concernés par le passe sanitaire (salles de spectacles sportifs ou culturels, les établissements sportifs de plein air, etc.), dont la liste est désormais précisée dans le décret n° 2021-724 du 7 juin 2021 (N° Lexbase : L7712L4E), ne concernent pas les activités de la vie courante (restaurants, lieux de travail, commerces, etc.) et ne sont pas liés à certaines manifestations habituelles de libertés fondamentales, conformément à ses recommandations du 12 mai 2021.

• Les personnes concernées par l’obligation de présentation du passe sanitaire

La CNIL a invité le Gouvernement à délimiter, dans le projet de décret dont elle a été saisie, les personnes visées par l’obligation de présentation des justificatifs prévus par la loi.

Le décret précise que le passe sanitaire « activités » s’applique aux mineurs âgés d’au moins onze ans.

Concernant le passe sanitaire « activités », la CNIL avait invité le Gouvernement à préciser explicitement que celui-ci ne concernera pas les salariés, les organisateurs et les professionnels qui se produisent dans les lieux concernés.

Le fonctionnement de l’application « TousAntiCovid Verif ». Le contrôle du passe sanitaire doit se faire par les personnes habilitées à contrôler les justificatifs, au moyen de l’application mobile « TousAntiCovid Verif ».

Conformément au principe de minimisation des données, les personnes habilitées à contrôler les justificatifs à l’aide de l’application « TousAntiCovid Verif » n’auront accès qu’aux seuls noms, prénoms et date de naissance de la personne concernée ainsi qu’au résultat positif ou négatif de détention d’un justificatif conforme.

La CNIL rappelle toutefois qu’il est possible, pour une personne mal intentionnée, d’accéder à l’intégralité des données personnelles intégrées aux codes QR présents sur les justificatifs, y compris des données de santé. Elle a invité le Gouvernement à mettre en place des mesures d’informations afin de sensibiliser le public sur la nécessité de protéger leurs justificatifs et de ne pas les exposer en dehors des contrôles prévus par le passe sanitaire (ne pas présenter les justificatifs dans des lieux qui ne sont pas concernés par le passe sanitaire, ne pas les publier sur les réseaux sociaux, etc.).

La CNIL rappelle qu’aucune donnée personnelle ne devra être conservée ni par le serveur central ni par l’application « TousAntiCovid Verif » à l’issue de la vérification du justificatif.

Les autres observations de la CNIL. Compte tenu de la sensibilité du dispositif, la CNIL a également formulé, dans cet avis, plusieurs recommandations complémentaires parmi lesquelles :

• la mention, dans le décret, des catégories de données personnelles présentes sur les justificatifs (similaires à celles prévues par la proposition de règlement relatif au certificat numérique européen Covid) ;
• la nécessité de s’assurer que le format papier des justificatifs puisse permettre aux personnes concernées de ne présenter que les données nécessaires au contrôle de leur passe sanitaire (par exemple, en indiquant clairement les consignes de pliage de manière visible sur les attestations ou en fournissant un second document, par l’intégration d’une information claire sur les justificatifs, etc.) ;
• la publication du code source de l’application « TousAntiCovid Verif » ;
• la CNIL a par ailleurs formulé des recommandations sur l’évolution de l‘architecture technique du dispositif.

Durée du passe sanitaire. Le passe sanitaire sera en vigueur jusqu’au 30 septembre 2021.

© Reproduction interdite, sauf autorisation écrite préalable