AgentPublic/cnil huggingface dataset:
L’application de traçage des contacts fournit désormais des informations actualisées sur la circulation du virus et des liens vers d’autres dispositifs numériques du Gouvernement (MesConseilsCOVID, DépistageCovid, etc.). Depuis le 3 novembre 2020, l’application permet également de générer, sur le téléphone de l’utilisateur, une attestation de déplacement dérogatoire et permet à ce dernier de sélectionner une option afin de sauvegarder localement certaines de ses données (nom, date et lieu de naissance, adresse) pour faciliter de futures générations de l’attestation.
Par ailleurs, au-delà d’une communication renforcée autour de l’application TOUSANTICOVID , le Gouvernement fait évoluer sa doctrine d’usage à destination de ses utilisateurs afin de sensibiliser sur son utilisation dans des situations à risque, lorsque ces derniers ne sont pas en mesure de s’assurer du respect des gestes barrières (port du masque, respect des distanciations sociales, etc.).
Toutefois, les éléments structurants du dispositif ne sont pas impactés par les évolutions de l’application. Ainsi, le protocole ROBERT , conçu dans une logique de minimisation des données et de protection dès la conception, reste celui utilisé par l’application TOUSANTICOVID . Tout comme STOPCOVID , l’application repose sur une démarche volontaire des personnes et permet la recherche de contacts ( contact tracing ), grâce à l’utilisation de la technologie Bluetooth , sans recorir à une géolocalisation des individus.
Une vigilance particulière de la CNIL
Si la CNIL considère qu’il n’est pas opportun de règlementer les nouvelles fonctionnalités de l’application TOUSANTICOVID présentées ci-dessus9, elle restera vigilante quant aux éventuelles évolutions d’un dispositif qui a posé des questions inédites en termes de protection des données à caractère personnel et de respect de la vie privée.
Elle rappelle notamment qu’elle peut diligenter de nouveaux contrôles, si nécessaire, et qu’elle devrait se prononcer, à nouveau, si le traitement de données venait à faire l’objet de modifications substantielles.
La Commission a notamment rendu un avis en urgence le 17 décembre 2020 sur un projet de décret modifiant le décret n° 2021-650 du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID , qui ne pourra être publié qu’après publication du décret précité.
SUR LE MAINTIEN DES DISPOSITIFS AU REGARD DES PRINCIPES DE NÉCESSITÉ ET DE PROPORTIONNALITÉ
L’article 11 de la loi du 11 mai 2020 a été modifié par la loi du 14 novembre 2020 afin de permettre le maintien des systèmes d’information CONTACT COVID et SI-DEP pour la durée strictement nécessaire à l’objectif de lutte contre la propagation de l'épidémie de covid-19 ou, au plus tard, jusqu'au 1er avril 2021. Pour rappel, la durée maximale de maintien de ces traitements avait été initialement fixée par la loi au 11 janvier 2021.
La CNIL a rappelé, dans son avis du 10 septembre 2020 sur le fonctionnement des systèmes d’information Covid-19, le caractère dérogatoire des différents traitements mis en œuvre, qui ne peut être justifié que si leur utilité est suffisamment avérée au regard de l’évolution sanitaire du pays.
Elle rappelait également que les protections constitutionnelle et conventionnelle du droit au respect de la vie privée et à la protection des données à caractère personnel, assises notamment sur la Charte des droits fondamentaux de l’Union européenne et la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, imposent que les atteintes portées à ces droits par les autorités publiques soient non seulement justifiées par un motif d’intérêt général, comme cela est le cas en l’espèce, mais soient également nécessaires et proportionnées à la réalisation de cet objectif.
Elle avait ainsi regretté que le rapport du Gouvernement adressé au Parlement le 9 septembre 2020 ne fasse pas état d’éléments plus précis justifiant de la nécessité de maintenir ces traitements au regard du contexte sanitaire de l’époque. Elle a donc demandé à disposer d'indicateurs de performance des systèmes d'information déployés, afin de pouvoir mesurer leur efficacité au regard des objectifs poursuivis  et d’une grille d'analyse établie au regard d'indicateurs d'efficacité sanitaire.
La demande de la Commission a été prise en compte lors de la modification de l’article 11 de la loi du 11 mai 2020 par la loi du 14 novembre 2020 qui précise que le rapport trimestriel du Gouvernement adressé au Parlement sur l’application de ces mesures doit comprendre : des indicateurs d'activité, de performance et de résultats quantifiés adaptés aux priorités retenues .
S’agissant de l’utilité et de l’efficacité de l’application TOUSANTICOVID sur la stratégie sanitaire globale, la Commission rappelle qu’elle avait demandé, dans son avis du 25 mai 2020, que l’impact effectif du dispositif sur la stratégie sanitaire globale soit étudié et documenté par le Gouvernement de manière régulière pendant toute sa période d’utilisation. A ce titre, elle avait invité le Gouvernement, dans son avis trimestriel du 10 septembre 2020, à établir une grille d’analyse au regard d’indicateurs d’efficacité sanitaire.
En premier lieu, au-delà d’une augmentation du nombre de téléchargements de l’application depuis la sortie de la version TOUSANTICOVID , la Commission relève que le nombre d’utilisateurs se déclarant comme dépistés ou diagnostiqués à la covid-19 ainsi que celui des utilisateurs notifiés ont connu une croissance significative10. Par ailleurs, elle prend acte du fait que l’impact du changement des paramètres de notification des contacts à risque (critères de distance et de durée du contact au regard du risque de contamination11) sur le nombre d’utilisateurs notifiés est particulièrement important.
En deuxième lieu, la Commission observe que l’application a été enrichie de nouvelles fonctionnalités : information des utilisateurs sur la circulation du virus au niveau national et local ainsi que sur les mesures ou actions de promotion, de prévention et d’éducation pour la santé, orientation des utilisateurs vers d’autres outils numériques mis en œuvre pour la gestion de l’épidémie, etc. Elle considère que l’augmentation de l’adhésion de la population à l’application est susceptible de participer au renforcement de son utilité sanitaire, sous réserve de son activation.
En troisième lieu, interrogé sur ce point lors des contrôles de novembre 2020, le ministère des solidarités et de la santé a indiqué qu’une étude intitulée COVID-19 : identification des attentes en matière de numérique, les leviers au téléchargement et à l’utilisation de l’appli STOPCOVID a été publiée par la société KANTAR au mois d’août 2020. En outre, la Commission note que l’application a fait mention, à travers la fonctionnalité récente de fils d’actualités, d’une étude de l’Institut national de la santé et de la recherche médicale (INSERM) relative à l’efficacité de l’application dans la stratégie sanitaire globale publiée en octobre 2020.
La Commission en prend note et estime qu’il est indispensable de développer des initiatives et des indicateurs permettant d’évaluer pleinement l’effectivité sanitaire du dispositif dans le cadre de la lutte contre l’épidémie de covid-19. A cet égard, elle considère notamment que les métriques de l’application relatives à son efficacité (nombre d’utilisateurs déclarés positifs ainsi que ceux notifiés via l’application) pourraient être comparés avec celles des systèmes d’information CONTACT COVID et SI-DEP afin d’apprécier l’utilité du dispositif sur la stratégie sanitaire globale. En outre, il pourrait notamment être envisagé l’ajout d’une mention dans CONTACT COVID permettant d’identifier si la personne a été informée uniquement par l’application TOUSANTICOVID , ou à la fois par l’application et par les méthodes manuelles de suivi de contact.
APPRÉCIATION DE LA COMMISSION SUR LES CONDITIONS OPÉRATIONNELLES DE MISE EN ŒUVRE DES TRAITEMENTS
Conformément à ce qui avait été développé dans le cadre de la délibération du 10 septembre 202012, la Commission a continué à mener de nombreuses investigations autour des dispositifs SI-DEP et CONTACT COVID et de l’application TOUSANTICOVID .
Ces vérifications des conditions concrètes de mise en œuvre ont été effectuées dans le cadre de contrôles en ligne, sur audition, sur pièces et sur place. Ce sont en tout vingt-cinq opérations de contrôle qui ont été menées entre mai et novembre 2020 : six concernant SI-DEP , douze concernant CONTACT COVID , sept concernant TOUSANTICOVID (en incluant celles réalisées sur STOPCOVID ).
Le présent avis comporte des éléments synthétiques issus des constatations opérées par la Commission dans le cadre de la seconde phase de vérifications qui s’est déroulée de septembre à novembre 2020. Il fait également état des échanges réguliers qui ont eu lieu avec le ministère des solidarités et de la santé, la CNAM et les ARS au cours de cette période.
A. Le contrôle des fichiers SI-DEP et CONTACT COVID 
Les investigations des traitements SI‑DEP et CONTACT COVID continuent à être menées simultanément depuis le mois de septembre 2020.
Pour le traitement SI-DEP , un contrôle sur place et des investigations supplémentaires ont eu lieu depuis la publication du premier avis de la Commission, auprès de l’Assistance publique des hôpitaux de Paris (AP-HP) qui assure la mise en œuvre opérationnelle du traitement SI-DEP .
Pour le traitement CONTACT COVID , des contrôles sur audition, en ligne et sur place ont eu lieu auprès de la CNAM, d’une caisse primaire d‘assurance maladie (CPAM) et de deux ARS. Des contrôles sur pièces auprès du Conseil national de l’ordre des médecins (ci-après CNOM ) et du Conseil national de l’ordre des pharmaciens (ci-après CNOP ) ont également été menés.
Les points de vérification ont principalement porté sur :
les modalités d’information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
les modalités de conservation des données.
Le Fichier SI-DEP 
Pour rappel, le fichier SI-DEP est un système d’information national de dépistage dont le responsable est le ministre chargé de la santé (direction générale de la santé). Le fichier SI-DEP permet la centralisation des résultats des tests au coronavirus SARS-CoV-2 réalisés par des laboratoires publics ou privés ou des professionnels de santé habilités, afin de les mettre à disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées, de réaliser des enquêtes sanitaires en présence de cas groupés pour rompre les chaînes de contamination, d'orienter, de suivre et d'accompagner les personnes concernées, et de faciliter le suivi épidémiologique aux niveaux national et local et la recherche sur le virus de même que les moyens de lutter contre sa propagation.
Les opérations de contrôle du traitement SI-DEP effectuées en octobre et novembre 2020 ont principalement eu pour objet de vérifier le respect de la durée de conservation des données fixée par le décret précité, ainsi que les modalités de transmission à la plateforme des données de santé visée à l'article L. 1462-1 du code de la santé publique (dite Health Data Hub ).
Dans la continuité de ses précédentes observations, la Commission a de nouveau constaté l’importance des efforts mis en œuvre par le ministère des solidarités et de la santé et l’AP-HP pour assurer la conformité du traitement SI-DEP aux dispositions applicables. Ces efforts doivent être analysés à la lumière du volume important des données traitées (plus de 16 millions de tests réalisés entre mai et octobre 2020), en provenance de nombreuses sources, et à destination de plusieurs acteurs tels que la CNAM, Santé publique France, chacun ayant une modalité spécifique de réception des fichiers.
La délégation a ainsi constaté un niveau de conformité satisfaisant s’agissant du respect des durées de conservation des données.
Les échanges avec la direction générale de la santé ont également permis de constater que les remarques effectuées par la Commission à l’issue de la première phase de contrôle en septembre ont été prises en compte par les services concernés. Un plan d’action a été défini et est en cours de déploiement concernant la gestion de certains comptes utilisateurs et la traçabilité des accès.
Enfin, la transmission de données vers la plateforme des données de santé ayant été reportée par le Gouvernement, elle n’était pas encore effective lors des vérifications sur place menées par la Commission en octobre. Il a néanmoins été constaté que les modalités techniques de cette transmission sont déjà configurées et, à ce stade, apparaissent assurer un niveau de confidentialité des données suffisant avant que celles-ci soient communiquées à la CNAM, en charge du téléversement des données vers la plateforme.
En l’état actuel des vérifications, la Commission considère que les conditions de mise en œuvre du fichier SI-DEP n’appellent pas de mesure particulière de sa part.
Le Fichier Contact covid 
Comme annoncé par la Commission dans le cadre de son précédent avis, les contrôles opérés entre septembre et novembre 2020 ont porté sur les modalités de mise en œuvre du portail d’accès au traitement CONTACT COVID à destination des partenaires ne disposant pas d’un compte amelipro et sur l’information délivrée aux patients par les médecins et les pharmaciens sur ce fichier.
Pour rappel, le traitement CONTACT COVID permet :
aux médecins de ville/établissements de santé/centres de santé d’initier une fiche de suivi des patients zéro et de leurs cas contacts (niveau 1) ;
au personnel habilité de l’assurance maladie (ou aux personnes auxquelles cette mission est déléguée par les textes) (niveau 2) :
de compléter et d’affiner, si nécessaire, la fiche des patients zéro et la liste de leurs cas contacts ;
d’informer les cas contacts des consignes relatives à l’isolement, de tests et autres conduites à tenir ;
d’assurer le suivi, depuis septembre 2020, des chaînes de transmission en milieu scolaire ou dans une université ;
aux ARS d’assurer (niveau 3) :
leurs missions de suivi des cas contacts ;
la gestion des situations nécessitant une prise en charge spécifique. Il s’agit par exemple des chaînes de transmission, notamment dans les entreprises ou les crèches.
Sur les traitements effectués par la CNAM dans le cadre de CONTACT COVID 
A titre liminaire, il convient de souligner la bonne coopération entre la CNIL et la CNAM, et la réactivité de cette dernière. Par exemple, la CNAM a supprimé, à la demande de la CNIL, le recours jugé problématique au dispositif reCaptcha . Les vérifications effectuées ont permis de constater le déploiement d’un plan d’action qui a amélioré les modalités de mise en œuvre du traitement et corriger les mauvaises pratiques qui avaient été relevées par la Commission dans son précédent avis.
Tout d’abord, la CNAM a modifié en profondeur les conditions d’accès au portail et mis en place plusieurs profils permettant la gestion des droits au sein de l’application CONTACT COVID . L’utilisation de ces profils (super- administrateurs, administrateurs locaux et utilisateurs) est formalisée au sein d’un diaporama, dans des modes d’emploi et des guides méthodologiques à destination de chacun des profils utilisateurs.
Ensuite,
s’agissant de l’information délivrée aux patients zéro et aux cas contacts , la CNAM a organisé une réunion auprès des fédérations hospitalières afin notamment de leur rappeler que les mentions d’information relatives à CONTACT COVID devaient être affichées au public au sein des établissements de santé. Pour aller plus loin, des affichettes d’information mises à jour devaient être adressées, au cours du mois de décembre 2020, par la CNAM aux fédérations hospitalières.
Sur ce point, tout en rappelant ne pas être responsable du traitement CONTACT COVID et donc pas tenus à une obligation d’information des personnes, le CNOP et le CNOM ont tous deux procédé à une information des médecins et des pharmaciens à travers des articles diffusés sur le site web des conseils de l’ordre (renvoyant notamment aux guides pratiques présents sur le web ameli.fr). Ces contenus ont été relayés soit par l’intermédiaire des lettres électroniques d’actualité des ordres, soit au travers des réseaux sociaux des ordres (Facebook, Twitter et Linkedln).
Enfin,
la CNAM a en parallèle pris les mesures suivantes :
les guides méthodologiques à destination des acteurs intervenant à chaque niveau du dispositif ont été mis à jour à la suite de la création de comptes partenaires pour les établissements de santé et les ARS ;
les CPAM recourent systématiquement aux messageries sécurisées de santé pour transmettre des fichiers aux ARS ;
la CNAM a rappelé aux fédérations hospitalières que les fichiers de tableurs (au format Excel ) créés par les établissements de santé à destination des CPAM locales avant l’accès au portail CONTACT COVID devaient être supprimés ;
les listes des cas contacts et patients zéro identifiés au sein d’établissements scolaires de l’éducation nationale et de l’enseignement supérieur sont directement transmises aux CPAM par l’intermédiaire d’une plateforme sécurisée (sans que l’ARS serve d’intermédiaire). Les délégations de contrôle ont pu à ce titre constater au sein d’une CPAM la suppression immédiate de ces fichiers sur la plateforme ainsi que sur le répertoire réseau destiné à recevoir les fichiers précédemment mentionnés, après leur intégration dans l’outil CONTACT COVID ;
depuis le 28 juillet 2020, un système de suppression automatique des données de plus de trois mois contenues dans l’outil CONTACT COVID est mis en œuvre chaque jour. Les délégations de contrôle ont d’ailleurs pu constater l’effectivité de cette suppression lors d’un contrôle au sein d’une CPAM.
En deuxième lieu, malgré ces mesures, les vérifications effectuées ont révélé de nouvelles mauvaises pratiques.
Sur ce point, il convient au préalable de souligner que certains des dysfonctionnements constatés sont liés à l’augmentation brutale de la propagation de la covid-19 et aux adaptations qu’il a fallu effectuer en urgence pour y faire face.
En effet, entre le 10 octobre et le 9 novembre 2020, les agents de la CNAM et des CPAM locales ont en moyenne procédé à la création d’environ 120 000 fiches par jour, ce qui a nécessité la mise en œuvre dans les plus brefs délais de nouveaux modes de contact des personnes à risques et, notamment, l’information des cas contacts par l’envoi de SMS contenant un lien URL.
Parmi ces mauvaises pratiques, il a été relevé que :
les conditions d’authentification à l’outil CONTACT COVID de certains profils utilisateurs ne constituent pas une authentification forte au sens de la Politique générale des systèmes d’information de santé (PGSSI-S)13. Néanmoins, dans l’attente de la généralisation de l’authentification forte, des mesures techniques et organisationnelles ont été mises en place pour renforcer le mode d’authentification actuellement mis en œuvre pour ces profils ;
de manière isolée, certains comptes utilisateurs étaient des comptes génériques partagés par plusieurs utilisateurs, rendant plus difficile la traçabilité au sein de l’application ;
la CNAM a pris l’initiative de procéder à l’envoi d’un SMS identique aux cas contacts n’ayant pas pu être joints dans la journée de la création de leur fiche dans l’outil CONTACT COVID . Ce SMS contenait une URL raccourcie entraînant la transmission de données à caractère personnel à un tiers (la société BITLY) non habilité à héberger des données de santé. Cette pratique ponctuelle n’a duré que du 23 octobre au 2 novembre 2020.
Compte tenu de ce qui précède, la présidente de la Commission a décidé d’adresser un courrier rappelant la CNAM à ses obligations et faisant état d’une part, des mauvaises pratiques relevées et, d’autre part, des mesures à mobiliser pour y remédier.
Sur les traitements effectués par les ARS dans le cadre de CONTACT COVID 
A titre liminaire, il convient de rappeler que les ARS sont des établissements publics, autonomes moralement et financièrement, placés sous la tutelle du ministère des solidarités et de la santé14.Il a été constaté de nombreuses disparités concernant les pratiques des ARS dans le cadre de l’activité de suivi de contacts ( contact tracing ) de niveau 3.
Ainsi, les vérifications effectuées auprès d’une des ARS contrôlées ont permis de constater la mise en œuvre de nombreuses mesures pour garantir de façon optimale le respect des données des personnes par l’intermédiaire d’un outil approprié à la gestion de l’épidémie (outil hébergé par un hébergeur de données de santé sur initiative de l’ARS en question, suppression automatique des données signalées depuis plus de trois mois, etc.).
A l’inverse, la Commission a constaté plusieurs manquements à l’égard d’un logiciel de suivi des patients zéro et des cas contacts développé spécifiquement par une ARS. Cet outil a pour finalité l’investigation et le suivi épidémiologique des cas confirmés de covid-19 et des cas contacts, en vue d’identifier les chaînes et cas groupés de contamination et de prendre les mesures destinées à limiter la propagation de l’épidémie. Ce traitement utilise des données à caractère personnel provenant de CONTACT-COVID et des données issues de l’entretien téléphonique avec la personne concernée.
Si le décret n° 2020-551 du 12 mai 2020 modifié a implicitement autorisé l’ensemble des traitements, mis en œuvre notamment par les ARS, aux fins de lutter contre la propagation de l’épidémie de covid-19, ce décret ne les réglemente pas en détail et vise essentiellement la mise en œuvre du système d’information CONTACT COVID , résultant de l’adaptation d’amelipro. Dès lors, s’il doit être regardé comme autorisant la mise en œuvre de traitements de données à caractère personnel aux fins d’enquêtes sanitaires par les ARS, le décret n° 2020-551 du 12 mai 2020 modifié ne réglemente pas le traitement mis en œuvre spécifiquement par l’ARS via son logiciel de suivi des patients zéro et des cas contacts.
Cet outil est défini et mis en œuvre sous la seule responsabilité de cette ARS et est donc soumis aux dispositions du RGPD, de la loi informatique et libertés et de la loi n° 2020-546 du 11 mai 2020 modifiée qui l’autorise. Comme l’indique l’article 14 du décret n° 2020-551 du 12 mai 2020, les traitements mis en œuvre par les ARS le sont sur le fondement de l’article 67 de la loi du 6 janvier 1978, qui dispense d’autorisation préalable les traitements de données de santé mis en place par certains organismes pour répondre à une situation d’urgence sanitaire.
S’agissant de cet outil, la délégation a constaté certains manquements :
Un manquement à l’obligation de respecter une durée de conservation des données proportionnée à la finalité du traitement : s’il ressort du contrôle sur place qu’une politique de durées de conservation des données est en cours d’élaboration par l’ARS, il a néanmoins été constaté en pratique qu’elle conserve sans restriction de durée les données contenues dans le logiciel spécifiquement développé depuis la date de la mise en œuvre de l’activité de suivi de contacts de niveau 3. L’ARS a également indiqué ne pas procéder à un archivage intermédiaire des données.