AgentPublic/cnil huggingface dataset:
En dernier lieu, la Commission considère que le ministère devra renforcer significativement ses efforts de pédagogie à l'égard des professionnels afin de s'assurer du respect des obligations qui leur sont imposées par les textes, et notamment de l'utilisation de l'application TousAntiCovid Verif ou d'un dispositif de lecture conforme aux conditions fixées par arrêté. A cet égard, il a été porté à l'attention de la Commission que l'application TousAntiCovid pouvait être utilisée, par erreur, pour contrôler le passe sanitaire. L'application TousAntiCovid n'est pas, contrairement à TousAntiCovid Verif, un dispositif de lecture du passe sanitaire et ne devait, en aucun cas, être utilisée dans le cadre des opérations de contrôle dès lors qu'elle permettrait un accès illégitime aux données et une conservation illicite des justificatifs. Elle demande au ministère d'identifier des solutions techniques et fonctionnelles, en complément d'une sensibilisation des professionnels concernés telle qu'évoquée ci-dessus, afin de minimiser considérablement le risque d'erreur. En outre, s'agissant de la possibilité de vérifier que le détenteur du passe sanitaire est légitime, la Commission considère que le contrôleur ne devrait pouvoir exiger d'informations supplémentaires qu'en cas de doute fondé sur des éléments objectifs.
Sur l'élargissement des données accessibles aux personnes ou services habilités à contrôler le passe sanitaire dans le cadre de certains déplacements
L'article 1er du projet de décret vient modifier le paragraphe III de l'article 2-3 du décret n° 2021-699 du 1er juin 2021 afin d'élargir les données auxquelles auront accès les personnels et les services habilités pour le contrôle du passe sanitaire requis en application du 1° du A du II de l'article 1er de la loi du 31 mai 2021 telle que modifiée par la loi n° 2021-1040 du 5 août 2021.
En effet, alors que le décret actuellement en vigueur ne prévoit qu'un accès limité aux noms, prénoms, date de naissance de la personne concernée ainsi qu'au résultat positif ou négatif de détention d'un justificatif conforme, les dispositions visées ci-dessus prévoient désormais que ces acteurs accéderont également aux informations relatives à l'examen de dépistage ou au vaccin réalisé.
La Commission relève qu'une telle extension est permise par la loi relative à la gestion de la crise sanitaire, à condition que l'accès à ces données soit strictement nécessaire pour le contrôle du passe sanitaire dans ce contexte. La Commission précise que les dispositions concernées de la loi et du projet de décret doivent s'entendre, selon elle, comme désignant l'accès direct aux données par les personnes physiques contrôlant le passe sanitaire : dans tous les cas, l'ensemble des données est lu et traité par les outils informatiques utilisés pour le contrôle.
Elle prend acte des précisions du ministère selon lesquelles ces évolutions législatives et règlementaires sont liées au fait que les opérations de contrôle lors de déplacements vers l'étranger nécessitent parfois que le contrôleur s'assure lui-même du respect des diverses règles imposées par les pays vers lesquels les personnes se rendent, ces règles étant très variables et pouvant subir des modifications fréquentes. La Commission considère que ces éléments sont de nature à justifier que seuls les acteurs en charge de la vérification du passe sanitaire lors de déplacements à l'étranger aient un accès plus large aux données à caractère personnel présentes sur les justificatifs que les personnes et services habilités à contrôler le passe sanitaire lié aux activités dont les règles ne sont pas spécifiques d'une activité à l'autre et n'ont pas vocation à évoluer.
Néanmoins, la Commission relève que la référence au contrôle du passe sanitaire requis en application du 1° du A du II de l'article 1er de la loi du 31 mai 2021 telle que modifiée par la loi n° 2021-1040 du 5 août 2021 renvoie, d'une part, au contrôle des personnes âgées d'au moins douze ans lors de déplacements à destination ou en provenance du territoire hexagonal, de la Corse ou des Outre-mer (ci-après le passe sanitaire voyages ) et, d'autre part, à celui des personnels intervenant dans les services de transport concernés. Elle considère qu'au regard de la justification apportée, seuls les voyageurs souhaitant se déplacer à l'étranger devraient être concernés par un tel élargissement, à l'exclusion tant des personnes qui se déplacent à destination ou en provenance de la Corse ou des Outre-mer que du personnel intervenant dans ces services de transport.
Par ailleurs, elle invite le ministère à réfléchir à la possibilité de développer un système dans lequel les règles de gestion pourraient être automatisées, de sorte que les personnes en charge de la vérification des certificats aient un accès plus limité aux données, au même titre que dans le cadre du passe sanitaire visant à réguler l'accès à certains lieux, établissements, services ou évènements. Cet objectif semble notamment possible pour les règles édictées par les pays membres de l'Union européenne.
Sur l'absence de conservation des données dans le cadre de la vérification du passe sanitaire
L'alinéa 4 du paragraphe III du projet d'article 2-3 du décret n° 2021-699 du 1er juin 2021 modifié prévoit que si les données ne sont pas conservées dans l'application TousAntiCovid Vérif, elles peuvent en revanche être conservées temporairement par les autres dispositifs de lecture évoqués ci-dessus et uniquement pour la durée d'un seul et même contrôle d'un déplacement ou d'un accès à un lieu, établissement ou service visés par l'obligation de présentation du passe sanitaire.
La Commission prend acte des précisions du ministère selon lesquelles la possibilité de conserver temporairement ces données se justifie par le fait que la vérification du passe sanitaire en ligne est réalisée en amont (parfois jusqu'à quelques jours) d'un déplacement ou de l'accès au lieu, établissement ou service concerné. Si elle ne remet pas en cause l'utilité, dans certains cas, de conserver des informations de manière temporaire, par exemple entre l'enregistrement en ligne et l'embarquement d'un passager, la Commission considère néanmoins que seul le résultat de la vérification opérée devrait être concerné, conformément au principe de minimisation des données consacré à l'article 5.1.c du RGPD. Elle invite donc le ministère à modifier le projet de décret sur ce point.
Sur les dispositions modifiant le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé convertisseur de certificats
L'article 2 du projet de décret prévoit l'extension du convertisseur de certificats à la conversion des certificats de preuve internationaux en certificats répondant aux normes européennes ou nationales et pouvant être produits dans le cadre du passe sanitaire. Il s'agit ici de permettre aux Français de l'étranger ainsi qu'aux étrangers de pouvoir disposer d'un certificat pouvant être reconnu en France ou au sein de l'Union européenne et ce, dans un contexte où l'accès à un plus grand nombre de lieux, établissements et évènements seront soumis à la présentation du passe sanitaire.
Le 2° du paragraphe I du projet d'article 2 du décret n° 2021-901 du 6 juillet 2021 modifié précise ainsi que le convertisseur de certificats est désormais disponible par l'intermédiaire d'un portail de saisie dédié sur lequel la saisie est réalisée sur la base d'un certificat au format international qui permet à ses utilisateurs, qui agissent pour le compte d'un tiers, de le convertir dans un format respectant les normes européennes ou nationales.
A titre liminaire, la Commission prend acte des précisions du ministère selon lesquelles, en pratique, les personnes concernées, devront adresser, par courriel, les données nécessaires à la génération de l'attestation de vaccination au format DCC ainsi qu'une pièce d'identité, une preuve du pays de résidence et leurs dates de voyage en France. A réception de ces éléments, des agents assermentés du ministère de l'Europe et des affaires étrangères (MEAE) et de la Caisse nationale d'assurance maladie (CNAM) saisiront les informations strictement nécessaires à la génération du certificat sur le portail dédié mentionné ci-dessus, afin d'en obtenir une version au format DCC. Elle prend également acte de ce que le ministère a précisé que le service de conversion pourrait être proposé aux touristes étrangers dans les points d'information touristiques ouverts dans les aéroports parisiens et gérés par le comité régional du tourisme (CRT) d'Ile-de-France ; des agents spécialement habilités du CRT pourraient donc utiliser le portail dédié pour le compte des touristes étrangers.
En premier lieu, la Commission considère que la rédaction du projet de décret mériterait d'être clarifiée sur ce point. Elle invite ainsi le ministère à préciser que les utilisateurs visés dans cette hypothèse sont des agents publics ou spécialement habilités qui agissent pour le compte des demandeurs (notamment les Français de l'étranger).
En deuxième lieu, la Commission prend acte des précisions du ministère selon lesquelles le convertisseur de certificats, via le portail dédié, a vocation à permettre la conversion des certificats de vaccination et de rétablissement ainsi que des certificats de contre-indication introduits par la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire. Elle souligne, à cet égard, que le projet de décret devra être complété, d'une part, afin de prévoir l'intégration du certificat de contre-indication au titre des certificats visés par l'article 1er du décret n° 2021-901 du 6 juillet 2021 et, d'autre part, afin de mentionner les données strictement nécessaires à la conversion des certificats de rétablissement et de contre-indication à l'article 2-II du décret ci-dessus mentionné. Par ailleurs, elle s'interroge sur l'opportunité de modifier également le décret n° 2021-699 du 1er juin 2021 précité afin d'ajouter le certificat de contre-indication au passe sanitaire, eu égard à la possibilité de produire un tel certificat dans le cadre du passe sanitaire lié aux activités conformément au J du paragraphe II de l'article 1er de la loi du 31 mai 2021 telle que modifiée par la loi n° 2021-1040 du 5 août 2021.
En troisième lieu, la Commission rappelle la nécessité de s'assurer que les documents et données communiqués par les demandeurs soient supprimés une fois la conversion réalisée et le certificat transmis à leurs détenteurs, conformément au respect du principe de limitation de la conservation des données consacré à l'article 5.1.e du RGPD.
En quatrième lieu, elle appelle l'attention du ministère sur l'importance de sensibiliser les agents en charge de la saisie à leurs obligations en matière de respect de la protection des données à caractère personnel, notamment s'agissant du respect de la confidentialité des données traitées et de la nécessité de supprimer les éléments transmis à l'issue de l'opération de conversion.
Enfin, en dernier lieu, la Commission estime que cette procédure entre dans le champ d'application du référentiel général de sécurité s'appliquant aux téléservices. Or celui-ci interdit la transmission de telles données, notamment de données de santé, par simple courriel. Elle invite donc le ministère à restreindre la transmission des données nécessaires à la génération d'un passe sanitaire au format DCC à un canal de transmission autre que le courriel, tel qu'un portail web sécurisé et simple d'utilisation, de sorte à ce qu'il ne soit pas nécessaire de s'assurer des mesures de sécurité proposées par le fournisseur de messagerie électronique de la personne concernée, notamment concernant le chiffrement mis en œuvre lors de la transmission des données.
Sur les transferts de données en dehors de l'Union européenne
La Commission prend acte des précisions apportées par le ministère selon lesquelles a été mise en place un chiffrement de bout en bout des certificats à convertir durant leur transmission et ce, afin de garantir la conformité des transferts de données opérés du fait du recours à un prestataire étatsunien. Elle relève que la méthode de chiffrement utilisée est conforme aux recommandations 01/2020 du Comité européen de la protection des données lorsque les données peuvent faire l'objet d'un accès par les autorités du pays de destination et que ce dernier n'offre pas un niveau de protection essentiellement équivalent.
Par ailleurs, la Commission prend également acte de ce que le ministère a confirmé que le prestataire étatsunien devait être remplacé, dans les jours à venir, par un prestataire soumis à des juridictions relevant exclusivement de l'Union européenne. La situation lui paraît donc conforme au chapitre V du RGPD.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret relatif à la mise en œuvre de l'espace numérique de santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment son article L. 1111-13-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
Le projet de texte soumis pour avis à la Commission a principalement pour objet la mise en œuvre de l'espace numérique de santé (ENS) prévu à l'article L. 1111-13-1 du code de la santé publique (CSP). Il étend également les catégories de professionnels susceptibles d'échanger ou de partager des informations relatives à la même personne prise en charge mentionnées à l'article R. 1110-2 du CSP.
L'ENS sera mis en œuvre par étapes selon le calendrier suivant :
une phase de test d'avril au 30 juin 2021 portant sur des données et des ENS fictifs ;
une phase pilote du 1er juillet au 31 décembre 2021 consistant en une expérimentation sur trois départements (Haute-Garonne, Somme et Loire Atlantique) qui concernera les assurés sociaux, majeurs ou mineurs, relevant d'un régime obligatoire d'assurance maladie ;
une phase de généralisation à partir du 1er janvier 2022 qui concernera tous les Français et les personnes résidant en France, ce qui représente plus de 67 millions de personnes.
Certaines briques fonctionnelles de l'ENS ne seront pas mises en œuvre au 1er janvier 2022, à savoir :
la collecte de données relatives à l'accueil et l'accompagnement assurés par les établissements et services sociaux et médico-sociaux ;
le répertoire des autorisations d'accès pour des services et outils numériques non référencés au sein de l'ENS ;
les modalités d'accès permanent d'un professionnel ou d'un établissement de santé à l'ENS d'une personne ;
les modalités d'accès des professionnels et du personnel d'un établissement assurant la prise en charge du titulaire d'un ENS.
Sur les catégories de données
La Commission relève que les données contenues au sein de l'ENS, notamment celles contenues au sein dossier médical partagé (DMP), sont susceptibles de relever des catégories de données composant le système national des données de santé (SNDS) mentionnées à l'article L. 1461-1 du CSP, notamment le 6° de cet article.
Le ministère a précisé que l'utilisation de ces données pour l'une des finalités mentionnées au III de l'article L. 1461-1 du CSP conduisant à leur intégration au sein du SNDS n'est pas envisagée pour le moment. Dans l'hypothèse où ces données seraient intégrées au SNDS, le ministère s'est engagé à en informer les personnes avant toute réutilisation afin de leur permettre d'exercer leur droit d'opposition dans les conditions définies par les dispositions légales et règlementaires encadrant le SNDS. La Commission en prend acte.
Par ailleurs, elle demande au ministère de mener une campagne d'information expliquant aux personnes concernées par la création d'un ENS, l'articulation entre les différents dispositifs existants, dont le SNDS et le DMP.
Sur les conditions d'information des personnes
Sur la réutilisation de données collectées par des organismes d'assurance maladie
Le ministère a indiqué que, pour l'envoi des courriers d'information sur le parcours d'enrôlement mentionnés au projet d'article R. 1111-28, la Caisse nationale d'assurance maladie (CNAM) procédera à la réutilisation des données collectées par les différents organismes d'assurance maladie en vue d'identifier les personnes concernées.
Il a également précisé que seront collectées l'identité de la personne, ainsi que ses coordonnées électroniques ou postales. La Commission comprend des échanges avec le ministère que l'identité des personnes mineures rattachées à la personne concernée sera également collectée. Elle prend acte de l'engagement du ministère de compléter le projet de décret d'une disposition relative à cette réutilisation de données.
Concernant la durée de conservation des données :
les données seront transférées à un centre de notification dépendant de la CNAM en charge de l'envoi des courriers ;
les données seront supprimées dès la réalisation des opérations d'envoi des courriers. A cet égard, le ministère a précisé que cette opération de communication relative au lancement de l'ENS s'achèverait début 2022 .
Sur l'information préalablement à la création de l'ENS
Le courrier d'information renvoie à la notion de citoyen français pour déterminer les personnes concernées par l'ouverture d'un ENS. Il ressort toutefois des échanges avec le ministère qu'un ENS sera ouvert à toute personne affiliée à un régime d'assurance maladie ou bénéficiaire de l'aide médicale d'Etat, ce qui ne correspond pas à la qualité de citoyen français.
Le courrier ne fait pas mention du droit dont dispose chaque personne de demander la clôture de son ENS ainsi que l'effacement des données qu'il contient, demandes qui peuvent être formulées à tout moment. La Commission estime nécessaire la mention de ces droits dans le courrier afin de garantir la parfaite information des personnes concernées et la transparence du dispositif, et invite donc le ministère à modifier le courrier en conséquence.
L'information individuelle des personnes, prévue par le projet d'article R. 1111-28 du CSP, porte sur le parcours d'enrôlement pour procéder à l'activation d'un ENS ou s'y opposer, et ne constitue pas une information au sens du RGPD.
Le ministère a précisé que l'information au titre du RGPD et de la loi informatique et libertés sera réalisée par :
un renvoi vers un site web dédié mentionné dans le courrier d'information, et lors du parcours d'enrôlement du titulaire du compte ENS ;
la mise à disposition au sein des caisses d'assurance maladie d'affichettes ou de flyers.
La Commission recommande que les campagnes d'information individuelle et collective au titre du parcours d'enrôlement mettent en évidence la possibilité pour les personnes de demander la transmission d'une note d'information complète et les modalités de cette demande, qui ne devront pas renvoyer exclusivement à des moyens électroniques.
Les personnes concernées devront être informées dans les conditions prévues par le RGPD ; l'information ne pourra se limiter à l'affichage de conditions générales d'utilisation (CGU) de l'ENS et devrait faire l'objet d'une notification spécifique.
S'agissant des personnes mineures, le ministère a précisé que le courrier d'information individuelle sera envoyé à la personne inscrite comme ouvrant droit principal auprès d'un régime d'assurance maladie d'une personne mineure. Cet ouvrant droit principal disposera d'un accès délégué à l'ENS de la personne mineure. La Commission en prend acte.
La Commission remarque que la personne mineure ne sera pas destinataire du courrier d'information individuelle quel que soit son âge. Elle demande que toute personne mineure disposant d'une carte vitale soit destinataire d'un courrier d'information individuelle décrivant les modalités de création de son ENS, notamment le fait que son droit d'opposition est exercé par son représentant légal, ainsi que l'existence d'un accès délégué à son ENS par son représentant légal.
Par conséquent, elle invite le ministère à préciser que l'information individuelle est réalisée directement auprès de la personne concernée et de son représentant légal, le cas échéant.
En outre, elle demande que chacun des titulaires de l'autorité parentale soit informé, préalablement à la mise en œuvre d'un traitement de données à caractère personnel concernant une personne mineure, de l'existence de ce traitement ainsi que des modalités d'exercice des droits. Le ministère a indiqué que la CNAM n'était pas en mesure d'identifier le second titulaire de l'autorité parentale dès lors que la personne mineure ne lui est pas rattachée. Elle considère néanmoins que l'information de chaque titulaire de l'autorité parentale devrait être prévue dès le commencement de la phase pilote.
Sur l'exercice des droits
Sur le droit d'opposition
L'article L. 1111-13-1 du CSP prévoit l'ouverture automatique d'un ENS, sauf opposition de la personne concernée ou de son représentant légal. Le projet d'article R. 1111-30 prévoit que ce droit s'exercera par voie électronique grâce à l'activation d'un code fourni lors de l'envoi du courrier d'information. Le ministère a indiqué que cette opposition pourra également être réalisée via le recours au téléservice France Connect ou par voie téléphonique via le support mis en place par la CNAM.
La Commission salue l'existence d'une procédure alternative à celles prévues par voie électronique.
Elle prend acte de ce que la personne s'étant opposée à la création de son ENS peut revenir sur son choix en décidant de créer son ENS à tout moment. Dans cette hypothèse, la personne pourra soit s'adresser au support mis en place par la CNAM, soit demander un nouveau code d'enrôlement sur la plateforme électronique d'enrôlement.
Concernant l'exercice du droit d'opposition par les titulaires de l'autorité parentale d'une personne mineure, le ministère a indiqué que seul le titulaire de l'autorité parentale inscrit comme ouvrant droit principal pourra manifester, pour le compte de la personne mineure, son opposition à la création d'un ENS. La Commission rappelle que les droits des personnes mineures peuvent être exercés par chacun des titulaires de l'autorité parentale. Par conséquent, elle recommande au ministère de prévoir, dès le commencement de la phase pilote, la possibilité pour chacun des titulaires de l'autorité parentale d'exercer le droit d'opposition à la création de l'ENS de la personne mineure dont ils ont la charge.
Le ministère a précisé qu'en cas de notification d'un désaccord entre les deux titulaires de l'autorité parentale, il les invitera à régler leur différend à l'amiable ou par voies judiciaires. La Commission considère néanmoins que, dans l'attente du règlement de ce différent, le droit d'opposition devra primer.
Sur le droit à l'effacement