AgentPublic/cnil huggingface dataset:
La loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, qui a instauré le passe sanitaire jusqu’au 30 septembre 2021, a limité son application aux évènements à risques rassemblant un grand nombre de personnes ainsi qu’à certains déplacements, notamment à l’étranger. Dans son avis du 12 mai 2021, la Commission avait pris acte du fait que les lieux de la vie quotidienne tels que les restaurants et les lieux de travail étaient exclus du dispositif, tout comme certains lieux où s’exercent de manière habituelle des libertés fondamentales. A cette occasion, la Commission avait considéré que de telles exclusions étaient de nature à minimiser l’impact du dispositif sur les droits et libertés des personnes concernées.
 
Concernant les modalités de contrôle du passe sanitaire, la Commission a recommandé que les justificatifs puissent être présentés au format papier, afin de conserver le caractère volontaire de l’application numérique TousAntiCovid et de s’assurer de l’inclusion de chacun dans le dispositif. De plus, elle a rappelé que les personnes autorisées à procéder aux vérifications ne devraient avoir accès qu’aux données d’identification et au résultat de validité du passe, et non à la nature du document ou aux autres données qu’il peut contenir. Enfin, elle a estimé que la conservation des données dans le cadre du contrôle du passe sanitaire n’était pas nécessaire, une fois la vérification terminée.
Le champ d’application du passe sanitaire a ensuite été considérablement élargi afin d’englober plusieurs activités de la vie quotidienne, ainsi que de nouvelles personnes, telles que les salariés des lieux accueillant du public.
 
A cet égard, si la Commission considère que le contexte sanitaire peut justifier des mesures exceptionnelles, nécessaires pour lutter contre le rebond de l’épidémie et éviter un nouveau confinement, elle a rappelé la nécessité de procéder à l’évaluation des dispositifs numériques mis en œuvre pour lutter contre la Covid-19 afin de supprimer ceux dont l’utilité ne serait plus avérée.
 
Saisie, par ailleurs, d’une modification du décret encadrant les conditions de mise en œuvre du passe sanitaire, notamment dans l’objectif de lutter contre la fraude, la Commission a rappelé que si les évolutions proposées étaient légitimes et proportionnées, les finalités poursuivies par le traitement ainsi que la durée de ce dernier devaient être expressément limitées et accompagnées d’une information claire et transparente des personnes concernées, notamment concernant les modalités de génération d’un nouveau passe.
 
Enfin, à cette occasion, la Commission a rappelé les garanties que les applications de lecture du passe sanitaire devraient également respecter et la nécessité, pour le ministère chargé de la santé, d’opérer un contrôle a priori sur ces dispositifs.
II. APPRÉCIATION DE LA COMMISSION SUR LES CONDITIONS OPÉRATIONNELLES DE MISE EN ŒUVRE DES TRAITEMENTS
 
Conformément à ce qu’elle a indiqué dans ces trois précédentes délibérations (10 septembre 2020, 14 janvier 2021 et 27 mai 2021), la Commission a poursuivi ses investigations sur les dispositifs SI-DEP et CONTACT COVID ainsi qu’à l’égard de l’application TOUSANTICOVID et du système d’information  VACCIN COVID .
 
Par ailleurs, la Commission a également effectué une série de contrôles relatifs aux traitements mis en œuvre dans le cadre du déploiement du passe sanitaire.
 
Les vérifications menées par les services de la Commission ont été effectuées au moyen de contrôles en ligne, sur audition, sur pièces et sur place. Ce sont en tout quarante-deux opérations de contrôle qui ont été menées entre mai 2020 et septembre 2021 : dix concernant SI-DEP , quatorze concernant CONTACT COVID , dix concernant TOUSANTICOVID (en incluant celles réalisées sur STOPCOVID ), quatre concernant VACCIN COVID et quatre concernant le passe sanitaire.
L’investissement de la Commission dans la réalisation de ces vérifications est sans équivalent dans l’histoire de l’institution, tant au regard du nombre de contrôles effectués que de leur récurrence ou de la période de temps au cours de laquelle ils se sont déroulés. Ce suivi continu des traitements, pour certains dès le début de leur mise en œuvre, a permis d’assurer une prise en compte des enjeux liés à la protection des données de manière permanente.
 
Le présent avis comporte des éléments synthétiques issus des constatations opérées par la Commission dans le cadre de la quatrième phase de vérifications qui s’est déroulée de janvier à septembre 2021. Il fait également état des échanges réguliers qui ont eu lieu avec le ministère des solidarités et de la santé, la CNAM et les ARS au cours de cette période.
 
A. Le contrôle des dispositifs SI-DEP et CONTACT COVID 
 
Les investigations des traitements SI‑DEP et CONTACT COVID continuent à être menées depuis le dernier avis de la Commission rendu au mois de mai 2021.
 
Les points de vérification ont principalement porté sur :
les modalités d’information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
les modalités de conservation des données ;
la réalisation d’analyses d'impact relatives à la protection des données.
 
Le Fichier SI-DEP
Ce traitement n’ayant connu aucune nouvelle évolution substantielle depuis la dernière campagne de contrôles, la Commission n’a pas mené de nouvelles vérifications sur SI-DEP en tant que tel. Elle reste néanmoins en contact régulier avec les équipes en charge de sa mise en œuvre.
 
Dans ce contexte, les nouvelles vérifications menées ont eu lieu auprès de l’Assistance publique – Hôpitaux de Paris (AP-HP) qui assure la mise en œuvre opérationnelle du traitement SI-DEP ainsi qu’auprès de pharmacies utilisant SI-DEP afin d’y verser les résultats des tests antigéniques qu’elles réalisent.
 
Par ailleurs, la Commission a ouvert des vérifications concernant une violation de données subie par l’AP-HP en août 2021 et portant sur des données de SI-DEP . L’analyse des éléments recueillis est en cours.
 
Enfin, pour faire suite à des observations qu’elle avait formulées dans son dernier avis, la Commission a été informée que des évolutions ont été apportées aux dispositifs permettant l’alimentation de la base pseudonymisée SI-DEP pour des finalités de gestion de l’urgence sanitaire et de l’amélioration des connaissances sur le virus. Ces nouvelles modalités améliorent la sécurité et permettent un meilleur suivi des actions effectuées.
 
Le Fichier CONTACT COVID
Pour le traitement CONTACT COVID , des contrôles sur pièces ont eu lieu auprès d’une ARS et d’un établissement de santé concernant le traitement COVI CONTACT . Ce traitement, mis en œuvre à partir des données issues du téléservice CONTACT COVID , a pour objet d’offrir la possibilité, à toutes les personnes concernées par des mesures d’isolement à domicile, d’être accompagnées régulièrement et à distance.
 
Un contrôle a également été réalisé auprès d’un établissement de santé mettant en œuvre le traitement COVIDOM COVISAN , dispositif permettant un suivi médical à domicile ou un accompagnement à l’isolement, reposant sur des données issues de SI-DEP et de CONTACT COVID .
 
Ces contrôles ont été décidés à la suite de campagnes de rappel par SMS adressées aux personnes ayant été testées positives ou désignées comme cas contacts auprès de l’assurance maladie. Ils s’inscrivent dans le cadre du suivi, de la télésurveillance et de l’accompagnement à domicile des patients infectés par la Covid-19 ou suspectés de l’être dont l’état de santé ne nécessite pas d’hospitalisation. Ce suivi se matérialise par l’envoi de questionnaires journaliers par l’intermédiaire d’une plateforme dédiée.
 
La Commission a constaté plusieurs mauvaises pratiques à l’occasion de vérifications effectuées :
dans le cadre du dispositif COVIDOM COVISAN , une durée de conservation excessive des données contenues sur la plateforme dédiée (identité et santé). En effet, les données des personnes n’ayant pas demandé à bénéficier du suivi médicalisé sont conservéesdepuis la création de la plateforme en mars 2020, pour une durée indéterminée ; 
dans le cadre du dispositif COVI CONTACT , une information incomplète destinée aux patients ayant consenti à un suivi médical ;
dans le cadre du dispositif COVI CONTACT , l’absence de réalisation d’une analyse d’impact relative à la protection des données de la part de l’ARS contrôlée alors même qu’il s’agit de données sensibles à grande échelle.
 
Afin d’obtenir la mise en conformité des organismes concernés, la présidente de la Commission leur a adressé un courrier d’observation afin de leur rappeler leurs obligations et les mesures à prendre.
 
Un courrier a été envoyé par la présidente au ministère des solidarités et de la santé afin de l’alerter sur les mauvaises pratiques identifiées.
 
B. Le contrôle de l’application TOUSANTICOVID 
 
Depuis les contrôles réalisés au mois de novembre 2020, l’application TOUSANTICOVID offre désormais deux nouvelles fonctionnalités :
TAC CARNET , déployée le 19 avril 2021, qui permet aux utilisateurs le stockage au format numérique de leur passe sanitaire (test de dépistage du Covid-19 ou attestation de vaccination) ;
TAC SIGNAL , déployée le 25 mai 2021, qui permet de prévenir les utilisateurs ayant scanné le code QR d’un établissement qu’ils ont été présents dans un même lieu et sur une même plage horaire qu’une ou plusieurs personnes ultérieurement diagnostiquées ou dépistées positives au Covid-19.
 
Les nouvelles vérifications sur cette application ont été effectuées auprès du ministère des solidarités et de la santé, ainsi qu’auprès des autres organismes impliqués dans sa mise en œuvre, notamment l’Institut national de recherche en informatique et en automatique (Inria). Ces vérifications se sont déroulées les 6 et 7 juillet 2021 et se sont poursuivies dans le cadre de demandes de compléments ultérieures en août et septembre 2021.
 
La fonctionnalité TOUSANTICOVID CARNET 
 
Les investigations menées par la Commission ont permis de constater que la mise en œuvre de la fonctionnalité CARNET de l’application TAC permet d’offrir des garanties en termes de protection des données et de sécurité.
 
Ainsi, l’accès aux certificats de dépistage au Covid-19 et de vaccination ainsi que leur enregistrement dans le module CARNET de l’application TOUSANTICOVID s’effectuent de manière sécurisée. La conservation des preuves dans ce module n’entraîne, en outre, aucun flux de donnée vers un serveur, l’intégralité des données contenues dans le certificat de test ou de vaccination est uniquement conservée localement (dans le téléphone).
Lors des vérifications opérées, la Commission a également constaté que la nouvelle version de l’application TOUSANTICOVID , déployée le 1er juillet 2021, permettait aux utilisateurs de convertir au format européen DCC, directement dans l’application, leurs justificatifs importés avant le 24 juin 2021 au format 2D-DOC jusqu’à présent utilisé en France. Lors de cette opération de conversion, le contenu du code à barres au format 2D-DOC transitait via des serveurs situés en partie aux Etats-Unis à des fins de sécurisation des systèmes d’information utilisés (dispositif anti-déni de service distribué et pare-feu).
 
Lors des contrôles, la Commission a été informée qu’un changement de prestataire était à l’étude afin d’avoir recours à une solution d’une société soumise à des juridictions relevant exclusivement de l’Union européenne. La Commission a également été informée de la mise en œuvre d’un chiffrement de bout en bout des certificats à convertir durant leur transmission, en plus du tunnel TLS déjà en place.
Le 23 juillet 2021, la Commission a adressé un courrier au ministère des solidarités et de la santé l’invitant à prendre les mesures nécessaires afin de garantir la conformité des traitements mis en œuvre dans les plus brefs délais. Dès le 2 août 2021, le chiffrement de bout en bout des certificats durant leur transmission a effectivement été mis en place, permettant ainsi la conformité du traitement. Aucune donnée en clair relative aux preuves constituant le passe sanitaire ne transite désormais vers des serveurs situés en dehors de l’Union européenne.
 
La fonctionnalité TOUSANTICOVID SIGNAL 
 
Les investigations menées par la Commission ont permis de constater que l’architecture décentralisée permet d’offrir des garanties en termes de protection des données et de sécurité.
 
La délégation a ainsi pu constater que :
les données collectées dans le cadre de TAC SIGNAL ne sont pas remontées dans le serveur dédié au suivi de contact (mettant en œuvre le protocole ROBERT ) ;
la corrélation entre les lieux visités par la personne et les lieux à risque est effectuée localement, sur le téléphone des personnes ;
les lieux à risque remontés dans le serveur suite à une déclaration de contamination au Covid-19 par une personne sont conservés de façon limitée pendant quatorze jours à compter de la déclaration. Les lieux visités enregistrés en local dans le téléphone sont conservés pendant quatorze jours à compter du scan du code QR du lieu.
 
Les autres constatations
Les contrôles menés par la Commission ont permis de constater l’ajout d’un module permettant la réalisation de statistiques sur l’utilisation des différentes fonctionnalités de l’application TOUSANTICOVID . Il a été constaté que les données d’utilisation ainsi remontées n’étaient pas anonymes, puisqu’elles incluaient des informations sur les caractéristiques du téléphone ainsi qu’un identifiant propre à l’instance de l’application.
 
Le ministère des solidarités et de la santé a indiqué à la Commission avoir pris des mesures pour modifier le fonctionnement de ce module de statistiques. En particulier, des mises à jour ont déjà été publiées pour ne plus prendre en compte certains événements de l’application, et arrondir l’horodatage de certains événements à l’heure près, pour réduire le risque de réidentification.
 
Ces nouvelles modalités réduisent considérablement le risque d’exploitation malveillante des données ainsi collectées, et la Commission accueille favorablement cette mise à jour.
 
C. Le contrôle des traitements en lien avec la mise en œuvre du passe sanitaire 
 
Une première phase de contrôles a été mise en œuvre afin de vérifier la sécurité et la confidentialité des traitements mis en œuvre à partir de l’application de vérification des passes sanitaires dénommée TOUSANTICOVID VERIF , déployée par le ministère des solidarités et de la santé, ainsi que par son sous-traitant IN GROUPE.
 
Des premières investigations ont ainsi permis de constater que :
au jour du contrôle et depuis le 9 juin 2021, l’application TAC VERIF fonctionne uniquement en mode hors-ligne . Ainsi, les vérifications s’effectuent uniquement en local depuis le téléphone du vérificateur et aucune donnée relative aux preuves ne remonte aux serveurs d’IN GROUPE. Aucune donnée n’est stockée en local dans les applications de vérification ;
le mode dédié aux opérateurs de transport permettant la lecture de davantage de données ne peut être activé qu’après réception d’un code QR de déverrouillage fourni après obtention d’une autorisation de la part du ministère des solidarités et de la santé.
 
Une seconde phase de contrôles a été opérée auprès d’établissements recevant du public ayant l’obligation de contrôler les passes sanitaires des personnes afin de vérifier la bonne utilisation de l’application TAC VERIF. Ces vérifications ont notamment été mises en œuvre dans un aéroport.
 
Ces contrôles ont permis de constater une utilisation adéquate de l’application par les personnes en charge des vérifications des passes. Les agents en charge du contrôle du passe sanitaire utilisent l’application dans les configurations définies par le ministère des solidarités et de la santé et ne conservent ainsi aucune des données des passes sanitaires contrôlés.
Les contrôles ont néanmoins mis en lumière l’absence, dans certains lieux de toute mention d’information relative aux traitements mis en œuvre dans le cadre des vérifications des passes sanitaires dans les zones de contrôle.
 
Ces contrôles ont également permis de constater que certains organismes ne tenaient pas un registre d’habilitation des personnes autorisées à contrôler les passes sanitaires pour leur compte conformément à l’article 2-3, section II, du décret n° 2021-699 du 1er juin 2021, prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire.
A la lumière des constatations effectuées et dès lors qu’il s’agit de dysfonctionnements mineurs, la présidente de la Commission a adressé à chacun des organismes concernés un courrier d’observation afin de leur rappeler leurs obligations et les mesures à prendre pour se mettre en conformité.
 
D. Le contrôle du traitement VACCIN COVID 
 
Le décret no 2020-1690 du 25 décembre 2020 a autorisé la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la Covid-19, dénommé VACCIN COVID .
 
Une première série de contrôles de ce traitement s’est achevée au mois de septembre. Quatre contrôles ont été réalisés :
une audition de la CNAM dans les locaux de la Commission, au mois de mars 2021 ;
deux contrôles sur place dans des centres de vaccination en Ile-de-France au mois d’avril 2021 ;
un contrôle sur place dans les locaux de la direction du numérique ( DNUM ) du ministère des solidarités et de la santé au mois de septembre 2021.
 
Au mois de juin 2021, la Commission a adressé des courriers d’observations à la CNAM et au ministre des solidarités et de la santé, responsables conjoints de traitement.
 
Ces observations portaient principalement, d’une part, sur les durées et les modalités de conservation des questionnaires remis aux personnes candidates à la vaccination dans un des centres de vaccination contrôlés, d’autre part, sur la nécessité de pouvoir tracer finement les actions des personnels administratifs saisissant les données des personnes vaccinées dans le système d’information VACCIN COVID .
 
Le ministère des solidarités et de la santé a répondu aux observations de la Commission sur ces points en détaillant les mesures prises.
 
Au mois de septembre 2021, la Commission a adressé un nouveau courrier d’observations à la CNAM et au ministre des solidarités et de la santé après avoir reçu de nombreux signalements faisant état d’un défaut d’information des personnes dans des centres de vaccination en Ile-de-France.
 
En réaction, la Commission a demandé au ministère et la CNAM de s’assurer que les personnes candidates à la vaccination reçoivent, préalablement à leur vaccination, une information satisfaisante.
 
E. Les autres procédures de contrôle
Outre les contrôles effectués sur les principaux systèmes d’information, la Commission procède également à des vérifications sur des traitements mis en œuvre par des acteurs de la santé.
 
Un contrôle a été réalisé auprès d’une société proposant aux pharmaciens une solution permettant l’automatisation du téléversement des données dans la plateforme SI-DEP et offrant aux patients la possibilité de saisir leurs informations dans un formulaire en ligne. Ce contrôle, qui faisait suite au signalement d’une violation de données, a notamment mis en lumière d’importants défauts de sécurité. Une mise en demeure, rendue publique le 14 octobre 2021, a été adoptée à l’encontre du prestataire en raison de la persistance de manquements.
 
Des contrôles ont également été réalisés dans plusieurs pharmacies utilisatrices de ce service. Ceux-ci ont permis de mettre au jour des lacunes dans l’encadrement des relations contractuelles entre les différents acteurs de la chaîne de traitement et dans l’information des personnes concernées.
 
F. Une procédure de contrôle continue
 
La Commission rappelle que les contrôles se poursuivront tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre fixée au 31 décembre 2021 et la suppression des données qu’ils contiennent.
Elle rappelle également que les vérifications menées donnent toujours lieu à des échanges très réguliers et approfondis avec le ministère des solidarités et de la santé pour le dispositif SI-DEP , mais également avec les autres organismes administrateurs et utilisateurs de l’application CONTACT COVID (CNAM, ARS, établissements de santé, etc.) et du système d’information VACCIN COVID . Le présent avis ne constitue ainsi qu’une synthèse de ces échanges et des constatations effectuées lors de la quatrième phase de contrôles.
 
A cet égard, une cinquième phase de contrôles est d’ores et déjà engagée pour le dernier trimestre 2021. Elle porte principalement sur les points ci‑dessous.
 
Concernant le traitement SI-DEP , outre toute modification technique susceptible d’être apportée au traitement, des vérifications sur le fonctionnement nominal du traitement pourront avoir lieu, notamment en ce qui concerne les durées de conservation, la sécurité des données ou les transmissions vers les destinataires.
 
Concernant le traitement CONTACT COVID , les contrôles porteront notamment sur :
l’information des patients zéro et des cas contacts ;
la collecte, la transmission et le stockage des données collectées auprès des patients zéro , cas contacts et co-exposés au sein des EHPAD, des universités, des établissements scolaires et des collectivités territoriales ;
l’effectivité des mesures prévues pour l’information et l’exercice des droits des personnes concernées, en particulier au sein des universités et des établissements scolaires.
 
Concernant le système d’information VACCIN COVID , des contrôles seront conduits dans les prochaines semaines pour s’assurer des conditions de sa mise en œuvre.
 
Concernant le traitement TOUSANTICOVID , des contrôles seront mis en œuvre en cas de déploiement d’éventuelles fonctionnalités qui ne seraient pas encore mises en œuvre à ce stade.
 
Concernant les traitements en lien avec le passe sanitaire, des contrôles seront mis en œuvre auprès des dispositifs de lecture des justificatifs des personnes alternatifs à TOUSANTICOVID VERIF , afin notamment de vérifier la sécurité et confidentialité des traitements mis en œuvre.
 
Enfin, des contrôles sur pièces seront adressés aux sociétés proposant des solutions, à destination des pharmaciens, permettant l’automatisation du versement des données dans la plateforme SI-DEP . Ces contrôles porteront notamment sur l’encadrement des relations contractuelles entre les différents acteurs.
 
Le prochain avis public de la Commission fera état des résultats de ces contrôles.
Enfin, une ultime campagne de contrôles sera effectuée à l’issue de la mise en œuvre des traitements. Des contrôles sur place seront ainsi réalisés auprès des organismes concernés, afin de vérifier notamment la suppression effective des données. Les vérifications porteront notamment sur les durées de conservation des données, leur suppression et/ou leur anonymisation éventuelle.
 
La Présidente
Marie-Laure DENIS
 
 
ANNEXE 1 : Description des traitements SI-DEP , CONTACT COVID , TOUSANTICOVID , VACCIN COVID , quarantaine et isolement .
 
Le traitement SI-DEP  est un système d’information national mis en œuvre par le ministère de la santé qui permet la centralisation des résultats des tests au SARS-CoV-2 réalisés par des laboratoires publics ou privés ou des professionnels de santé habilités. Ces résultats sont transmis à SI-DEP soit automatiquement (4 500 laboratoires connectés) soit manuellement. Cette centralisation permet ensuite une transmission des données à différents destinataires, notamment :
aux agences régionales de santé (ARS) et à la Caisse primaire d’assurance maladie (CPAM), en vue de la réalisation des investigations relatives aux cas contacts, dans le cadre du téléservice CONTACT COVID .
à la Direction de la recherche, des études, de l'évaluation et des statistiques (DREES) et à Santé publique France sous une forme pseudonymisées, à des fins de surveillance épidémiologique et de diffusion des informations statistiques ;