AgentPublic/cnil huggingface dataset:
Dans le contexte de crise sanitaire, la Commission a été amenée à se prononcer à plusieurs occasions, en urgence, sur le cadre normatif encadrant ces traitements : auditionnée à onze reprises et ayant rendu dix avis depuis avril 2020, elle a ainsi éclairé les débats parlementaires autour des enjeux fondamentaux liés au respect de la vie privée et des données à caractère personnel. La Commission a également procédé à trente-deux contrôles depuis la mise en œuvre de ces dispositifs. Ses préconisations et constats ont été détaillés dans ses deux premiers avis, en date du 10 septembre 2020 et du 14 janvier 2021, relatifs au fonctionnement de ces systèmes d’information.
Afin de permettre à la Commission d’apprécier pleinement la proportionnalité et la nécessité de ces dispositifs, déployés dans le cadre de la politique sanitaire actuelle du Gouvernement, il apparaît primordial que, plus d’un an après le début de la crise sanitaire et comme elle l’a rappelé dans ses deux premiers avis, des éléments concrets d’évaluation de leur utilité et de leur efficacité dans la lutte contre l’épidémie de COVID-19 soient portés à sa connaissance.
Ce troisième avis de la Commission, rendu sur le fondement de l’article 11 de la loi du 11 mai 2020 modifiée, s’attachera, notamment au regard des préconisations qu’elle a émises dans ses avis sur les projets de texte qui lui ont été soumis depuis décembre 2020 et de ses constatations lors des divers contrôles effectués, à rappeler les récentes évolutions du cadre normatif et à évaluer les conditions opérationnelles de mise en œuvre de ces traitements.
ÉVOLUTIONS DU CADRE NORMATIF ET AVIS DE LA CNIL
L’avis de la Commission a été sollicité par le Gouvernement sur les évolutions des textes encadrant la mise en œuvre des traitements liés à la crise sanitaire.
L’avis de la Commission sur les modifications apportées au système d’information CONTACT COVID 
Dans le cadre de la gestion de la crise sanitaire, le Gouvernement a souhaité renforcer le dispositif
 de traçage des chaînes de transmission du virus en élargissant le champ d’action du fichier CONTACT COVID . Cela se traduit par : 
une extension significative du nombre de personnes concernées par l’ajout de la possibilité de collecter les données relatives aux personnes co-exposées (1) ;
la collecte de nouvelles catégories de données : 
 
concernant la participation à des rassemblements, évènements ou activités de plus de six personnes qui présentent un risque de contamination plus élevé ;
relatives au retour d’un voyage à l’international ou dans les Outre-mer et plus particulièrement à l’identification des gares ou aéroports que les personnes ont fréquentées au retour d’un séjour dans un département ou collectivité d’outre-mer ou dans un État tiers ainsi que des exploitants de ces moyens de transport.
 
La Commission a ainsi été saisie en janvier 2021, en urgence, d’un projet de décret relatif à ces évolutions ayant pour objectif de faciliter la réalisation des enquêtes sanitaires. 
 
Dans son avis du 19 janvier 2021
(2), la Commission
 a notamment :
souligné que, si le projet de décret prévoit d'étendre considérablement et substantiellement les informations collectées dans le système d'information, ce dispositif doit rester conditionné au volontariat des personnes interrogées ;
invité le ministère à clarifier et rendre publics, par exemple sur son site web, plusieurs éléments dont les critères de distinction entre la notion de personne co-exposée et celle de cas contact , ainsi que les hypothèses dans lesquelles il pourrait être considéré que les mesures barrières n’ont pu être pleinement respectées ;
rappelé que les informations collectées ne peuvent être utilisées à d’autres fins que celles prévues par le décret, et notamment ne peuvent être utilisées pour la surveillance du respect des mesures visant à lutter contre l’épidémie de COVID-19 ;
souligné la nécessité de prévoir des mesures techniques permettant de garantir la sécurité des données ;
demandé que des instructions claires et uniformes soient données à l’ensemble des personnes intervenant sur le système d’information CONTACT COVID . Ces dernières doivent également être régulièrement formées et sensibilisées sur les questions de protection des données et de respect de la vie privée.
 
Elle s’est également prononcée sur : 
les nouvelles catégories de données collectées concernant la participation à des rassemblements, évènements ou activités : 
la Commission a émis des réserves quant à la collecte de certaines catégories de données au regard du principe de minimisation telles que la collecte du nom d’un rassemblement, évènement ou activité (3), ou la collecte d’une présence prolongée dans une salle d’attente (4). Ces données ne figurent pas au titre de celles pouvant être collectées dans le cadre du décret publié.
la possibilité de divulguer l’identité du patient zéro sous réserve de son consentement et lorsque cela est nécessaire à de nouvelles catégories de personnes
 
(5) 
: la Commission a rappelé le caractère sensible de cette transmission et la nécessité d’informer clairement le patient zéro afin qu’il puisse exprimer un consentement libre et éclairé. Elle a recommandé au ministère de proposer au patient zéro d’exprimer son consentement à la divulgation de son identité pour chaque catégorie de destinataires et non à donner un consentement global ;
la recherche des coordonnées des patients zéro , cas contacts et des personnes co-exposées en cas d’indisponibilité ou d’absence auprès de tiers :
la Commission a demandé que la notion de tiers soit remplacée par une liste limitative d’organismes pouvant être sollicités à des fins de recherche de coordonnées manquantes et a été suivie sur ce point.
Sur les modifications des systèmes d’information SI-DEP et CONTACTCOVID envisagées par le projet de loi relatif à la gestion de la sortie de la crise sanitaire 
La Commission relève que le projet de loi relatif à la gestion de la sortie de la crise sanitaire en cours de discussion ne prévoit pas de prolongation de l’existence des fichiers SI-DEP et CONTACTCOVID au-delà de la durée prévue par la loi du 11 mai 2020. Ces fichiers devront donc, le cas échéant, être supprimés au 31 décembre 2021.
 
Le projet de loi prévoit toutefois la possibilité de centraliser les données issues des fichiers SI-DEP et CONTACT COVID au sein du Système national des données de santé (SNDS) afin de faciliter la surveillance épidémiologique et la recherche sur le virus, dès lors qu’elles appartiennent aux catégories de données mentionnées à l’article L. 1461-1 du code de la santé publique (CSP).
La Commission relève que cette centralisation induit un changement substantiel dans le régime juridique applicable à ces données, s’agissant notamment de la finalité du traitement ou encore de la durée de conservation des données pseudonymisées à des fins de suivi épidémiologique et de recherche sur le virus. Ainsi, cette centralisation aura pour effet de permettre la conservation des données pseudonymisées issues de ces fichiers, à des fins de recherche et de suivi épidémiologique, actuellement autorisée jusqu’au 31 décembre 2021, pour une durée pouvant aller jusqu’à vingt ans (6).
Sans remettre en cause l’intérêt essentiel de conservation des données à des fins de recherche, la Commission invite le Gouvernement à prévoir des modalités d’information adéquates des personnes concernées et permettant de faciliter l’exercice de leurs droits. La Commission y sera particulièrement attentive.
L’avis de la Commission sur les modifications apportées à l’application TOUSANTICOVID 
L
’avis de la Commission sur le dispositif d’enregistrement des visites dans certains établissements recevant du public
Dans la perspective de la réouverture de certains établissements recevant du public (ERP), le Gouvernement a souhaité poursuivre ses évolutions afin notamment d’introduire un dispositif numérique d’enregistrement des visites dans de tels lieux (basé sur la lecture et l’enregistrement de codes QR mis à disposition à l’entrée des ERP). Ce dispositif a pour vocation de faciliter l’alerte des personnes ayant fréquenté ces lieux sur une plage horaire similaire à celle d’une ou de plusieurs personnes ultérieurement dépistées ou diagnostiquées positives à la COVID-19.
Cette évolution du dispositif apportant des modifications substantielles au traitement, la Commission a été saisie en urgence pour rendre un avis sur le projet de décret modifiant le décret relatif à l’application TOUSANTICOVID .
Dans son avis en date du 17 décembre 2020, la Commission a :
considéré que l’utilité, au stade actuel de la lutte contre l’épidémie, d’un dispositif complémentaire d’identification des contacts à risque de contamination est démontrée ;
relevé que l’architecture technique et fonctionnelle du dispositif apporte plusieurs garanties substantielles de nature à en assurer la proportionnalité (absence de géolocalisation ou de suivi des déplacements de l’utilisateur, etc.). Elle a reconnu l’intérêt du dispositif pour lutter contre l’épidémie de la COVID-19 et a souligné que l’appréciation concrète de la proportionnalité de la collecte envisagée devrait être affinée lorsque les conditions de réouverture des ERP seraient connues (liste précise des ERP concernés, caractère facultatif ou obligatoire du dispositif d’enregistrements des visites pour les établissements et les personnes concernées, etc.) ;
formulé certaines recommandations afin de minimiser l’atteinte portée au droit à la protection des données à caractère personnel : d’une part, que le caractère obligatoire du dispositif soit, le cas échéant, limité aux seuls ERP présentant un risque élevé et, d’autre part, qu’il ne soit pas rendu obligatoire dans les lieux dont la fréquentation est susceptible de révéler des données sensibles (lieux de culte, etc.) ;
invité le ministère à prévoir de nouvelles garanties de nature à minimiser davantage les risques de traçage des utilisateurs, telles qu’une limitation de la durée de validité des codes-QR (7), voire l’utilisation de codes à usage unique.
appelé l’attention du ministère sur la nécessité de mettre régulièrement à jour l’analyse d’impact relative à la protection des données (AIPD) avant de mettre en œuvre les évolutions successives de l’application et regretté que l’AIPD dédiée au dispositif d’enregistrement des visites via l’application, en cours de réalisation, ne lui ait pas été transmise en appui de la saisine, dont l’avis a été rendu le 17 décembre 2020. Elle a demandé que celle-ci lui soit transmise et a réitéré son appel à la transparence sur ce point en recommandant notamment que cette AIPD soit rendue publique. 
 
Suite à l’avis du 17 décembre 2020, le ministère a sollicité les services de la Commission dans le cadre d’une demande de conseil sur une évolution substantielle du protocole (8) régissant le dispositif d’enregistrement des visites dans les ERP basé sur la lecture et l’enregistrement de codes QR.
Les observations de la Commission formulées dans l’avis sur les aspects techniques du dispositif, nouvellement baptisé TousAntiCovid-Signal, et du protocole sous-jacent ont été prises en considération par le ministère, ce qui permet d’offrir de meilleures garanties en termes de protection des données et de sécurité. En particulier, le nouveau protocole repose non seulement sur une architecture décentralisée pour la vérification du risque d’exposition d’un utilisateur, dont l’estimation et la notification sont effectuées localement sur le terminal de l’utilisateur de l’application, mais aussi sur l’utilisation de codes QR dynamiques renouvelés périodiquement.
Ce dispositif n’a à ce jour pas encore été déployé. Toutefois quelques expérimentations ont lieu dans des lieux précis. La Commission sera attentive aux modalités concrètes de mise en œuvre de cette nouvelle fonctionnalité.
Les autres évolutions prévues par le décret 
Le décret a également vocation à permettre la collecte et le traitement de nouvelles données nécessaires à la lutte contre l’épidémie et à intégrer les évolutions successives de l’application depuis le déploiement de sa version 2.0 le 22 octobre dernier, telles qu’évoquées ci-dessus.
Ainsi, la Commission s’est notamment prononcée sur :
l’intégration de nouvelles fonctionnalités de l’application TOUSANTICOVID
(9). La Commission a relevé que des garanties étaient prévues dans une logique de minimisation des données et de protection des données dès la conception et par défaut. Elle a toutefois considéré qu’il n’apparaissait pas opportun de réglementer ces aspects qui, tels que prévus, restent entièrement à la discrétion de la personne qui utilise l’application et sous sa maitrise ;
la priorisation des cas contacts dans l’accès aux examens ou aux tests de dépistage. La Commission a estimé, dans son avis, qu’un tel dispositif ne saurait remettre en cause le caractère volontaire de l’utilisation de l’application dès lors que cet accès prioritaire ne sera pas réservé aux utilisateurs de l’application, mais ouvert à tous les cas-contacts . Elle a néanmoins recommandé de clarifier ce point dans l’information fournie, notamment dans l’application elle-même ;
l’intégration d’un système de notification push , lié à la fonctionnalité de suivi des contacts via la technologie Bluetooth . La Commission a relevé qu’un tel système, qui a fait l’objet de constats lors de ses derniers contrôles, impliquait le traitement de données à caractère personnel qui ne figuraient pas à l’article 2 du décret du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID en vigueur. Elle a donc invité le ministère à compléter le projet de décret afin de mentionner, au titre des données traitées, les données nécessaires à ces notifications push .
La fonctionnalité TousAntiCovid-Carnet
Le 19 avril 2021, le ministère des solidarités et de la santé a déployé une nouvelle fonctionnalité dénommée TousAntiCovid-Carnet. Il s’agit d’un carnet numérique permettant de stocker, de manière électronique, les certificats de résultats de tests (PCR et antigéniques) ainsi que les certificats de vaccination. Cette fonctionnalité permet aux utilisateurs de pouvoir présenter aux autorités compétentes des résultats de test ou des attestations de vaccination certifiés conformes, lorsque la fourniture de ces documents est obligatoire.
Les services de la Commission ont été sollicités sur les aspects techniques du dispositif afin de garantir que ceux-ci soient respectueux du droit à la protection des données à caractère personnel et de la vie privée des personnes. La CNIL a ainsi pu partager ses recommandations quant aux garanties à apporter, notamment pour assurer la sécurité des données.
 En particulier, la principale observation communiquée au ministère concerne les modalités d’authentification pouvant être mises en place pour la récupération des preuves par les utilisateurs sur un ou des téléservices dédiés. La Commission rappelle que le choix d’une telle modalité repose sur la réalisation par le ministère d’une analyse des risques, et que cette analyse devra être transmise à la Commission sous la forme d’une analyse d’impact relative à la protection des données.
De nouveaux contrôles de l’application seront effectués s’agissant de la mise à jour de l’application contenant ces nouveaux dispositifs.
Le système d’information quarantaine et isolement 
La Commission a été saisie en urgence le 29 avril 2021 puis le 4 mai 2021 d’une saisine rectificative d’un projet de décret visant à créer un traitement de données à caractère personnel dénommé quarantaine et isolement , sous la responsabilité conjointe du ministre chargé de la santé et du ministre de l’intérieur.
Ce traitement vise à assurer le suivi et le contrôle du respect des mesures individuelles mentionnées à l’article L. 3131-17 du CSP motivées par l’arrivée de personnes sur le territoire national, en provenance d’un pays ou territoire confronté à une circulation particulièrement active de l’épidémie ou à la propagation de certains variants du SARS-CoV-2 dont la liste est fixée par arrêté du ministre chargé de la santé.
Dans son avis du 12 mai 2021, la Commission s’est notamment prononcée :
sur le régime juridique applicable au traitement. La Commission a considéré dans son avis que le dispositif relevait d’un régime mixte, à savoir le RGPD pour la finalité de suivi des mesures individuelles, et le titre III de la loi du 6 janvier 1978 pour la finalité de contrôle du respect de ces mesures par la constatation des infractions mentionnées à l’article L. 3136-1 du CSP. Elle a estimé par conséquent que les dispositions réglementaires devraient faire apparaître ce régime mixte et que le traitement devrait être mis en conformité avec la réglementation afférente à chacun de ces régimes ;
sur les données collectées. La Commission a invité les ministères à faire preuve d’une vigilance particulière s’agissant des modalités de recueil des informations (limitation de l’usage de champs libres, respect du principe de minimisation, etc.) et à sensibiliser les personnes renseignant ce système d’information. Elle a également rappelé que si le fichier quarantaine et isolement devait entraîner le traitement de données dites sensibles, notamment des données concernant la santé, il devra être autorisé par décret en Conseil d’Etat ;
sur les accédants et destinataires :
La Commission a demandé à ce que des clarifications soient apportées au décret s’agissant :
		
des catégories d’accédants et des destinataires de données à caractère personnel ;
des finalités pour lesquelles chacune de ces catégories de personnes pourra être destinataire des données du fichier quarantaine et isolement ;
du non accès des agents chargés du contrôle aux frontières aux données.
La Commission s’est interrogée par ailleurs, s’agissant de l’accès aux données par les agents habilités des organismes locaux d’assurance maladie, sur l’articulation entre le dispositif envisagé et celui mis en œuvre dans le cadre du fichier CONTACT COVID . Elle a pris acte des précisions du ministère selon lesquelles aucune interconnexion, rapprochement ou mise en relation du système d’information quarantaine et isolement avec d’autres traitements n’est mise en œuvre ;
sur l’information des personnes : La Commission a relevé qu’une information individuelle serait délivrée aux personnes concernées concomitamment à la notification de la mesure individuelle. Elle estime que les personnes concernées doivent être informées des mesures qui seront prises à leur égard avant d’entreprendre leur voyage à destination du territoire.
En outre, la Commission s’est interrogée sur la proportionnalité du dispositif envisagé, les ministères ayant précisé que le traitement n’est à ce stade mis en œuvre que dans deux aéroports, situés en Ile-de-France (Paris-Orly et Paris-Charles-de-Gaulle) et a estimé, dans son avis, que le traitement, tel qu’il lui a été présenté, ne permet pas de répondre pleinement aux finalités pour lesquelles il est mis en œuvre. Elle a cependant constaté que le projet de décret qui lui a été soumis vise à couvrir l’ensemble des points d’entrée sur le territoire national.
La Commission, qui n’a pas été saisie des détails techniques du fichier, a rappelé qu’elle sera vigilante quant aux conditions de mise en œuvre de ce dispositif et qu’elle fera exercice de son pouvoir de contrôle.
 
APPRÉCIATION DE LA COMMISSION SUR LES CONDITIONS OPÉRATIONNELLES DE MISE EN ŒUVRE DES TRAITEMENTS
Conformément à ce qui avait été indiqué dans les délibérations du 10 septembre 2020 (10) puis du 14 janvier 2021 (11), la Commission a poursuivi ses investigations autour des dispositifs SI-DEP et CONTACT COVID et de l’application TOUSANTICOVID . Elle a également initié ses premières vérifications sur le traitement  VACCIN COVID (12).
Ces vérifications des conditions concrètes de mise en œuvre des fichiers ont été effectuées dans le cadre de contrôles en ligne, sur audition, sur pièces et sur place. Ce sont en tout trente-deux
opérations de contrôle qui ont été menées entre mai 2020 et avril 2021 : dix concernant SI-DEP , douze concernant CONTACT COVID , sept concernant TOUSANTICOVID (en incluant celles réalisées sur STOPCOVID ) et trois concernant le  VACCIN COVID .
 
L’investissement de la Commission dans la réalisation de ces vérifications est sans équivalent dans l’histoire de l’institution, tant au regard du nombre de contrôles effectués, que de leur récurrence ou de la période de temps au cours de laquelle ils se sont déroulés. Ce suivi continu des traitements, pour certains dès le début de leur mise en œuvre, a permis d’assurer une prise en compte des enjeux liés à la protection des données de manière permanente et exhaustive. 
Le présent avis comporte des éléments synthétiques issus des constatations opérées par la Commission dans le cadre de la troisième phase de vérifications qui s’est déroulée de janvier à avril 2021. Il fait également état des échanges réguliers qui ont eu lieu avec le ministère des solidarités et de la santé, la Caisse nationale de l’assurance maladie (CNAM) et les agences régionales de santé (ARS) au cours de cette période.
A. Le contrôle des fichiers SI-DEP et CONTACT COVID 
Les investigations des traitements SI‑DEP et CONTACT COVID continuent à être menées simultanément depuis le dernier avis de la CNIL rendu au mois de janvier 2021.
Pour le traitement SI-DEP , de nouvelles vérifications ont eu lieu auprès de l’Assistance publique - Hôpitaux de Paris (AP-HP) qui assure la mise en œuvre opérationnelle du traitement SI-DEP ainsi qu’auprès de pharmacies utilisant SI-DEP afin d’y verser les résultats des tests antigéniques qu’elles réalisent.
Pour le traitement CONTACT COVID , des contrôles sur place ont eu lieu auprès de deux nouvelles ARS chargées de la gestion des chaînes de contamination complexes : patients testés positifs résidant dans des foyers, établissements médico-sociaux, écoles, universités, etc.
Les points de vérification ont principalement porté sur :
les modalités d’information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
les modalités de conservation des données ;
la réalisation d’analyses d'impact relative à la protection des données.
Le Fichier SI-DEP 
Afin de prendre en compte l'évolution des modalités de réalisation des examens de dépistage par des professionnels de santé habilités, le traitement SI-DEP a été étendu par décret du 14 novembre 2020 pour comprendre la remontée des résultats de tous les examens de dépistage (sérologique ou virologique) réalisés par des professionnels de santé figurant sur une liste prévue par décret et habilités à la réalisation de ces tests (médecins, biologistes médicaux, pharmaciens et infirmiers).
Les opérations de contrôle du traitement SI-DEP effectuées en mars 2021 ont principalement eu pour objet de vérifier les modalités selon lesquelles ces nouveaux professionnels de santé habilités, dont les pharmacies, alimentent le traitement SI-DEP et les modalités de transmission de données de SI-DEP à la CNAM aux fins de versement dans la Plateforme des données de santé (PDS) visée à l'article L. 1462-1 du CSP (dite Health Data Hub ). Il s’est agi également de vérifier l’effectivité des mesures prises à la suite des observations formulées par la Commission dans ses précédents avis concernant la sécurité des systèmes d’information.
Les vérifications ont ainsi montré que les durées de conservation des résultats des tests étaient respectées. Elles ont aussi permis de constater que le plan d’action concernant la gestion de certains comptes utilisateurs et la traçabilité des accès avait été déployé permettant ainsi d’assurer un niveau de conformité satisfaisant, répondant aux recommandations émises lors des contrôles précédents. Les contrôles ont également permis de constater que les nouvelles modalités d’authentification et d’accès à l’interface SI-DEP pour les nouveaux professionnels de santé sont conformes et octroient à ces derniers des droits d’accès qui sont adéquats au regard de leurs missions.