La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis relative au projet de décret modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire et le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé Convertisseur de certificats ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire, notamment son article 2-3 ;
Vu le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé Convertisseur de certificats ;
Après avoir entendu le rapport de Mme Marie-Laure DENIS, Présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie en urgence, le 27 juillet 2021, par le ministre des solidarités et de la santé, puis le 3 août 2021 par saisine rectificative, d'une demande d'avis relative à un projet de décret modifiant, d'une part, le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire et, d'autre part, le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé Convertisseur de certificats .
Cette modification s'inscrit dans le cadre de la loi relative à la gestion de la crise sanitaire, qui prévoit notamment un élargissement très conséquent du champ d'application du passe sanitaire. Dans un contexte de reprise épidémique, le Gouvernement a fait le choix d'étendre le dispositif, initialement limité à certains déplacements à l'étranger ou en dehors du territoire hexagonal et aux événements rassemblant un grand nombre de personnes présentes, à certains lieux d'activités de la vie quotidienne (restaurants, débits de boissons, transports publics interrégionaux de longue distance, etc.), indépendamment du nombre de personnes présentes. La Commission constate que Conseil constitutionnel a validé les dispositions relatives au passe sanitaire à l'exception de celles relatives à la création d'un nouveau motif de rupture anticipée applicable aux contrats à durée déterminée et aux contrats de mission mais dont la censure n'impacte pas le projet de décret soumis à l'avis de la Commission.
L'importante extension du recours obligatoire au passe sanitaire soulève des questions inédites et complexes d'articulation entre protection de la santé publique et exercice de libertés fondamentales. Ainsi que l'a relevé le collège de la CNIL dans ses précédents avis sur le passe sanitaire en date du 12 mai et du 7 juin dernier, la mise en place d'un contrôle sanitaire à l'entrée de certains lieux ou moyens de transport questionne la frontière entre ce qui relève de la responsabilité individuelle et ce qui relève du contrôle social. L'utilisation du passe sanitaire pour des lieux de la vie courante entraîne en outre la mise en œuvre d'un traitement automatisé de données de santé à grande échelle.
A cet égard, la Commission alerte sur le risque d'accoutumance et de banalisation de tels dispositifs attentatoires à la vie privée et de glissement, à l'avenir, et potentiellement pour d'autres considérations, vers une société où de tels contrôles deviendraient la norme et non l'exception. Ainsi, elle considère que le contexte sanitaire peut justifier des mesures exceptionnelles uniquement si, d'une part, ces mesures sont limitées dans le temps et, d'autre part, s'il est démontré que leur mise en œuvre s'avère nécessaire pour lutter contre le rebond de l'épidémie et éviter des mesures encore plus attentatoires aux libertés, notamment un nouveau confinement. En tout état de cause, ces mesures doivent être limitées au strict nécessaire, qu'il s'agisse de leur durée, des personnes ou des lieux où elles s'appliquent et être assorties de garanties de nature à prévenir efficacement les abus.
Si la loi relative à la gestion de la crise sanitaire prévoit que le dispositif doit prendre fin le 15 novembre 2021, sous réserve d'une extension qui ne pourrait avoir lieu que suite à de nouveaux débats parlementaires, la Commission appelle l'attention du ministère sur le fait que la multiplication des dispositifs numériques mis en œuvre dans le cadre de la gestion de l'épidémie rend absolument nécessaire une évaluation quantifiée et objective de leur efficacité dans la lutte contre la covid-19, ce qu'elle a rappelé à de nombreuses reprises depuis le début de l'épidémie afin de s'assurer que le recours à ces dispositifs prenne fin dès que cette nécessité disparaîtra. Elle considère que cet exercice devient une exigence impérieuse avec le nouveau projet de passe sanitaire envisagé quelques semaines seulement après la création du précédent, et sans que soient connus et documentés les éventuelles carences du dispositif actuel et/ou les avantages comparatifs de son extension en soi ou par rapport à d'autres méthodes pour éviter un nouveau rebond de la pandémie (obligation vaccinale générale, mesures de confinement total ou partiel, traçage rigoureux, etc.).
Compte-tenu des éléments rappelés ci-dessus, la Commission formule les observations suivantes.
Sur les dispositions modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire
S'agissant du recours possible à d'autres dispositifs de lecture que l'application TousAntiCovid Verif
Le paragraphe III du projet d'article 2-3 du décret n° 2021-699 du 1er juin 2021 modifié ouvre la possibilité, pour les personnes et services habilités à contrôler le passe sanitaire, de recourir à d'autres dispositifs de lecture que l'application dénommée TousAntiCovid Verif, sous réserve que ceux-ci répondent à des conditions fixées par un arrêté du ministre chargé de la santé. Il précise également que les personnes et services qui recourent à ces dispositifs alternatifs pour le contrôle du passe sanitaire devront en informer le ministère.
Une telle ouverture doit permettre, d'une part, la vérification des justificatifs sur des terminaux n'ayant pas accès aux magasins d'applications dans lesquels l'application TousAntiCovid Verif est actuellement disponible et, d'autre part, un contrôle en ligne du passe sanitaire (par exemple, lors de l'enregistrement en ligne dans le cadre d'un voyage) afin d'en faciliter la vérification dans certains environnements caractérisés par une volumétrie importante et ce, afin notamment de diminuer les files d'attente (aéroports, gares, etc.).
En premier lieu,
En deuxième lieu,
Tout d'abord, la Commission considère que le projet de décret devrait être complété afin de préciser que les conditions fixées par l'arrêté mentionné ci-dessus feront l'objet d'un contrôle du ministère avant que le dispositif de lecture ne soit connecté au système de l'Imprimerie nationale (afin de récupérer les clés publiques de signature des Etats utilisant le format DCC pour leurs certificats, et ainsi de permettre la vérification de leur validité) et puisse être, de ce fait opérationnel. Elle considère que le ministère devrait contrôler, a minima, le respect de l'ensemble des conditions posées par la loi et le décret d'application, la justification du niveau de sécurité au regard des exigences de l'article 32 du RGPD ainsi que l'absence de transfert illicite de données à caractère personnel en application du chapitre V du RGPD.
La Commission appelle l'attention du ministère sur la nécessité de tenir compte, dans l'évaluation de la sécurité du dispositif de lecture, des risques spécifiques à la vérification du passe sanitaire en ligne, tels que l'impossibilité, pour le dispositif concerné, de conserver les données au-delà de ce que permettent les textes, de les transmettre à des tiers ou de les modifier. Les mesures de sécurité de ces dispositifs devront être conformes à l'article 32 du RGPD, en particulier concernant le recours à des algorithmes de chiffrement robustes et réputés à l'état de l'art. En outre, elle invite le ministère à s'assurer que les dispositifs de lecture agréés soit conforme au référentiel général de sécurité (RGS).
La Commission appelle également l'attention du ministère sur la nécessité de s'assurer que les dispositifs évalués n'entraînent pas de transfert de données en dehors de l'Union européenne dans le cadre de l'opération de vérification ou, à défaut, de vérifier que ces transferts fassent l'objet d'un encadrement, tant juridique que technique, permettant d'en garantir la licéité.
Par ailleurs, elle invite le ministère à prévoir des garanties complémentaires permettant d'assurer la transparence du dispositif dans sa globalité : celles-ci pourraient comprendre la publication, sur le site web du ministère, d'une liste officielle recensant les dispositifs de lecture pour lesquels le ministère a estimé qu'ils répondaient aux conditions définies par l'arrêté mentionné ci-dessus après vérification, ainsi qu'une publication des personnes ou services utilisant ces dispositifs alternatifs. Elle estime également que la publication du code source de ces dispositifs devrait être systématique afin d'apporter des garanties fortes en termes de transparence.
En dernier lieu,
Sur l'élargissement des données accessibles aux personnes ou services habilités à contrôler le passe sanitaire dans le cadre de certains déplacements
L'article 1er du projet de décret vient modifier le paragraphe III de l'article 2-3 du décret n° 2021-699 du 1er juin 2021 afin d'élargir les données auxquelles auront accès les personnels et les services habilités pour le contrôle du passe sanitaire requis en application du 1° du A du II de l'article 1er de la loi du 31 mai 2021 telle que modifiée par la loi n° 2021-1040 du 5 août 2021.
En effet, alors que le décret actuellement en vigueur ne prévoit qu'un accès limité aux noms, prénoms, date de naissance de la personne concernée ainsi qu'au résultat positif ou négatif de détention d'un justificatif conforme, les dispositions visées ci-dessus prévoient désormais que ces acteurs accéderont également aux informations relatives à l'examen de dépistage ou au vaccin réalisé.
La Commission relève qu'une telle extension est permise par la loi relative à la gestion de la crise sanitaire, à condition que l'accès à ces données soit strictement nécessaire pour le contrôle du passe sanitaire dans ce contexte. La Commission précise que les dispositions concernées de la loi et du projet de décret doivent s'entendre, selon elle, comme désignant l'accès direct aux données par les personnes physiques contrôlant le passe sanitaire : dans tous les cas, l'ensemble des données est lu et traité par les outils informatiques utilisés pour le contrôle.
Elle prend acte des précisions du ministère selon lesquelles ces évolutions législatives et règlementaires sont liées au fait que les opérations de contrôle lors de déplacements vers l'étranger nécessitent parfois que le contrôleur s'assure lui-même du respect des diverses règles imposées par les pays vers lesquels les personnes se rendent, ces règles étant très variables et pouvant subir des modifications fréquentes. La Commission considère que ces éléments sont de nature à justifier que seuls les acteurs en charge de la vérification du passe sanitaire lors de déplacements à l'étranger aient un accès plus large aux données à caractère personnel présentes sur les justificatifs que les personnes et services habilités à contrôler le passe sanitaire lié aux activités dont les règles ne sont pas spécifiques d'une activité à l'autre et n'ont pas vocation à évoluer.
Néanmoins, la Commission relève que la référence au contrôle du passe sanitaire requis en application du 1° du A du II de l'article 1er de la loi du 31 mai 2021 telle que modifiée par la loi n° 2021-1040 du 5 août 2021 renvoie, d'une part, au contrôle des personnes âgées d'au moins douze ans lors de déplacements à destination ou en provenance du territoire hexagonal, de la Corse ou des Outre-mer (ci-après le passe sanitaire voyages ) et, d'autre part, à celui des personnels intervenant dans les services de transport concernés. Elle considère qu'au regard de la justification apportée, seuls les voyageurs souhaitant se déplacer à l'étranger devraient être concernés par un tel élargissement, à l'exclusion tant des personnes qui se déplacent à destination ou en provenance de la Corse ou des Outre-mer que du personnel intervenant dans ces services de transport.
Par ailleurs, elle invite le ministère à réfléchir à la possibilité de développer un système dans lequel les règles de gestion pourraient être automatisées, de sorte que les personnes en charge de la vérification des certificats aient un accès plus limité aux données, au même titre que dans le cadre du passe sanitaire visant à réguler l'accès à certains lieux, établissements, services ou évènements. Cet objectif semble notamment possible pour les règles édictées par les pays membres de l'Union européenne.
Sur l'absence de conservation des données dans le cadre de la vérification du passe sanitaire
L'alinéa 4 du paragraphe III du projet d'article 2-3 du décret n° 2021-699 du 1er juin 2021 modifié prévoit que si les données ne sont pas conservées dans l'application TousAntiCovid Vérif, elles peuvent en revanche être conservées temporairement par les autres dispositifs de lecture évoqués ci-dessus et uniquement pour la durée d'un seul et même contrôle d'un déplacement ou d'un accès à un lieu, établissement ou service visés par l'obligation de présentation du passe sanitaire.
La Commission prend acte des précisions du ministère selon lesquelles la possibilité de conserver temporairement ces données se justifie par le fait que la vérification du passe sanitaire en ligne est réalisée en amont (parfois jusqu'à quelques jours) d'un déplacement ou de l'accès au lieu, établissement ou service concerné. Si elle ne remet pas en cause l'utilité, dans certains cas, de conserver des informations de manière temporaire, par exemple entre l'enregistrement en ligne et l'embarquement d'un passager, la Commission considère néanmoins que seul le résultat de la vérification opérée devrait être concerné, conformément au principe de minimisation des données consacré à l'article 5.1.c du RGPD. Elle invite donc le ministère à modifier le projet de décret sur ce point.
Sur les dispositions modifiant le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé convertisseur de certificats
L'article 2 du projet de décret prévoit l'extension du convertisseur de certificats à la conversion des certificats de preuve internationaux en certificats répondant aux normes européennes ou nationales et pouvant être produits dans le cadre du passe sanitaire. Il s'agit ici de permettre aux Français de l'étranger ainsi qu'aux étrangers de pouvoir disposer d'un certificat pouvant être reconnu en France ou au sein de l'Union européenne et ce, dans un contexte où l'accès à un plus grand nombre de lieux, établissements et évènements seront soumis à la présentation du passe sanitaire.
Le 2° du paragraphe I du projet d'article 2 du décret n° 2021-901 du 6 juillet 2021 modifié précise ainsi que le convertisseur de certificats est désormais disponible par l'intermédiaire d'un portail de saisie dédié sur lequel la saisie est réalisée sur la base d'un certificat au format international qui permet à ses utilisateurs, qui agissent pour le compte d'un tiers, de le convertir dans un format respectant les normes européennes ou nationales.
A titre liminaire,
En premier lieu,
En deuxième lieu,
En troisième lieu,
En quatrième lieu,
Enfin, en dernier lieu,
Sur les transferts de données en dehors de l'Union européenne
La Commission prend acte des précisions apportées par le ministère selon lesquelles a été mise en place un chiffrement de bout en bout des certificats à convertir durant leur transmission et ce, afin de garantir la conformité des transferts de données opérés du fait du recours à un prestataire étatsunien. Elle relève que la méthode de chiffrement utilisée est conforme aux recommandations 01/2020 du Comité européen de la protection des données lorsque les données peuvent faire l'objet d'un accès par les autorités du pays de destination et que ce dernier n'offre pas un niveau de protection essentiellement équivalent.
Par ailleurs, la Commission prend également acte de ce que le ministère a confirmé que le prestataire étatsunien devait être remplacé, dans les jours à venir, par un prestataire soumis à des juridictions relevant exclusivement de l'Union européenne. La situation lui paraît donc conforme au chapitre V du RGPD.
La présidente,
M.-L. Denis