La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis relative au projet de décret modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, et notamment son article 1.II.E ;
Vu le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie en urgence, le 25 août 2021, par le ministre des solidarités et de la santé, puis le 30 août 2021 par saisine rectificative, d’une demande d’avis relative à un projet de décret modifiant le décret n° 2021-699 du 1

L’élargissement du passe sanitaire, le 9 août dernier, à de nombreuses activités dont certaines ont trait à la vie quotidienne (restaurants, débits de boissons, transports publics interrégionaux de longue distance, etc.) a entraîné une multiplication des fraudes. Le ministère, en qualité de responsabilité du traitement, entend mettre en œuvre un traitement de données permettant la révocation des certificats identifiés comme frauduleux afin que ces derniers ne puissent plus être utilisés dans le cadre des déplacements et de l’accès aux lieux, établissements et évènements soumis à la présentation du passe sanitaire.
Par ailleurs, afin de répondre aux recommandations formulées par la CNIL dans ses précédents avis du 7 juin et du 6 août 2021, le ministère a souhaité développer un dispositif permettant la génération d’un passe sanitaire activités temporaire, d’une validité maximale de 48 heures, et contenant un nombre plus limité de données.
Compte tenu de la gravité des conséquences sanitaires que l’usage de certificats frauduleux est susceptible d’entraîner et du nombre croissant de fraudes, ainsi que pour les motifs développés ci-après, la Commission considère que les évolutions proposées sont légitimes et proportionnées. Pour autant, s’agissant des dispositions relatives à la lutte contre la fraude, le projet de décret devra être modifié afin de limiter expressément les finalités du traitement de données à caractère personnel envisagé ainsi que les données inscrites dans la liste d’exclusion, et préciser les durées de conservation de ces dernières. Elle insiste également sur la nécessité d’assurer une information des détenteurs des certificats inscrits dans la liste au moment de l’inscription, au regard des impacts que le traitement est susceptible d’avoir sur ces derniers. Enfin, s’agissant de la génération temporaire d’un passe sanitaire activité , la Commission, qui accueille favorablement un tel dispositif, invite le ministère à préciser le projet de décret sur les données traitées dans ce cadre.
Sur la lutte contre la fraude au passe sanitaire
Le ministère entend compléter l’article 2-3 du décret n° 2021-699 du 1

liste d’exclusion
La Commission précise que le dispositif envisagé doit permettre l’inscription et la conservation, dans la liste d’exclusion, de l’empreinte numérique des certificats identifiés comme frauduleux, afin de s’assurer que ces derniers ne puissent plus être utilisés dans le cadre de l’obligation de présentation du passe sanitaire. Le ministère a précisé que le dispositif doit permettre de lutter ainsi contre deux types de fraudes : l’usage d’un certificat par un tiers, ainsi que l’utilisation d’un certificat délivré illégalement par une personne habilitée. En pratique, lorsqu’un certificat sera identifié comme frauduleux, les informations relatives à celui-ci seront extraites des systèmes d’information du ministère des solidarités et de la santé pour que l’empreinte numérique du certificat puisse être calculée avant l’intégration de celle-ci au sein de la liste d’exclusion. Afin de permettre l’identification des certificats considérés comme frauduleux, une copie de la liste d’exclusion sera conservée localement au sein des applications TousAntiCovid et TousAntiCovid Verif , ainsi que sur le convertisseur de certificats. Dès lors, lorsque les personnes ou les services habilités à contrôler un passe sanitaire scanneront un QR-Code, la liste d’exclusion sera interrogée afin de détecter une éventuelle concordance entre le certificat présenté et ceux déclarés comme frauduleux. A cette fin, le projet de décret pose le principe d’un traitement automatisé de données ayant pour finalité de lutter contre la fraude, en révoquant les passes sanitaires faux ou détournés.
Sur les modalités d’inscription des certificats identifiés comme frauduleux dans la liste d’exclusion
La Commission prend acte des précisions du ministère selon lesquelles l’inscription, par le ministère, d’un certificat dans la liste d’exclusion peut être la conséquence des évènements suivants :
Le détenteur légitime du certificat adresse un signalement à la plateforme de support de TousAntiCovid et du passe sanitaire, ou dépose une plainte auprès des autorités compétentes, après avoir constaté un usage frauduleux ou une atteinte à la confidentialité de son passe sanitaire ;
Le certificat fait l’objet d’une procédure en cours, peu importe que cette dernière ait été initiée à la suite d’un dépôt de plainte du ministère dans le cadre d’une dénonciation (par exemple, une personne qui a signalé la vente de certificats sur les réseaux sociaux) ou directement par les autorités compétentes.
En premier lieu
La Commission relève qu’un tel choix est justifié au regard de l’objectif de protection de la santé publique poursuivi par le traitement, qui nécessite de limiter le risque de contamination en conditionnant certains déplacements ainsi que l’accès à certains lieux, établissements et évènements à la détention du passe sanitaire valable. Par ailleurs, elle prend acte de ce que le dispositif prévoit des garanties afin d’assurer un équilibre entre les divers intérêts en cause, telles que la possibilité de générer un nouveau certificat (avec un nouvel identifiant et une nouvelle signature numérique) et ce, de manière quasi-instantanée, suite à la demande de la personne, soit directement en ligne (


Dans ces conditions, et sous réserve des observations formulées ultérieurement, la Commission considère que le dispositif envisagé permet d’assurer un équilibre entre les droits des personnes concernées et les objectifs de santé publique poursuivis.
En deuxième lieu
En troisième et dernier lieu
Une finalité limitée à la révocation des passes sanitaires identifiés comme frauduleux
La Commission prend acte des précisions apportées par le ministère selon lesquelles la mise en œuvre du traitement de données à caractère personnel envisagé a pour seule finalité de permettre la révocation des certificats identifiés comme frauduleux, révocation qui aura pour conséquence d’interdire les déplacements ainsi que l’accès à certaines activités, soumis à l’obligation de présentation du passe sanitaire, aux personnes ne disposant pas d’un certificat valable. La Commission relève, à cet égard, que les personnes et les services habilités à contrôler le passe sanitaire devront se limiter à interdire l’accès à leur établissement et à informer les personnes concernées des mesures à prendre pour obtenir un nouveau certificat (notamment en contactant la plateforme de support téléphonique de l’application TousAntiCovid et du passe sanitaire).
Dès lors, la Commission considère qu’il convient d’écarter l’application de la directive n° 2016/680 du 27 avril 2016, dite
police-justice
Par ailleurs, elle invite le ministère à compléter le projet de décret afin de limiter explicitement la finalité poursuivie par le traitement de données envisagé à la seule révocation des certificats signalés comme frauduleux, afin de permettre l’interdiction des déplacements et l’accès aux activités soumis à l’obligation de présentation du passe sanitaire aux personnes dépourvues d’un certificat valable.
Sur les données à caractère personnel incluses dans la liste d’exclusion des certificats
Le projet de décret prévoit l’intégration des codes associés aux justificatifs au sein d’une liste d’exclusion et précise que celle-ci sera mise à la disposition du public afin de faciliter le contrôle du passe sanitaire.
Le ministère a précisé que la liste d’exclusion ne contiendra que les empreintes numériques générées à partir de certaines informations des Codes-QR identifiés comme frauduleux, à l’exclusion de tout autre donnée à caractère personnel et notamment des données nominatives ainsi que celles concernant la santé des personnes concernées.
La Commission approuve ce procédé. Elle considère que celui-ci est de nature à assurer le respect du principe de minimisation des données consacré par l’article 5.1.c du RGPD et qu’une telle limitation est indispensable notamment au regard de la publicité de la liste. Toutefois, la Commission relève que la rédaction du V de l’article 2-3 tel que modifié par le projet de décret objet de la présente saisine, ne permet pas de restreindre le traitement des données aux seules empreintes numériques des certificats en cause : bien qu’en principe les mesures techniques et architecturales de mise en œuvre d’un traitement n’aient pas à figurer dans l’acte réglementaire qui le régit, elle considère en l’espèce indispensable que cette garantie, essentielle pour la protection des données à caractère personnel, figure dans le décret. La Commission prend acte de l’engagement du ministère à modifier le texte sur ce point.
Par ailleurs, la Commission relève que le projet de décret entend modifier l’alinéa 3 de l’article 2-3-III du décret n° 2021-699 du 1


Enfin, si le projet de texte n’a pas vocation à modifier le décret encadrant l’application TousAntiCovid , qui prévoit la réalisation d’analyses statistiques, la Commission invite le ministère à ne pas collecter de données d’usage supplémentaires liées à ce nouveau traitement, c’est à dire concernant la fraude et la liste d’exclusion afférente. En tout état de cause et de manière générale, elle rappelle au ministère que le décret encadrant l’application TousAntiCovid ne permet que la réalisation d’analyses statistiques à partir de données anonymes.
Sur l’information des personnes concernées
La Commission relève que l’information des personnes concernées sera délivrée par l’intermédiaire de plusieurs canaux de communication mis à la disposition du public depuis le début de la crise sanitaire. Il s’agit, en l’espèce, des sites web institutionnels, de la politique de confidentialité de l’application TousAntiCovid , ainsi que de l’ajout d’une mention sur les justificatifs papier. Sur ce dernier point, la Commission considère que l’intégration d’une information relative

Par ailleurs, le ministère a précisé que le détenteur légitime du certificat ne sera pas nécessairement informé de l’inscription de ce dernier sur la liste d’exclusion au moment de l’intégration effective de l’empreinte numérique dans la liste. Or, si la Commission accueille favorablement le fait que l’utilisateur du certificat en cause, qu’il s’agisse du détenteur légitime ou non du passe sanitaire, sera alerté postérieurement à l’inscription dans la liste d’exclusion (au moment de l’import du certificat dans la fonctionnalité Carnet de l’application TousAntiCovid ou lorsque l’utilisateur se rend au sein de cette fonctionnalité ainsi que lors d’un contrôle du certificat), elle considère que le ministère devrait prévoir la mise en œuvre d’une procédure permettant l’information du détenteur légitime au moment de l’intégration de son certificat dans la liste d’exclusion.
En premier lieu
En deuxième lieu
devraient être rapidement informés de la révocation de leurs certificats et des motifs de la révocation
En dernier lieu

Sur les droits des personnes concernées
La Commission rappelle que l’information délivrée aux personnes (aux différentes étapes du traitement, tel que rappelé ci-dessus) devra préciser les droits dont celle-ci dispose s’agissant du traitement envisagé, ainsi que les modalités d’exercice de ces droits. Par ailleurs, les précisions apportées par le ministère sur l’exercice de certains droits garantis par le RGPD appellent les observations suivantes.
En premier lieu,
En deuxième lieu
d’une part, le renvoi à la liste d’exclusion, publiquement accessible, ne permet pas aux personnes concernées de savoir si leurs données à caractère personnel sont présentes dans le fichier, celui-ci ne contenant que les empreintes numériques des certificats, illisibles pour le grand public ;
d’autre part, l’information délivrée

En dernier lieu
Sur la durée de conservation
La Commission relève que le décret reste silencieux sur la durée de conservation des données (empreintes numériques des certificats) au sein de la liste d’exclusion.
Elle prend acte des précisions apportées par le ministère selon lesquelles la durée de conservation des données est liée à l’obligation de présentation du passe sanitaire pour les activités concernés qui, s’agissant des déplacements à l’étranger, devrait

A cet égard, la Commission invite le ministère à compléter le projet de décret afin soit d’indiquer une date précise à partir de laquelle les données devront être supprimées, soit de préciser les critères utilisés pour déterminer cette durée. En tout état de cause, la Commission rappelle que les empreintes numériques des certificats pour lesquels les infractions suspectées ne seraient finalement pas établies à l’issue de la procédure doivent être supprimées de la liste d’exclusion, en application notamment du principe d’exactitude des données prévu à l’article 5.1.d du RGPD.
Sur la génération temporaire d’un passe sanitaire activité
L’article 1


Ce passe activités permet, d’une part, de limiter considérablement les données à caractère personnel présentes dans le code QR, celles-ci étant restreintes aux nom, prénoms, date de naissance ainsi qu’à la date et l’heure de fin de validité du passe activités et, d’autre part, de restreindre la durée durant laquelle le passe pourra être utilisé.
La Commission accueille favorablement la mise en œuvre d’un tel dispositif, qui permet de répondre aux observations que la Commission a formulées à plusieurs reprises dans le cadre de ses précédents avis, en contribuant au renforcement des garanties prévues par le passe sanitaire en matière de protection des données à caractère personnel.
En effet, la minimisation des données et le caractère temporaire du passe permettent de réduire considérablement le risque que des personnes, habilitées ou non à contrôler le passe sanitaire, puissent avoir accès à des données à caractère personnel dont elles ne devraient pas avoir connaissance (notamment les données concernant la santé des personnes) compte tenu de l’absence de chiffrement des informations stockées dans le code QR des justificatifs. Plus particulièrement, le passe activités permet notamment de répondre aux observations formulées par la Commission, dans sa délibération du 6 août 2021, sur la nécessité d'identifier des solutions techniques et fonctionnelles permettant de minimiser les risques induits par l’utilisation de l’application TousAntiCovid en lieu et place de l’application de lecture du passe sanitaire dénommée TousAntiCovid Verif . Elle attire toutefois l’attention du ministère sur la nécessité de s’assurer que le parcours utilisateur soit le plus simple possible afin d’assurer la compréhension du dispositif ainsi que son accessibilité par le plus grand nombre.
Par ailleurs, la Commission a rappelé, dans sa délibération du 12 juin 2021, que lorsqu’un traitement de données à caractère personnel, mis en œuvre par une autorité publique, est précisément encadré par un acte réglementaire, la liste des données traitées devait, en principe, figurer dans l’acte. Elle avait alors invité le ministère à compléter le projet de décret sur ce point, d’autant plus que le règlement relatif au certificat numérique européen Covid, qui venait lister les données présentes dans le passe sanitaire européen et auquel le ministère renvoyait dans ses écrits, n’avait pas vocation à encadrer la présentation des justificatifs pour des usages nationaux tels que la régulation de l’accès à certains lieux, établissements ou évènements. De la même façon, la Commission considère que le projet de décret, objet de la présente saisine, devrait être complété afin de préciser les données présentes dans ce nouveau passe activités .
Enfin, la Commission relève que la génération de ce passe activités n’est accessible que


Sur les mesures de sécurité
A titre liminaire, la Commission rappelle que les AIPD des divers dispositifs impactés par les modifications du présent projet de décret (passe sanitaire, application TousAntiCovid ) devront être mises à jour préalablement à la mise en œuvre des évolutions prévues par le présent projet de décret et prend acte de l’engagement du ministère sur ce point. Elles devront notamment inclure une évaluation détaillée des risques pour les droits et libertés fondamentaux des personnes engendrés par la création du traitement de données relatif à la lutte contre la fraude au passe sanitaire.
La Commission rappelle que les mesures prises pour garantir la sécurité des données traitées dans le cadre des listes d’exclusion et pour informer les personnes dont l’empreinte numérique des certificats est inscrite dans la liste quant à la conduite à tenir, devront également être appliquées aux dispositifs de lecture du passe alternatifs à l’application TousAntiCovid Verif . Elle suggère, à ce titre, que les modalités précises de gestion de ces listes figurent explicitement dans l’arrêté mentionné à l’article 2-3-III du décret n° 2021-699 du 1

Enfin, la Commission rappelle au ministère que les modalités techniques de génération des empreintes numériques des certificats devront être conformes au référentiel général de sécurité (RGS) et notamment à son annexe relative aux mécanismes cryptographiques.
Marie-Laure DENIS