La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l’état d’urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Vu le décret n° 2020-551 du 12 mai 2020 modifié relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le décret n° 2020-650 du 29 mai 2020 modifié relatif au traitement de données dénommé TousAntiCovid ;
Vu le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ;
Émet l’avis suivant :
Pour lutter contre l’épidémie de COVID-19, la loi du 11 mai 2020 de prorogation de l’état d’urgence sanitaire a autorisé la création temporaire de deux fichiers nationaux : SI-DEP et CONTACT COVID . Ces traitements de données à caractère personnel sont encadrés par un décret en Conseil d’Etat du 12 mai 2020 qui précise leurs modalités de création et de mise en œuvre.
Au côté de ces fichiers, d’autres dispositifs ont été déployés aux fins de lutte contre l’épidémie de COVID-19 tels que l’application mobile TOUSANTICOVID , dont le traitement est encadré par le décret n°2020-650 du 29 mai 2020 modifié, et le système d’information VACCIN COVID devant permettre le déroulement et le suivi de la campagne de vaccination contre le coronavirus SARS-CoV-2, et dont le traitement est encadré par le décret n° 2020-1690 du 25 décembre 2020.
Dans le contexte de crise sanitaire, la Commission a été amenée à se prononcer à plusieurs occasions, en urgence, sur le cadre normatif encadrant ces traitements : auditionnée à onze reprises et ayant rendu dix avis depuis avril 2020, elle a ainsi éclairé les débats parlementaires autour des enjeux fondamentaux liés au respect de la vie privée et des données à caractère personnel. La Commission a également procédé à trente-deux contrôles depuis la mise en œuvre de ces dispositifs. Ses préconisations et constats ont été détaillés dans ses deux premiers avis, en date du 10 septembre 2020 et du 14 janvier 2021, relatifs au fonctionnement de ces systèmes d’information.
Afin de permettre à la Commission d’apprécier pleinement la proportionnalité et la nécessité de ces dispositifs, déployés dans le cadre de la politique sanitaire actuelle du Gouvernement, il apparaît primordial que, plus d’un an après le début de la crise sanitaire et comme elle l’a rappelé dans ses deux premiers avis, des éléments concrets d’évaluation de leur utilité et de leur efficacité dans la lutte contre l’épidémie de COVID-19 soient portés à sa connaissance.
Ce troisième avis de la Commission, rendu sur le fondement de l’article 11 de la loi du 11 mai 2020 modifiée, s’attachera, notamment au regard des préconisations qu’elle a émises dans ses avis sur les projets de texte qui lui ont été soumis depuis décembre 2020 et de ses constatations lors des divers contrôles effectués, à rappeler les récentes évolutions du cadre normatif et à évaluer les conditions opérationnelles de mise en œuvre de ces traitements.
ÉVOLUTIONS DU CADRE NORMATIF ET AVIS DE LA CNIL
L’avis de la Commission a été sollicité par le Gouvernement sur les évolutions des textes encadrant la mise en œuvre des traitements liés à la crise sanitaire.
L’avis de la Commission sur les modifications apportées au système d’information CONTACT COVID
Dans le cadre de la gestion de la crise sanitaire, le Gouvernement a souhaité renforcer le dispositif
de traçage des chaînes de transmission du virus en élargissant le champ d’action du fichier CONTACT COVID . Cela se traduit par :
une extension significative du nombre de personnes concernées par l’ajout de la possibilité de collecter les données relatives aux personnes co-exposées

la collecte de nouvelles catégories de données :
concernant la participation à des rassemblements, évènements ou activités de plus de six personnes qui présentent un risque de contamination plus élevé ;
relatives au retour d’un voyage à l’international ou dans les Outre-mer et plus particulièrement à l’identification des gares ou aéroports que les personnes ont fréquentées au retour d’un séjour dans un département ou collectivité d’outre-mer ou dans un État tiers ainsi que des exploitants de ces moyens de transport.
La Commission a ainsi été saisie en janvier 2021, en urgence, d’un projet de décret relatif à ces évolutions ayant pour objectif de faciliter la réalisation des enquêtes sanitaires.
Dans son avis du 19 janvier 2021

a notamment :
souligné que, si le projet de décret prévoit d'étendre considérablement et substantiellement les informations collectées dans le système d'information, ce dispositif doit rester conditionné au volontariat des personnes interrogées ;
invité le ministère à clarifier et rendre publics, par exemple sur son site web, plusieurs éléments dont les critères de distinction entre la notion de personne co-exposée et celle de cas contact , ainsi que les hypothèses dans lesquelles il pourrait être considéré que les mesures barrières n’ont pu être pleinement respectées ;
rappelé que les informations collectées ne peuvent être utilisées à d’autres fins que celles prévues par le décret, et notamment ne peuvent être utilisées pour la surveillance du respect des mesures visant à lutter contre l’épidémie de COVID-19 ;
souligné la nécessité de prévoir des mesures techniques permettant de garantir la sécurité des données ;
demandé que des instructions claires et uniformes soient données à l’ensemble des personnes intervenant sur le système d’information CONTACT COVID . Ces dernières doivent également être régulièrement formées et sensibilisées sur les questions de protection des données et de respect de la vie privée.
Elle s’est également prononcée sur :
les nouvelles catégories de données collectées concernant la participation à des rassemblements, évènements ou activités :
la Commission a émis des réserves quant à la collecte de certaines catégories de données au regard du principe de minimisation telles que la collecte du nom d’un rassemblement, évènement ou activité


la possibilité de divulguer l’identité du patient zéro sous réserve de son consentement et lorsque cela est nécessaire à de nouvelles catégories de personnes


la recherche des coordonnées des patients zéro , cas contacts et des personnes co-exposées en cas d’indisponibilité ou d’absence auprès de tiers :
la Commission a demandé que la notion de tiers soit remplacée par une liste limitative d’organismes pouvant être sollicités à des fins de recherche de coordonnées manquantes et a été suivie sur ce point.
Sur les modifications des systèmes d’information SI-DEP et CONTACTCOVID envisagées par le projet de loi relatif à la gestion de la sortie de la crise sanitaire
La Commission relève que le projet de loi relatif à la gestion de la sortie de la crise sanitaire en cours de discussion ne prévoit pas de prolongation de l’existence des fichiers SI-DEP et CONTACTCOVID au-delà de la durée prévue par la loi du 11 mai 2020. Ces fichiers devront donc, le cas échéant, être supprimés au 31 décembre 2021.
Le projet de loi prévoit toutefois la possibilité de centraliser les données issues des fichiers SI-DEP et CONTACT COVID au sein du Système national des données de santé (SNDS) afin de faciliter la surveillance épidémiologique et la recherche sur le virus, dès lors qu’elles appartiennent aux catégories de données mentionnées à l’article L. 1461-1 du code de la santé publique (CSP).
La Commission relève que cette centralisation induit un changement substantiel dans le régime juridique applicable à ces données, s’agissant notamment de la finalité du traitement ou encore de la durée de conservation des données pseudonymisées à des fins de suivi épidémiologique et de recherche sur le virus. Ainsi, cette centralisation aura pour effet de permettre la conservation des données pseudonymisées issues de ces fichiers, à des fins de recherche et de suivi épidémiologique, actuellement autorisée jusqu’au 31 décembre 2021, pour une durée pouvant aller jusqu’à vingt ans

Sans remettre en cause l’intérêt essentiel de conservation des données à des fins de recherche, la Commission invite le Gouvernement à prévoir des modalités d’information adéquates des personnes concernées et permettant de faciliter l’exercice de leurs droits. La Commission y sera particulièrement attentive.
L’avis de la Commission sur les modifications apportées à l’application TOUSANTICOVID

’avis de la Commission sur le dispositif d’enregistrement des visites dans certains établissements recevant du public
Dans la perspective de la réouverture de certains établissements recevant du public (ERP), le Gouvernement a souhaité poursuivre ses évolutions afin notamment d’introduire un dispositif numérique d’enregistrement des visites dans de tels lieux (basé sur la lecture et l’enregistrement de codes QR mis à disposition à l’entrée des ERP). Ce dispositif a pour vocation de faciliter l’alerte des personnes ayant fréquenté ces lieux sur une plage horaire similaire à celle d’une ou de plusieurs personnes ultérieurement dépistées ou diagnostiquées positives à la COVID-19.
Cette évolution du dispositif apportant des modifications substantielles au traitement, la Commission a été saisie en urgence pour rendre un avis sur le projet de décret modifiant le décret relatif à l’application TOUSANTICOVID .
Dans son avis en date du 17 décembre 2020, la Commission a :
considéré que l’utilité, au stade actuel de la lutte contre l’épidémie, d’un dispositif complémentaire d’identification des contacts à risque de contamination est démontrée ;
relevé que l’architecture technique et fonctionnelle du dispositif apporte plusieurs garanties substantielles de nature à en assurer la proportionnalité (absence de géolocalisation ou de suivi des déplacements de l’utilisateur, etc.). Elle a reconnu l’intérêt du dispositif pour lutter contre l’épidémie de la COVID-19 et a souligné que l’appréciation concrète de la proportionnalité de la collecte envisagée devrait être affinée lorsque les conditions de réouverture des ERP seraient connues (liste précise des ERP concernés, caractère facultatif ou obligatoire du dispositif d’enregistrements des visites pour les établissements et les personnes concernées, etc.) ;
formulé certaines recommandations afin de minimiser l’atteinte portée au droit à la protection des données à caractère personnel : d’une part, que le caractère obligatoire du dispositif soit, le cas échéant, limité aux seuls ERP présentant un risque élevé et, d’autre part, qu’il ne soit pas rendu obligatoire dans les lieux dont la fréquentation est susceptible de révéler des données sensibles (lieux de culte, etc.) ;
invité le ministère à prévoir de nouvelles garanties de nature à minimiser davantage les risques de traçage des utilisateurs, telles qu’une limitation de la durée de validité des codes-QR

appelé l’attention du ministère sur la nécessité de mettre régulièrement à jour l’analyse d’impact relative à la protection des données (AIPD) avant de mettre en œuvre les évolutions successives de l’application et regretté que l’AIPD dédiée au dispositif d’enregistrement des visites

Suite à l’avis du 17 décembre 2020, le ministère a sollicité les services de la Commission dans le cadre d’une demande de conseil sur une évolution substantielle du protocole

Les observations de la Commission formulées dans l’avis sur les aspects techniques du dispositif, nouvellement baptisé TousAntiCovid-Signal, et du protocole sous-jacent ont été prises en considération par le ministère, ce qui permet d’offrir de meilleures garanties en termes de protection des données et de sécurité. En particulier, le nouveau protocole repose non seulement sur une architecture décentralisée pour la vérification du risque d’exposition d’un utilisateur, dont l’estimation et la notification sont effectuées localement sur le terminal de l’utilisateur de l’application, mais aussi sur l’utilisation de codes QR dynamiques renouvelés périodiquement

Ce dispositif n’a à ce jour pas encore été déployé. Toutefois quelques expérimentations ont lieu dans des lieux précis. La Commission sera attentive aux modalités concrètes de mise en œuvre de cette nouvelle fonctionnalité.
Les autres évolutions prévues par le décret
Le décret a également vocation à permettre la collecte et le traitement de nouvelles données nécessaires à la lutte contre l’épidémie et à intégrer les évolutions successives de l’application depuis le déploiement de sa version 2.0 le 22 octobre dernier, telles qu’évoquées ci-dessus.
Ainsi, la Commission s’est notamment prononcée sur :
l’intégration de nouvelles fonctionnalités de l’application TOUSANTICOVID

la priorisation des cas contacts dans l’accès aux examens ou aux tests de dépistage
l’intégration d’un système de notification push , lié à la fonctionnalité de suivi des contacts

La fonctionnalité TousAntiCovid-Carnet
Le 19 avril 2021, le ministère des solidarités et de la santé a déployé une nouvelle fonctionnalité dénommée TousAntiCovid-Carnet. Il s’agit d’un carnet numérique permettant de stocker, de manière électronique, les certificats de résultats de tests (PCR et antigéniques) ainsi que les certificats de vaccination. Cette fonctionnalité permet aux utilisateurs de pouvoir présenter aux autorités compétentes des résultats de test ou des attestations de vaccination certifiés conformes, lorsque la fourniture de ces documents est obligatoire.
Les services de la Commission ont été sollicités sur les aspects techniques du dispositif afin de garantir que ceux-ci soient respectueux du droit à la protection des données à caractère personnel et de la vie privée des personnes. La CNIL a ainsi pu partager ses recommandations quant aux garanties à apporter, notamment pour assurer la sécurité des données.
En particulier, la principale observation communiquée au ministère concerne les modalités d’authentification pouvant être mises en place pour la récupération des preuves par les utilisateurs sur un ou des téléservices dédiés. La Commission rappelle que le choix d’une telle modalité repose sur la réalisation par le ministère d’une analyse des risques, et que cette analyse devra être transmise à la Commission sous la forme d’une analyse d’impact relative à la protection des données.
De nouveaux contrôles de l’application seront effectués s’agissant de la mise à jour de l’application contenant ces nouveaux dispositifs.
Le système d’information quarantaine et isolement
La Commission a été saisie en urgence le 29 avril 2021 puis le 4 mai 2021 d’une saisine rectificative d’un projet de décret visant à créer un traitement de données à caractère personnel dénommé quarantaine et isolement , sous la responsabilité conjointe du ministre chargé de la santé et du ministre de l’intérieur.
Ce traitement vise à assurer le suivi et le contrôle du respect des mesures individuelles mentionnées à l’article L. 3131-17 du CSP motivées par l’arrivée de personnes sur le territoire national, en provenance d’un pays ou territoire confronté à une circulation particulièrement active de l’épidémie ou à la propagation de certains variants du SARS-CoV-2 dont la liste est fixée par arrêté du ministre chargé de la santé.
Dans son avis du 12 mai 2021, la Commission s’est notamment prononcée :
sur le régime juridique applicable au traitement
sur les données collectées.
sur les accédants et destinataires :
La Commission a demandé à ce que des clarifications soient apportées au décret s’agissant :
des catégories d’accédants et des destinataires de données à caractère personnel ;
des finalités pour lesquelles chacune de ces catégories de personnes pourra être destinataire des données du fichier quarantaine et isolement ;
du non accès des agents chargés du contrôle aux frontières aux données.
La Commission s’est interrogée par ailleurs, s’agissant de l’accès aux données par les agents habilités des organismes locaux d’assurance maladie, sur l’articulation entre le dispositif envisagé et celui mis en œuvre dans le cadre du fichier CONTACT COVID . Elle a pris acte des précisions du ministère selon lesquelles aucune interconnexion, rapprochement ou mise en relation du système d’information quarantaine et isolement avec d’autres traitements n’est mise en œuvre ;
sur l’information des personnes :
En outre, la Commission s’est interrogée
sur la proportionnalité du dispositif envisagé
La Commission, qui n’a pas été saisie des détails techniques du fichier, a rappelé qu’elle sera vigilante quant aux conditions de mise en œuvre de ce dispositif et qu’elle fera exercice de son pouvoir de contrôle.
APPRÉCIATION DE LA COMMISSION SUR LES CONDITIONS OPÉRATIONNELLES DE MISE EN ŒUVRE DES TRAITEMENTS
Conformément à ce qui avait été indiqué dans les délibérations du 10 septembre 2020



Ces vérifications des conditions concrètes de mise en œuvre des fichiers ont été effectuées dans le cadre de contrôles en ligne, sur audition, sur pièces et sur place. Ce sont en tout
trente-deux
opérations de contrôle
L’investissement de la Commission dans la réalisation de ces vérifications est sans équivalent dans l’histoire de l’institution, tant au regard du nombre de contrôles effectués, que de leur récurrence ou de la période de temps au cours de laquelle ils se sont déroulés. Ce suivi continu des traitements, pour certains dès le début de leur mise en œuvre, a permis d’assurer une prise en compte des enjeux liés à la protection des données de manière permanente et exhaustive.
Le présent avis comporte des éléments synthétiques issus des constatations opérées par la Commission dans le cadre de la troisième phase de vérifications qui s’est déroulée de janvier à avril 2021. Il fait également état des échanges réguliers qui ont eu lieu avec le ministère des solidarités et de la santé, la Caisse nationale de l’assurance maladie (CNAM) et les agences régionales de santé (ARS) au cours de cette période.
A. Le contrôle des fichiers SI-DEP et CONTACT COVID
Les investigations des traitements SI‑DEP et CONTACT COVID continuent à être menées simultanément depuis le dernier avis de la CNIL rendu au mois de janvier 2021.
Pour le traitement SI-DEP , de nouvelles vérifications ont eu lieu auprès de l’Assistance publique - Hôpitaux de Paris (AP-HP) qui assure la mise en œuvre opérationnelle du traitement SI-DEP ainsi qu’auprès de pharmacies utilisant SI-DEP afin d’y verser les résultats des tests antigéniques qu’elles réalisent.
Pour le traitement CONTACT COVID , des contrôles sur place ont eu lieu auprès de deux nouvelles ARS chargées de la gestion des chaînes de contamination complexes : patients testés positifs résidant dans des foyers, établissements médico-sociaux, écoles, universités, etc.
Les points de vérification ont principalement porté sur :
les modalités d’information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
les modalités de conservation des données ;
la réalisation d’analyses d'impact relative à la protection des données.
Le Fichier SI-DEP
Afin de prendre en compte l'évolution des modalités de réalisation des examens de dépistage par des professionnels de santé habilités, le traitement SI-DEP a été étendu par décret du 14 novembre 2020 pour comprendre la remontée des résultats de tous les examens de dépistage (sérologique ou virologique) réalisés par des professionnels de santé figurant sur une liste prévue par décret et habilités à la réalisation de ces tests (médecins, biologistes médicaux, pharmaciens et infirmiers).
Les opérations de contrôle du traitement SI-DEP effectuées en mars 2021 ont principalement eu pour objet de vérifier les modalités selon lesquelles ces nouveaux professionnels de santé habilités, dont les pharmacies, alimentent le traitement SI-DEP et les modalités de transmission de données de SI-DEP à la CNAM aux fins de versement dans la Plateforme des données de santé (PDS) visée à l'article L. 1462-1 du CSP (dite
Health Data Hub
Les vérifications ont ainsi montré que les durées de conservation des résultats des tests étaient respectées. Elles ont aussi permis de constater que le plan d’action concernant la gestion de certains comptes utilisateurs et la traçabilité des accès avait été déployé permettant ainsi d’assurer un niveau de conformité satisfaisant, répondant aux recommandations émises lors des contrôles précédents. Les contrôles ont également permis de constater que les nouvelles modalités d’authentification et d’accès à l’interface SI-DEP pour les nouveaux professionnels de santé sont conformes et octroient à ces derniers des droits d’accès qui sont adéquats au regard de leurs missions.
En ce qui concerne la transmission de données vers la CNAM aux fins de versement des résultats des tests dans la PDS, il a été constaté que celle-ci est désormais opérationnelle. L’objectif de ce flux de données est d’alimenter la PDS afin de fournir aux chercheurs un accès aux données à des fins de recherche. Lors des opérations de contrôle en mars 2021, il est apparu que les opérations d’extraction des données en vue de leur versement dans les portails mis à disposition par la CNAM, pour le transfert des données du traitement SI-DEP à cette dernière, ne s’effectuent pas selon des modalités permettant d’assurer, de manière entièrement satisfaisante, la confidentialité des données.
Des vérifications seront menées prochainement sur les modalités de traitement mises en œuvre par la CNAM dans le cadre du téléversement de données dans la PDS.
Enfin, en ce qui concerne la mise en œuvre opérationnelle des tests réalisés dans les pharmacies, des contrôles menés dans deux pharmacies ont permis de constater que le ministère a pris des mesures satisfaisantes d’accompagnement des pharmaciens dans leur prise en main de l’outil SI-DEP , notamment sur l’information qu’ils doivent porter à la connaissance des personnes testées. Il est néanmoins apparu que parfois, lorsque le nombre de patients était important, notamment au regard du personnel de l’officine, l’information des personnes et la confidentialité des données n’étaient plus assurées de manière aussi rigoureuse.
Ces constats ont conduit la Commission à attirer l’attention du Conseil national de l’ordre des pharmaciens (CNOP) sur l’importance de sensibiliser leurs membres au respect des principes posés par le RGPD dans le cadre de la réalisation des tests antigéniques, et en particulier sur le contenu et le sort réservé aux fiches de recueil d’information renseignées par les personnes lors de leur prise en charge ainsi que sur l’information devant leur être délivrée à cette occasion.
Le Fichier CONTACT COVID
Comme annoncé par la Commission dans le cadre de son précédent avis, les contrôles opérés entre janvier et avril 2021 ont essentiellement porté sur l’utilisation des données issues de CONTACT COVID par des ARS dans le cadre de leur mission de suivi de contacts de niveau 3.
Ce sont deux nouvelles ARS qui ont fait l’objet de contrôles depuis le deuxième avis de la CNIL du 14 janvier 2021.
À titre liminaire, il convient de rappeler que les ARS sont des établissements publics, autonomes moralement et financièrement, placés sous la tutelle du ministère des solidarités et de la santé

contact tracing
En premier lieu, concomitamment au précédent avis, un courrier a été envoyé au ministère des
Le ministère a également précisé que depuis le 14 janvier 2021, les ARS n'adressent plus par courriel ou SMS l'offre d'une aide à l'isolement et les consignes sanitaires, qui est désormais assurée par la CNAM

Par ailleurs, parallèlement, le 21 janvier 2021, des courriers ont été envoyés par la Commission à toutes les ARS afin de leur rappeler les mesures nécessaires à la protection des données des personnes concernées issues de l’outil CONTACT COVID .
A la suite de ces échanges, les vérifications effectuées
ont permis de constater la mise en œuvre de nombreuses mesures pour garantir de façon optimale le respect des données des personnes,
Néanmoins, la Commission a encore constaté plusieurs points de non-conformité à l’occasion de vérifications effectuées auprès d’une ARS :
Les mauvaises pratiques relevées lors de ce contrôle sont :
une durée de conservation excessive des données relatives au suivi des patients zéro ou des cas contacts , l’ARS en question ne procédant pas à la purge des données enregistrées au sein du serveur de fichiers interne à l’issue d’un délai de trois mois comme elle devrait le faire ;
une information déficiente des personnes concernées, l’ARS contrôlée n’ayant formalisé aucun document d’information (papier ou numérique) destiné aux personnes dont les données sont traitées dans le cadre de l’activité de contact tracing de niveau 3 ;
l’absence de réalisation d’une AIPD. Cette analyse, qui doit notamment permettre d’identifier les risques liés aux traitements réalisés et aux moyens à déployer pour les limiter, est nécessaire s’agissant de fichiers mis en œuvre pour répondre à une alerte sanitaire. Cette obligation légale (art. 67 de la loi informatique et libertés ) a été rappelée à chacune des ARS tant dans le cadre de l’avis public précédent que dans les courriers qui leur ont été adressés par la Commission. La Commission invite le ministère des solidarités et de la santé à fournir aux ARS une AIPD de référence.
À la lumière des constatations effectuées,
la présidente de la Commission a adressé à cette ARS une mise en demeure de se conformer
Comme cela avait déjà été fait dans le cas précédent, un courrier a été envoyé au ministère des solidarités et de la santé afin de l’alerter sur les mauvaises pratiques identifiées.
B. Le contrôle de l’application TOUSANTICOVID
Le 2 juin 2020, l’application STOPCOVID a été déployée par le ministère des solidarités et de la santé dans les magasins d’applications mobiles (iOS et Android) accessibles au grand public.
Une première phase de contrôle a eu lieu au mois de juin 2020. À la suite de ces contrôles, la présidente de la Commission a mis en demeure le 15 juillet 2020 le ministère des solidarités et de la santé de mettre en conformité le traitement des données en lien avec l’application STOPCOVID au RGPD et à l’article 82 de la loi informatique et libertés . Le ministère s’étant mis en conformité dans le délai imparti, la présidente de la Commission a prononcé la clôture de cette mise en demeure le 3 septembre 2020.
Le 22 octobre 2020, le ministère des solidarités et de la santé a publié une nouvelle version de l’application STOPCOVID , dénommée TOUSANTICOVID . Celle-ci fournit de surcroît des informations actualisées sur la circulation du virus et des liens vers d’autres dispositifs numériques du Gouvernement et permet la génération d’attestations de déplacement dérogatoire.
La Commission a effectué de nouvelles vérifications sur cette application auprès du ministère des solidarités et de la santé, responsable de ce traitement, ainsi qu’auprès des autres organismes impliqués dans sa mise en œuvre dont notamment l’Institut national de recherche en sciences et technologies du numérique (INRIA), qui a conçu le protocole sur lequel repose l’application et qui agit en tant qu’assistant à maîtrise d’œuvre.
Ces vérifications, effectuées en octobre et novembre 2020, ont notamment porté sur la pérennité des mesures prises à la suite de la mise en demeure du 15 juillet 2020 et sur la conformité des nouvelles fonctionnalités de l’application au RGPD et à la loi informatique et libertés .
S’agissant des évolutions de l’application depuis les contrôles de novembre 2020
Les nouvelles fonctionnalités décrites ci-dessus ( TousAntiCovid Carnet et le dispositif numérique d’enregistrement des visites dans certains ERP) n’ayant pas encore été totalement intégrées à l’application TOUSANTICOVID au début du mois d’avril 2021, aucun nouveau contrôle de l’application n’a été réalisé par la Commission depuis le mois de novembre 2020.
De nouveaux contrôles seront effectués prochainement avec la mise à jour de l’application contenant ces nouveaux dispositifs, ou de toute autre évolution modifiant de façon substantielle les traitements mis en œuvre.
C. Le contrôle du traitement VACCIN COVID
Le décret n° 2020-1690 du 25 décembre 2020 a autorisé la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19, dénommé VACCIN COVID .
Une première phase de contrôle de ce traitement est actuellement en cours, une audition de la CNAM ayant eu lieu au début du mois mars.
En dépit du court délai dans lequel le traitement VACCIN COVID a été développé par la CNAM et la Direction générale de la santé ( DGS ), ces dernières ont été en mesure de communiquer à la délégation de contrôle une documentation fournie dont l’exploitation est en cours.
Dans le cadre de l’audition de la CNAM, la Commission a pu accéder à un environnement de test du téléservice Vaccination Covid . Ce téléservice est utilisé par les professionnels de santé pour importer les données de leurs patients et y reporter les données relatives à la vaccination.
Tout professionnel de santé habilité à réaliser des opérations de vaccination peut rechercher une personne

Contrairement à ce qui a été rapporté dans la presse, cette fonctionnalité de recherche par le NIR, ouverte à tout professionnel de santé habilité à réaliser des opérations de vaccination, ne constitue pas un défaut de sécurité.
Les contrôles de plusieurs centres de vaccination ont cependant mis en lumière le fait que, pour des raisons pratiques inhérentes au fonctionnement de ces centres, le téléservice VACCIN COVID est régulièrement alimenté par des personnels administratifs utilisant le compte d’un professionnel de santé. Bien que ce mode de fonctionnement soit à rapprocher du travail habituel d’un secrétariat médical, l’exploitation se poursuit afin de savoir si les exigences en termes de traçabilité et d’imputabilité des actions sont respectées.
Lors des contrôles, la délégation a constaté :
que seules les données visées dans le décret no 2020-1690 du 25 décembre 2020 font l’objet d’un traitement et qu’il n’y a pas de zone de commentaire libre dans les différents modules du téléservice, ce qui limite fortement le risque de saisie de données non pertinentes ;
qu’une attention particulière a été portée sur l’information des personnes, notamment par la mise en place de mentions d’informations

que les données du traitement VACCIN COVID font bien l’objet d’un chiffrement et que l’accès au téléservice Vaccination Covid requiert une authentification avec une carte de professionnel de santé ( CPS ) ou au moyen de l’application eCPS . Cet accès s’effectue depuis le portail AMELIPRO ou bien depuis le portail Pro Santé Connect . Les administrateurs des serveurs se connectent à ces derniers de manière sécurisée.
La délégation a en outre été informée que les autres régimes de sécurité sociale effectuent, aux fins de pré-alimentation de la base de données du traitement VACCIN COVID et à la demande de la CNAM, des campagnes de ciblage des personnes éligibles à la vaccination et transfèrent ces données à la CNAM par l’intermédiaire de la plateforme d’échange sécurisée PETRA mise en place par la CNAM dans le cadre de ses activités habituelles. L’exploitation de la documentation relative à ces campagnes de ciblage se poursuit.
Enfin, il a été indiqué, lors des contrôles, que des données que la CNAM considère comme désidentifiées sont transmises de manière sécurisée à la direction du numérique des ministères sociaux ( DNUM ) aux fins de production d’indicateurs de couverture vaccinale.
D. Les autres procédures de contrôle
Outre les contrôles effectués sur les principaux systèmes d’information SIDEP , CONTACT COVID , TOUSANTICOVID et VACCIN COVID , la Commission procède également à des vérifications sur des traitements mis en œuvre par des acteurs de la santé en complément des traitements susmentionnés.
En particulier, elle a ainsi procédé à des contrôles sur pièces, toujours en cours, relatifs à l’activité de suivi de contacts :
concernant les traitements dénommés COVIDOM et COVISAN mis en œuvre par l’AP-HP notamment par l’intermédiaire du site web Covidom.fr et de l’application mobile Covidom Patient ;
concernant le dispositif multicanal d’accompagnement dénommé COVI CONTACT mis en œuvre par l’ARS Île-de-France et destiné à toutes les personnes concernées par des mesures d’isolement à domicile afin d’être accompagnées régulièrement et à distance.
E. Une procédure de contrôle continue
La Commission rappelle que les contrôles se poursuivront tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre fixée au 31 décembre 2021 et la suppression des données qu’ils contiennent.
Elle rappelle également que les vérifications menées donnent toujours lieu à des échanges très réguliers et approfondis avec le ministère des Solidarités et de la Santé pour le dispositif SI-DEP , mais également avec les autres organismes administrateurs et utilisateurs de l’application CONTACT COVID (CNAM, ARS, établissements de santé, etc.) et du système d’information  VACCIN COVID . Le présent avis ne constitue ainsi qu’une synthèse de ces échanges et des constatations effectuées lors de la troisième phase de contrôles.
À cet égard,
une quatrième phase de contrôles
Concernant le traitement SI-DEP , outre toute modification technique susceptible d’être apportée au traitement, des vérifications sur le fonctionnement nominal du traitement pourront avoir lieu, notamment en ce qui concerne les durées de conservation ou les transmissions vers les destinataires.
Concernant le traitement CONTACT COVID , les contrôles devraient porter sur :
les évolutions éventuelles de la procédure ou du téléservice CONTACT COVID , notamment en lien avec les variants ;
l’information des patients zéro et des cas contacts ;
la collecte, la transmission et le stockage des données collectées auprès des patients zéro , cas contacts et co-exposés au sein des EHPAD, des universités, des établissements scolaires et des collectivités territoriales ;
l’effectivité des mesures prévues pour l’information et l’exercice des droits des personnes concernées, en particulier au sein des universités et des établissements scolaires ;
l’utilisation des données issues de CONTACT COVID par d’autres ARS dans le cadre de leur mission de suivi de contacts de niveau 3.
Concernant le traitement  VACCIN COVID , des contrôles seront conduits dans les prochaines semaines pour s’assurer des conditions de mise en œuvre du traitement, notamment dans les centres de vaccination.
Concernant le traitement TOUSANTICOVID , les contrôles devraient porter sur :
les mesures visant à évaluer l’efficacité et l’utilité de l’application dans le cadre de la lutte contre l’épidémie ;
la conformité des nouvelles fonctionnalités prochainement mises en œuvre, et notamment l’introduction du carnet numérique de tests et de vaccination ainsi que du futur dispositif numérique d’enregistrement des visites dans certains établissements recevant du public par le biais d’un code-QR..
La Commission s’intéressera également aux différentes interactions entre les quatre traitements précités, notamment l’intégration des preuves des tests PCR au sein du site sidep.gouv.fr, des preuves de vaccination au sein d’un téléservice spécifique de la CNAM et leur accès éventuel au sein de l’application TOUSANTICOVID .
Le prochain avis public de la Commission fera état des résultats de ces contrôles

une ultime campagne de contrôles
La Présidente
Marie-Laure DENIS
ANNEXE 1 : Description des traitements SI-DEP , CONTACT COVID , TOUSANTICOVID , VACCIN COVID , quarantaine et isolement .
Le traitement SI-DEP
aux agences régionales de santé (ARS) et à la Caisse primaire d’assurance maladie (CPAM), en vue de la réalisation des investigations relatives aux cas contacts, dans le cadre du téléservice CONTACT COVID .
à la Direction de la recherche, des études, de l'évaluation et des statistiques (DREES) et à Santé publique France sous une forme pseudonymisées, à des fins de surveillance épidémiologique et de diffusion des informations statistiques.
à la Plateforme des données de santé (PDS) et à la Caisse nationale d’assurance maladie (CNAM) aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.
Le traitement CONTACT COVID
aux médecins de ville/établissements de santé/centres de santé d’initier une fiche de suivi du patient 0 et de ses cas contacts (niveau 1) ;
au personnel habilité de l’assurance maladie (ou aux personnes à qui cette mission est déléguée par les textes) (niveau 2) :
de compléter et d’affiner, si nécessaire, la fiche du patient 0 et la liste de ses cas contacts ;
d’appeler les cas contacts pour leur communiquer les consignes relatives aux mesures d’isolement, de tests et autres conduites à tenir ;
aux Agences régionales de santé (ARS) d’assurer (niveau 3) :
leurs missions de suivi des cas contacts ;
la gestion des situations nécessitant une prise en charge spécifique. Il s’agit par exemple des chaines de transmission en milieu scolaire, dans un établissement de santé ou dans un foyer de jeunes.
L’application STOPCOVID , remplacée par l’application TOUSANTICOVID

Elle permet d’alerter les utilisateurs d’un risque de contamination lorsqu’ils ont été à proximité d’un autre utilisateur ayant été diagnostiqué ou dépisté positif à la covid-19. Pendant son utilisation, le smartphone stocke une liste de pseudonymes temporaires des appareils qu’il a croisés pendant 14 jours (c’est ce qu’on appelle l’ historique de proximité ).
Quand un utilisateur est diagnostiqué ou dépisté positif à la covid-19, il peut choisir de se déclarer dans l'application et, ainsi, faire remonter les données de ses contacts (les cartes de visite pseudonymes) vers un serveur central. La transmission de ces données au serveur ne sera possible qu’avec un code à usage unique remis par un professionnel de santé suite à un diagnostic clinique positif ou un QR Code remis à la personne à l’issue de son test. Le serveur traite alors chacun des contacts remontés dans l’historique de proximité et calcule pour chacun le score de risque de contamination au virus. L’application d’un utilisateur interrogera périodiquement ce serveur pour voir si l’un des identifiants qui lui est rattaché a été remonté par une personne diagnostiquée ou dépistée à la covid-19 et si le score de risque associé atteint un certain seuil. Une fois notifiée qu’elle est un contact , donc à risque, la personne est notamment invitée à consulter un médecin.
Le traitement VACCIN COVID
Le traitement quarantaine et isolement
ANNEXE 2 : Liste des auditions Parlementaires et des avis rendus par la Commission
Liste des auditions de la Commission :
3 avril 2020 :
8 avril 2020 :
15 avril 2020
1er mai 2020
5 mai 2020 :
8 octobre 2020
25 novembre 2020 :
9 mars 2021
15 février 2021
30 avril 2021
Liste des avis rendus sur les quatre traitements SIDEP, CONTACT COVID, VACCIN COVID et STOPCOVID/TOUSANTICOVID :
Délibération n° 2020-044 du 20 avril 2020 de la CNIL portant avis sur un projet d'arrêté complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire ;
Délibération n° 2020-046 du 24 avril 2020 de la CNIL portant avis sur un projet d’application mobile dénommée StopCovid ;
Délibération n° 2020-051 du 8 mai 2020 portant avis sur un projet de décret relatif aux systèmes d’information mentionnés à l’article 6 du projet de loi prorogeant l’état d’urgence sanitaire ;
Délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommée StopCovid ;
Délibération n° 2020-083 du 23 juillet 2020 portant avis sur un projet de décret pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire relatif à la durée de conservation des données pseudonymisées collectées à des fins de surveillance épidémiologique et de recherche sur le virus de la COVID-19 ;
Délibération n° 2020-087 du 10 septembre 2020 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de COVID-19 (mai à août 2020) ;
Délibération n° 2020-108 du 5 novembre 2020 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire ;
Délibération n° 2020-126 du 10 décembre 2020 portant avis sur un projet de décret autorisant la création d’un traitement de données à caractère personnel relatif à la gestion et au suivi des vaccinations contre le coronavirus SARS-CoV-2 ;
Délibération n° 2020-135 du 17 décembre 2020 portant avis sur un projet de décret modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé StopCovid ;
Délibération n° 2021-004 du 14 janvier 2021 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de COVID-19
Délibération n° 2021-006 du 19 janvier 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions.
Délibération n° 2021-055 du 12 mai 2021 portant avis sur un projet de décret portant création du traitement automatisé de données à caractère personnel relatif au suivi et au contrôle du respect des certaines mesures prises sur le fondement du II de l’article L. 3131-17 du code de la santé publique.
ANNEXE 3 : Liste des textes et de leurs principaux apports en matière de protection des données personnelles
Loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l’état d’urgence sanitaire et complétant ses dispositions :
Loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire :
Loi n° 2020-1379 du 14 novembre 2020 autorisant la prorogation de l'état d'urgence sanitaire et portant diverses mesures de gestion de la crise sanitaire et modifiant la loi n°2020-546 du 11 mai 2020 :
Loi n° 2021-160 du 15 février 2021 prorogeant l'état d'urgence sanitaire :
Décret n° 2020-551 du 12 mai 2020 modifié relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l'état d'urgence sanitaire et complétant ses dispositions :
Décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID :
Décret n° 2020-1018 du 7 août 2020 pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire et modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions :
Décret n° 2020-1385 du 14 novembre 2020 modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions :
Décret n° 2020-1387 du 14 novembre 2020 fixant la liste des professionnels de santé habilités à renseigner les systèmes d'information mentionnés à l'article 11 de la loi du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions :
Décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 :
Décret n° 2021-48 du 20 janvier 2021 modifiant le chapitre Ier du décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions :
Décret n° 2021-157 du 12 février 2021 modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé StopCovid :
Arrêté du 10 juillet 2020 modifié prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé :
Arrêté du 9 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé
Arrêté du 16 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé :
Arrêté du 26 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire
ANNEXE 4 : Liste des organismes contrôlés depuis mai 2020
Traitement SI-DEP :
Le ministère des solidarités et de la santé ;
L’Assistance Publique des Hôpitaux de Paris (AP-HP) ;
Des laboratoires privés de biologie médicale ;
Des pharmacies réalisant des tests antigéniques ;

Traitement CONTACT COVID
La Caisse nationale de l’Assurance Maladie (CNAM) ;
Un établissement de santé recevant des malades en consultation ;
Des Caisses Primaires d’Assurance Maladie (CPAM) ;
Des agences régionales de santé (ARS) ;
Le Conseil national de l’Ordre des médecins (CNOM) ;
Le Conseil national de l’Ordre des pharmaciens (CNOP).
Traitement STOPCOVID / TOUSANTICOVID :
Le ministère des solidarités et de la santé ;
L’Institut national de recherche en sciences et technologies du numérique (INRIA) ;
Traitement SI-VACCIN :
La Caisse nationale de l’Assurance Maladie (CNAM) ;
Le centre de vaccination du Stade de France ;
Le centre de vaccination de Melun ;
________________________________________
(1) Les données des personnes co-exposées sont définies comme celles s’étant trouvées au même moment qu’un patient diagnostiqué positif à la COVID-19 dans le même lieu, rassemblement ou évènement, où les mesures barrières n’ont pu être pleinement respectés au cours des quatorze derniers jours.
(2) Délibération n° 2021-006 du 19 janvier 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions.
(3) La CNIL a considéré que cette information était susceptible de révéler la nature exacte du rassemblement, évènement ou activité. Elle a estimé qu’en l’absence d’une justification particulière concernant la nécessité d’une telle information pour la réalisation des enquêtes sanitaires, cette collecte n’était pas conforme au principe de minimisation imposé par le RGPD.
(4) La CNIL avait rappelé que des dispositions règlementaires ne sauraient délier les professionnels concernés de leur obligation légale de secret professionnel.
(5) aux personnes co-exposées , aux responsables ou organisateurs d’un lieu ou d’une structure accueillant du public, d’un rassemblement, d’une activité ou d’un évènement que le patient a fréquenté ou auquel il a participé dans les quatorze derniers jours et aux personnes et autorités disposant d’informations pertinentes pour la recherche des cas contacts et des personnes co-exposées .
(6) En effet, celles-ci entreront désormais dans le droit commun du système national des données de santé, lequel permettra une conservation des données pouvant aller jusqu’à vingt ans (4° du IV de l’article L. 1461-1).
(7) En date du 17 décembre 2020, le dispositif sur lequel la Commission a rendu son avis prévoyait la mise à disposition, par les responsables des ERP, de codes QR que les personnes sont invitées à scanner, à l’entrée ou à l’intérieur de ces locaux, avec l’application TOUSANTICOVID . Ces codes QR et la plage d’horaire concernée sont enregistrés dans l’application. Il était prévu que lorsqu’un utilisateur se signalait comme positif au virus, la liste des codes QR scannés, qui représente donc la liste des ERP qu’il a fréquentés, était remontée et stockée sur un serveur central. Les applications des autres utilisateurs interrogent régulièrement le serveur, en envoyant l’historique des lieux fréquentés stockés dans l’application. Le serveur estimait le risque d’exposition et notifiait, le cas échéant, les utilisateurs qu’ils ont pu être exposés dans un des lieux à risque qu’ils ont fréquentés.
(8) Dans le nouveau protocole, baptisé CLEA, seuls les utilisateurs se déclarant positifs au virus de la COVID-19 dans l’application transmettent leur historique de codes QR au serveur. Celui-ci tient à jour une liste publique de lieux à risque qui est régulièrement téléchargée par les utilisateurs afin qu’ils puissent comparer ces lieux avec leur propre historique de lieux visités conservé localement sur leur terminal.
(9) Informations des utilisateurs sur la circulation du virus au niveau national et local, stockage des données à caractère personnel sur leur ordiphone en vue de générer des justificatifs requis par les autorités publiques, etc.
(10) Délibération n° 2020-087 du 10 septembre 2020 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de covid-19 (mai à août 2020)
(11) Délibération n° 2021-004 du 14 janvier 2021portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de COVID-19 (septembre à décembre 2020)
(12) Voir Annexe 1 pour la description des traitements
(13) Articles L. 1432-1 et suivants du code de la santé publique
(14) Circulaire Interministérielle N° DGCS/DIRECTION/2021/16 du 14 janvier 2021 relative au nouveau dispositif d’accompagnement à l’isolement par les cellules territoriales d’appui à l’isolement.