La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l’état d’urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
Pour lutter contre l’épidémie de COVID-19, la loi du 11 mai 2020 de prorogation de l’état d’urgence sanitaire a autorisé la création temporaire de deux fichiers nationaux : SI-DEP et CONTACT COVID . Ces traitements de données à caractère personnel sont encadrés par un décret en Conseil d’Etat du 12 mai 2020 modifié qui précise leurs modalités de création et de mise en œuvre.
Outre ces fichiers, d’autres dispositifs ont été déployés aux fins de lutte contre l’épidémie de COVID-19 tels que l’application mobile TOUSANTICOVID , dont le traitement est encadré par le décret n° 2020-650 du 29 mai 2020 modifié, et le système d’information VACCIN COVID devant permettre le déroulement et le suivi de la campagne de vaccination contre le coronavirus SARS-CoV-2, et dont le traitement est encadré par le décret n° 2020-1690 du 25 décembre 2020 modifié.
La Commission a été amenée à se prononcer à plusieurs occasions, en urgence, sur le cadre normatif relatif aux traitements mis en œuvre dans le cadre de la gestion de la crise sanitaire : auditionnée à douze reprises et ayant rendu vingt-sept avis depuis avril 2020, elle a ainsi éclairé les débats parlementaires autour des enjeux fondamentaux liés au respect de la vie privée et des données à caractère personnel. La Commission a également procédé à quarante-deux contrôles depuis la mise en œuvre de ces dispositifs. Ses préconisations et constats ont été détaillés dans ses trois premiers avis, en date du 10 septembre 2020, du 14 janvier 2021 et du 27 mai 2021, relatifs au fonctionnement de ces systèmes d’information.
Afin de permettre à la Commission d’apprécier pleinement la nécessité et la proportionnalité de ces dispositifs, déployés dans le cadre de la politique sanitaire actuelle du Gouvernement, il apparaît primordial que, plus de dix-huit mois après le début de la crise sanitaire et comme elle l’a rappelé dans ses trois premiers avis, des éléments concrets d’évaluation de leur efficacité dans la lutte contre l’épidémie de Covid-19 soient portés à sa connaissance. Elle ne peut donc que vivement regretter que malgré ses demandes répétées, notamment dans ses précédents avis, aucun élément ne lui ait été transmis à cette fin par le Gouvernement.
Plus généralement, dans le cadre des avis qu’elle a eu l’occasion de rendre, la Commission a alerté à plusieurs reprises sur le risque d’accoutumance et de banalisation de tels dispositifs attentatoires à la vie privée, craignant le glissement vers une société où de tels contrôles deviendraient la norme et non l’exception. Elle a ainsi rappelé que ces mesures ne peuvent être justifiées que si leur efficacité est prouvée, leur application limitée en termes de durée, de personne ou de lieux où elles s'appliquent, et qu’elles sont assorties de garanties de nature à prévenir efficacement les abus, notamment compte tenu de l’extension importante du dispositif consacrée par la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire.
La Commission a également eu l’occasion de rappeler, au vu de la sensibilité des données recueillies dans le cadre de ces dispositifs, du contexte justifiant leur mise en œuvre ainsi que de leur ampleur, la nécessité d’améliorer l’information déjà disponible. Elle a ainsi invité le ministère à diffuser une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, afin que l’ensemble de la population puisse avoir connaissance de l’existence des différents traitements et appréhender leur étendue ainsi que leurs interconnexions.
Par ailleurs, la Commission a rappelé que les personnes concernées devaient être informées des modifications apportées à ces différents traitements.
A cet égard, la Commission tient à souligner qu’afin d’améliorer la compréhension, par les professionnels et les personnes concernées, des dispositifs envisagés par le Gouvernement, elle s’est attachée à mettre à disposition de ceux-ci des outils et des publications sur son site web, dans un objectif pédagogique.
Elle tient en outre à préciser qu’elle poursuivra, d’une manière générale, ses actions d’accompagnement à destination des professionnels de santé, notamment par la production de référentiels et de contenus sectoriels adaptés à leurs activités.
Enfin, elle rappelle que plusieurs saisines n’étaient accompagnées d’aucune précision
Ce quatrième avis de la Commission, rendu sur le fondement de l’article 11 de la loi du 11 mai 2020 modifiée, s’attachera, notamment au regard des préconisations qu’elle a émises dans ses avis sur les projets de texte qui lui ont été soumis depuis le mois d’avril 2021 et de ses constatations lors des divers contrôles effectués, à rappeler les récentes évolutions du cadre normatif et à évaluer les conditions opérationnelles de mise en œuvre de ces traitements.
I. ÉVOLUTIONS DU CADRE NORMATIF ET AVIS DE LA COMMISSION
La Commission a été saisie pour avis par le Gouvernement des évolutions des textes encadrant la mise en œuvre des traitements de données liés à la gestion de la crise sanitaire.
Le présent avis fait état des principales observations formulés par la Commission dans ses délibérations :
n° 2021-067 du 7 juin 2021 portant avis sur le projet de décret portant application du II de l'article 1er de la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire (demande d'avis n° 21010600) ;
n° 2021-077du 1er juillet 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 (demande d’avis n° 21010901) ;
n° 2021-096 du 6 août 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 (demande d'avis n° 21013690) ;
n° 2021-097 du 6 août 2021 portant avis sur un projet de décret modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire et le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé Convertisseur de certificats (demande d’avis n° 21013690)
Sur les modifications apportées au système d’information " VACCIN-COVID "
Sur les listes de personnes non vaccinées
La Commission s’est prononcée sur la création, à destination des médecins traitants et de certains personnels de la Caisse nationale d’assurance maladie (CNAM), de listes de patients non vaccinés.
Tout en soulignant la nécessité de sensibiliser la population à la vaccination contre la Covid-19, la Commission a regretté d’avoir eu à se prononcer sur la proportionnalité de cette mesure en l’absence d’éléments d’enquête préalable.
Son avis a été l’occasion de rappeler qu’elle n’est en principe pas favorable à la diffusion de ces listes, même si la Commission a estimé que ce dispositif ne porte pas atteinte au principe du secret médical prévu à l’article L. 1110-4 du code de la santé publique, dans la mesure où ces informations sont uniquement communiquées, à leur demande, aux médecins traitants des personnes concernées et traitées par la CNAM. De plus, la Commission a rappelé, conformément aux exigences du RGPD, que ces listes doivent être conservées sous une forme permettant l’identification des personnes concernées et pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
Sur la mise à disposition des agences régionales de santé de la liste des professionnels non vaccinés soumis à l’obligation vaccinale
La Commission s’est prononcée sur la modification du décret applicable au système d’information VACCIN-COVID afin de permettre aux agents habilités des agences régionales de santé (ARS) d’effectuer le contrôle du respect de l'obligation vaccinale des professionnels de santé. Pour ce faire, les données d’identification contenues dans le système d’information VACCIN COVID sont croisées par la CNAM avec les données du fichier national des professionnels de santé (FNPS).
Sur ce point, la Commission a eu l’occasion de rappeler que :
les données contenues dans le système d’information VACCIN-COVID étant particulièrement sensibles et protégées par le
secret médical, les ARS doivent limiter l’accès aux données aux seuls agents habilités intervenant pour le contrôle du respect de l’obligation vaccinale ;
seule l’ARS territorialement compétente devrait être destinataire des informations relatives au statut vaccinal du professionnel de santé concerné et ne jusqu'à la fin de l'obligation vaccinale ;

Sur les modifications apportées à CONTACT COVID et SI-DEP
Sur les interconnexions entre CONTACT COVID, SI-DEP et VACCIN COVID
Relevant que ces systèmes d’information font l’objet d’interconnexions, la Commission a rappelé que chacun d’entre eux s’inscrit dans la lutte contre l’épidémie de Covid-19 et poursuit des finalités propres, préalablement définis par la loi du 11 mai 2020. Appelant l’attention du Gouvernement sur le principe de minimisation des données prévu par le RGPD, la Commission l’a invité à ne pas dupliquer les mêmes informations au sein de différentes bases.
Sur le recours à des sous-traitants
Le projet de décret soumis à la Commission visait à permettre aux organismes d’assurance maladie de recourir à des sous-traitants pour le traitement de données directement identifiantes et des coordonnées des personnes concernées, à des fins de recherche et de surveillance épidémiologique.
Si la Commission est consciente de l’importance de disposer de ces données pour informer les personnes de la réalisation de projets de recherche, elle s’est toutefois interrogée sur la compatibilité des modifications envisagées avec les dispositions législatives applicables au système d’information CONTACT COVID , notamment celles prévues par l’article 11 de la loi n° 2020-546 du 11 mai 2020. Elle a considéré que seule la CNAM, agissant en qualité de responsable de traitement de CONTACT COVID , pouvait avoir accès à ces données, leur utilisation ne pouvant donc intervenir que sous la responsabilité de la CNAM, le cas échéant conjointe.
Sur le passe sanitaire
Afin de permettre la reprise de diverses activités interrompues en raison de la crise sanitaire et la réouverture des lieux fermés en minimisant, dans la mesure du possible, les risques de contamination associés, le Gouvernement a mis en place, de façon temporaire, un passe sanitaire conditionnant l’accès à certains lieux et activités, à la détention d’un certificat de vaccination complet, d’un test de dépistage négatif à la Covid-19, ou à la preuve d’un rétablissement d’une infection antérieure à la Covid‑19. La Commission, qui s’est prononcée à plusieurs reprises sur le dispositif (le 12 mai 2021, le 7 juin 2021, le 6 août 2021 et le 9 septembre 2021), a rappelé les garanties qui devaient être mises en place dans le cadre de ce dispositif sensible et inédit.
La loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, qui a instauré le passe sanitaire jusqu’au 30 septembre 2021, a limité son application aux évènements à risques rassemblant un grand nombre de personnes ainsi qu’à certains déplacements, notamment à l’étranger. Dans son avis du 12 mai 2021, la Commission avait pris acte du fait que les lieux de la vie quotidienne tels que les restaurants et les lieux de travail étaient exclus du dispositif, tout comme certains lieux où s’exercent de manière habituelle des libertés fondamentales. A cette occasion, la Commission avait considéré que de telles exclusions étaient de nature à minimiser l’impact du dispositif sur les droits et libertés des personnes concernées.
Concernant les modalités de contrôle du passe sanitaire, la Commission a recommandé que les justificatifs puissent être présentés au format papier, afin de conserver le caractère volontaire de l’application numérique TousAntiCovid et de s’assurer de l’inclusion de chacun dans le dispositif. De plus, elle a rappelé que les personnes autorisées à procéder aux vérifications ne devraient avoir accès qu’aux données d’identification et au résultat de validité du passe, et non à la nature du document ou aux autres données qu’il peut contenir. Enfin, elle a estimé que la conservation des données dans le cadre du contrôle du passe sanitaire n’était pas nécessaire, une fois la vérification terminée.
Le champ d’application du passe sanitaire a ensuite été considérablement élargi afin d’englober plusieurs activités de la vie quotidienne, ainsi que de nouvelles personnes, telles que les salariés des lieux accueillant du public.
A cet égard, si la Commission considère que le contexte sanitaire peut justifier des mesures exceptionnelles, nécessaires pour lutter contre le rebond de l’épidémie et éviter un nouveau confinement, elle a rappelé la nécessité de procéder à l’évaluation des dispositifs numériques mis en œuvre pour lutter contre la Covid-19 afin de supprimer ceux dont l’utilité ne serait plus avérée.
Saisie, par ailleurs, d’une modification du décret encadrant les conditions de mise en œuvre du passe sanitaire, notamment dans l’objectif de lutter contre la fraude, la Commission a rappelé que si les évolutions proposées étaient légitimes et proportionnées, les finalités poursuivies par le traitement ainsi que la durée de ce dernier devaient être expressément limitées et accompagnées d’une information claire et transparente des personnes concernées, notamment concernant les modalités de génération d’un nouveau passe.
Enfin, à cette occasion, la Commission a rappelé les garanties que les applications de lecture du passe sanitaire devraient également respecter et la nécessité, pour le ministère chargé de la santé, d’opérer un contrôle a priori sur ces dispositifs.
II. APPRÉCIATION DE LA COMMISSION SUR LES CONDITIONS OPÉRATIONNELLES DE MISE EN ŒUVRE DES TRAITEMENTS
Conformément à ce qu’elle a indiqué dans ces trois précédentes délibérations (10 septembre 2020, 14 janvier 2021 et 27 mai 2021), la Commission a poursuivi ses investigations sur les dispositifs SI-DEP et CONTACT COVID ainsi qu’à l’égard de l’application TOUSANTICOVID et du système d’information  VACCIN COVID .
Par ailleurs, la Commission a également effectué une série de contrôles relatifs aux traitements mis en œuvre dans le cadre du déploiement du passe sanitaire.
Les vérifications menées par les services de la Commission ont été effectuées au moyen de contrôles en ligne, sur audition, sur pièces et sur place. Ce sont en tout quarante-deux opérations de contrôle qui ont été menées entre mai 2020 et septembre 2021 : dix concernant SI-DEP , quatorze concernant CONTACT COVID , dix concernant TOUSANTICOVID (en incluant celles réalisées sur STOPCOVID ), quatre concernant VACCIN COVID et quatre concernant le passe sanitaire.
L’investissement de la Commission dans la réalisation de ces vérifications est sans équivalent dans l’histoire de l’institution, tant au regard du nombre de contrôles effectués que de leur récurrence ou de la période de temps au cours de laquelle ils se sont déroulés. Ce suivi continu des traitements, pour certains dès le début de leur mise en œuvre, a permis d’assurer une prise en compte des enjeux liés à la protection des données de manière permanente.
Le présent avis comporte des éléments synthétiques issus des constatations opérées par la Commission dans le cadre de la quatrième phase de vérifications qui s’est déroulée de janvier à septembre 2021. Il fait également état des échanges réguliers qui ont eu lieu avec le ministère des solidarités et de la santé, la CNAM et les ARS au cours de cette période.
A. Le contrôle des dispositifs SI-DEP et CONTACT COVID
Les investigations des traitements SI‑DEP et CONTACT COVID continuent à être menées depuis le dernier avis de la Commission rendu au mois de mai 2021.
Les points de vérification ont principalement porté sur :
les modalités d’information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
les modalités de conservation des données ;
la réalisation d’analyses d'impact relatives à la protection des données.
Le Fichier SI-DEP
Ce traitement n’ayant connu aucune nouvelle évolution substantielle depuis la dernière campagne de contrôles, la Commission n’a pas mené de nouvelles vérifications sur SI-DEP en tant que tel. Elle reste néanmoins en contact régulier avec les équipes en charge de sa mise en œuvre.
Dans ce contexte, les nouvelles vérifications menées ont eu lieu auprès de l’Assistance publique – Hôpitaux de Paris (AP-HP) qui assure la mise en œuvre opérationnelle du traitement SI-DEP ainsi qu’auprès de pharmacies utilisant SI-DEP afin d’y verser les résultats des tests antigéniques qu’elles réalisent.
Par ailleurs, la Commission a ouvert des vérifications concernant une violation de données subie par l’AP-HP en août 2021 et portant sur des données de SI-DEP . L’analyse des éléments recueillis est en cours.
Enfin, pour faire suite à des observations qu’elle avait formulées dans son dernier avis, la Commission a été informée que des évolutions ont été apportées aux dispositifs permettant l’alimentation de la base pseudonymisée SI-DEP pour des finalités de gestion de l’urgence sanitaire et de l’amélioration des connaissances sur le virus. Ces nouvelles modalités améliorent la sécurité et permettent un meilleur suivi des actions effectuées.
Le Fichier CONTACT COVID
Pour le traitement CONTACT COVID , des contrôles sur pièces ont eu lieu auprès d’une ARS et d’un établissement de santé concernant le traitement COVI CONTACT . Ce traitement, mis en œuvre à partir des données issues du téléservice CONTACT COVID , a pour objet d’offrir la possibilité, à toutes les personnes concernées par des mesures d’isolement à domicile, d’être accompagnées régulièrement et à distance.
Un contrôle a également été réalisé auprès d’un établissement de santé mettant en œuvre le traitement COVIDOM COVISAN , dispositif permettant un suivi médical à domicile ou un accompagnement à l’isolement, reposant sur des données issues de SI-DEP et de CONTACT COVID .
Ces contrôles ont été décidés à la suite de campagnes de rappel par SMS adressées aux personnes ayant été testées positives ou désignées comme cas contacts auprès de l’assurance maladie. Ils s’inscrivent dans le cadre du suivi, de la télésurveillance et de l’accompagnement à domicile des patients infectés par la Covid-19 ou suspectés de l’être dont l’état de santé ne nécessite pas d’hospitalisation. Ce suivi se matérialise par l’envoi de questionnaires journaliers par l’intermédiaire d’une plateforme dédiée.
La Commission a constaté plusieurs mauvaises pratiques à l’occasion de vérifications effectuées :
dans le cadre du dispositif COVIDOM COVISAN , une durée de conservation excessive des données contenues sur la plateforme dédiée (identité et santé). En effet, les données des personnes n’ayant pas demandé à bénéficier du suivi médicalisé sont conservéesdepuis la création de la plateforme en mars 2020, pour une durée indéterminée ;
dans le cadre du dispositif COVI CONTACT , une information incomplète destinée aux patients ayant consenti à un suivi médical ;
dans le cadre du dispositif COVI CONTACT , l’absence de réalisation d’une analyse d’impact relative à la protection des données de la part de l’ARS contrôlée alors même qu’il s’agit de données sensibles à grande échelle.
Afin d’obtenir la mise en conformité des organismes concernés, la présidente de la Commission leur a adressé un courrier d’observation afin de leur rappeler leurs obligations et les mesures à prendre.
Un courrier a été envoyé par la présidente au ministère des solidarités et de la santé afin de l’alerter sur les mauvaises pratiques identifiées.
B. Le contrôle de l’application TOUSANTICOVID
Depuis les contrôles réalisés au mois de novembre 2020, l’application TOUSANTICOVID offre désormais deux nouvelles fonctionnalités :
TAC CARNET , déployée le 19 avril 2021, qui permet aux utilisateurs le stockage au format numérique de leur passe sanitaire (test de dépistage du Covid-19 ou attestation de vaccination) ;
TAC SIGNAL , déployée le 25 mai 2021, qui permet de prévenir les utilisateurs ayant scanné le code QR d’un établissement qu’ils ont été présents dans un même lieu et sur une même plage horaire qu’une ou plusieurs personnes ultérieurement diagnostiquées ou dépistées positives au Covid-19.
Les nouvelles vérifications sur cette application ont été effectuées auprès du ministère des solidarités et de la santé, ainsi qu’auprès des autres organismes impliqués dans sa mise en œuvre, notamment l’Institut national de recherche en informatique et en automatique (Inria). Ces vérifications se sont déroulées les 6 et 7 juillet 2021 et se sont poursuivies dans le cadre de demandes de compléments ultérieures en août et septembre 2021.
La fonctionnalité TOUSANTICOVID CARNET
Les investigations menées par la Commission ont permis de constater que la mise en œuvre de la fonctionnalité CARNET de l’application TAC permet d’offrir des garanties en termes de protection des données et de sécurité.
Ainsi, l’accès aux certificats de dépistage au Covid-19 et de vaccination ainsi que leur enregistrement dans le module CARNET de l’application TOUSANTICOVID s’effectuent de manière sécurisée. La conservation des preuves dans ce module n’entraîne, en outre, aucun flux de donnée vers un serveur, l’intégralité des données contenues dans le certificat de test ou de vaccination est uniquement conservée localement (dans le téléphone).
Lors des vérifications opérées, la Commission a également constaté que la nouvelle version de l’application TOUSANTICOVID , déployée le 1er juillet 2021, permettait aux utilisateurs de convertir au format européen DCC, directement dans l’application, leurs justificatifs importés avant le 24 juin 2021 au format 2D-DOC jusqu’à présent utilisé en France. Lors de cette opération de conversion, le contenu du code à barres au format 2D-DOC transitait via des serveurs situés en partie aux Etats-Unis à des fins de sécurisation des systèmes d’information utilisés (dispositif anti-déni de service distribué et pare-feu).
Lors des contrôles, la Commission a été informée qu’un changement de prestataire était à l’étude afin d’avoir recours à une solution d’une société soumise à des juridictions relevant exclusivement de l’Union européenne. La Commission a également été informée de la mise en œuvre d’un chiffrement de bout en bout des certificats à convertir durant leur transmission, en plus du tunnel TLS déjà en place.
Le 23 juillet 2021, la Commission a adressé un courrier au ministère des solidarités et de la santé l’invitant à prendre les mesures nécessaires afin de garantir la conformité des traitements mis en œuvre dans les plus brefs délais. Dès le 2 août 2021, le chiffrement de bout en bout des certificats durant leur transmission a effectivement été mis en place, permettant ainsi la conformité du traitement. Aucune donnée en clair relative aux preuves constituant le passe sanitaire ne transite désormais vers des serveurs situés en dehors de l’Union européenne.
La fonctionnalité TOUSANTICOVID SIGNAL
Les investigations menées par la Commission ont permis de constater que l’architecture décentralisée permet d’offrir des garanties en termes de protection des données et de sécurité.
La délégation a ainsi pu constater que :
les données collectées dans le cadre de TAC SIGNAL ne sont pas remontées dans le serveur dédié au suivi de contact (mettant en œuvre le protocole ROBERT ) ;
la corrélation entre les lieux visités par la personne et les lieux à risque est effectuée localement, sur le téléphone des personnes ;
les lieux à risque remontés dans le serveur suite à une déclaration de contamination au Covid-19 par une personne sont conservés de façon limitée pendant quatorze jours à compter de la déclaration. Les lieux visités enregistrés en local dans le téléphone sont conservés pendant quatorze jours à compter du scan du code QR du lieu.
Les autres constatations
Les contrôles menés par la Commission ont permis de constater l’ajout d’un module permettant la réalisation de statistiques sur l’utilisation des différentes fonctionnalités de l’application TOUSANTICOVID . Il a été constaté que les données d’utilisation ainsi remontées n’étaient pas anonymes, puisqu’elles incluaient des informations sur les caractéristiques du téléphone ainsi qu’un identifiant propre à l’instance de l’application.
Le ministère des solidarités et de la santé a indiqué à la Commission avoir pris des mesures pour modifier le fonctionnement de ce module de statistiques. En particulier, des mises à jour ont déjà été publiées pour ne plus prendre en compte certains événements de l’application, et arrondir l’horodatage de certains événements à l’heure près, pour réduire le risque de réidentification.
Ces nouvelles modalités réduisent considérablement le risque d’exploitation malveillante des données ainsi collectées, et la Commission accueille favorablement cette mise à jour.
C. Le contrôle des traitements en lien avec la mise en œuvre du passe sanitaire
Une première phase de contrôles a été mise en œuvre afin de vérifier la sécurité et la confidentialité des traitements mis en œuvre à partir de l’application de vérification des passes sanitaires dénommée TOUSANTICOVID VERIF , déployée par le ministère des solidarités et de la santé, ainsi que par son sous-traitant IN GROUPE.
Des premières investigations ont ainsi permis de constater que :
au jour du contrôle et depuis le 9 juin 2021, l’application TAC VERIF fonctionne uniquement en mode hors-ligne . Ainsi, les vérifications s’effectuent uniquement en local depuis le téléphone du vérificateur et aucune donnée relative aux preuves ne remonte aux serveurs d’IN GROUPE. Aucune donnée n’est stockée en local dans les applications de vérification ;
le mode dédié aux opérateurs de transport permettant la lecture de davantage de données ne peut être activé qu’après réception d’un code QR de déverrouillage fourni après obtention d’une autorisation de la part du ministère des solidarités et de la santé.
Une seconde phase de contrôles a été opérée auprès d’établissements recevant du public ayant l’obligation de contrôler les passes sanitaires des personnes afin de vérifier la bonne utilisation de l’application TAC VERIF. Ces vérifications ont notamment été mises en œuvre dans un aéroport.
Ces contrôles ont permis de constater une utilisation adéquate de l’application par les personnes en charge des vérifications des passes. Les agents en charge du contrôle du passe sanitaire utilisent l’application dans les configurations définies par le ministère des solidarités et de la santé et ne conservent ainsi aucune des données des passes sanitaires contrôlés.
Les contrôles ont néanmoins mis en lumière l’absence, dans certains lieux de toute mention d’information relative aux traitements mis en œuvre dans le cadre des vérifications des passes sanitaires dans les zones de contrôle.
Ces contrôles ont également permis de constater que certains organismes ne tenaient pas un registre d’habilitation des personnes autorisées à contrôler les passes sanitaires pour leur compte conformément à l’article 2-3, section II, du décret n° 2021-699 du 1er juin 2021, prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire.
A la lumière des constatations effectuées et dès lors qu’il s’agit de dysfonctionnements mineurs, la présidente de la Commission a adressé à chacun des organismes concernés un courrier d’observation afin de leur rappeler leurs obligations et les mesures à prendre pour se mettre en conformité.
D. Le contrôle du traitement VACCIN COVID
Le décret no 2020-1690 du 25 décembre 2020 a autorisé la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la Covid-19, dénommé VACCIN COVID .
Une première série de contrôles de ce traitement s’est achevée au mois de septembre. Quatre contrôles ont été réalisés :
une audition de la CNAM dans les locaux de la Commission, au mois de mars 2021 ;
deux contrôles sur place dans des centres de vaccination en Ile-de-France au mois d’avril 2021 ;
un contrôle sur place dans les locaux de la direction du numérique ( DNUM ) du ministère des solidarités et de la santé au mois de septembre 2021.
Au mois de juin 2021, la Commission a adressé des courriers d’observations à la CNAM et au ministre des solidarités et de la santé, responsables conjoints de traitement.
Ces observations portaient principalement, d’une part, sur les durées et les modalités de conservation des questionnaires remis aux personnes candidates à la vaccination dans un des centres de vaccination contrôlés, d’autre part, sur la nécessité de pouvoir tracer finement les actions des personnels administratifs saisissant les données des personnes vaccinées dans le système d’information VACCIN COVID .
Le ministère des solidarités et de la santé a répondu aux observations de la Commission sur ces points en détaillant les mesures prises.
Au mois de septembre 2021, la Commission a adressé un nouveau courrier d’observations à la CNAM et au ministre des solidarités et de la santé après avoir reçu de nombreux signalements faisant état d’un défaut d’information des personnes dans des centres de vaccination en Ile-de-France.
En réaction, la Commission a demandé au ministère et la CNAM de s’assurer que les personnes candidates à la vaccination reçoivent, préalablement à leur vaccination, une information satisfaisante.
E. Les autres procédures de contrôle
Outre les contrôles effectués sur les principaux systèmes d’information, la Commission procède également à des vérifications sur des traitements mis en œuvre par des acteurs de la santé.
Un contrôle a été réalisé auprès d’une société proposant aux pharmaciens une solution permettant l’automatisation du téléversement des données dans la plateforme SI-DEP et offrant aux patients la possibilité de saisir leurs informations dans un formulaire en ligne. Ce contrôle, qui faisait suite au signalement d’une violation de données, a notamment mis en lumière d’importants défauts de sécurité. Une mise en demeure, rendue publique le 14 octobre 2021, a été adoptée à l’encontre du prestataire en raison de la persistance de manquements.
Des contrôles ont également été réalisés dans plusieurs pharmacies utilisatrices de ce service. Ceux-ci ont permis de mettre au jour des lacunes dans l’encadrement des relations contractuelles entre les différents acteurs de la chaîne de traitement et dans l’information des personnes concernées.
F. Une procédure de contrôle continue
La Commission rappelle que les contrôles se poursuivront tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre fixée au 31 décembre 2021 et la suppression des données qu’ils contiennent.
Elle rappelle également que les vérifications menées donnent toujours lieu à des échanges très réguliers et approfondis avec le ministère des solidarités et de la santé pour le dispositif SI-DEP , mais également avec les autres organismes administrateurs et utilisateurs de l’application CONTACT COVID (CNAM, ARS, établissements de santé, etc.) et du système d’information VACCIN COVID . Le présent avis ne constitue ainsi qu’une synthèse de ces échanges et des constatations effectuées lors de la quatrième phase de contrôles.
A cet égard, une cinquième phase de contrôles est d’ores et déjà engagée pour le dernier trimestre 2021. Elle porte principalement sur les points ci‑dessous.
Concernant le traitement SI-DEP , outre toute modification technique susceptible d’être apportée au traitement, des vérifications sur le fonctionnement nominal du traitement pourront avoir lieu, notamment en ce qui concerne les durées de conservation, la sécurité des données ou les transmissions vers les destinataires.
Concernant le traitement CONTACT COVID , les contrôles porteront notamment sur :
l’information des patients zéro et des cas contacts ;
la collecte, la transmission et le stockage des données collectées auprès des patients zéro , cas contacts et co-exposés au sein des EHPAD, des universités, des établissements scolaires et des collectivités territoriales ;
l’effectivité des mesures prévues pour l’information et l’exercice des droits des personnes concernées, en particulier au sein des universités et des établissements scolaires.
Concernant le système d’information VACCIN COVID , des contrôles seront conduits dans les prochaines semaines pour s’assurer des conditions de sa mise en œuvre.
Concernant le traitement TOUSANTICOVID , des contrôles seront mis en œuvre en cas de déploiement d’éventuelles fonctionnalités qui ne seraient pas encore mises en œuvre à ce stade.
Concernant les traitements en lien avec le passe sanitaire, des contrôles seront mis en œuvre auprès des dispositifs de lecture des justificatifs des personnes alternatifs à TOUSANTICOVID VERIF , afin notamment de vérifier la sécurité et confidentialité des traitements mis en œuvre.
Enfin, des contrôles sur pièces seront adressés aux sociétés proposant des solutions, à destination des pharmaciens, permettant l’automatisation du versement des données dans la plateforme SI-DEP . Ces contrôles porteront notamment sur l’encadrement des relations contractuelles entre les différents acteurs.
Le prochain avis public de la Commission fera état des résultats de ces contrôles
Enfin, une ultime campagne de contrôles sera effectuée à l’issue de la mise en œuvre des traitements. Des contrôles sur place seront ainsi réalisés auprès des organismes concernés, afin de vérifier notamment la suppression effective des données. Les vérifications porteront notamment sur les durées de conservation des données, leur suppression et/ou leur anonymisation éventuelle.
La Présidente
Marie-Laure DENIS
ANNEXE 1 : Description des traitements SI-DEP , CONTACT COVID , TOUSANTICOVID , VACCIN COVID , quarantaine et isolement .
Le traitement SI-DEP
aux agences régionales de santé (ARS) et à la Caisse primaire d’assurance maladie (CPAM), en vue de la réalisation des investigations relatives aux cas contacts, dans le cadre du téléservice CONTACT COVID .
à la Direction de la recherche, des études, de l'évaluation et des statistiques (DREES) et à Santé publique France sous une forme pseudonymisées, à des fins de surveillance épidémiologique et de diffusion des informations statistiques ;
à la Plateforme des données de santé (PDS) et à la Caisse nationale d’assurance maladie (CNAM) aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.
Le traitement CONTACT COVID
aux médecins de ville/établissements de santé/centres de santé d’initier une fiche de suivi du cas index ( patient 0 ) et de ses cas contacts (niveau 1) ;
au personnel habilité de l’assurance maladie (ou aux personnes à qui cette mission est déléguée par les textes) (niveau 2) :
de compléter et d’affiner, si nécessaire, la fiche du patient 0 et la liste de ses cas contacts ;
d’appeler les cas contacts pour leur communiquer les consignes relatives aux mesures d’isolement, de tests et autres conduites à tenir ;
aux Agences régionales de santé (ARS) d’assurer (niveau 3) :
leurs missions de suivi des cas contacts ;
la gestion des situations nécessitant une prise en charge spécifique. Il s’agit par exemple des chaines de transmission en milieu scolaire, dans un établissement de santé ou dans un foyer de jeunes.
L’application STOPCOVID , remplacée par l’application TOUSANTICOVID

Elle permet d’alerter les utilisateurs d’un risque de contamination lorsqu’ils ont été à proximité d’un autre utilisateur ayant été diagnostiqué ou dépisté positif au Covid-19. Pendant son utilisation, le ordiphone stocke une liste de pseudonymes temporaires des appareils qu’il a croisés pendant 14 jours (c’est ce qu’on appelle l’ historique de proximité ).
Quand un utilisateur est diagnostiqué ou dépisté positif au Covid-19, il peut choisir de se déclarer dans l'application et, ainsi, faire remonter les données de ses contacts (les cartes de visite pseudonymes) vers un serveur central. La transmission de ces données au serveur ne sera possible qu’avec un code à usage unique remis par un professionnel de santé suite à un diagnostic clinique positif ou un code QR remis à la personne à l’issue de son test. Le serveur traite alors chacun des contacts remontés dans l’historique de proximité et calcule pour chacun le score de risque de contamination au virus. L’application d’un utilisateur interrogera périodiquement ce serveur pour voir si l’un des identifiants qui lui est rattaché a été remonté par une personne diagnostiquée ou dépistée au Covid-19 et si le score de risque associé atteint un certain seuil. Une fois notifiée qu’elle est un contact , donc à risque, la personne est notamment invitée à consulter un médecin.
Le traitement VACCIN COVID
Le traitement quarantaine et isolement
ANNEXE 2 : Liste des auditions parlementaires et des avis rendus par la Commission
Liste des auditions de la Commission :

3 avril 2020

8 avril 2020
8 avril 2020
15 avril 2020
1 mai 2020
5 mai 2020
8 octobre 2020
25 novembre 2020

15 février 2021
9 mars 2021
30 avril 2021
21 juillet 2021
Liste des avis rendus sur les quatre traitements SIDEP, CONTACT COVID, VACCIN COVID et STOPCOVID/TOUSANTICOVID :
Délibération n

Délibération n

Délibération n

Délibération n

Délibération n


Délibération n

Délibération n



Délibération n

Délibération n


Délibération n

Délibération n



Délibération n

Délibération n° 2021-067 du 7 juin 2021 portant avis sur le projet de décret portant application du II de l'article 1

Délibération n° 2021-077 du 1er juillet 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 (demande d’avis n° 21010901) ;
Délibération
n° 2021-096 du 6 août 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 (demande d'avis n° 21013690) ;
Délibération
n° 2021-097 du 6 août 2021 portant avis sur un projet de décret modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire et le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé Convertisseur de certificats (demande d’avis n° 21013690)
ANNEXE 3 : Liste des textes et de leurs principaux apports en matière de protection des données à caractère personnel











Loi n°2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire
Loi n°2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire



















Décret no 2021-48 du 20 janvier 2021 modifiant le chapitre Ier du décret no 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi no 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions



Décret n°2021-901 du 6 juillet 2021 relatif au traitement autonomisé de données à caractère personnel dénommé Convertisseur de certificats
Décret n°2021-930 du 13 juillet 2021 modifiant le décret n°2020-551 du 12 mai 2020
Décret n°2021-1059 du 7 août 2021 modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire
Arrêté du 10 juillet 2020 modifié prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé :
Arrêté du 9 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé
Arrêté du 16 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de Covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé : les données ne peuvent être traitées que pour des projets poursuivant une finalité d'intérêt public en lien avec l'épidémie actuelle de Covid-19 et jusqu'à l'entrée en vigueur des dispositions prises en application de l’article 41 de la loi du 24 juillet 2019 susvisée (décret SNDS)
Arrêté du 26 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de Covid-19 dans le cadre de l'état d'urgence sanitaire
Arrêté du 24 août 2021 pris en application du III de l'article 2-3 du décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de sortie de crise sanitaire :
ANNEXE 4 : Liste des organismes contrôlés depuis mai 2020
Traitement SI-DEP :
Le ministère des solidarités et de la santé ;
L’Assistance Publique des Hôpitaux de Paris (AP-HP) ;
Des laboratoires privés de biologie médicale ;
Des pharmacies réalisant des tests antigéniques.

Traitement CONTACT COVID
La Caisse nationale de l’Assurance Maladie (CNAM) ;
Un établissement de santé recevant des malades en consultation ;
Des Caisses Primaires d’Assurance Maladie (CPAM) ;
Des agences régionales de santé (ARS) ;
Le Conseil national de l’Ordre des médecins (CNOM) ;
Le Conseil national de l’Ordre des pharmaciens (CNOP).
Traitement STOPCOVID / TOUSANTICOVID :
Le ministère des solidarités et de la santé ;
L’Institut national de recherche en sciences et technologies du numérique (Inria) ;
Traitement SI-VACCIN :
La Caisse nationale de l’Assurance maladie (CNAM) ;
Le centre de vaccination du Stade de France ;
Le centre de vaccination de Melun.