# Carnet de vaccination électronique : la piqûre de rappel du PFPDT

Frédéric Erard et Livio di Tria, le 26 mars 2021

À la suite d'une enquête menée par un média alémanique dénonçant une violation de la sécurité des données, le Préposé fédéral a suspendu avec effet immédiat les traitements en lien avec la plateforme www.mesvaccins.ch. Si l'analyse par le PFPDT reste à être conduite, d'autres questions en lien avec le carnet de vaccination électronique subsistent, en particulier son déploiement en Europe comme en Suisse.

## L'affaire « mesvaccins.ch »

Par communiqué de presse du 23 mars 2021, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a annoncé qu'il avait ouvert une procédure formelle contre l'exploitant de la plateforme en ligne www.mesvaccins.ch, administrée par la fondation du même nom. À la suite d'une enquête du média « Republik », le PFPDT a estimé que le carnet de vaccination électronique géré par la plateforme susmentionnée était susceptible de porter atteinte aux droits de la personnalité d'un grand nombre de personnes, soulignant au passage la nature sensible des données traitées (données relatives à la santé). En l'occurrence, le PFDPT a requis du responsable du traitement qu'il suspende avec effet immédiat ses traitements en lien avec la plateforme www.mesvaccins.ch. Pour rappel, la procédure initiée sur la base de l'art. 29 LPD pourrait déboucher sur une recommandation du PFPDT de modifier ou de cesser le traitement qui, si elle n'est pas suivie, est susceptible d'entraîner la saisine du Tribunal administratif fédéral par le PFPDT.

La fondation « mesvaccins » est une fondation suisse sans but lucratif dont le but principal est d'exploiter un carnet de vaccination électronique, ce qu'elle fait depuis une dizaine d'années déjà. Le carnet de vaccination électronique ne doit pas être confondu avec le dossier électronique du patient (DEP), quant à lui régi par la Loi fédérale sur le dossier électronique du patient et qui commence à être concrètement déployé dans certains cantons depuis le début de l'année 2021. Le DEP permettra également d'héberger un carnet de vaccination sous forme numérique, qui ne se confondra cependant pas avec le carnet proposé par la fondation « mesvaccins ».

Le carnet de vaccination électronique proposé par la fondation susmentionnée est soutenu par plusieurs partenaires institutionnels ou privés, parmi lesquels figurent la Confédération
suisse (via l'OFSP), la Commission fédérale pour les vaccinations (CFV), la Conférence suisse des directeurs de la santé (CDS), l'Association des médecins cantonaux de Suisse (AMCS) ou la Société suisse des pharmaciens (pharmaSuisse). Il contient les informations figurant dans le carnet de vaccination ordinaire, mais peut aussi contenir des informations supplémentaires, en particulier des informations en lien avec les allergies, les maladies antérieures ou les facteurs de risques (y compris des voyages prévus). Il doit permettre aux personnes concernées de décider qui peut accéder aux données enregistrées.

Le carnet électronique de vaccination susmentionné ne repose pas sur une loi qui établirait son principe ou la manière de traiter les données personnelles – sensibles – exploitées dans ce contexte (à ce sujet, voir notamment : Philippe Gilliéron, Vaccination COVID-19 : oui, il faut partager nos données !, 8 janvier 2021, p. 2, disponible sur https://www.wg-avocats.ch/). L'ouverture d'un tel carnet repose donc exclusivement sur le consentement de la personne concernée.

Dans le cadre de la lutte contre la COVID-19, la fondation « mesvaccins » a développé un module spécifique du carnet de vaccination électronique intitulé « myCOVIDvac », qui permet d'y enregistrer électroniquement les vaccinations liées au COVID-19. L'utilisation de « myCOVIDvac » est officiellement recommandée par l'OFSP (voir : fiche d'information officielle), notamment au motif que le carnet de vaccination électronique est considéré comme un document officiel, qu'il est imprimé avec le logo de l'OFSP ou encore parce que les données sont « conservées en Suisse de manière sécurisée ». La fiche d'information officielle précise en outre que « Si un certificat international de vaccination COVID-19 était exigé ultérieurement (par exemple pour les voyages dans certains pays ou avec certaines compagnies aériennes), les données enregistrées pourraient servir de base à un certificat de vaccination international (« smart yellow card » de l'OMS). »

Dans le contexte de la pandémie, le traitement des données de santé et plus particulièrement de celles liées au COVID-19 est une question particulièrement sensible. Or, les allégations portées par le média Republik quant aux défauts de sécurité de la plateforme mesvaccins.ch avant sa mise hors service sont particulièrement sérieuses. Elles laissent suggérer que chaque professionnel de la santé inscrit sur la plateforme aurait eu un accès complet aux données de vaccination de tous les particuliers inscrits (y compris les données de vaccination COVID-19), avec possibilité de modifications. Le média allègue également des défauts en matière de vérification d'identité des professionnels de la santé ainsi que l'existence de failles de sécurité importantes.
# _swissprivacy.law

Il est intéressant de noter que de telles accusations contre la plateforme ne sont pas nouvelles. Dans un article du 19 janvier 2021, le même média avait souligné que les données étaient en fait exploitées par une société privée (Arpage SA) qui aurait notamment recouru à des protocoles de sécurité obsolètes. Par le passé, certains juristes, à l'image de Philippe Gilliéron, s'étaient par ailleurs interrogé sur le contenu pour le moins opaque et lacunaire des conditions générales de la plateforme, notamment concernant la sous-traitance des données avec la société Arpage SA, les conditions auxquelles les employés ou des tiers pouvaient accéder aux données, ou encore la réutilisation des données concernées (Philippe Gilliéron, Vaccination COVID-19 : oui, il faut partager nos données !, 8 janvier 2021, p. 2 ss, disponible sur www.wg-avocats.ch). Le même auteur recommandait alors l'adoption de mesures de sécurité similaires à celles exigées pour l'exploitation du DEP.

À ce stade et en l'absence d'informations complémentaires, il est trop tôt pour se déterminer sur la violation des mesures de sécurité par la fondation « mesvaccins », qui à l'aune de la nLPD aurait dû être annoncée tant au PFPDT qu'aux personnes concernées (art. 24 nLPD). Cela étant, il n'est pas inutile de rappeler que l'exploitation des données de la santé, en particulier lorsqu'elle est encouragée par l'État, doit offrir des garanties de sécurité particulièrement élevées. C'est à cette seule condition que la confiance nécessaire de la population peut être préservée à l'égard des autorités sanitaires, et permettre à ces dernières de remplir leurs tâches.

Dans ce contexte, l'ouverture (rarissime) d'une enquête par le PFPDT à l'encontre de la plate-forme www.mesvaccins.ch pour défauts de sécurité est un signal particulièrement négatif, qui risque de saper bon nombre d'efforts menés jusqu'à ce jour pour optimiser la campagne de vaccinations et mettre sur pied à l'avenir un « certificat » électronique de vaccination dont les contours n'ont pas encore été réellement dévoilés en Suisse, bien que quelques informations ont filtré lors du point de presse du 24 mars 2021 de la Confédération. Le déploiement d'un tel certificat par la Confédération nécessite à notre sens l'adoption d'une base légale formelle qui prévoirait non seulement le principe du traitement, mais aussi les conditions auxquelles les données en question pourraient être traitées. À cet égard, il est utile d'apporter ici un bref aperçu des derniers développements européens en la matière.

## Situation européenne

Afin de faciliter la libre circulation dans l'Union européenne durant la pandémie de COVID-19, la Commission européenne a récemment transmis aux instances législatives européennes une proposition de règlement dans le but de créer un certificat vert numérique temporaire.
Ouvert à d'autres pays que les États membres de l'Union européenne, tels que la Suisse, celui-ci devrait être disponible sous forme électronique (p. ex par le biais d'une application mobile) ou sur papier et comportera un code QR visant à garantir son authenticité. La règlementation repose sur trois principaux éléments.

Premièrement, le certificat vert numérique doit être accessible et sûr pour tous les citoyens de l'Union européenne. Ce faisant, la gratuité devrait être la norme.

Deuxièmement, le certificat vert numérique ne doit pas entraîner une discrimination entre les personnes vaccinées et non-vaccinées. C'est pour cette raison que le certificat vert numérique devrait contenir tant les certificats de vaccination que les certificats relatifs aux tests de dépistage, mais aussi les certificats des personnes qui ont guéri de la COVID-19.

Troisièmement, et afin de respecter le principe de minimisation (art. 5 par. 1 let. c RGPD), les certificats ne devraient contenir que les informations essentielles, telles que le nom et prénom, la date de naissance, la date de délivrance ainsi que des informations pertinentes sur le vaccin, respectivement le test ou le rétablissement de la personne, ainsi qu'un identifiant unique. Une liste exacte des données devant être incluses se trouve au sein de l'annexe de la proposition de règlement.

Le certificat vert numérique n'est qu'un outil temporaire proposé par la Commission européenne afin d'endiguer les obstacles qui se posent à l'encontre de la libre circulation, tel que reconnu par l'art. 21 du Traité sur le fonctionnement de l'Union européenne. Ainsi, l'art. 15 par. 2 de la proposition prévoit que la Commission européenne devra suspendre le certificat vert numérique dès que le directeur général de l'Organisation mondiale de la santé aura déclaré que l'urgence de santé publique de portée internationale aura cessé.

Si la question du traçage des contacts représentait la pomme de discorde de l'année 2020, nous pouvons affirmer sans aucun doute qu'elle est désormais remplacée par la question de la vaccination et de la création d'un certificat numérique, qui reste encore à être empoignée par la Confédération. La COVID-19 aura pour bienfait de mettre en exergue le retard pris par le domaine de la santé dans les questions du numérique, enseignement dont il faudra tirer leçon. D'ici là, nous ne manquerons pas de vous tenir au courant des évolutions en la matière, notamment législatives.
Proposition de citation : Frédéric ERARD / Livio DI TRIA, Carnet de vaccination électronique : la piqûre de rappel du PFPDT, 26 mars 2021 in www.swissprivacy.law/65

<figure><img src="image_1.png" /></figure>

Les articles de swissprivacy.law sont publiés sous licence creative commons CC BY 4.0.