Dans sa délibération n° 2021-143 du 2 décembre 2021, la Commission nationale de l’informatique et des libertés (ci-après la « Cnil ») s’est prononcée sur l’extension de l’application TousAntiCovid par le décret du 7 décembre 2021 modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé TousAntiCovid. Cette délibération fait suite à une saisine en urgence du ministre des solidarités et de la santé. 

 

Contexte

 

L’application TousAntiCovid est un outil permettant à l’utilisateur « d’être alerté en cas de contact avec la Covid-19, d’être informé sur l’évolution de l’épidémie, de générer ses attestations de déplacement et de stocker ses preuves sanitaires ». 

 

La Cnil avait relevé le 23 octobre 2020 que cette application ferait l’objet d’évolutions régulières et qu’elle resterait donc « particulièrement vigilante pour examiner ces futures évolutions ». C’est dans ce cadre qu’elle est venue se prononcer sur le projet de décret sur l’extension de l’application.

 

Suite aux annonces du gouvernement de la fin d’année 2021 concernant les évolutions quant à la campagne de vaccination prévoyant la nécessité d’effectuer un rappel vaccinal et à la modification de la durée de validité des tests permettant de bénéficier du passe sanitaire, le projet de décret prévoit la création d’une nouvelle finalité au traitement de données à caractère personnel des utilisateurs de l’application TousAntiCovid. 

 

Modifications apportées par le décret 

 

L’une des évolutions a pour objectif l’affichage de recommandations sanitaires ciblées et de mesures à prendre afin de bénéficier d’un passe sanitaire valide, comme la nécessité d’une troisième dose afin de bénéficier d’un schéma vaccinal complet. 

 

Pour sa mise en place, l’ensemble des données contenues dans le passe sanitaire et le statut des certificats feront l’objet d’un traitement de données. 

 

En outre, le ministère entend prolonger par ce décret l’usage du passe sanitaire jusqu’au 31 juillet 2022. Par conséquent, le traitement, qui était initialement mis en œuvre jusqu’au 31 décembre 2021, sera peut-être prolongé jusqu’au 31 juillet 2022. 

 

Ces modifications s’inscrivent dans le cadre de la stratégie de lutte contre la Covid-19 de la même manière que la mise en place et les extensions du passe sanitaire. Ces mesures ont également fait l’objet des avis de la Cnil.

 

Pour en savoir plus sur les avis rendus par la Cnil en la matière, vous pouvez consulter l’article « Les règles applicables au passe sanitaire » du 18 juin 2021 et l’article « L’extension du passe sanitaire » du 13 août 2021.

 

Décision de la Cnil

 

La Cnil a considéré que cela constitue une modification importante de la fonctionnalité « carnet » de l’application TousAntiCovid car elle change la portée du traitement. 

 

Ainsi, le traitement de données nominatives (nom, prénoms) doit uniquement permettre de détecter et de préciser quels certificats sont concernés par la recommandation ciblée et si l’utilisateur a intégré plusieurs certificats de vaccination (famille, proches, etc.) au sein de l’application. 

 

La Cnil précise que le traitement des données pertinentes devra s’effectuer uniquement en local, sur le terminal de l’utilisateur et en aucun cas, sur les serveurs centraux de l’application, ce qui a été confirmé par le ministère. 

 

De plus, ces données ne devront pas être associées avec d’autres traitements de données, « notamment ceux mis dans le cadre des autres fonctionnalités de l’application ». 

 

La Cnil rappelle également que « les personnes concernées doivent être informées de ces nouvelles fonctionnalités et pouvoir exercer leur droit d’opposition au traitement de leurs données pour ces nouvelles finalités. »

 

Enfin, en ce qui concerne la prolongation de la durée du traitement, la Cnil considère que cette nouvelle durée est cohérente. Elle en profiter pour rappeler que « la multiplication des dispositifs numériques mis en œuvre dans le cadre de la gestion de l'épidémie rend absolument nécessaire une évaluation quantifiée et objective de leur efficacité dans la contribution à la lutte contre la Covid-19 ». Or, il a été constaté qu’à présent, aucune étude ou évaluation ne lui ont été transmises.