L’avis de la Cnil du 12 mai 2021 sur le passe sanitaire 

 

La Cnil a rendu, le 12 mai 2021, un avis favorable à la mise en place du passe sanitaire. 

 

Néanmoins, elle met en lumière les enjeux relatifs au traitement des données personnelles. 

 

Elle rappelle que malgré le contexte sanitaire, le passe sanitaire pourrait entrainer la communication de données de santé qui sont protégées par le Règlement général sur la protection des données (ci-après « RGPD ») et dont le traitement doit respecter les dispositions dudit règlement. 

 

Ainsi, elle subordonne l’utilisation du dispositif à certaines conditions : 

 

- L’utilisation du passe doit être restreinte à la durée de la crise sanitaire :

 

La Cnil indique que l’utilisation du passe sanitaires ne devra pas être maintenue au-delà de la crise sanitaire. En effet, le dispositif doit être maintenu tant qu’il est nécessaire et qu’il répond à la situation épidémique. La Cnil requiert donc des évaluations régulières sur l’évolution du Covid qui permettront d’évaluer la nécessité du dispositif au regard de la propagation du virus. 

 

- L’utilisation du passe doit être limité aux « grands rassemblements de personnes » visés par la loi : 

 

Le passe ne semble pas pouvoir, en l’état, être exigé dans des événements comportant moins de 1 000 personnes ; ainsi que dans les lieux relatifs à l’exercice d’activités quotidiennes, tels que les restaurants, les commerces et le lieu de travail. 

 

Enfin, l’usage du dispositif sera exclu des « lieux qui sont liés à certaines manifestations habituelles de libertés fondamentales : notamment la liberté de manifester, de réunions politiques ou syndicales et la liberté de religion » (point 23 de l’avis de la Cnil).

 

- Le passe sanitaire doit garantir un niveau de protection des données personnelles élevé : 

 

Les données de santé sont considérées comme sensibles, par conséquent leur traitement est strictement encadré par le RGPD et la Loi informatiques et libertés. Sur ce point, vous pouvez consulter l’article sur le traitement de données par les professionnels de santé.

 

Au point 31 de son avis, la Cnil préconise une « absence de conservation des données dans le cadre du processus de vérification » ainsi qu’une « absence de possibilité de réutilisation des données à d’autres fins ».

 

La Cnil ajoute, également, que les passes devront être contrôlés par un nombre limité de personnes.

 

- Le dispositif doit prendre en compte les certificats papiers et éviter toute discrimination : 

 

Les justificatifs de vaccin, les tests de recherche virologique négatifs ainsi que les certificats de rétablissement du virus en version papier seront admis au même titre que ceux sous format numérique. Ils doivent également être délivrés en format papier par les professionnels de santé pour éviter toute discrimination au regard de l’accès aux outils numériques. 

 

La constitutionnalité du passe sanitaire 

 

En application de l’article 61 de la Constitution, le Conseil Constitutionnel a été saisi par plus de 60 députés au sujet de la constitutionnalité de la loi n°2021-689 du 31 mai 2021 relative à la gestion de la sortie de la crise sanitaire, lorsqu’elle était encore en projet. 

 

Avant l’entrée en vigueur de cette loi, son inconstitutionnalité avait été soulevée, notamment au regard de l’article 1 II A 2°, prévoyant l’usage du passe sanitaire ; mais également de l’article 7 qui prévoit l’intégration des données de santé relatives au Covid dans le système national des données de santé (ci-après « SNDS »). 

 

Cette disposition est considérée par les requérants comme une atteinte au droit au respect de la vie privée, moyen soulevé lors de la saisine du Conseil constitutionnel. 

 

Néanmoins, le Conseil constitutionnel a déclaré l’article 1er de la loi n°2021-689 du 31 mai 2021 relative à la gestion de la sortie de la crise sanitaire conforme à la Constitution. 

 

Loi relative à la gestion de la sortie de la crise sanitaire du 31 mai 2021 

 

Cette loi a pour but de mettre en place des solutions visant à sortir de la crise sanitaire. Dès lors, diverses mesures sont prévues par le texte dont : 

 

- l’instauration d’un couvre-feu ;

- un régime de quarantaine renforcé pour les personnes en provenance de pays touchés par un variant du virus ;

- la mise en place d’un passe sanitaire ;

- etc.

 

L’article 1 de la loi n°2021-689 du 31 mai 2021 instaure un régime transitoire, à partir du 2 juin 2021 jusqu’au 30 septembre 2021, qui prévoit notamment la mise en place d’un passe sanitaire pour « les grands rassemblements de personnes ».

 

D’après l’article 1 II A 2° de cette loi, l’utilisation du passe sanitaire sera restreint aux « activités de loisirs », « foires » et aux « salons professionnels ». 

 

En d’autres termes, il semble qu’il ne sera pas exigé dans les restaurants, les musées, les cinémas ou les parcs zoologiques. En revanche, il semble qu’il sera requis pour accéder aux théâtres, aux salles de spectacles, aux festivals en plein air ou encore aux établissements sportif en plein air ; et ce, en respect de la condition du seuil de 1 000 personnes.

 

Ensuite, l’article 7 de cette loi dispose que les données de santé collectées dans le cadre du traitement de la crise sanitaire seront intégrées dans un SNDS. 

 

Selon l’article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions, les données relatives aux personnes contaminées par le virus ou cas contact pourront être intégrées dans le SNDS , sans le recueil préalable du consentement des personnes concernées. 

​

Le décret n°2021-699 du 1er juin 2021

 

Le décret n°2021-699 du 1er juin 2021 précise les conditions d’application du passe sanitaire, ce dernier a fait l’objet de nombreuses modifications. 

 

Pour le passe sanitaire « activités », ce décret prévoit, à son article 3, un seuil de 1 000 personnes à partir duquel le passe est nécessaire.

 

Ainsi, la présentation d’un test de dépistage virologique négatif, d’une certification de vaccination ou d’un certificat de rétablissement en cas de contamination par le virus sera exigé pour accéder à certains événements ou lieux publics dépassant ce seuil. 

 

L’avis de la Cnil du 7 juin 2021 sur le décret n°2021-699 du 1er juin 2021 

 

La Cnil a été saisie par le ministre des solidarités et de la santé, et par le secrétaire d’État chargé de la transition numérique, le 31 mai 2021 pour se prononcer sur le  décret n°2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire, encore en projet au moment de sa saisine.

 

Au moment où la Cnil se prononce sur le décret n°2021-699, celui-ci est déjà entrée en vigueur le 1er juin 2021.

 

Par son avis rendu le 7 juin 2021, la Cnil revient sur les conditions de mise en œuvre du passe sanitaire prévues par le décret susvisé. 

 

En effet, dans le cadre de la troisième phase de déconfinement qui a débuté le mercredi 9 juin, le passe est requis pour certains déplacements et pour accéder à certains lieux et établissements. 

 

Le passe prendra les formes suivantes : 

 

- test de dépistage virologique négatif de moins de 48h ; 

- une certification de vaccination ; 

- un certificat de rétablissement en cas de contamination par le virus.

 

La Cnil indique les deux catégories de passe qui sont prévues : 

 

- le passe sanitaire « activités » : subordonnant l’accès à certains lieux et établissements en cas de rassemblement de plus de 1000 personnes ;

 

- le passe sanitaire « frontières » : qui permet d’assurer la libre circulation des personnes au sein de l’Union Européenne. Ce passe s’inscrit dans la continuité du projet de certificat Covid de l’Union européenne qui entrera en vigueur le 1er juillet 2021.

 

 

Elle relève également que les activités subordonnées à la présentation du passe « ne sont pas liés à certaines manifestations habituelles de libertés fondamentales, conformément à ses recommandations dans l’avis du 12 mai 2021. »

 

Quant aux personnes visées par le passe sanitaire, la Cnil a invité le gouvernement à apporter des précisions. Elle demande également au gouvernement d’exclure expressément les salariés, professionnels et organisateurs du passe « activités » à raison de l’exercice de leur profession. 

 

Sur la question de l’âge requis pour la présentation du passe, le décret d’application précise que le passe « activités » s’applique au mineurs à partir de 11 ans. 

Au sujet des données personnelles traitées pour le contrôle du passe sanitaire, la Cnil constate que les seules données accessibles seront :

 

- le nom ; 

- le prénom ; 

- la date de naissance ; 

- le justificatif (résultat du test, le certificat de vaccination ou de rétablissement).

 

Elle considère que cela respecte « le principe de minimisation des données en limitant strictement la divulgation d’informations privées aux personnes habilitées à procéder aux vérifications ». 

 

D’après le décret n°2021-699 du 1er juin 2021, les données ne devront pas être conservées par l’application après la vérification du passe. La Cnil relève que cette disposition permet de garantir le principe de conservation limitée des données exigé par le RGPD.

 

Les personnes chargées du contrôle du passe sanitaire scanneront le QR Code présent sur les documents papiers ou numériques. 

 

La Cnil a formulé plusieurs observations supplémentaires quant à la mise en place du dispositif : 

​

- la nécessité de mentionner dans le décret la catégorie des données personnelles présentes sur les justificatifs ;

- permettre aux personnes pourvues d’un justificatif papier de ne présenter que les données nécessaires au contrôle du passe ;

- la publication du code source de l’application TousAntiCovid Verif, laquelle est utilisée pour contrôler le passe sanitaire.

 

Le décret n°2021-724 du 7 juin 2021 modifiant le décret n°2021-699 du 1er juin 2021

 

Le décret n°2021-724 du 7 juin 2021 à modifié certaines des dispositions du décret n°2021-699 du 1er juin2021 qui précisait les conditions de mise en œuvre du passe sanitaire. 

 

Toutes les dispositions du décret n°2021-724 du 7 juin 2021 ont été, à cette date, retranscrites dans le décret n°2021-699 du 1er juin 2021.

 

Dans le chapitre 2 intitulé « Passe sanitaire » du décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021, il est précisé les conditions de mise en œuvre du passe et les conditions d’application du passe sanitaire « frontières ».

 

- La nature du justificatif : 

 

L’article 2-2 du décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021, indique que : 

 

« 1° Sont de nature à justifier de l'absence de contamination par la covid-19 un examen de dépistage RT-PCR ou un test antigénique d'au plus 72 heures dans les conditions prévues par le présent décret. Le type d'examen admis peut être circonscrit aux seuls examens de dépistage RT-PCR ou à certains tests antigéniques si la situation sanitaire, et notamment les variants du SARS-CoV-2 en circulation, l'exige.

2° Un justificatif du statut vaccinal est considéré comme attestant d'un schéma vaccinal complet de l'un des vaccins contre la covid-19 ayant fait l'objet d'une autorisation de mise sur le marché délivrée par l'agence européenne du médicament :

a) S'agissant du vaccin “ COVID-19 Vaccine Janssen ”, 28 jours après l'administration d'une dose ;

b) S'agissant des autres vaccins, 14 jours après l'administration d'une deuxième dose, sauf en ce qui concerne les personnes ayant été infectées par la covid-19, pour lesquelles ce délai court après l'administration d'une dose ;

3° Un certificat de rétablissement à la suite d'une contamination par la covid-19 est délivré sur présentation d'un document mentionnant un résultat positif à un examen de dépistage RT-PCR ou à un test antigénique réalisé plus de quinze jours et moins de six mois auparavant. Ce certificat n'est valable que pour une durée de six mois à compter de la date de réalisation de l'examen ou du test mentionnés à la phrase précédente. »

 

En application de l’article 47-1 décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021 pour l’accès aux établissements, lieux et évènements de plus de 1 000 personnes, le test doit être réalisé au moins de 48 heures avant. 

 

- L’accès à certains établissements, lieux et évènements : 

 

Pour les catégories d’établissements, de lieux et d’évènements, à l’entrée desquels le passe sanitaire sera nécessaire, l’article 1 II A 2° de la loi n°2021-689 du 31 mai 2021 relative à la gestion de la sortie de la crise, visait les « activités de loisirs », « foires » et aux « salons professionnels ». 

 

L’article 47-1 II du décret n°2021-699 du 1er juin 2021 introduit par le décret n°2021-724 du 7 juin 2021,établi une liste de ces établissements, lieux et évènements. Cette liste a été reprise par le site du gouvernement : « 

​

• les salles d’auditions, de conférences, de réunions, de spectacles ou à usages multiples ;

• les chapiteaux, tentes et structures ;

• Les établissements d’enseignement artistique, lorsqu’ils accueillent des spectateurs ;

• les salles de jeux ;

• les établissements à vocation commerciale destinés à des expositions, des foires-expositions ou des salons ayant un caractère temporaire ;

• les établissements de plein air autres que les parcs zoologiques, d’attractions et à thème ;

• les établissements sportifs couverts ;

• les événements culturels, sportifs, ludiques ou festifs organisés dans l’espace public ou dans un lieu ouvert au public et susceptibles de donner lieu à un contrôle de l’accès des personnes. »

 

Les lieux de vie quotidienne (les commerces, les lieux de travail et les restaurants, les services publics) ou les lieux liés à l’exercice des libertés fondamentales sont toujours exclus de la présentation du passe, conformément à l’avis de la Cnil du 12 mai.

 

Le seuil de 1 000 personnes précédemment fixé par le gouvernement est repris dans l’article 47-1 du décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021. 

 

- Les données traitées par le passe sanitaire : 

 

D’après l’article 2-3.-I-2° du décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021, les données traités sont les suivantes : « les noms, prénoms, date de naissance de la personne concernée et un code permettant sa vérification dans les conditions prévues au II ». 

 

En application des recommandations de la Cnil quant à la conservation des données, l’article 2-3 du décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021 précise que les données traitées ne seront pas conservées dans l’application « TousAntiCovid Vérif ». Elles seront, juste, lues pour les besoins du contrôle. 

 

Quant à l’exigence d’un niveau de protection élevé des données traitées requis par la Cnil, les personnes susceptibles de contrôler les passes sont circonscrites dans le II 2° de l’article 2-3 du décret n°2021-699 du 1erjuin 2021, introduit par le décret n°2021-724 du 7 juin 2021 : 

 

« Sont autorisés à contrôler ces justificatifs, dans les seuls cas prévus au A du II de l'article 1er de la loi n°2021-689 du 31 mai 2021 susvisée, et dans la limite de ce qui est nécessaire au contrôle des déplacements et de l'accès aux lieux, établissements ou évènements mentionnés par ce A :
1° Les exploitants de services de transport de voyageurs ; 

2° Les personnes chargées du contrôle sanitaire aux frontières ;

3° Les responsables des lieux et établissements ou les organisateurs des évènements dont l'accès est subordonné à leur présentation en application du présent décret ;

4° Les agents de contrôle habilités à constater les infractions prévues à l'article L. 3136-1 du code de la santé publique. »

 

- L’admission du format papier du passe sanitaire : 

 

Comme l’avait notifié la Cnil dans ses recommandations formulées dans son avis du 12 mai 2021, l’admission du format papier du passe est nécessaire pour éviter toute discrimination envers les personnes dépourvues de smartphones. Par conséquent, le gouvernement a consacré la possibilité de présenter le passe sous un format papier ou numérique au II de l’article 2-3 du décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021.

 

Le I du même article prévoit aussi que la preuve du test négatif ou du certificat de rétablissement peut être trouvé sur le portail du système d’information national de dépistage (ci-après « SI-DEP »). 

 

Pour le certificat de vaccination, il est prévu que les personnes vaccinées peuvent récupérer leur certificat sur leur espace adhérent de l’assurance maladie, selon le site du gouvernement.

 

Les certificats de vaccination et de rétablissement, ainsi que les tests disposeront d’un QR Code. 

 

- Les conditions d’application du passe « frontières » : 

 

Le décret n°2021-724 du 7 juin 2021 insère dans le décret n°2021-699 du 1er juin 2021 un chapitre 1er sur les « déplacements entre territoire métropolitain et un pays étranger ». 

 

L’article 23-1 du décret n°2021-699 du 1er juin 2021, introduit par le décret n°2021-724 du 7 juin 2021, pose les conditions de mise en œuvre du passe sanitaire en fonction de la zone géographique. Les pays sont classés en 3 catégories différentes, selon l’arrêté du 7juin identifiant les zones de circulation de l’infection du SARS-CoV-2 : 

 

- « verts » : représente les pays avec «  une faible circulation du virus». Les pays concernés sont : « les pays de l’Union Européenne, Andorre, l'Islande, le Liechtenstein, Monaco, la Norvège, Saint-Marin, Saint-Siège et la Suisse, Australie, Corée du Sud, Israël, Japon, Liban, Nouvelle-Zélande, Singapour, États-Unis, Canada » ;

 

- « oranges » : représente les pays avec « une circulation active du virus dans proportions maîtrisées ». Les pays concernés sont : « tous les pays, hors pays définis tels que « verts » et « rouges » ; 

 

- « rouges » : représente les pays avec une circulation active du virus ». Les pays concernés sont : « Afrique du Sud, Argentine, Bahreïn, Bangladesh, Bolivie, Brésil, Chili, Colombie, Costa Rica, Inde, Népal, Pakistan, Sri Lanka, Suriname, , Uruguay, l’Afghanistan, les Maldives, le Paraguay, la Guyane ».

 

Les règles varient en fonction de ces différentes catégories et s’appliquent à tous les voyageurs à partir de 11 ans.

 

Le décret n°2021-732 du 8 juin 2021 modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire

 

Pour les déplacements vers les collectivités territoriales, des mesures spécifiques sont prévues par l’article 23-2 du décret n°2021-99 qui a été légèrement modifié par le décret n°2021-732 du 8 juin. Ces règles s’appliquent à tous les voyageurs à partir de 11 ans.