Actualités de l'Urgence - APM

Alors "que le principe du passe sanitaire a très certainement fait l'objet de réflexions au sein du gouvernement depuis plusieurs semaines, voire plusieurs mois", la Cnil a tenu à souligner qu'elle a été saisie en urgence, le 31 mai, d'un projet de décret sur la mise en oeuvre du passe sanitaire. Elle "regrette vivement de ne pas avoir été associée, en amont, à ces réflexions", ajoute-t-elle au début de son avis.

Dans son précédent avis pris "en extrême urgence", la Cnil déplorait déjà "d'avoir [eu] à se prononcer dans un délai si bref et postérieurement aux débats intervenus, en première lecture, à l'Assemblée nationale, le principe du passe sanitaire ayant pourtant été évoqué de longue date", mais elle avait validé le principe du dispositif "sous [certaines] réserves et conditions" (cf dépêche du 17/05/2021 à 12:36).

Ce décret, qui détaille les modalités de mise en oeuvre du passe sanitaire et les conditions de déplacements entre la métropole, les Outre-mer et l'étranger, a été publié au Journal officiel mardi (cf dépêche du 08/06/2021 à 12:06).

Le dispositif entre en vigueur mercredi, a indiqué le secrétaire d'Etat chargé du numérique, Cédric O, mardi après-midi lors d'un point presse.

La Commission "relève que plusieurs des garanties complémentaires demandées dans sa [précédente] délibération" sur le passe sanitaire "ont été prévues par la loi relative à la gestion de la sortie de crise sanitaire", notamment "la limitation de la divulgation des informations contenues dans les justificatifs aux personnes habilitées à procéder aux vérifications", "l'absence de possibilité de réutilisation des données à d'autres fins", l'interdiction "explicite et sous peine de sanctions pénales" pour les responsables des lieux non concernés par le dispositif "de subordonner, de leur propre initiative, leur accès à la présentation des preuves numériques certifiées", et "la nécessité de garantir la mise à disposition des justificatifs certifiés en format 'papier'".

La Cnil relève également "que les lieux qui ont trait aux activités quotidiennes (restaurants, lieux de travail, commerces, etc.) et ceux liés à certaines manifestations habituelles de libertés fondamentales (notamment la liberté de manifester, de réunions politiques ou syndicales, et la liberté de religion) ne sont donc pas concernés", conformément à son précédent avis.

Concernant la jauge de 1.000 personnes déclenchant la mise en oeuvre du passe sanitaire, elle "estime nécessaire de préciser [...] la façon dont le nombre de personnes sera apprécié".

Celui-ci "ne se calcule pas en fonction de la capacité d'accueil théorique de la salle ou de l'établissement, mais en fonction du nombre prévisionnel de visiteurs ou de participants", et "inclut les personnes âgées de moins de 11 ans", est-il précisé dans un dossier de presse diffusé mardi après-midi par le secrétariat d'Etat chargé du numérique.

La Cnil "réitère son observation s'agissant de la nécessité de préciser [...] le partage de responsabilité entre les différents acteurs intervenant dans le dispositif", que le décret publié mardi ne précise pas.

Elle "regrette que le gouvernement ne lui ait transmis ni de dossier technique ni d'AIPD [analyse d'impact sur la protection des données] et rappelle au gouvernement que cette analyse devra être finalisée avant la mise en oeuvre effective du dispositif", donc mercredi.

Elle regrette également "la non-publication" du code-source de l'application TousAntiCovid-Vérif, qui permet de lire le passe sanitaire (cf dépêche du 08/06/2021 à 12:06), alors que celle-ci est déjà disponible dans les magasins d'application, et "appelle le gouvernement à rendre public ce code source expurgé, le cas échéant, des secrets permettant de sécuriser les transmissions de données avec les serveurs centraux".

Cédric O "y est très attaché", a indiqué son cabinet lors du point presse mardi après-midi, ajoutant "regarder comment publier le code très rapidement en occultant les parties susceptibles de mettre en danger le dispositif".

La Cnil "prend acte de ce que les données relatives aux justificatifs présentés par les personnes seront transmises au serveur central afin de vérifier leur validité", ce que le gouvernement justifie "par les conséquences pour les personnes concernées: les opérations de contrôles lors de déplacements vers l'étranger nécessitent de s'assurer du respect des diverses règles imposées par les pays vers lesquels les personnes se rendent, ces règles pouvant, par ailleurs, subir des modifications fréquentes".

Elle "ne remet pas en cause la conformité de cette architecture" au règlement général sur la protection des données (RGPD), et "invite le gouvernement à étudier la mise en place d'une version davantage décentralisée" limitant les envois de données.

"En particulier, le contrôle de la validité des justificatifs pourrait être réalisé en local pour les opérations de contrôle du passe sanitaire relatif aux grands rassemblements de personnes", car "dans cette hypothèse les règles de gestion sont simples et maîtrisées par le gouvernement".

"Il n'y a aucun obstacle à ce que le contrôle de la validité des preuves soit effectué en local", et la Cnil invite donc le gouvernement à mettre en place ce dispositif.

Cette modification est prévue "dans les tous prochains jours", ont indiqué le cabinet de Cédric O et la direction générale de la santé (DGS) lors du point presse.

Il y a bien, à ce jour, une remontée de données de santé au serveur central "pour le calcul" qui renvoie à l'application lisant le passe un signal rouge ou vert, mais les données "ne sont pas stockées", ont-ils assuré.

Ce système "a été mis en place pour commencer, il a été validé par la Cnil qui nous a invité à éviter les remontées de données", ce qui va donc être fait, se sont-ils félicité. Il n'y aura donc "plus d'envoi de données".

Par ailleurs, "les données relatives aux preuves sont conservées en clair au sein des codes-barres présents sur les justificatifs", apprend-on dans l'avis.

"Les codes utilisés pour le certificat européen", qui seront progressivement utilisés à partir du 23 juin en France puis dans toute l'Union européenne au 1er juillet (cf dépêche du 01/06/2021 à 14:07), "contiendront également les données en clair".

La commission estime que "ces modalités de stockage peuvent être admises", et "appelle le gouvernement à mettre en place des mesures d'information des personnes".

Il est relativement aisé de retrouver toutes les informations contenues dans le QR code, dont le statut vaccinal et/ou de test, ainsi que l'a montré un article du site spécialisé NextInpact lundi.

Interrogés mardi après-midi sur l'absence de chiffrement de ces données de santé, le secrétariat d'Etat chargé du numérique et la DGS ont justifié ce choix par le besoin d'une interopérabilité européenne.

"Toutes les applications européennes doivent pouvoir lire [le passe sanitaire]. Les informations restent en clair pour permettre l'interopérabilité et la lecture", a expliqué la DGS.

La priorité a été donnée à la certification des informations, afin d'éviter les faux passes sanitaires, plutôt qu'au chiffrement des données, a-t-on ajouté.

"Ce sont les mêmes données qui sont sur le certificat papier en clair, ça ne rajoute aucun risque supplémentaire puisque ces champs sont écrits noir sur blanc sur le papier", a-t-on indiqué.

"Aucune information" sur l'âge butoir de 11 ans

La Cnil s'interroge également sur le choix du gouvernement de rendre obligatoire le passe sanitaire pour les mineurs de plus de 11 ans.

Elle "ne dispose d'aucune information, notamment d'éléments scientifiques ou de comparaison internationale, concernant les justifications ayant conduit le gouvernement à retenir cette limite d'âge", alors même que "le gouvernement a récemment annoncé l'ouverture de la vaccination aux personnes âgées de 12 à 18 ans", et "s'interroge donc [...] sur l'opportunité d'aligner l'âge à partir duquel le passe sanitaire sera applicable à celui de la vaccination".

La Commission souligne que "la possibilité de stocker les justificatifs sur tout autre support numérique renforce le caractère volontaire de l'application TousAntiCovid", prévue par le décret paru mardi.

Elle redit "la nécessité de réfléchir au format et au contenu des preuves papier certifiées, afin qu'elles présentent les mêmes garanties que leur version numérique en matière d'accessibilité et de protection des données à caractère personnel", par exemple en donnant des consignes de pliage ou en "fournissant un second [document] qui ne contiendrait que les données nécessaires au contrôle".

Cette dernière fonctionnalité est disponible dans TousAntiCovid, et permet de ne présenter qu'un QR code, le prénom et le nom de l'utilisateur, note-t-on.

Concernant les personnes pouvant contrôler le passe sanitaire, la Cnil "s'interroge" sur l'autorisation donnée aux "agents de contrôle habilités à constater les infractions", notamment à l'état d'urgence sanitaire, et prévues à l'article L3136-1 du code de la santé publique.

Elle "s'interroge", répète-t-elle, "sur les raisons pour lesquelles des agents de contrôles, habilités à constater les infractions relatives au passe sanitaire, devraient pouvoir être également habilités à contrôler les justificatifs pour autoriser, en dehors de leur mission de police judiciaire, les déplacements ou l'accès aux lieux, établissements et événements concernés par le passe sanitaire".

"Il reviendra aux responsables de former correctement les personnes qu'ils habilitent à ce contrôle", estime-t-elle.

La tenue d'un registre des personnes habilitées est "satisfaisante sous réserve d'ajouter, au titre des informations renseignées, la date d'habilitation de chaque personne, et à condition que les responsables s'assurent de la mise à jour régulière du registre", ajoute-t-elle.

Dispositif "respectant la minimisation des données"

Le fait que les informations lisibles sur TousAntiCovid-Vérif soient limitées aux nom, prénoms, à la date de naissance et au résultat rouge ou vert "est de nature à assurer le respect du principe de minimisation des données", selon la Commission.

Elle "prend acte des précisions du gouvernement selon lesquelles les personnes en charge des contrôles devront demander aux personnes de prouver leur identité et que ces dernières pourront procéder via un justificatif d'identité".

"La personne doit pouvoir justifier son identité par tout moyen", rappelle-t-elle, et le gouvernement doit "rappeler aux exploitants de service de transports et aux responsables d'établissement et de lieux concernés [...] la nécessité de proportionner le contrôle à la réalité des risques".

Interrogé à ce sujet mardi après-midi, Cédric O a indiqué qu'il est "logique" et "nécessaire" qu'une vérification soit effectuée.

Aucun chiffre n'est disponible sur les QR codes falsifiés dont plusieurs médias se sont fait l'écho mardi, mais "tous [ses] homologues européens font état de tentatives de fraudes sur les résultats de tests et les certificats de vaccination, qui ne sont pas massives mais récurrentes".

Air France constate "plusieurs tentatives de fraude par semaine" pour les seuls vols à destination de l'Outre-mer et de la Corse, a-t-il ajouté.

Cnil, délibération n°2021-054 du 7 juin 2021

lc/ed/APMnews