Actualités de l'Urgence - APM

Depuis le début de la crise sanitaire du Covid-19, la Cnil a été amenée à se prononcer à plusieurs reprises sur les dispositifs numériques déployés dans le cadre de la lutte contre la propagation du virus.

L'instance consultative a été auditionnée à 12 reprises par le Parlement, elle a rendu 31 avis et réalisé 48 opérations de contrôle, a-t-elle rapporté.

Dans son cinquième avis, elle "ne révèle pas de dysfonctionnement majeur" des systèmes d'information (SI) créés pour lutter contre la crise sanitaire mais "regrette" que le second rapport remis au Parlement en janvier 2022 par le gouvernement, devant contenir l'évaluation SI de suivi des tests Sidep et le SI de suivi de la vaccination Vaccin Covid, "ne lui ait été transmis que peu de temps avant que le collège de la commission se prononce sur le présent avis".

"Par conséquent, elle n'a pu analyser attentivement, dans le cadre du présent avis, que le rapport visant à évaluer l'utilisation de l'application TousAntiCovid, son appropriation par les utilisateurs et l'efficacité des fonctionnalités de suivi de contacts (contact tracing)."

Dans son avis, la Cnil "a considéré que même si la fonctionnalité de contact tracing par Bluetooth présente une utilité marginale, le fait que l'atteinte à la vie privée portée par ce dispositif est particulièrement faible" et elle a fait valoir "le volontariat des utilisateurs" de l'activer ou non.

La commission a, toutefois, recommandé que les utilisateurs ne soient incités à activer la fonctionnalité de contact tracing "que durant les périodes de circulation active du virus et sous réserves de garanties additionnelles (dispositif complémentaire au suivi des contacts manuel, mise en oeuvre de certaines améliorations techniques et sensibilisation accrue des utilisateurs, etc.)".

Elle a aussi souligné que, "par principe", le recours à un tel dispositif "doit être limité à la durée strictement nécessaire à la réponse à une situation sanitaire exceptionnelle".

La Cnil a également annoncé avoir réalisé, les 6 et 7 juillet 2021, des contrôles pour vérifier la conformité au règlement général européen relatif à la protection des données personnelles (RGPD) et à la loi "Informatique et libertés" des fonctionnalités "TAC carnet" et "TAC Signal" (pour la fonctionnalité carnet de vaccination et le carnet de rappel numérique) les 19 avril et 25 mai 2021. "Aucune modification substantielle n'étant survenue depuis, aucun contrôle supplémentaire n'a été réalisé", a-t-elle précisé.

Des "instructions en cours" pour les SI Vaccin Covid et Contact Covid

La commission a également pris acte "des ajustements techniques et des textes [qui] ont été effectués par le gouvernement pour tenir compte de ses remarques", concernant notamment le SI de suivi des tests Sidep pour limiter son recours "à la gestion des résultats de dépistage et de ne pas l'utiliser pour contrôler les mesures de quarantaine".

Comme pour le fichier Sidep, "la génération et l'envoi de certificats d'absence de contamination ou de rétablissement, ainsi que les codes QR correspondants" sont désormais prévus par les textes pour le SI Vaccin Covid.

Concernant l'ajout de l'information relative à la vaccination contre la grippe, la Cnil "a regretté que l'alimentation du fichier avec ces nouvelles informations soit intervenue avant la modification du cadre réglementaire".

Elle a aussi "pris acte" de la durée de conservation des données, fixée à 10 ans à compter de la collecte et elle a annoncé avoir effectué "une première série de contrôles, qui s'est achevée au mois de mars 2021", sur le fichier. "A l'issue de celle-ci, elle a adressé des courriers d'observations à la Cnam [Caisse nationale de l'assurance maladie] et au ministère de la santé."

"D'autres investigations concernant ce traitement sont en cours", à l'instar du fichier Contact Covid pour le suivi des cas contacts. "Une sixième phase de contrôles se poursuivra sur le deuxième semestre 2022 concernant l'ensemble de ces dispositifs", a fait savoir la Cnil.

Pour rappel, le projet de loi présenté en conseil des ministres lundi maintient la surveillance épidémiologique permise par Sidep et Contact Covid et proroge leur durée de validité du 31 juillet 2022 au 31 mars 2023 (cf dépêche du 05/07/2022 à 17:58).

(Délibération n°2022-061 du 19 mai 2022 portant avis public sur les conditions de mise en oeuvre des SI développés aux fins de lutter contre la propagation de l'épidémie de Covid-19, octobre 2021 à avril 2022)

wz/nc/APMnews