L’essentiel :

La CNIL s’est prononcée en urgence, le 2 décembre 2021, sur un projet de décret modifiant TousAntiCovid.

Le projet de décret vise notamment à permettre l’utilisation des données contenues dans le passe sanitaire, lorsque l’utilisateur l’a enregistré dans l’application, afin d’afficher aux utilisateurs des recommandations sanitaires personnalisées ou de les informer des mesures à prendre afin de bénéficier d’un passe sanitaire valide.
Des garanties importantes ont été apportées : les données sont lues uniquement en local, sur le terminal de l’utilisateur, afin d’afficher des recommandations personnalisées et ne sont pas associées avec d’autres traitements de données.
Les personnes doivent être informées et pouvoir s’opposer à ce que leurs données soient utilisées pour ces nouvelles fonctionnalités.

Le contexte

La CNIL s’est prononcée en urgence, le 2 décembre 2021, sur un projet de décret modifiant TousAntiCovid. Celui-ci vise à faire évoluer les conditions de mise en œuvre des traitements de données de l’application TousAntiCovid.

L’évolution principale a notamment pour objectif de permettre l’affichage de notifications sanitaires ciblées dans l’application. Cette évolution est justifiée par les récentes annonces du gouvernement concernant la nécessité, pour conserver un passe sanitaire valide, d’effectuer pour certaines personnes un rappel vaccinal. La durée de validité des tests de dépistage a également été réduite (24 h au lieu de 72 h).
L’avis de la CNIL sur les évolutions de l’application

Le projet de décret doit permettre l’utilisation des données contenues dans les certificats composant le passe sanitaire afin d’afficher aux utilisateurs :

des recommandations sanitaires ciblées (par exemple, l’attitude à tenir pour les personnes ayant intégré le résultat positif d’un examen de dépistage à la COVID-19) ;
l’information sur les mesures à prendre afin de bénéficier d’un passe sanitaire valide (par exemple, en informant les personnes adultes de la nécessité d’une troisième dose afin de bénéficier d’un schéma vaccinal complet).

La CNIL souligne que cette utilisation de données constitue un changement important de la fonctionnalité « Carnet » de l’application TousAntiCovid qui ne permettait, jusqu’à présent, que le stockage du passe sanitaire.

Elle relève que le fonctionnement apporte plusieurs garanties de nature à en assurer la proportionnalité :

les données nominatives (nom, prénoms) doivent uniquement permettre de détecter quels certificats sont concernés par la recommandation ciblée lorsque l’utilisateur a intégré plusieurs certificats (famille, proches, etc.) au sein de l’application ;
la lecture des données du passe sanitaire se fera sur le terminal de l’utilisateur sans qu’aucune donnée ne soit collectée, à cette fin, en dehors de l’application ;
les données ne seront pas associées avec d’autres traitements de données, notamment ceux mis en œuvre dans le cadre des différentes fonctionnalités de l’application.

Par ailleurs, la CNIL rappelle que les personnes doivent être informées que leurs données personnelles sont utilisées pour l’affichage de notifications sanitaires personnalisées et pouvoir s’y opposer. Le ministère de la Santé devra s’assurer de l’effectivité de ce droit.
Des dispositifs prolongés jusqu’au 31 juillet 2022

La prolongation de l’application est cohérente avec la durée prévue pour les autres dispositifs mis en œuvre pour la gestion de la crise sanitaire (notamment le passe sanitaire, Contact-COVID et SI-DEP) qu’elle a vocation à compléter.

Cependant, la CNIL rappelle la nécessité d’évaluer l’efficacité des dispositifs numériques mis en place afin de lutter contre la COVID-19. En effet, une telle évaluation, qui reste une condition pour utiliser ces dispositifs, doit également permettre de s’assurer que le recours à ceux-ci prendra fin dès que la situation sanitaire ne le justifiera plus.

Document reference

L’avis de la CNIL
Délibération n° 2021-143 du 2 décembre 2021 portant avis sur le projet de décret modifiant le décret du 29 mai 2020 relatif à TousAntiCovid
[ PDF-448.4 Ko]

Texte reference
Le décret
– Décret n° 2021-1584 du 7 décembre 2021 modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé « TousAntiCovid » - Légifrance