Coronavirus (COVID-19) : données personnelles et dispositifs numériques

Pour lutter contre la propagation de la COVID-19, certains dispositifs numériques ont été mis en place. Afin de protéger les données personnelles des utilisateurs, ces dispositifs doivent mettre en œuvre certaines garanties. Lesquelles ?

Coronavirus (COVID-19) et RGPD : quid des dispositifs numériques de lutte contre l’épidémie

Tenant une place importante dans la lutte contre la propagation du coronavirus (COVID-19), les dispositifs numériques sont particulièrement surveillés par la Commission nationale de l’informatique et des libertés (CNIL), notamment en ce qui concerne la protection des données personnelles des utilisateurs. Parmi ces dispositifs se trouvent notamment : le cahier de rappel et le Pass sanitaire.

Concernant le cahier de rappel

Ce dispositif permet d’alerter les personnes ayant fréquenté un lieu dans lequel elles ont pu être en contact avec une personne atteinte de la COVID-19, afin qu’elles puissent s’isoler et se faire tester rapidement.

Il doit être mis en place dans les bars, restaurants et salle de sport, mais n’est pas obligatoire pour les autres établissements recevant du public.

De plus, un format papier et un format numérique (TousAntiCovid Signal) doivent être mis en place pour laisser le choix au client lors de son arrivée dans l’établissement concerné.

Destiné à recueillir des données personnelles, la CNIL rappelle les garanties devant être mises en place par les établissements concernés :

les données collectées dans la version papier doivent se limiter aux noms et prénoms, numéros de téléphone, la date et l’heure d’arrivée dans l’établissement. Aucune autre information ne peut être collectée ;
le cahier de rappel ne peut pas être utilisé pour un autre usage, comme par exemple pour de la prospection commerciale ;
seules les autorités sanitaires peuvent demander la communication du cahier de rappel ;
les clients doivent être informés de l’objectif du cahier de rappel et des droits dont ils disposent concernant leurs données ;
le cahier de rappel ne doit pas être laissé à la vue des clients ;
l’application TousAntiCovid Signal ne doit pas recourir à une technologie de géolocalisation.

Concernant le Pass sanitaire (TousAntiCovid Carnet)

Pour mémoire le Pass sanitaire est destiné à conserver les justificatifs tel que les résultats négatifs à un test de dépistage, l’attestation de vaccination et/ou l’attestation de rétablissement à la COVID-19, pour permettre aux utilisateurs de les présenter facilement lorsqu’ils sont demandés.

2 fonctions sont mises en place via l’application TousAntiCovid Carnet :

le Pass sanitaire «activités » : permettant la reprise de certaines activités (salles de spectacles, établissements de plein air, etc.) ;
le Pass sanitaire « frontières » : permettant le contrôle sanitaire aux frontières pour sécuriser les déplacements.

Là encore l’utilisation de ce dispositif n’est pas une obligation et la présentation des justificatifs peut se faire sous format papier.

La CNIL a également effectué un rappel concernant les garanties qui doivent être mises en œuvre pour les utilisateurs de cette application :

le dispositif doit être temporaire et prendre fin dès que possible et au plus tard le 30 septembre 2021 ;
l’usage du dispositif doit être limité aux évènements les plus à risques (rassemblements importants de personnes, etc.). En outre, il ne peut pas être utilisé pour les activités quotidiennes (restaurants, lieux de travail, etc.) ;
les données rendues accessibles lors de la vérification des justificatifs doivent être limitées ;
les données ne peuvent pas être utilisées pour d’autres objectifs ;
le contrôle du Pass sanitaire doit se faire par des personnes habilitées à contrôler les justificatifs, au moyen de l’application mobile TousAntiCovid Verif ;
le Pass sanitaire « activités » s’applique aussi aux mineurs âgés d’au moins 11 ans.

Enfin, notez que pour les deux dispositifs (le cahier de rappel et le Pass sanitaire) les informations recueillies doivent être effacées 15 jours après leur collecte.

Communiqué de presse de la CNIL du 8 juin 2021 (avis sur les conditions de mise en œuvre du passe sanitaire)
Communiqué de presse de la CNIL du 8 juin 2021 (dispositif numérique de luttte contre le coronavirus, quelles garanties pour la protection des données ?)