Loi sur la gestion de la crise Covid, TousAntiCovid et Pass Sanitaire, Optimex Data revient les recommandations et avis de la CNIL.
Pass Sanitaire et CNIL
Dans notre précédente Newsletter du mois de juin, nous rappelions les recommandations de la CNIL relatives à la mise en place de l’application TousAntiCovid, des cahiers de rappel, des QR codes ou encore du Pass Sanitaire.
Suite à la publication de la loi relative à la gestion de la crise sanitaire et de plusieurs de ses décrets d’application du 7 août 2021 prévoyant notamment une extension du Pass Sanitaire – restaurants, débits de boissons, transports publics… et les projets en cours sur le sujet, la CNIL est venue donner ses recommandations.
Des recommandations pour garantir le respect de la protection des données
Afin de garantir le respect du RGPD, la CNIL recommande, concernant le Pass Sanitaire :
- Un contrôle strict des dispositifs de lecture alternatifs de l’application TousAntiCovid Verif ; via notamment la vérification de l’absence de transferts de données illicite en dehors de l’UE, d’un niveau adéquat de sécurité et de la transparence du dispositif.
- Une conservation temporaire des données, limitée au résultat de la lecture du Pass.
- Une sécurisation des envois d’information nécessaires à la génération du certificat au format européen ; via un portail web sécurisé notamment.
Concernant le contrôle de l’obligation vaccinale des professionnels de santé par les ARS, elle recommande :
- Une gestion stricte des habilitations d’accès des agents des ARS ; aux seules données des professionnels de leur territoire de compétence et aux seuls agents ARS habilités
- Une liste précise et limitée des catégories de données accessibles qui doit être précisée dans le décret
- De garantir le respect de l’obligation d’information des personnes concernées
- La mise en place de la possibilité pour les personnes concernées d’exercer leurs droits
- La mise en place de durées de conservation limitées, jusqu’à la fin de l’obligation vaccinale notamment.
Un projet de diffusion de liste de patients non vaccinés à leurs médecins
Afin d’encourager la vaccination, le Gouvernement souhaite mettre en place une campagne de sensibilisation, visant les personnes non vaccinées. Cette action serait menée par les médecins traitants et la Caisse Nationale d’Assurance Maladie – CNAM ; après que leur soit envoyé une liste de leurs patients non vaccinés. Le Gouvernement a sollicité l’avis de la CNIL sur le sujet.
Dans un avis du 1er juillet 2021, la CNIL considère que des actions de sensibilisation peuvent : Légitimement être mises en place, à condition d’être entourées de garanties fortes. Selon elle, la transmission de la liste des patients non vaccinés aux médecins traitants est donc possible, sous réserve que :
- La transmission ne soit réalisée qu’à la demande du médecin-traitant ; et non de façon systématique à l’ensemble des médecins traitants
- La liste soit supprimée par le médecin dès la fin de l’action de sensibilisation
- Les sollicitations n’aient pour seul objet l’information et la sensibilisation des personnes ; et non d’essayer de les convaincre lorsqu’elles indiquent ne pas souhaiter se faire vacciner.
Quid de la constitution de Registres de personnel vaccinal par les entreprises ?
Afin de gérer la conformité des Pass Sanitaires par le personnel, les entreprises peuvent être tentées de tenir un Registre de ce dernier. Sur le sujet, la CNIL nous a informé par téléphone que, si la constitution d’un tel Registre était en soit possible et conforme avec le RGPD, elle devait toutefois respecter le principe de minimisation – Article 5 du RGPD.
En effet, pour garantir le respect de ce principe, seules les données strictement nécessaires à la réalisation de l’objectif poursuivies doivent être collectées. Dès lors, le Registre ne doit contenir que les informations suivantes :
- Noms et prénoms
- Pass conforme ou non conforme
La CNIL devrait prochainement rendre un avis officiel sur le sujet.
