Passe sanitaire, big data… séparation et minimisation des données sont les clefs des succès contentieux de l’Etat (Conseil constitutionnel puis, hier, Conseil d’Etat).

Le Passe sanitaire a doublé hier, sain et sauf, le cap du Palais Royal. Auparavant, toujours pour la Covid-19 et au titre de la même loi, l’autre cap du Palais Royal, celui du Conseil constitutionnel  avait été franchi par la loi (la même que celle à l’origine du Passe sanitaire, avec entre autres un débat sur ledit Passe sanitaire), et avec une intéressante (et très limitée) réserve pour ce qui est de  l’intégration de données au système national des données de santé.

Avec, à chaque fois, des enseignements sur la gestion des données en ce domaine, avec une application rigoureuse du principe de minimisation. 

Bref, sur le passe sanitaire, sur les questions de big data relatifs à la Covid-19… séparation et minimisation des données expliquent les succès contentieux de l’Etat, en mai devant le Conseil constitutionnel et hier devant le Conseil d’Etat.

 

I. Rappel de la position du Conseil constitutionnel en mai dernier

 

Déjà, par sa décision n° 2021-819 DC du 31 mai 2021, le Conseil constitutionnel avait validé ce régime.

La seule réserve des sages de la rue Montpensier ne portait pas à proprement parler sur le passe sanitaire, ni sur les manifestations où celui-ci s’applique (point qui était contesté aussi par les auteurs du recours d’alors), mais plutôt sur  le 1 ° du paragraphe I de l’article 7 de la loi prévoyant l’intégration au système national des données de santé des données recueillies dans le cadre des systèmes d’information mis en œuvre aux fins de lutter contre l’épidémie de covid‑19.

Le Conseil constitutionnel avait rappelé que la collecte, l’enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d’intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif. Lorsque sont en cause des données à caractère personnel de nature médicale, une particulière vigilance doit être observée dans la conduite de ces opérations et la détermination de leurs modalités.

A l’aune de ces exigences constitutionnelles, le juge avait noté que les dispositions contestées permettent que ces données soient conservées pour une durée maximale de vingt ans après leur transfert et que les personnes mentionnées à l’article L. 1461-3 du code de la santé publique soient autorisées à y accéder. Cette durée avait dans son principe été validée car calibrée pour « améliorer les connaissances sur le virus responsable de l’épidémie de covid-19, en particulier ses effets à long terme sur la santé, et renforcer les moyens de lutte contre celle-ci ». Et le juge avait noté tant les règles strictes d’accès à ces informations que, surtout, le fait que ce « système national des données de santé ne contient ni les noms et prénoms des personnes, ni leur numéro d’inscription au répertoire national d’identification des personnes physiques, ni leur adresse ».

Par une réserve d’interprétation, le Conseil constitutionnel avait donc juste ajouté à ces règles de prudence le fait que « s’agissant des données transférées en application des dispositions contestées, sauf à méconnaître le droit au respect de la vie privée, cette exclusion doit également s’étendre aux coordonnées de contact téléphonique ou électronique des intéressés

Point qui ne concernait donc pas le passe sanitaire à proprement parler, mais qui était en quelque sorte connexe à celui-ci (base de données sur la même maladie et dont on aurait pu craindre une interconnexion avec le Passe sanitaire — ce qui ne fut pas du tout prévu par le législateur bien sûr — et limitation sur les données permettant une identification… point que l’on retrouvera dans la décision du CE évoquée ci-dessous en II). 

 

Voici cette décision :

Décision n° 2021-819 DC du 31 mai 2021, Loi relative à la gestion de la sortie de crise sanitaire, Conformité – réserve

Et notre article d’alors  :

 

II. La position, hier, du Conseil d’Etat

 

L’association La Quadrature du Net avait demandé au juge des référés du Conseil d’État de suspendre le « passe sanitaire », craignant un usage de données personnelles sensibles (état civil, justificatifs de statut vaccinal ou de résultat de test).

Le juge des référés du Conseil d’Etat relève que ce dispositif – papier ou numérique – n’est pas requis pour les activités du quotidien ou l’exercice de certaines libertés fondamentales (manifestation, réunion, exercice du culte), et ce par un rappel qui n’est pas sans évoquer celui de l’autre aile du Palais Royal, celle du Conseil constitutionnel.

En application de la loi relative à la gestion de la sortie de crise sanitaire, le Premier ministre a imposé depuis le 9 juin, la présentation d’un passe sanitaire, papier ou numérique, dans certaines situations.

Conformément à la loi, la présentation de ce document doit permettre uniquement de vérifier que le porteur remplit l’une des trois conditions requises (test négatif à la covid-19, justificatif de vaccination ou de rétablissement à la suite d’une contamination), sans pouvoir identifier quelle est la condition remplie ni les données personnelles qui y sont associées.

 

Le passe sanitaire n’est pas demandé pour les activités du quotidien

Le juge des référés relève que le passe sanitaire permet de réduire la circulation du virus en limitant les flux et croisements de personnes. Il est demandé uniquement pour les déplacements à destination ou en provenance de l’étranger, de Corse ou des Outre-mer, et pour l’accès à certains lieux, établissements ou événements impliquant de grands rassemblements de personnes (loisirs, foires, salons professionnels…).

Il n’est pas nécessaire à l’exercice des libertés de culte, de réunion ou de manifestation, ni aux activités quotidiennes (travail, magasins, restaurants…).

 

Anonymat, certes, mais aussi « principe de minimisation des données »

Sur cette question des données personnelles, on retrouve à titre individuel  l’anonymat  imposé par ailleurs au stade du big data par le Conseil constitutionnel.

« Toutefois, si les dispositions, citées au point 3, de second alinéa 2 du B du II de l’article 1er de la loi du 31 mai 2021, imposent que la forme des justificatifs exigibles pour certains déplacements ou pour l’accès à certains lieux, établissement ou évènements ne permette pas de connaître la nature du document ni les données qu’il contient, ces mêmes dispositions, qui ne visent qu’à empêcher les tiers de savoir si la personne est vaccinée, rétablie ou non-contaminée, n’interdisent nullement la présence dans le justificatif de données d’identité de la personne concernée. Il résulte en outre del’instruction, et notamment des échanges lors de l’audience, que ces données d’identification sont nécessaires pour contrôler que le passe présenté est bien celui de la personne qui s’en prévaut. Au point 24 de son avis du 7 juin 2021, la Commission nationale informatique et liberté (CNIL) a d’ailleurs estimé que le dispositif du passe sanitaire tel que prévu par le décret « est de nature à assurer le respect du principe de minimisation des données, en limitant strictement la divulgation d’informations privées aux personnes habilitées à procéder aux vérifications ». Par suite, le moyen tiré de la méconnaissance de la loi du 31 mai 2021 et du principe de minimisation des données doit être rejeté. »

 

Un régime technique et informatique qui justement évite l’accès à des données personnelles via le « big data » (et, là, on retrouve les préoccupations du Conseil constitutionnel)

 

Le juge des référés relève que le passe sanitaire numérique est facultatif et repose sur la conservation et le contrôle par chacun, sur son propre téléphone mobile, de certaines de ses données de santé (module « Carnet » de l’application TousAntiCovid). Ce choix limite la collecte et le traitement des données de santé sur des bases nationales et réduit les risques de piratage ou d’erreur. En outre, le contrôle des justificatifs par l’application TousAntiCovid Vérif se fait également au niveau local.

Oui mais est-ce raisonnable d’en passer par l’application TousAnti-Covid dédiée ?  Une réponse positive s’impose à cette question au sortir de l’audience, pose le Conseil d’Etat, via une explication qui suscite l’intérêt :

« D’autre part, il résulte de l’instruction, et notamment des échanges lors de l’audience, que le choix de conserver ces données sensibles dans le module « Carnet » du traitement TousAntiCovid vient – outre de contraintes techniques tenant à l’urgence de mettre en œuvre le passe sanitaire – du souhait d’éviter de créer, au niveau national, un traitement générant le passe sanitaire, en croisant les données issues du système d’information national de dépistage
N° 453505 7
(« SI-DEP ») et celles contenues dans le traitement automatisé de données à caractère personnel « Vaccin Covid ». En outre, le risque de captation illégale des données de santé figurant sur le téléphone mobile, qui suppose que le QR code soit présenté par le propriétaire du téléphone à un individu doté d’un logiciel malveillant capable de lire les données de santé qui y figurent, semble peu élevé. En conséquence, le choix d’offrir un système décentralisé, limitant la constitution de traitements ou bases nationales de données de santé, au prix de la conservation, par la personne concernée, sur son propre téléphone mobile, de certaines de ses propres données de santé, remplit un motif d’intérêt public dans le domaine de la santé publique et n’est pas manifestement contraire au principe de minimisation. Par suite, à supposer même qu’il soit possible, comme le soutient le requérant, d’inscrire sur les téléphones mobiles, grâce à un traitement national, un certificat ne contenant pour qualifier l’état de santé de la personne qu’un feu rouge ou un feu vert, il résulte de tout ce qui a été dit que le Gouvernement n’a pas fait une appréciation erronée des exigences combinées des articles 5, paragraphe 1, et 9, paragraphe 2 sous i) du RGPD en autorisant l’inscription de ces données de santé dans le traitement. »

 

 

Des contraintes limitées et entravant pas, ou peu, les libertés publiques au regard de l’intérêt public de présentation de la santé de la population, avec application du principe de minimisation

 

Le juge estime que le passe sanitaire répond à un motif d’intérêt public pour la préservation de la santé de la population et que les données collectées le sont de façon limitée et appropriée par rapport aux objectifs poursuivis (principe de minimisation).

Pour ces différentes raisons, le juge des référés estime que le passe sanitaire ne porte pas une atteinte grave et illégale au droit au respect de la vie privée et au droit à la protection des données personnelles.

 

Voici cette décision :

CE, ord., 6 juillet 2021, 453505